ISO 27002:2022 – Kontrol 7.1 – Fysiske sikkerhedsomkredse

Hvad er kontrol 7.1?

Kontrol 7.1 i den nye ISO 27002:2022 dækker organisationers behov for at definere og indstille sikkerhedsperimetre og bruge disse parametre til at beskytte områder, der indeholder information og andre tilknyttede aktiver.

Informations- og informationssikkerhedsaktiver forklaret

Information kan defineres som enhver data, information eller viden, der har værdi for din organisation eller virksomhed. Dette inkluderer alle data indsamlet om enkeltpersoner, kunder, partnere, medarbejdere og andre interessenter.

Informationssikkerhedsaktiver kan groft opdeles i:

data

Data forveksles ofte med information, men der er forskel på data og information. Data er rå, ubearbejdet og ofte ubrugelig i dens nuværende tilstand, hvorimod information er data, der er blevet behandlet til brugbare oplysninger såsom en e-mailadresse eller et telefonnummer.

Infrastruktur

Infrastruktur refererer til alle de komponenter, der udgør et netværk, inklusive servere og andre enheder såsom printere og routere osv.

Infrastruktur kan også omfatte software såsom operativsystemer og applikationer, der bør beskyttes mod cyberangreb lige så meget som hardware gør, da begge skal holdes opdateret med patches og rettelser til sårbarheder opdaget af hackere, så de ikke kan udnyttet af ondsindede hackere, der ønsker at få adgang til følsomme data.

Fysiske sikkerhedsomkredse forklaret

Fysisk sikkerhed refererer til alle de fysiske foranstaltninger, der beskytter en organisations faciliteter og aktiver. Fysisk sikkerhed er den mest basale og vigtige del af informationssikkerhed. Det handler ikke kun om at låse døren, men også at vide, hvem der har adgang til hvad, hvornår, hvor og hvordan.

Fysiske sikkerhedsomkredse bruges til at identificere de fysiske grænser for en bygning eller et område og kontrollere adgangen til den. Fysiske sikkerhedsomkredse kan omfatte hegn, mure, porte og andre barrierer, der forhindrer uautoriseret adgang for personer eller køretøjer. Ud over fysiske barrierer kan elektronisk overvågningsudstyr såsom lukkede tv-kameraer bruges til at overvåge aktivitet uden for anlægget.

Fysiske sikkerhedsomkredse giver en første forsvarslinje mod ubudne gæster, der kan forsøge at komme ind i dit computersystem gennem netværkskablet eller den trådløse forbindelse i en organisation. De bruges ofte sammen med andre typer informationssikkerhedskontroller såsom identitetsstyring, adgangskontrol og indtrængendetekteringssystemer.

Attributter Kontroltabel 7.1

Attributter er en måde at klassificere kontroller på. Attributter giver dig mulighed for hurtigt at matche dit kontrolvalg med typiske branchespecifikationer og terminologi. Følgende kontroller er tilgængelige i kontrol 7.1.

Kontrol 7.1 sikrer, at en organisation kan demonstrere, at den har tilstrækkelige fysiske sikkerhedsperimeter på plads for at forhindre uautoriseret fysisk adgang til information og andre tilknyttede aktiver.

Dette omfatter forebyggelse af:

• Uautoriseret adgang til bygninger, rum eller områder, der indeholder informationsaktiver;
• Uautoriseret fjernelse af aktiver fra lokaler;
• Uautoriseret brug af aktiver i lokaler (f.eks. computere og computerrelaterede enheder); og
• Uautoriseret adgang til elektronisk kommunikationsudstyr såsom telefoner, faxmaskiner og computerterminaler (f.eks. uautoriseret manipulation).

Fysiske sikkerhedsomkredse kan implementeres gennem følgende to kategorier:

Fysisk adgangskontrol: Giver kontrol over adgangen til faciliteter og bygninger, samt bevægelsen indenfor dem. Disse kontroller omfatter låsning af døre, brug af alarmer på døre, brug af hegn eller barrierer omkring faciliteter osv.

Hardwaresikkerhed: Giver kontrol over fysisk udstyr (f.eks. computere), der bruges af en organisation til at behandle data såsom printere og scannere, der kan indeholde følsomme oplysninger.

Implementering af denne kontrol kan også omfatte uautoriseret brug af facilitetsplads, udstyr og forsyninger for at beskytte information og andre tilknyttede aktiver, såsom fortrolige dokumenter, optegnelser og udstyr.

Hvad er involveret, og hvordan man opfylder kravene

Følgende retningslinjer bør overvejes og implementeres, hvor det er relevant for fysiske sikkerhedsomkredse:

• Definition af sikkerhedsperimetre og placeringen og styrken af ​​hver af perimetrene i overensstemmelse med informationssikkerhedskravene relateret til aktiverne inden for perimeteren.
• At have fysisk forsvarlige perimeter for en bygning eller et sted, der indeholder informationsbehandlingsfaciliteter (dvs. der bør ikke være huller i perimeteren eller områder, hvor der let kan ske indbrud).
• De udvendige tage, vægge, lofter og gulve på stedet skal være af solid konstruktion, og alle udvendige døre skal være passende beskyttet mod uautoriseret adgang med kontrolmekanismer (f.eks. sprosser, alarmer, låse).
• Døre og vinduer bør låses, når de er uden opsyn, og udvendig beskyttelse bør overvejes for vinduer, især i jordhøjde; ventilationspunkter bør også overvejes.

Du kan få mere information om, hvad der ligger i at opfylde kravene til kontrollen i ISO 27002:2022 standarddokumentet.

Ændringer og forskelle fra ISO 27002:2013

Den nye 2022-revision af ISO 27002 blev offentliggjort den 15. februar 2022 og er en opgradering af ISO 27002:2013.

11 nye kontroller blev føjet til denne version af ISO 27002. Kontrol 7.1 er dog ikke en ny kontrol, men det er en modificeret version af kontrol 11.1.1 i 2013-versionen af ​​ISO 27002. Den største forskel mellem 2013 og 2022 version er ændringen af ​​kontrolnummeret.

Kontrolnummeret 11.1.1 blev erstattet med 7.1. Bortset fra det er konteksten og betydningen stort set ens, selvom den fraseologi er anderledes.

En anden forskel mellem de to kontroller er, at implementeringskravene blev reduceret i 2022-versionen.

Følgende krav, som er tilgængelige i kontrol 11.1.1 i ISO 27002:2013, mangler i kontrol 7.1:

• Et bemandet receptionsområde eller andre midler til at kontrollere den fysiske adgang til stedet eller bygningen bør være på plads.
• Adgang til steder og bygninger bør kun begrænses til autoriseret personale.
• Fysiske barrierer bør, hvor det er relevant, bygges for at forhindre uautoriseret fysisk adgang og miljøforurening.
• Egnede indbrudsdetektionssystemer bør installeres i henhold til nationale, regionale eller internationale standarder og regelmæssigt testes for at dække alle udvendige døre og tilgængelige vinduer.
• Ubesatte områder bør til enhver tid være alarmeret.
• Der bør også være dækning til andre områder, f.eks. computerrum eller kommunikationsrum.
• Informationsbehandlingsfaciliteter, der administreres af organisationen, bør være fysisk adskilt fra dem, der administreres af eksterne parter.

Disse udeladelser gør på ingen måde den nye standard mindre effektiv, i stedet blev de fjernet for at gøre den nye kontrol mere brugervenlig.

Hvem er ansvarlig for denne proces?

Informationschefen er den ansvarlige for informationssikkerheden. Denne person er ansvarlig for at implementere politikker og procedurer for at beskytte virksomhedens data og systemer. CIO'en arbejder typisk sammen med andre ledere, såsom økonomichefen og administrerende direktør, for at sikre, at sikkerhedsforanstaltninger tages i betragtning under forretningsbeslutninger.

Økonomichefen er også involveret i at træffe beslutninger vedrørende fysiske sikkerhedsomkredse. Han eller hun arbejder sammen med andre medlemmer af C-suiten - inklusive CIO'en - for at bestemme, hvor mange penge der skal allokeres til fysiske sikkerhedsforanstaltninger som overvågningskameraer, adgangskontrol og alarmer.

Hvad betyder disse ændringer for dig?

Den nye ISO 27002:2022 er ikke en større revision. Derfor behøver du ikke implementere nogen seriøse ændringer for at overholde den seneste version af ISO 27002.

Du bør dog overveje at gennemgå din nuværende implementering og sikre dig, at den stemmer overens med de nye krav. Især hvis du har foretaget ændringer siden den forrige version blev offentliggjort i 2013. Det er værd at se på disse ændringer igen for at se, om de stadig er gyldige, eller om de skal ændres.

Når det er sagt, kan du få mere information om, hvordan den nye ISO 27002 vil påvirke dine informationssikkerhedsprocesser og ISO 27001 certificering ved at læse vores ISO 27002:2022 guide.

Nye ISO 27002 kontroller

Hvordan ISMS.Online hjælper

ISMS.online kan også hjælpe med at demonstrere ISO 27002-overensstemmelse ved at give dig et online system, der giver dig mulighed for at gemme alle dine dokumenter ét sted og gøre dem tilgængelige for alle, der har brug for dem. Systemet giver dig også mulighed for at oprette tjeklister for hvert dokument, så det er nemt for alle involverede i at foretage ændringer eller gennemgå dokumenter for at se, hvad der skal gøres næste gang, og hvornår det skal gøres.

Vil du se, hvordan det fungerer?

Kontakt i dag for book en demo.