ISO 27002:2022 – Kontrol 7.4 – Fysisk sikkerhedsovervågning

Formål med kontrol 7.4

Kontrol 7.4 er en ny type kontrol, der kræver, at organisationer opdager og forebygger eksternt og internt ubudne gæster, der kommer ind på afspærrede fysiske områder uden tilladelse ved at sætte passende overvågningsværktøjer på plads.

Disse overvågningsværktøjer overvåger og registrerer konstant adgangsbegrænsede områder og beskytter organisationen mod risici, der kan opstå som følge af uautoriseret adgang, herunder men ikke begrænset til:

• Tyveri af følsomme data.
• Tab af informationsaktiver.
• Økonomisk skade.
• Tyveri af flytbare medieaktiver til ondsindet brug.
• Infektion af it-aktiver med malware.
• Ransomware-angreb, der kan udføres af en ubuden gæst.

Attributtabel med kontrolelementer 7.4

Kontrol 7.4 er detektiv og forebyggende. Det gør det muligt for organisationer at bevare integriteten, fortroligheden, tilgængeligheden og sikkerhed for følsomme data og kritiske informationsaktiver ved løbende at overvåge adgangen til afspærrede lokaler.

Ejerskab af kontrol 7.4

Overholdelse af kontrol 7.4 kræver identifikation af alle områder med begrænsninger og bestemmelse af overvågningsværktøjer, der er passende for det relevante fysiske område.

Derfor bør sikkerhedschefer være ansvarlige for korrekt implementering, vedligeholdelse, styring og gennemgang af overvågningssystemer.

Generel vejledning om, hvordan man overholder

Kontrol 7.4 kræver, at organisationer implementerer disse tre trin for at opdage og forhindre uautoriseret adgang til faciliteter, der er vært for kritiske informationsaktiver:

• Trin 1: Indsæt et videoovervågningssystem

Organisationer bør have et videoovervågningssystem, f.eks. et CCTV-kamera, på plads til løbende at overvåge adgangen til begrænsede områder, som er vært for kritiske informationsaktiver. Desuden bør dette overvågningssystem føre et register over alle indrejser til de fysiske lokaler.

• Trin 2: Installer detektorer for at udløse en alarm

Udløs en alarm, når en ubuden gæst får adgang til fysiske lokaler, gør det muligt for sikkerhedsteamet at reagere hurtigt på sikkerhedsbrud. Ydermere kan det også være effektivt til at afskrække ubuden gæst.

Organisationer bør bruge bevægelses-, lyd- og kontaktdetektorer, der udløser en alarm, når der opdages en usædvanlig aktivitet i de fysiske lokaler.

Især:

• Der skal installeres en kontaktdetektor, og den skal udløse en alarm, når en ukendt genstand/person kommer i kontakt med en genstand eller bryder kontakten med en genstand. For eksempel kan en kontaktdetektor konfigureres til at udløse en alarm, når et vindue eller en dør bliver kontaktet.
• Bevægelsesdetektorer kan programmeres til at starte en alarm, når bevægelsen af ​​et objekt registreres inden for deres synsfelt.
• Lyddetektorer såsom knuseglasdetektorer kan aktiveres, når der detekteres en lyd.
• Trin 3: Konfiguration af alarmer for at beskytte alle interne lokaler

Det tredje overholdelsestrin kræver konfiguration af alarmsystemet for at sikre, at alle følsomme områder, herunder alle udvendige døre, vinduer, ubesatte områder og computerrum er inden for alarmsystemets rækkevidde, så der ikke er en sårbarhed, der kan udnyttes.

For eksempel, hvis lokaler som rygeområder eller endda indgange til fitnesscentre ikke er overvåget, kan disse blive brugt som angrebsvektorer af ubudne gæster.

Typer af overvågningssystemer

Selvom Control 7.4 ikke angiver, at organisationer skal vælge og implementere et specifikt overvågningssystem frem for andre alternativer, oplister den en række overvågningsværktøjer, der kan bruges separat eller i kombination med andre:

• CCTV-kameraer
• Sikkerhedsvagter
• Sikkerhedsalarmer til ubudne gæster
• Software værktøjer til fysisk sikkerhedsstyring

Supplerende vejledning om kontrol 7.4

Kontrol 7.4 fremhæver, at organisationer bør tage følgende i betragtning, når de implementerer fysiske sikkerhedsovervågningssystemer:

• Overvågningssystemernes design og indre funktion bør holdes fortroligt.
• Passende foranstaltninger bør gennemføres for at forhindre offentliggørelse af overvågning aktiviteter og videofeeds til uautoriserede parter og for at eliminere risikoen for fjerndeaktivering af overvågningssystemerne af ondsindede parter.
• Alarmcentralerne bør placeres i en alarmzone, og der skal være en sikker og nem udgangsvej for den, der udløser alarmen.
• Alle anvendte detektorer og de anvendte alarmcentraler skal være manipulationssikre.
• Overvågning og registrering af enkeltpersoner via overvågningssystemer, selv når det er til legitime formål, bør være i overensstemmelse med alle gældende love og regler, især databeskyttelseslove. For eksempel EU og UK GDPR kan kræve, at organisationer foretager en konsekvensanalyse, inden de udsendes CCTV-kameraer. Desuden bør optagelsen af ​​videofeeds overholde de dataopbevaringsperioder, der er fastsat i den gældende lokale lovgivning.

Ændringer og forskelle fra ISO 27002:2013

Kontrol 7.4 er a ny kontrol der ikke blev behandlet i ISO 27002:2013 i enhver kapacitet.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

ISMS.online platform leverer en række kraftfulde værktøjer, der forenkler den måde, hvorpå du kan dokumentere, implementere, vedligeholde og forbedre dit informationssikkerhedsstyringssystem (ISMS) og opnå overholdelse af ISO 27002.

Den omfattende pakke af værktøjer giver dig ét centralt sted, hvor du kan skabe et skræddersyet sæt politikker og procedurer, der stemmer overens med din organisations specifikke risici og behov. Det giver også mulighed for samarbejde mellem kolleger såvel som eksterne partnere såsom leverandører eller tredjepartsrevisorer.

Kontakt i dag for book en demo.