ISO 27001:2022 Bilag A 7.9 – Sikkerhed for aktiver uden for fast ejendom

• Se ISO 27002:2022 Kontrol 7.9 for mere information.
• Se ISO 27001:2013 Bilag A 11.2.6 for mere information.

ISO 27001:2022 Kontrol 7.9 – Sikkerhed for aktiver uden for kontoret

Når enheder, der indeholder værdifulde informationsaktiver, fjernes fra organisationens fysiske placering, er de mere modtagelige for skade, tyveri, tab, ødelæggelse eller brud.

Fysisk sikkerhedskontrol inden for en organisations faciliteter vil ikke være effektiv, hvilket efterlader dens off-site aktiver udsat for trusler som fysiske risici og ondsindede personer, der forsøger at få uautoriseret adgang.

Medarbejdere arbejder eksternt kan tage virksomhedscomputere med fortrolige data væk fra virksomheden, arbejde på en café, hotellobby osv., forbinde til usikret offentlig Wi-Fi og efterlade deres enheder uovervåget. Disse handlinger udgør en risiko for sikkerheden, fortroligheden, integriteten og tilgængeligheden af ​​de oplysninger, der opbevares på enhederne.

Organisationer bør sikre, at enheder, der tages uden for lokalerne, forbliver sikre.

ISO 27001:2022 Bilag A 7.9 skitserer, hvordan organisationer kan sikre sikkerheden for enheder, der er placeret væk fra hovedstedet, og som hoster informationsaktiver. De skal etablere passende kontroller og procedurer for at opnå dette.

Formål med ISO 27001:2022 bilag A 7.9

ISO 27001: 2022 Bilag A 7.9 giver organisationer mulighed for at beskytte sikkerheden for informationsaktiver, der er indeholdt i hardware, ved at forhindre to forskellige risici:

• Minimerer risikoen for, at dataaktiver i eksterne enheder går tabt, beskadiget, ødelagt eller afsløret.
• Undgå afbrydelse af virksomhedens databehandling operationer fra brud på eksterne enheder.

Ejerskab af bilag A 7.9

ISO 27001:2022 Annex A 7.9 nødvendiggør, at organisationer opsætter og implementerer protokoller og regler, der dækker alle enheder, der ejes eller bruges på vegne af virksomheden. Derudover er det afgørende for den effektive beskyttelse af eksterne enheder, at der oprettes en aktivopgørelse, og at den øverste ledelse godkender brugen af ​​personlige enheder.

Informationssikkerhedschef bør rådføre sig med ledelsen og ejerne af aktiver og være ansvarlig for at udvikle, udføre og opretholde procedurer og foranstaltninger for at sikre sikkerheden af ​​enheder, der tages væk fra virksomhedens lokaler.

Generel vejledning om ISO 27001:2022 Bilag A 7.9 Overholdelse

Bilag A 7.9 beskriver seks fornødenheder, som organisationer skal overholde, når de konstruerer og anvender foranstaltninger og protokoller til beskyttelse af aktiver, der fjernes fra lokalerne:

1. Computere, USB'er, harddiske og skærme, som virksomheden har taget off-site, bør aldrig efterlades uden opsyn i offentlige områder som f.eks. caféer eller på et usikkert sted.
2. Overhold altid enhedsproducentens instruktioner og specifikationer vedrørende fysisk beskyttelse af enheden. Følg f.eks. deres instruktioner om afskærmning af enheden mod vand, varme, elektromagnetiske felter og støv.
3. Medarbejdere og andre organisationer, der tager computerudstyr uden for virksomhedens lokaler, bør føre en log, der beskriver varetægtskæden. Denne log bør som minimum indeholde navnene på de personer, der er ansvarlige for enheden, og deres organisation.
4. Hvis en organisation finder, at autorisation er nødvendig og praktisk til at fjerne udstyr fra virksomhedens lokaler, bør de etablere en procedure. Denne procedure bør dække overtagelsen af ​​bestemt udstyr off-site og føre en fortegnelse over alle fjernelseshandlinger for at give organisationen en revisionsspor.
5. Det er vigtigt at tage de nødvendige skridt for at afværge faren for ikke-godkendt visning af data på offentlige transportskærme.
6. Organisationen bør installere placeringssporingsværktøjer og aktivere fjernadgang, så enhedens placering kan overvåges, og om nødvendigt kan alle data, der er gemt på enheden, fjernslettes.

Supplerende vejledning om bilag A 7.9

ISO 27001:2022 Bilag A 7.9 opstiller krav til beskyttelse af udstyr, der er installeret uden for en virksomheds område på permanent basis.

Dette udstyr kan bestå af antenner og pengeautomater.

I betragtning af den øgede risiko for beskadigelse og tab af dette udstyr, kræver bilag A 7.9, at organisationer overvejer følgende, når de beskytter det off-site:

• ISO 27001:2022 Bilag A 7.4, Fysisk sikkerhedsovervågning, bør tages i betragtning.
• Sørg for, at der tages hensyn til ISO 27001:2022 bilag A 7.5, som er beskyttelse mod miljømæssige og fysiske trusler.
• Der bør oprettes adgangskontrol, og passende foranstaltninger bør tages for at stoppe interferens.
• Opret og anvend logiske adgangskontroller.

Bilag A 7.9 råder organisationer til at huske på bilag A 6.7 og bilag A 8.1, når de formulerer og indfører foranstaltninger til at beskytte udstyr og udstyr.

Ændringer og forskelle fra ISO 27001:2013

ISO 27001:2022 Bilag A 7.9 erstatter ISO 27001:2013 Bilag A 11.2.6.

Der er tre store forskelle, der bør bemærkes:

ISO 27001:2022 Bilag A Kontrol 7.9 kræver et omfattende sæt instruktioner.

Bilag A 7.9 introducerer to nye krav i forhold til ISO 27001:2013-versionen:

• Der bør tages passende foranstaltninger for at forhindre uvedkommende i at se informationen, der er udstillet i offentlig transport.
• Placeringsovervågning og fjernadgang bør aktiveres for at muliggøre sporing af enheden og muligheden for at slette oplysninger, der er gemt på enheden, om nødvendigt.

Bilag A 7.9 introducerer nye kriterier for enheder, der er permanent placeret væk fra lokalerne.

Sammenlignet med ISO 27001:2013-versionen giver ISO 27001:2022 Annex A 7.9 klare råd om sikring af udstyr, der er fastgjort på et eksternt sted.

Disse kunne involvere antenner og pengeautomater.

Forbuddet mod fjernarbejde er indført for at reducere risici.

ISO 27001:2013-versionen gjorde det klart, at organisationer kunne forbyde medarbejdere fra fjernarbejde, hvis det var i overensstemmelse med de risikoniveauer, der var blevet identificeret. I modsætning hertil nævner ISO 27001:2022-versionen ikke dette.

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt ISO 27001:2022 Annex A-kontrol.

Hvordan ISMS.online Hjælp

ISMS.online er det perfekte værktøj til styring af en ISO 27001:2022 implementering. Den er skræddersyet til at hjælpe virksomheder med at implementere en informationssikkerhedsstyringssystem (ISMS) der opfylder standarderne i ISO 27001:2022.

Platformen anvender en risikobaseret tilgang sammen med top-of-the-line bedste praksis og skabeloner for at hjælpe med at genkende de risici, din organisation står over for, og de nødvendige kontroller til at styre dem. Ved at gøre det kan du effektivt minimere både din risikoeksponering og overholdelsesomkostninger.

Kontakt os nu for at arrangere en demonstration.