ISO 27002:2022, Kontrol 7.1 – Fysiske sikkerhedsomkredse

Attributter tabel

Attributter er en måde at klassificere kontroller på. Attributter giver dig mulighed for hurtigt at matche dit kontrolvalg med typiske branchespecifikationer og terminologi. Følgende kontroller er tilgængelige i kontrol 7.1.

Kontrol 7.1 sikrer, at en organisation kan demonstrere, at den har tilstrækkelige fysiske sikkerhedsperimeter på plads for at forhindre uautoriseret fysisk adgang til information og andre tilknyttede aktiver.

Dette omfatter forebyggelse af:

• Uautoriseret adgang til bygninger, rum eller områder, der indeholder informationsaktiver;
• Uautoriseret fjernelse af aktiver fra lokaler;
• Uautoriseret brug af aktiver i lokaler (f.eks. computere og computerrelaterede enheder); og
• Uautoriseret adgang til elektronisk kommunikationsudstyr såsom telefoner, faxmaskiner og computerterminaler (f.eks. uautoriseret manipulation).

Fysiske sikkerhedsomkredse kan implementeres gennem følgende to kategorier:

Fysisk adgangskontrol: Giver kontrol over adgangen til faciliteter og bygninger, samt bevægelsen indenfor dem. Disse kontroller omfatter låsning af døre, brug af alarmer på døre, brug af hegn eller barrierer omkring faciliteter osv.

Hardwaresikkerhed: Giver kontrol over fysisk udstyr (f.eks. computere), der bruges af en organisation til at behandle data såsom printere og scannere, der kan indeholde følsomme oplysninger.

Implementering af denne kontrol kan også omfatte uautoriseret brug af facilitetsplads, udstyr og forsyninger for at beskytte information og andre tilknyttede aktiver, såsom fortrolige dokumenter, optegnelser og udstyr.

Hvad er involveret, og hvordan man opfylder kravene

Følgende retningslinjer bør overvejes og implementeres, hvor det er relevant for fysiske sikkerhedsomkredse:

• Definition af sikkerhedsperimetre og placeringen og styrken af ​​hver af perimetrene i overensstemmelse med informationssikkerhedskravene relateret til aktiverne inden for perimeteren.
• At have fysisk forsvarlige perimeter for en bygning eller et sted, der indeholder informationsbehandlingsfaciliteter (dvs. der bør ikke være huller i perimeteren eller områder, hvor der let kan ske indbrud).
• De udvendige tage, vægge, lofter og gulve på stedet skal være af solid konstruktion, og alle udvendige døre skal være passende beskyttet mod uautoriseret adgang med kontrolmekanismer (f.eks. sprosser, alarmer, låse).
• Døre og vinduer bør låses, når de er uden opsyn, og udvendig beskyttelse bør overvejes for vinduer, især i jordhøjde; ventilationspunkter bør også overvejes.

Du kan få mere information om, hvad der ligger i at opfylde kravene til kontrollen i ISO 27002:2022 standarddokumentet.

Ændringer og forskelle fra ISO 27002:2013

Den nye 2022-revision af ISO 27002 blev offentliggjort den 15. februar 2022 og er en opgradering af ISO 27002:2013.

11 nye kontroller blev føjet til denne version af ISO 27002. Kontrol 7.1 er dog ikke en ny kontrol, men det er en modificeret version af kontrol 11.1.1 i 2013-versionen af ​​ISO 27002. Den største forskel mellem 2013 og 2022 version er ændringen af ​​kontrolnummeret.

Kontrolnummeret 11.1.1 blev erstattet med 7.1. Bortset fra det er konteksten og betydningen stort set ens, selvom den fraseologi er anderledes.

En anden forskel mellem de to kontroller er, at implementeringskravene blev reduceret i 2022-versionen.

Følgende krav, som er tilgængelige i kontrol 11.1.1 i ISO 27002:2013, mangler i kontrol 7.1:

• Et bemandet receptionsområde eller andre midler til at kontrollere den fysiske adgang til stedet eller bygningen bør være på plads.
• Adgang til steder og bygninger bør kun begrænses til autoriseret personale.
• Fysiske barrierer bør, hvor det er relevant, bygges for at forhindre uautoriseret fysisk adgang og miljøforurening.
• Egnede indbrudsdetektionssystemer bør installeres i henhold til nationale, regionale eller internationale standarder og regelmæssigt testes for at dække alle udvendige døre og tilgængelige vinduer.
• Ubesatte områder bør til enhver tid være alarmeret.
• Der bør også være dækning til andre områder, f.eks. computerrum eller kommunikationsrum.
• Informationsbehandlingsfaciliteter, der administreres af organisationen, bør være fysisk adskilt fra dem, der administreres af eksterne parter.

Disse udeladelser gør på ingen måde den nye standard mindre effektiv, i stedet blev de fjernet for at gøre den nye kontrol mere brugervenlig.

Hvem er ansvarlig for denne proces?

Informationschefen er den ansvarlige for informationssikkerheden. Denne person er ansvarlig for at implementere politikker og procedurer for at beskytte virksomhedens data og systemer. CIO'en arbejder typisk sammen med andre ledere, såsom økonomichefen og administrerende direktør, for at sikre, at sikkerhedsforanstaltninger tages i betragtning under forretningsbeslutninger.

Økonomichefen er også involveret i at træffe beslutninger vedrørende fysiske sikkerhedsomkredse. Han eller hun arbejder sammen med andre medlemmer af C-suiten - inklusive CIO'en - for at bestemme, hvor mange penge der skal allokeres til fysiske sikkerhedsforanstaltninger som overvågningskameraer, adgangskontrol og alarmer.

Hvad betyder disse ændringer for dig?

Den nye ISO 27002:2022 er ikke en større revision. Derfor behøver du ikke implementere nogen seriøse ændringer for at overholde den seneste version af ISO 27002.

Du bør dog overveje at gennemgå din nuværende implementering og sikre dig, at den stemmer overens med de nye krav. Især hvis du har foretaget ændringer siden den forrige version blev offentliggjort i 2013. Det er værd at se på disse ændringer igen for at se, om de stadig er gyldige, eller om de skal ændres.

Når det er sagt, kan du få mere information om, hvordan den nye ISO 27002 vil påvirke dine informationssikkerhedsprocesser og ISO 27001 certificering ved at læse vores ISO 27002:2022 guide.

Hvordan ISMS.Online hjælper

ISMS.online kan også hjælpe med at demonstrere ISO 27002-overensstemmelse ved at give dig et online system, der giver dig mulighed for at gemme alle dine dokumenter ét sted og gøre dem tilgængelige for alle, der har brug for dem. Systemet giver dig også mulighed for at oprette tjeklister for hvert dokument, så det er nemt for alle involverede i at foretage ændringer eller gennemgå dokumenter for at se, hvad der skal gøres næste gang, og hvornår det skal gøres.

Vil du se, hvordan det fungerer?

Kontakt i dag for book en demo.