ISO 27002 Kontrol 7.11: Sikring af pålidelige og sikre understøttende hjælpeprogrammer
Svigt eller afbrydelser i forsyningsselskaber såsom elektricitet, gas, vand eller køling, der er nødvendig for korrekt og kontinuerlig funktion af informationsbehandlingsfaciliteter, kan resultere i kompromittering af informationsaktiver eller kan afbryde forretningskontinuiteten.
For eksempel kan svigt af airconditionudstyr i et datacenter føre til en pludselig temperaturstigning, når datacentret rammes af en hedebølge. Dette kan forårsage, at servere, der hoster websteder og/eller kundedata, lukkes ned, og dermed resultere i tab af tilgængelighed af data og forstyrrelser i forretningsdriften.
Kontrol 7.11 omhandler, hvordan organisationer kan eliminere risici for tilgængeligheden og integriteten af informationsaktiver på grund af svigt i understøttende forsyningsselskaber såsom gas, køling, telekommunikation, vand og elektricitet.
Formål med kontrol 7.11
Control 7.11 gør det muligt for organisationer at eliminere og afbøde risici for tilgængeligheden og integriteten af informationsaktiver og for forretningskontinuiteten ved at implementere passende foranstaltninger, der beskytter understøttende forsyningsselskaber mod fejl og afbrydelser såsom strømafbrydelser.
Attributter Kontroltabel 7.11
Kontrol 7.11 er både detektiv og forebyggende af natur, da den kræver, at organisationer har en proaktiv tilgang og implementerer forholdsregler mod risiciene for den korrekte og kontinuerlige funktion af forsyningsvirksomheder, der kræves til informationsbehandlingsfaciliteter såsom datacentre, netværkssystemer og computerudstyr.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Integritet | #Beskytte | #Fysisk sikkerhed | #Beskyttelse |
| #Detektiv | #Tilgængelighed | #Opdage |
Ejerskab af kontrol 7.11
Kontrol 7.11 indebærer identifikation af risici for den løbende drift af understøttende forsyningsvirksomheder og implementering af passende foranstaltninger og kontroller for at sikre, at tilgængeligheden og integriteten af informationsaktiver ikke påvirkes af fejl hos disse forsyningsvirksomheder.
Mens Facility Management-teamets rolle og indsats er kritisk, bør informationssikkerhedschefen bære ansvaret for overholdelse af Kontrol 7.11.
Frigør dig selv fra et bjerg af regneark
Integrer, udvid og skaler din compliance uden besvær. IO giver dig robustheden og selvtilliden til at vokse sikkert.
Generel vejledning om overholdelse
Efter at have fremhævet, at understøttende forsyningsvirksomheder som vandforsyning, elektricitet, kommunikation, spildevand og aircondition er afgørende for de operationer, der udføres i informationsbehandlingsfaciliteter.
Generel vejledning oplister syv centrale anbefalinger, som organisationer bør tage i betragtning for at overholde kontrol 7.11:
- Organisationer skal overholde producentens instruktioner, når de konfigurerer, bruger og vedligeholder de enheder, der bruges til at styre hjælpeprogrammerne.
- Værktøjer bør revideres for at sikre, at de er egnede til at opfylde forretningsvækstmålene, og at de samarbejder med andre forsyningsselskaber uden problemer.
- Alt udstyr, der understøtter forsyningsvirksomhederne, skal gennemgå regelmæssige inspektioner og test, så der ikke er nogen afbrydelse eller fejl i deres korrekte funktion.
- Afhængig af risikoniveauet for informationsaktiver og forretningskontinuitet, kan der etableres et alarmsystem for defekt udstyr, der understøtter forsyningsselskaberne.
- For at minimere risikoen bør hjælpeprogrammer have flere feeds med separat fysisk routing.
- Netværket, der er tilsluttet det udstyr, der understøtter forsyningsvirksomheder, bør adskilles fra netværket, der er tilsluttet IT-faciliteter.
- Udstyr, der understøtter forsyningsvirksomhederne, bør kun have lov til at oprette forbindelse til internettet, hvis det er strengt nødvendigt, og denne forbindelse bør etableres på en sikker måde.
Supplerende vejledning
Ud over den generelle vejledning indeholder Kontrol 7.11 anbefalinger om to specifikke spørgsmål:
- Nødprocedurer
Organisationer bør udpege en nødkontaktperson og registrere hans/hendes kontaktoplysninger. Disse oplysninger skal gives til alt personale, hvis der opstår en fejl eller afbrydelse.
Nødafbrydere og ventiler til at standse forsyninger såsom vand, gas og elektricitet bør placeres i nærheden af nødudgangene.
Nødbelysning og kommunikation skal være klar til at blive brugt i tilfælde af en nødsituation.
- Netværksforbindelse
Organisationer kan overveje at have yderligere ruter fra alternative tjenesteudbydere for at øge netværksforbindelsen, så fejl eller afbrydelser af understøttende hjælpeprogrammer forhindres.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Ændringer og forskelle fra ISO 27002:2013
27002:2022/7.11 replaces 27002:2013/(11.2.2)
Mens 2022-versionen i høj grad ligner 2013-versionen, er der en vigtig forskel.
ISO 27002:2022-versionen introducerer følgende to krav i sin generelle vejledning:
- Netværket, der er tilsluttet det udstyr, der understøtter forsyningsvirksomheder, bør adskilles fra netværket, der er tilsluttet IT-faciliteter.
- Udstyr, der understøtter forsyningsvirksomhederne, bør kun have lov til at oprette forbindelse til internettet, hvis det er strengt nødvendigt, og denne forbindelse bør etableres på en sikker måde.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
Virksomheder kan bruge ISMS .Online til at hjælpe dem med deres ISO 27002-compliance -indsats ved at give dem en platform, der gør det nemt at administrere deres sikkerhedspolitikker og -procedurer, opdatere dem efter behov, teste dem og overvåge deres effektivitet.
Vores cloudbaserede platform giver dig mulighed for hurtigt og nemt at administrere alle aspekter af dit ISMS, herunder risikostyring, politikker, planer, procedurer og mere, på ét centralt sted. Platformen er nem at bruge og har en intuitiv brugerflade, der gør det nemt at lære at bruge den.
Kontakt os i dag for at booke en demo.
