ISO 27001:2022 Bilag A 7.4 – Fysisk sikkerhedsovervågning

Styrkelse af den fysiske sikkerhed med ISO 27001:2022 Compliance

I tilfælde af, at der gives uautoriseret adgang til begrænsede fysiske områder såsom serverrum og it-udstyrsrum, informationsaktiver kan blive kompromitteret med hensyn til fortrolighed, tilgængelighed, integritet og sikkerhed.

I ISO 27001:2022 bilag A 7.4 forhindres ubudne gæster i at komme ind i følsomme fysiske lokaler uden tilladelse.

Formålet med ISO 27001:2022 bilag A 7.4?

Bilag A Kontrol 7.4 kræver, at organisationer implementerer passende overvågningsværktøjer. Dette er for at opdage og forhindre eksterne og interne ubudne gæster i at komme ind på afspærrede fysiske områder uden tilladelse.

Overvågningsværktøjer, der er i stand til at overvåge og registrere adgangsbegrænsede områder, beskytter mod risici som følge af uautoriseret adgang til begrænsede områder, herunder men ikke begrænset til:

• Datatyveri.
• Tabet af informationsaktiver.
• Økonomisk skade.
• Fjernelse af flytbare medieaktiver til ondsindede formål.
• Malwareinfektion af it-aktiver.
• Angreb udføres af en ubuden gæst ved hjælp af ransomware.

Hvem har ejerskab til bilag A 7.4?

I henhold til ISO 27001 Bilag A Kontrol 7.4, overholdelse af denne kontrol kræver identifikation af alle spærrede områder. Det kræver også identifikation af overvågningsværktøjer, der er egnede til det specifikke fysiske område, der skal overvåges.

Derfor skal den øverste sikkerhedsofficer være ansvarlig for implementering, vedligeholdelse, styring og gennemgang af overvågningssystemer på en effektiv måde.

Vejledning om, hvordan man overholder ISO 27001:2022 Bilag A 7.4

I henhold til ISO 27001 Annex A Kontrol 7.4 skal organisationer implementere følgende tre trin for at opdage og forhindre uautoriseret adgang til faciliteter, der rummer kritiske informationsaktiver, og forhindre dem i at blive kompromitteret.

Indsæt et videoovervågningssystem for at holde øje med situationen

For løbende at overvåge adgangen til begrænsede områder, der er vært for kritiske informationsaktiver, bør en organisation have et videoovervågningssystem, såsom CCTV-kameraer. Dette er et eksempel på et sådant system. Desuden er det også afgørende, at dette overvågningssystem fører en registrering af alle ind- og udgange i lokalerne.

Installation af detektorer til at udløse en alarm

Muligheden for at udløse en alarm, når en ubuden gæst kommer ind i de fysiske lokaler, gør det muligt for sikkerhedsteamet at reagere hurtigt på ethvert sikkerhedsbrud. Det kan også være en effektiv måde at afskrække ubudne gæster fra at komme ind i dit hjem.

Det anbefales, at organisationer køber bevægelses-, lyd- og kontaktdetektorer, der vil advare dem, når der registreres unormal aktivitet i organisationens fysiske lokaler.

Dette inkluderer, men er ikke begrænset til:

• En kontaktdetektor bør installeres i miljøet. Når et ukendt objekt eller individ kommer i kontakt med en bestemt genstand eller bryder kontakten med en bestemt genstand, bør en alarm aktiveres. En kontaktdetektor kan f.eks. konfigureres til at udløse en alarm, når kontaktdetektoren kontakter et vindue eller dør.
• Bevægelsesdetektorerne kan konfigureres til at advare dig, hvis de registrerer bevægelse inden for deres synsfelt af et objekt, der bevæger sig i deres synsfelt.
• En lyddetektor, såsom en knuseglasdetektor, kan aktiveres, når den registrerer en lyd, hvilket kan være med til at forhindre bilulykker.

Konfiguration af alarmer for alle interne lokaler

Det er bydende nødvendigt at sikre, at alarmsystemet er konfigureret korrekt. Dette vil sikre, at alle følsomme områder, inklusive alle udvendige døre, vinduer, ubesatte områder og computerrum, er inden for alarmsystemets rækkevidde. Dette vil forhindre eventuelle sårbarheder i at blive udnyttet.

For eksempel kan ubudne gæster bruge rygeområder eller indgange til fitnesscenter som angrebsvektorer, hvis de ikke overvåges.

De tilgængelige typer overvågningssystemer

Skønt ISO 27001 Bilag A Kontrol 7.4 giver ikke mandat til, at organisationer vælger et overvågningssystem frem for et andet, det angiver flere overvågningsværktøjer, der kan bruges separat eller i kombination med andre, herunder:

• CCTV kameraer.
• Sikkerhedsvagter.
• Indbrudsalarmsystemer.
• Fysisk sikkerhedsstyringssoftware.

ISO 27001:2022 Bilag A 7.4 Supplerende vejledning

Følgende overvejelser bør tages i betragtning ved implementering af fysiske sikkerhedsovervågningssystemer i henhold til bilag A Kontrol 7.4:

• Bevarelse af fortrolighed om overvågningssystemers design og indre funktion er afgørende.
• For at eliminere risikoen for fjerndeaktivering af overvågningssystemer af ondsindede parter bør passende foranstaltninger implementeres. Disse foranstaltninger bør implementeres for at forhindre offentliggørelse af overvågningsaktiviteter, og videofeeds til uautoriserede parter.
• Det er vigtigt, at alarmcentralen er placeret i et alarmudstyret område. Derudover er det væsentligt, at den, der udløser alarmen, har sikker og nem adgang til at forlade området.
• Der skal anvendes en manipulationssikker detektor og et alarmkontrolpanel.
• Enkeltpersoner bør kun overvåges og registreres ved hjælp af overvågningssystemer til legitime formål. Denne overvågning og registrering bør overholde alle gældende love og regler, herunder love om databeskyttelse. For eksempel EU og Storbritannien GDPR kan kræve, at organisationer foretager en konsekvensanalyse, før de indsætter CCTV-kameraer. Desuden bør optagelsen af ​​videofeeds overholde de dataopbevaringsperioder, der er fastsat af gældende lokal lovgivning.

Hvad er ændringerne fra ISO 27001:2013?

Det er relevant at bemærke, at kontrol 7.4 er en helt ny bilag A-kontrol, der ikke er behandlet i ISO 27001:2013.

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt ISO 27001:2022 Annex A-kontrol.

Fordelene ved ISMS.online

ISMS.online tilbyder en bred vifte af kraftfulde værktøjer, der forenkler implementering, vedligeholdelse og forbedring af dit informationssikkerhedsstyringssystem (ISMS) for at opfylde ISO 27001-kravene.

Ud over at levere omfattende værktøjer, ISMS.online giver dig mulighed for at oprette skræddersyede politikker og procedurer skræddersyet til din organisations risici og krav. Det giver også mulighed for samarbejde mellem kolleger og eksterne partnere såsom leverandører eller tredjepartsrevisorer.

Kontakt i dag for book en demo.