ISO 27701 – Punkt 6.8.2 – Udstyr

ISO 27701 klausul 6.8.2: Beskyttelsesudstyr til overholdelse af privatlivets fred

Ud over 'logiske' kontroller – softwarebaserede adgangsbegrænsninger og serverbaserede administrative funktioner, lægger ISO også stor vægt på den rolle, udstyrssikkerhed skal spille i beskyttelsen af ​​PII og privatlivsrelaterede aktiver.

Organisationer skal overveje en lang række faktorer, lige fra BYOD-protokoller til placeringen af ​​privatlivsaktiver, hvordan brugere opfører sig, når de tilgår dem, hvordan sættet fjernes og klare skrivebords-/skærmpolitikker.

Hvad er dækket af ISO 27701 klausul 6.8.2

ISO 27701 klausul 6.8.2 er en vidtrækkende klausul, der dækker mange forskellige aspekter af udstyrskontrol og sikkerhed.

Der er 9 underklausuler at overveje, hvor hver enkelt indeholder vejledningsnoter fra en medfølgende klausul i ISO 27002, anvendt i forbindelse med beskyttelse af privatlivets fred:

• ISO 27701 6.8.2.1 – Udstyrsplacering og beskyttelse (Referencer ISO 27002 kontrol 7.8)
• ISO 27701 6.8.2.2 – Understøttende hjælpeprogrammer (Referencer ISO 27002 kontrol 7.11)
• ISO 27701 6.8.2.3 – Kablingssikkerhed (Referencer ISO 27002 kontrol 7.12)
• ISO 27701 6.8.2.4 – Udstyrsvedligeholdelse (Referencer ISO 27002 kontrol 7.13)
• ISO 27701 6.8.2.5 – Fjernelse af aktiver (Referencer ISO 27002 kontrol 7.10)
• ISO 27701 6.8.2.6 – Sikkerhed af udstyr og aktiver off-premises (Referencer ISO 27002 kontrol 7.9)
• ISO 27701 6.8.2.7 – Sikker bortskaffelse eller genbrug af udstyr (Referencer ISO 27002 kontrol 7.14)
• ISO 27701 6.8.2.8 – Uovervåget brugerudstyr (Referencer ISO 27002 kontrol 8.1)
• ISO 27701 6.8.2.9 – Klart skrivebord og klar skærmpolitik (Referencer ISO 27002 kontrol 7.7)

ISO tilbyder ingen yderligere vejledning vedrørende implementering eller vedligeholdelse af et PIMS, og kun to underklausuler (6.8.2.9 og 6.8.2.7) indeholder oplysninger, der skal overvejes sammen med britisk GDPR-lovgivning.

Bemærk venligst, at GDPR-henvisninger kun er vejledende. Organisationer bør granske lovgivningen og foretage deres egen vurdering af, hvilke dele af loven, der gælder for dem.

ISO 27701 Klausul 6.8.2.1 – Udstyrsplacering og beskyttelse

Referencer ISO 27002 Kontrol 7.8

For at minimere risikoen for PII og privatlivsrelaterede aktiver, der kan blive udsat for tab eller uautoriseret adgang på grund af skade, bør organisationer:

• Placer udstyr på passende måde – herunder aktiver og faciliteter til behandling af privatlivets fred – for at forhindre behovet for uautoriseret personale til at få adgang til områder med begrænset adgang.
• Minimer risikoen for utilsigtet eller bevidst visning af begrænset materiale (især PII).
• Reducer risikoen for miljømæssige eller fysiske trusler (f.eks. tyveri, brand, oversvømmelse).
• Indstil vores klare regler, der handler om at spise, ryge eller drikke i nærheden af ​​privatlivsrelaterede aktiver og oplysninger.
• Sørg for, at privatlivsrelaterede aktiver opbevares i miljøer med passende niveauer af varme og fugtighed.
• Implementer lynbeskyttelseskontrol.
• Implementere ad hoc-foranstaltninger for privatlivsrelaterede aktiver, der opbevares i produktionsområder (støvskærme, sikrede boliger, elektromagnetisk afskærmning osv.).
• Adskil organisatoriske og ikke-organisatoriske databehandlingsfaciliteter.

ISO 27701 klausul 6.8.2.2 – Understøttende hjælpeprogrammer

Referencer ISO 27002 Kontrol 7.11

Det er vigtigt at beskytte PII-behandlingsfaciliteter mod forstyrrelser eller hændelser, der stammer fra, hvad ISO betragter som "støttende forsyningsselskaber" (elektricitet, gas, vand, spildevand osv.).

For at minimere risikoen for PII bør organisationer:

• Overhold altid forsyningsudbydernes anbefalinger, når du konfigurerer udstyr på stedet.
• Udfør periodiske revisioner af forsyningsselskaber for at sikre, at de opfylder organisationens operationelle og økonomiske behov, og imødekommer leveringen af ​​alle andre forsyningsselskaber.
• Test regelmæssigt forsyningsselskaber for at sikre kontinuitet i virksomheden, og rejs direkte til forsyningsudbyderen.
• Sørg for, at forsyningsselskaber drager fordel af flere feeds og 'divers routing'.
• Vedligeholde et system, der adskiller hjælpeprogrammer på deres eget interne netværk fra PII-behandlingsfaciliteter, hvor sådanne faciliteter kræver LAN-adgang, og kun give dem WAN-adgang, hvis det udtrykkeligt kræves.
• Lever nødhjælpstjenester – såsom nødbelysning, telefonudstyr med et dedikeret kredsløb, der er redundant fra hovedkommunikationssystemet, nødkontaktnumre og let tilgængelige nødudgange.
• Udforsk muligheden for at modtage flere routere pr. forsyningsudbyder.

ISO 27701 klausul 6.8.2.3 – Kablingssikkerhed

Referencer ISO 27002 Kontrol 7.12

PII transmitteres stort set via kabler. Som sådan bør organisationer indføre kabelsikkerhedskontroller, der beskytter privatlivsrelaterede oplysninger mod aflytning og/eller tab.

Kablingssikkerhed er et højt specialiseret område, og organisationer bør søge ekspertrådgivning, hvor det er relevant. Når det så er sagt, er der nogle få grundlæggende styrende principper, man skal overholde.

Generel vejledning

Organisationer bør:

• Kør strøm- og kommunikationskabler under jorden.
• Sørg for, at overjordiske kabler er beskyttet af foranstaltninger såsom passende kanalføring, gulvhus og forsyningsstænger.
• Adskil strømkabler fra netværks- og kommunikationskabler for at forhindre interferens.
• Sørg for, at kabler er mærket i hver ende, for at hjælpe med vedligeholdelse og tilslutningsaktiviteter.

Kritiske systemer

Når det drejer sig om forretningskritiske og kommercielt følsomme oplysninger, er der en række yderligere kontroller, som organisationer bør overveje:

• Pansret udstyr, herunder alarmer og sikre rum ved kabeltermineringspunkter, inklusive kontrolleret og logget adgang.
• Elektromagnetisk afskærmning.
• Øget fysisk kontrol.

ISO 27701 punkt 6.8.2.4 – Udstyrsvedligeholdelse

Referencer ISO 27002 Kontrol 7.13

For at forhindre uautoriseret adgang til PII – eller beskadigelse af privatlivsrelaterede aktiver – bør organisationer vedligeholde alt udstyr i overensstemmelse med producentens retningslinjer, herunder:

• Overholdelse af en robust vedligeholdelsesplan, udført af uddannet og autoriseret personale.
• Logning af alle fejl – inklusive eventuelle formodede fejlfunktioner.
• Hvor det er relevant, underkaste eksternt vedligeholdelsespersonale en tavshedspligt.
• Sikring af, at tredjeparts vedligeholdelsesentreprenører er passende overvåget, når de udfører deres opgaver på stedet.
• Udøver tæt kontrol over fjernvedligeholdelsesfunktioner, især dem, der udføres af tredjepartspersonale.

ISO 27701 paragraf 6.8.2.5 – Fjernelse af aktiver

Referencer ISO 27002 Kontrol 7.10

Aftageligt lagringsmedie

Når organisationer udvikler politikker, der styrer fjernelse af medieaktiver, der gemmer PII, bør organisationer:

• Overvåg overførslen af ​​PII til lagermedier til ethvert formål.
• Udvikle emnespecifikke politikker baseret på specifikke rollekrav.
• Sørg for, at autorisation søges og gives, før personalet kan fjerne lagermedier fra netværket.
• Opbevar medier i overensstemmelse med producentens specifikationer.
• Sørg for, at mediet er fri for miljøskader.
• Overvej at bruge krypteringsmetoder og implementere yderligere fysiske sikkerhedsforanstaltninger.
• Minimer risikoen for, at PII bliver beskadiget ved at overføre oplysninger mellem lagringsmedier til et sæt retningslinjer for bedste praksis.
• Indfør redundans ved at gemme PII på flere aktiver på samme tid.
• Brug kun lagringsmedier på godkendte indgange (f.eks. SD-kort og USB-porte).
• Overvej iboende risici ved overførsel af PII mellem lagermedier eller ved flytning af aktiver mellem personale eller lokaler (se ISO 27002 kontrol 5.14).

Genanvendelse og/eller bortskaffelse af aktiver

Ved genbrug, genbrug eller bortskaffelse af lagermedier bør organisationer:

• Formater lagermedier, og sørg for, at al PII er dokumenteret og fjernet før genbrug (se ISO 27002 kontrol 8.10).
• Bortskaf på sikker vis alle medier, som organisationen ikke har yderligere brug for, og som er blevet brugt til at opbevare PII.
• (Hvis bortskaffelse kræver involvering af en tredjepart) vær meget omhyggelig med at sikre, at de er en egnet og ordentlig partner, i tråd med organisationens ansvar over for PII og beskyttelse af privatlivets fred.
• Implementer procedurer, der identificerer lagringsmedier, der er tilgængelige til genbrug, eller som kan bortskaffes sikkert.

Relevante ISO 27002 kontroller

• ISO 27002 5.14
• ISO 27002 8.10

ISO 27701 klausul 6.8.2.6 – Sikkerhed af udstyr og aktiver uden for lokalerne

Referencer ISO 27002 Kontrol 7.9

Organisationer vil nogle gange være nødt til at sanktionere brugen af ​​eksterne enheder, som igen har potentialet til at få adgang til PII og/eller privatlivsrelaterede oplysninger – inklusive BYOD-enheder.

Midlertidigt eksternt udstyr

Når organisationer administrerer enhver enhed, der enten gemmer eller aktivt bruger PII på et andet sted end officielt udpegede websteder, bør organisationer:

• Bed alt personale om ikke at efterlade sådanne enheder uden opsyn på offentlige steder.
• Sørg for, at fabrikantens retningslinjer bliver overholdt, især alle vedrørende enhedssikkerhed og miljøbeskyttelse.
• Før en nøjagtig og opdateret log over, hvordan eksterne enheder overføres mellem personale, hvis behovet skulle opstå.
• (For organisatoriske aktiver) kræve korrekt autorisation, før udstyr fjernes fra lokalerne, og føre en log over alle sådanne aktiviteter (se ISO 27002 kontrol 5.14).
• Bed personalet om at være opmærksom på, hvordan de bruger aktiver på offentlige steder, for at forhindre uautoriseret visning af PII og privatlivsrelateret materiale.
• Brug GPS-teknologi og fjernstyring til at holde styr på eksterne enheder, mens du bevarer muligheden for at fjernslette dem.

Permanent eksternt udstyr

Det er nogle gange nødvendigt for en organisation at installere permanente anlægsaktiver uden for deres lokaler eller kontorfaciliteter. Sådant udstyr omfatter:

• Pengeautomater.
• Kommunikationsantenner.
• Radioudstyr.

Når du installerer et sådant sæt, bør organisationer overveje:

• Overvågning døgnet rundt (enten personligt eller via CCTV) (se ISO 27002 kontrol 7.4).
• Softwarebaseret adgangskontrol.

Relevante ISO 27002 kontroller

• ISO 27002 5.14
• ISO 27002 7.4

ISO 27701 paragraf 6.8.2.7 – Sikker bortskaffelse eller genbrug af udstyr

Referencer ISO 27002 Kontrol 7.14

PII og privatlivsrelaterede oplysninger er særligt udsatte, når der opstår behov for enten at bortskaffe eller genbruge opbevarings- og behandlingsaktiver – enten internt eller i samarbejde med en specialiseret tredjepartsudbyder.

Frem for alt skal organisationer sikre, at ethvert lagermedie, der er markeret til bortskaffelse, som har indeholdt PII, skal fysisk ødelagt, udslettet or overskrevet (se ISO 27002 kontroller 7.10 og 8.10).

For at forhindre, at PII på nogen måde bliver kompromitteret, bør organisationer, når de bortskaffer eller genbruger aktiver:

• Sørg for, at alle etiketter enten fjernes eller ændres efter behov – især dem, der angiver tilstedeværelsen af ​​PII.
• Fjern alle fysiske og logiske sikkerhedskontroller ved nedlukning af faciliteter eller flytning af lokaler med henblik på at genbruge dem på et nyt sted.

Relevante ISO 27002 kontroller

• ISO 27002 7.10
• ISO 27002 8.10

Gældende GDPR-artikler

• Artikel 5 – (1)(f)

ISO 27701 paragraf 6.8.2.8 – Uovervåget brugerudstyr

Referencer ISO 27002 Kontrol 8.1

Organisationer bør implementere emnespecifikke politikker, der omhandler forskellige kategorier af slutpunktsenheder, med fokus på at forbedre privatlivsbeskyttelse og PII-sikkerhed.

Organisationer bør udarbejde politikker og procedurer, der tager hensyn til:

• Eksistensen af ​​PII på en organisations netværk.
• Hvordan enheder først registreres og efterfølgende identificeres.
• Fysisk beskyttelseskontrol.
• Begrænsninger for softwareinstallation.
• Fjernstyring.
• Brugeradgangskontrol.
• Kryptografi.
• Anti-malware platforme.
• Sikkerhedskopiering og katastrofegendannelse.
• Browsebegrænsninger og indholdsfiltrering.
• Brugeranalyse (se ISO 27002 kontrol 8.16).
• Flytbart lager og tilhørende enheder.
• Enhedsbaseret datasegregation – altså skabe en barriere mellem organisatoriske og personlige data.
• Beredskabsplaner for mistede eller stjålne enheder.

Brugeransvar

Offsite-enhedsbrugere bør løbende være opmærksomme på alle politikker og procedurer, der gælder for dem, som offsite-brugere.

Som et generelt sæt principper bør brugerne:

• Luk arbejds-/fjernsessioner, når de ikke længere er i brug.
• Overhold fysiske og logiske beskyttelsesforanstaltninger.
• Vær opmærksom på deres fysiske omgivelser, når du får adgang til PII eller privatlivsrelaterede oplysninger (dvs. undgå 'skuldersurfing' i offentlige områder).

Bring Your Own Device (BYOD)-protokoller

Organisationer, der tillader personale at bruge deres egne personlige enheder, bør også overveje:

• Installation af software, der hjælper med adskillelse af forretnings- og personlige data.
• Håndhævelse af en BYOD-politik, der inkluderer:
• Anerkendelse af organisatorisk ejerskab af PII.
• Fysiske og digitale beskyttelsesforanstaltninger (se ovenfor).
• Fjernsletning af data.
• Eventuelle foranstaltninger, der sikrer tilpasning til PII-lovgivning og lovgivningsmæssig vejledning.
• IP-rettigheder vedrørende virksomhedens ejerskab af alt, der er produceret på en personlig enhed.
• Organisatorisk adgang til enheden – enten til beskyttelse af privatlivets fred eller for at overholde en intern eller ekstern undersøgelse.
• EULA'er og softwarelicenser, der kan blive påvirket af brugen af ​​kommerciel software på en privatejet enhed.

WiFi retningslinjer

Når organisationer overvejer, hvordan man administrerer WiFi-forbindelse til eksterne enheder, bør de:

• Overvej omhyggeligt, hvordan enheder er i stand til at oprette forbindelse til trådløse netværk (dvs. undgå usikrede netværk, mens de bruger PII).
• Sørg for, at WiFi har tilstrækkelig kapacitet til at lette sikkerhedskopiering, sørge for vedligeholdelsesaktiviteter og behandle data uden nogen større hindring for enhedens ydeevne og datasikkerhed.

Relevante ISO 27002 kontroller

• ISO 27002 8.9
• ISO 27002 8.16

ISO 27701 klausul 6.8.2.9 – Ryd skrivebord og ryddelig skærmpolitik

Referencer ISO 27002 Kontrol 7.7

PII og privatlivsrelaterede oplysninger er særligt i fare, når skødesløst personale og tredjepartsleverandører undlader at overholde sikkerhedsforanstaltninger på arbejdspladsen, der beskytter mod utilsigtet eller bevidst visning af PII af uautoriseret personale.

Organisationer bør udarbejde emnespecifikke politikker for klar skrivebord og klare skærme (om nødvendigt på et arbejdsområde-for-arbejdsområde-basis), der omfatter:

• Skjuler fra tilfældig visning, låser væk eller opbevarer PII og privatlivsrelaterede oplysninger, når sådant datamateriale ikke er påkrævet.
• Fysiske låsemekanismer på IKT-aktiver.
• Digitale adgangskontroller – såsom display-timeouts, adgangskodebeskyttede pauseskærme og automatiske log-out-faciliteter.
• Sikker udskrivning og øjeblikkelig dokumentindsamling.
• Sikker, aflåst opbevaring af følsom dokumentation og korrekt bortskaffelse af sådant materiale, når det ikke længere er nødvendigt (makulering, tredjeparts bortskaffelsestjenester osv.).
• Vær opmærksom på forhåndsvisninger af beskeder (e-mail, SMS, kalenderpåmindelser), der kan give adgang til følsomme data; når en skærm bliver delt eller vist på et offentligt sted.
• Rydning af fysiske visninger (f.eks. whiteboards og opslagstavler) for følsomme oplysninger, når det ikke længere er nødvendigt.

Når organisationer kollektivt forlader lokaler – som fx under en kontorflytning eller lignende flytning – bør jeg bestræbe mig på at sikre, at der ikke efterlades dokumentation, hverken i skriveborde og arkivsystemer, eller noget, der måtte være faldet på uklare steder.

Gældende GDPR-artikler

• Artikel 5 – (1)(f)

Understøttende kontroller fra ISO 27002 og GDPR

Hvordan ISMS.online hjælper

Vi gør ROPA let

Vi gør datakortlægning til en simpel opgave. Det er nemt at registrere og gennemgå det hele ved at tilføje din organisations detaljer til vores forudkonfigurerede dynamiske værktøj til registreringer af behandlingsaktivitet.

Vurderingsskabeloner til dig

Det er nemt at opsætte og køre forskellige former for privatlivsvurderinger, fra databeskyttelseskonsekvensvurderinger til lovgivningsmæssige eller compliance-parathed.

Vi har en indbygget risikobank

Vi har skabt en indbygget risikobank og en række andre praktiske værktøjer, der vil hjælpe med alle dele af risikovurderingen og styringsprocessen.

Book en demo i dag og find ud af, hvordan vi kan hjælpe din organisation med at opnå ISO 27701.