ISO 27002 Kontrol 7.7: Styrkelse af sikkerheden med tydelige skrivebords- og skærmpraksis
Når en medarbejder forlader sin arbejdsstation uden opsyn, vil følsom information indeholdt i digitale og fysiske materialer på hans arbejdsområde blive udsat for en øget risiko for uautoriseret adgang, tab af fortrolighed og beskadigelse.
For eksempel, hvis en medarbejder bruger et kundeforholdsstyringsværktøj, der behandler sundhedsjournaler og efterlader sin computer uden opsyn i en frokostpause, kan ondsindede parter udnytte denne mulighed for at stjæle og misbruge følsomme helbredsdata.
Kontrol 7.7 omhandler, hvordan organisationer kan designe og håndhæve klare skrivebords- og skærmregler for at beskytte og opretholde fortroligheden af følsomme oplysninger på digitale skærme og på papirer.
Formål med kontrol 7.7
Kontrol 7.7 gør det muligt for organisationer at eliminere og/eller mindske risikoen for uautoriseret adgang, brug, beskadigelse eller tab af følsomme oplysninger på skærme og på papirer placeret på medarbejdernes arbejdsstationer, når medarbejderne ikke er til stede.
Attributter Kontroltabel 7.7
Kontrol 7.7 er en forebyggende form for kontrol, der kræver, at organisationer opretholder fortroligheden af informationsaktiver ved at beskrive og håndhæve clear desk og klare skærmregler.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed | #Beskytte | #Fysisk sikkerhed | #Beskyttelse |
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Ejerskab af kontrol 7.7
I betragtning af, at Control 7.7 kræver, at organisationer vedtager og implementerer en politik for clear desk og klar skærm for hele organisationen, bør informationssikkerhedsmedarbejdere være ansvarlige for produktion, vedligeholdelse og håndhævelse af clear desk og klare skærmregler, der gælder på tværs af hele organisationen.
Generel vejledning om overholdelse
Kontrol 7.7 fremhæver, at organisationer bør oprette og håndhæve en emnespecifik politik, der opstiller klare skrivebords- og klare skærmregler.
Desuden oplister Control 7.7 syv specifikke krav, som organisationer bør tage hensyn til, når de etablerer og håndhæver clear desk og clear screen-regler:
- Følsom eller kritisk informationsaktiver, der er gemt på digitale eller fysiske genstande, bør låses sikkert når de ikke er i brug, eller når arbejdsstationen, der er vært for disse materialer, er forladt. For eksempel bør genstande som papirjournaler, computere og printere opbevares i sikre møbler såsom et låst eller adgangskodebeskyttet skab eller skuffe.
- Enheder, der bruges af medarbejdere, såsom computere, scannere, printere og notebooks, bør beskyttes via sikkerhedsmekanismer, såsom nøglelåse, når de ikke bruges, eller når de efterlades uden opsyn.
- Når medarbejdere forlader deres arbejdsplads og efterlader deres enheder uden opsyn, skal de lade deres enheder være logget af, og genaktiveringen af enheden bør kun ske via en brugergodkendelsesmekanisme. Desuden bør automatiske time-out- og log-out-funktioner installeres på alle slutpunktsmedarbejderenheder såsom computere.
- Printere bør udformes på en måde, så udskrifter indsamles straks af den person (ophavsmand), der har udskrevet dokumentet. Desuden bør en stærk autentificeringsmekanisme være på plads, så kun ophavsmanden har tilladelse til at indsamle udskriften.
- Fysiske materialer og flytbare lagermedier, der indeholder følsomme oplysninger, skal til enhver tid opbevares sikkert. Når de ikke længere er nødvendige, skal de bortskaffes gennem en sikker mekanisme.
- Organisationer bør oprette regler for visning af pop-ups på skærme, og disse regler bør kommunikeres til alle relevante medarbejdere. For eksempel kan e-mail- og besked-pop-ups indeholde følsomme oplysninger, og hvis de vises på skærmen under en præsentation eller i et offentligt rum, kan dette kompromittere fortroligheden af følsomme oplysninger.
- Følsomme eller kritiske oplysninger, der vises på whiteboards, bør slettes, når de ikke længere er nødvendige.
Supplerende vejledning – kontrol 7.7
Kontrol 7.7 advarer organisationer mod risici, der opstår som følge af forladte faciliteter. Når en organisation forlader en facilitet, skal fysiske og digitale materialer, der tidligere er opbevaret i denne facilitet, være det sikkert fjernet, så følsomme oplysninger er ikke efterladt usikker.
Derfor kræver kontrol 7.7, at organisationer etablerer procedurer for ferie af faciliteter, så alle følsomme informationsaktiver anbragt i det pågældende anlæg bortskaffes sikkert. Disse procedurer kan omfatte at udføre et sidste sweep, så ingen følsomme oplysninger efterlades ubeskyttede.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Ændringer og forskelle fra ISO 27002:2013
27002:2022/7.7 replaces 27002:2013/(11.2.9)
Der er to væsentlige forskelle mellem 2022- og 2013-versionerne.
- 2022-versionen henviser ikke til kriterier, der skal tages i betragtning ved etablering og implementering af clear desk og clear screen-regler.
I modsætning til 2022-versionen erklærede 2013-versionen eksplicit, at organisationer bør overveje organisationsdækkende informationsklassifikationsniveauer, juridiske og kontraktlige krav og de typer af risici, som organisationen står over for, når de etablerer en klar skrivebords- og klar skærmpolitik.
ISO 27002:2022 versionhenviser dog ikke til disse elementer.
- 2022-versionen introducerer nye og mere omfattende krav til det klare skrivebord og klare skærmregler.
I modsætning til 2013-versionen opstiller 2022-versionen følgende krav, som organisationer bør overveje, når de etablerer clear desk og klare skærmregler.
- Organisationer bør oprette specifikke regler på pop-up-skærme for at bevare fortroligheden af følsomme oplysninger.
- Følsomme oplysninger skrevet på tavler bør fjernes, når de ikke længere er nødvendige.
- Medarbejderendepunktsenheder såsom computere bør beskyttes med nøglelåse, når de ikke bruges, eller når de efterlades uden opsyn.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
ISO 27002 implementering er enklere med vores trinvise tjekliste, der guider dig gennem hele processen. Din komplet compliance løsning til ISO/IEC 27002:2022.
- Op til 81 % fremskridt fra du logger ind
- Enkel og total compliance-løsning
Kontakt i dag for book en demo.
