ISO 27002 Kontrol 7.9: Sikring af aktiver uden for kontoret
Når enheder, der indeholder informationsaktiver, tages ud af en organisations lokaler, vil de blive udsat for større risiko for skade, tab, ødelæggelse, tyveri eller kompromittering.
Dette er fordi fysisk sikkerhedskontrol implementeret inden for en organisations faciliteter vil ikke være effektive, hvilket efterlader de aktiver, der tages off-site, sårbare over for trusler såsom fysiske risici og uautoriseret adgang fra ondsindede parter.
For eksempel kan medarbejdere, der arbejder off-site, tage virksomhedens computere med følsomme oplysninger ud af forretningslokaler, arbejde på et kaffehus eller en hotelobby, oprette forbindelse til en usikker offentlig Wi-Fi og efterlade deres enheder uden opsyn. Alle disse er til stede risici for sikkerheden, fortrolighed, integritet og tilgængelighed af oplysninger, der er hostet på disse enheder.
Derfor bør organisationer sikre, at enheder, der tages fra stedet, holdes sikre.
Kontrol 7.9 adresser hvordan organisationer kan opretholde sikkerheden for eksterne enheder, der hoster informationsaktiver ved at etablere og implementere passende kontroller og procedurer.
Formål med kontrol 7.9
Kontrol 7.9 gør det muligt for organisationer at opretholde sikkerheden af udstyr, der indeholder informationsaktiver ved at forhindre to specifikke risici:
- Eliminering og/eller minimering af risici for tab, beskadigelse, ødelæggelse eller kompromittering af enheder, der rummer informationsaktiver, når de tages ud af lokalområdet.
- Forebyggelse af risiko for afbrydelse af organisationens informationsbehandling aktiviteter på grund af kompromittering af eksterne enheder.
Attributter Kontroltabel 7.9
Kontrol 7.9 er af forebyggende karakter. Det giver organisationer mulighed for at implementere passende kontroller og procedurer forebyggende, så enheder, der fjernes fra en organisations lokaler, ydes det samme niveau af beskyttelse, som enheder anbragt på stedet.
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed | #Beskytte | #Fysisk sikkerhed | #Beskyttelse |
| #Integritet | # Asset Management | |||
| #Tilgængelighed |
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Ejerskab af kontrol 7.9
Kontrol 7.9 kræver, at organisationer etablerer og anvender procedurer og kontroller, der dækker alle enheder, der ejes af eller bruges på vegne af organisationen. Desuden er oprettelsen af en aktivopgørelse og den øverste ledelses godkendelse af brugen af personlige enheder afgørende for en effektiv beskyttelse af eksternt udstyr.
Derfor bør informationssikkerhedschefen rådføre sig med ledelsen og relevante ejere af aktiver og bør være ansvarlig for oprettelse, implementering og vedligeholdelse af procedurer og foranstaltninger til at opretholde sikkerheden for enheder, der fjernes fra virksomhedens lokaler.
Generel vejledning om overholdelse
Kontrol 7.9 angiver seks krav, som organisationer skal overholde, når de designer og implementerer foranstaltninger og retningslinjer til beskyttelse af aktiver, der tages off-site:
- Computerudstyr og lagringsmedier, der tages fra stedet, såsom virksomhedscomputere, USB'er, harddiske og skærme, bør ikke efterlades uden opsyn i offentlige rum såsom kaffehuse eller i et hvilket som helst usikkert område.
- Enhedsproducentens vejledning og specifikationer om den fysiske beskyttelse af den relevante enhed skal til enhver tid overholdes. For eksempel kan enhedsproducentens instruktioner omfatte, hvordan man beskytter enheden/udstyret mod vand, varme, elektromagnetiske felter og støv.
- Ansatte og/eller andre organisationer, der tager computerudstyr uden for virksomhedens lokaler, kan overføre dette udstyr til andre medarbejdere eller tredjeparter. For at opretholde sikkerheden af dette udstyr bør organisationer føre en log, der definerer varetægtskæden. Denne logpost bør mindst indeholde navnene på enkeltpersoner ansvarlig for enheden og deres organisation.
- Hvis en organisation vurderer, at en godkendelsesproces er nødvendig og praktisk til at fjerne udstyr fra virksomhedens lokaler, bør den etablere og anvende en godkendelsesprocedure for at tage visse former for udstyr ud af stedet. Denne godkendelsesprocedure bør også omfatte registrering af alle handlinger til fjernelse af enheden, således at organisationen har et revisionsspor.
- Der bør iværksættes passende foranstaltninger for at eliminere risikoen for uautoriseret visning af information på skærmen i offentlig transport.
- Værktøjer til placeringssporing og fjernadgang skal være på plads, så enheden kan spores, og oplysningerne på enheden kan fjernslettes, hvis det er nødvendigt.
Supplerende vejledning om kontrol 7.9
Kontrol 7.9 foreskriver også krav til beskyttelse af udstyr, der permanent er installeret uden for virksomhedens lokaler.
Dette udstyr kan omfatte antenner og pengeautomater.
I betragtning af, at dette udstyr kan være genstand for øgede risici for beskadigelse og tab, kræver Control 7.9, at organisationer tager hensyn til følgende, når de beskytter dette off-site udstyr:
- Kontrol 7.4, nemlig den fysiske sikkerhedsovervågning, bør overvejes.
- Kontrol 7.5, nemlig beskyttelse mod miljømæssige og fysiske trusler, bør tages i betragtning
- Adgangskontroller bør etableres, og passende foranstaltninger bør implementeres for at forhindre manipulation.
- Logiske adgangskontroller bør oprettes og anvendes.
Endvidere anbefaler kontrol 7.9 organisationer at overveje kontrol 6.7 og 8.1, når de definerer og implementerer foranstaltninger til at beskytte enheder og udstyr.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Ændringer og forskelle fra ISO 27002:2013
27002:2022/ 7.9 erstatter 27002:2013/(11.2.6)
Der er tre nøgleforskelle, der skal fremhæves:
- Kontrol 7.9 foreskriver mere omfattende krav
I sammenligning med 2013-versionen, Kontrol 7.9 i 2022-versionen introducerer følgende to krav:
- Der bør iværksættes passende foranstaltninger for at eliminere risikoen for uautoriseret visning af information på skærmen i offentlig transport.
- Værktøjer til placeringssporing og fjernadgang skal være på plads, så enheden kan spores, og oplysningerne på enheden kan fjernslettes, hvis det er nødvendigt.
- Kontrol 7.9 introducerer nye krav til permanent installerede eksterne enheder
I modsætning til 2013-versionen indeholder Control 7.9 i 2022-versionen særskilt vejledning om beskyttelse af udstyr, der er permanent installeret på et sted uden for stedet.
Disse kan omfatte antenner og pengeautomater.
- Forbud mod fjernarbejde for at eliminere risici
2013-versionen anførte udtrykkeligt, at organisationer kan forbyde medarbejdere at arbejde eksternt, når det er passende i forhold til det identificerede risikoniveau. 2022-versionen henviser dog ikke til en sådan foranstaltning.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
Du kan bruge ISMS.online til administrere din ISO 27002 implementering, da det er designet specifikt til at hjælpe en virksomhed med at implementere deres informationssikkerhedsstyringssystem (ISMS) for at opfylde kravene i ISO 27002.
Platformen bruger en risikobaseret tilgang kombineret med brancheførende bedste praksis og skabeloner for at hjælpe dig med at identificere de risici, din organisation står over for, og de kontroller, der er nødvendige for at håndtere disse risici. Dette giver dig mulighed for systematisk at reducere både din risikoeksponering og dine complianceomkostninger.
Kontakt i dag for book en demo.
