ISO 27701 paragraf 6.8: Styrkelse af fysisk og miljømæssig sikkerhed
Ud over digitale sikkerhedsforanstaltninger (RBAC, kryptering og autentificeringskontrol) skal organisationer konstruere og administrere fysiske lokationer (websteder, kontorer, faciliteter), der tilbyder øget beskyttelse til PII, uanset hvor det behandles eller opbevares.
ISO skitserer talrige menneskelige, miljømæssige og bymæssige trusler, der bør bekæmpes gennem bygningsplanlægning, risikostyring og robust fysisk kontrol.
Hvad er dækket af ISO 27701 klausul 6.8
ISO 27701 6.8's vejledning er spredt på seks underklausuler, som hver indeholder vejledning fra forskellige kontroller inden for ISO 27002, anvendt inden for rammerne af PII og privatlivsbeskyttelse:
- ISO 27701 6.8.1.1 – Fysisk sikkerhedsomkreds (Referencer ISO 27002 kontrol 7.1)
- ISO 27701 6.8.1.2 – Fysiske adgangskontroller (Referencer ISO 27002 kontrol 7.2)
- ISO 27701 6.8.1.3 – Sikring af kontorer, lokaler og faciliteter (Referencer ISO 27002 Kontrol 7.3)
- ISO 27701 6.8.1.4 – Beskyttelse mod eksterne og miljømæssige trusler (Referencer ISO 27002 Kontrol 7.5)
- ISO 27701 6.8.1.5 – Arbejde i sikre områder (Referencer ISO 27002 Kontrol 7.6)
- ISO 27701 6.8.1.6 – Leverings- og læsseområder (Referencer ISO 27002 kontrol 7.2)
ISO 27701 paragraf 6.8 indeholder ingen supplerende vejledning til implementering og styring af et PIMS, og der er heller ikke nogen britiske GDPR-artikler at overveje.
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
ISO 27701 klausul 6.8.1.1 – Fysisk sikkerhedsomkreds
Referencer ISO 27002 Kontrol 7.1
Perimeterbeskyttelse arbejder ud fra princippet om at skabe kontinuerlige interne fysiske barrierer, der forhindrer uautoriseret adgang til private oplysninger.
For at opretholde en ende-til-ende perimeterbeskyttelsesoperation bør organisationer forhindre fysisk adgang til PII ved at:
- Definition og implementering af sikkerhedsperimeter, der tager højde for lagring af følsomme data (PII).
- Vedligeholdelse af 'fysisk sunde' omkredse, der giver sikker adgang 24/7.
- Låsning af alle udvendige ind- og udgangssteder, når der ikke er personale til stede (og sikring af ventilationspunkter, hvor det er relevant).
- Beskyttelse af døre med alarmer og sikre adgangsforanstaltninger (nøglekoder, autolåsemekanismer osv.).
- Vedligeholdelse af et robust sæt alarmerede branddøre, der tager hensyn til gældende lovgivning om konstruktion af udvendige og indvendige adgangspunkter.
- Udarbejdelse af beredskabsplaner, der giver mulighed for øget sikkerhed under kritiske situationer eller sikkerhedshændelser.
ISO 27701 Klausul 6.8.1.2 – Fysisk adgangskontrol
Referencer ISO 27002 Kontrol 7.2
Mens ISO 27701 6.8.1.1 fokuserer på sikkerhedsomkredse, skitserer paragraf 6.8.1.2 generelle principper for at sikre, at kun autoriseret personale er i stand til at få adgang til områder, der indeholder PII og privatlivsrelaterede aktiver.
Generel vejledning
Organisationer bør:
- Begræns ensartet adgang til hele websteder, bygninger og kontorfaciliteter til kun autoriseret personale (inklusive nødudgangspunkter).
- Udfør periodiske gennemgange af adgangsniveauer, som bør omfatte en generel opdatering af alle adgangsniveauer efter behov (se ISO 27002 kontrol 5.18).
- Før en logbog, eller opret et digitalt revisionsspor, af webstedet og rumadgang (se ISO 27002 kontrol 5.33).
- Udvikle og installere tekniske adgangsforanstaltninger (nøglekort, fobs, biometriske adgangssystemer, kodede alarmer osv.).
- Oprethold et overvåget receptionsområde.
- Undersøg internt og eksternt personales personlige ejendele før indrejse (NB regionale love om inspektion af personlige ejendele kan forhindre organisationer i at gøre dette).
- Håndhæve regler for billed-id for hele webstedet.
- Giver besøgende begrænset adgang til ethvert område, der gemmer eller behandler PII eller privatlivsrelaterede oplysninger.
- Opret beredskabsplaner for hændelser og kritiske scenarier.
- Vedligeholde et nøglestyringssystem, der logger, reviderer, vedligeholder, giver og tilbagekalder adgang til autentificeringsmetoder såsom dørindgangssystemer og kombinationslåse (se ISO 27002 kontrol 5.17).
Besøgende
Når de giver besøgende adgang til områder med begrænsninger, bør organisationer:
- Bekræft den besøgendes identitet, før du giver adgang.
- Log dato og klokkeslæt for et besøg.
- Sørg for, at arten af besøget er forstået og registreret og er passende i sammenhæng med det fysiske område, der tilgås.
- Sørg for, at den besøgende er under opsyn, hvor det er relevant.
Leverings- og læsseområder
Når de designer og driver et læsseområde, bør organisationer:
- Begræns adgangen til læsseområder til verificerede virksomheder og enkeltpersoner.
- Konstruer læsseområdet, så ingen anden del af lokalerne er tilgængelig uden den rette tilladelse.
- Tjek modtagne leverancer for farlige, ulovlige og eksplosive materialer og manipulation, før du flytter deres indhold rundt i lokalerne.
- Log indgående leverancer i overensstemmelse med organisatoriske aktivstyringskontroller (se ISO 27002 kontroller 5.9 og 7.10).
- Tilbyd plads til personale til fysisk at adskille indgående og udgående materiale.
Relevante ISO 27002 kontroller
- ISO 27002 5.9
- ISO 27002 5.17
- ISO 27002 5.18
- ISO 27002 5.33
- ISO 27002 7.10
Frigør dig selv fra et bjerg af regneark
Integrer, udvid og skaler din compliance uden besvær. IO giver dig robustheden og selvtilliden til at vokse sikkert.
ISO 27701 paragraf 6.8.1.3 – Sikring af kontorer, værelser og faciliteter
Referencer ISO 27002 Kontrol 7.3
Fysisk beskyttelse af PII og privatlivsrelaterede aktiver omfatter også rum inden for en etableret sikkerhedsperimeter. For at sikre kontorer, lokaler og faciliteter skal organisationer:
For at beskytte interne faciliteter bør organisationer:
- Undgå at bygge kontorfaciliteter, der giver medlemmer af offentligheden fri adgang uden behørig tilladelse.
- Når det drejer sig om PII-behandlingsfaciliteter, undgå skiltning, der angiver formålet med anlægget (internt eller eksternt).
- Konstruer faciliteter, der forhindrer personale i at være synlige for offentligheden, med passende elektromagnetisk afskærmning installeret, hvis det er nødvendigt.
- Skjul tilstedeværelsen af PII-behandlingsfaciliteter fra online kortplatforme og kommunikationsmapper.
ISO 27701 paragraf 6.8.1.4 – Beskyttelse mod eksterne og miljømæssige trusler
Referencer ISO 27002 Kontrol 7.5
En 'trussel' kan opfattes som enhver større begivenhed, der har potentiale til at påvirke PII eller privatlivsrelaterede aktiver.
Organisationer bør påbegynde en trusselsrisikovurdering, før de udfører "kritiske operationer", som tager højde for ændringer i trusselsmiljøet, herunder både fysiske (f.eks. kriminel aktivitet) og miljømæssige (oversvømmelser, brande osv.) trusler.
Når de bygger fysiske lokaler, bør organisationer tage hensyn til:
- Lokale geografiske og topologiske faktorer, herunder landområder, nærliggende vand og potentialet for et jordskælv.
- Eventuelle trusler, der stammer fra menneskelige kilder i byområder, såsom terroristisk eller kriminel aktivitet, og politisk vold/uroligheder.
Når risikovurderingen er færdig, bør organisationer udvikle en række kontroller, der søger at både forebygge og minimere risikoen for, at en trussel opstår eller gentager sig.
ISO nævner brand, oversvømmelser, elektriske overspændinger og sprængstoffer/våben som værende af særlig betydning. Hvis ressourcerne strækkes, bør organisationer fokusere på disse fire områder som en prioritet.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
ISO 27701 paragraf 6.8.1.5 – Arbejde i sikre områder
Referencer ISO 27002 Kontrol 7.6
Organisationer skal beskytte PII og privatlivsrelaterede aktiver ved at implementere en sikker arbejdspolitik for alt personale, der tager hensyn til jobroller og fysiske beskyttelsesforanstaltninger.
Når organisationer formulerer arbejdspolitikker på sikre områder, bør de:
- Sikre, at personalet arbejder på et "need to know"-grundlag.
- Undgå at efterlade personalet uden opsyn i længere perioder.
- Sørg for, at alle relevante døre er låst, og lavt fodfald eller permanent ledige områder er underlagt periodiske inspektioner.
- Overvåg og kontroller brugen af personlige og organisatoriske slutpunktsenheder til et niveau, der er proportionalt med de data, der opbevares.
- Vis tydeligt beredskabsplaner og nødprocedurer, så personalet forstår, hvordan de skal reagere på kritiske scenarier.
ISO 27701 Klausul 6.8.1.6 – Leverings- og læsseområder
Referencer ISO 27002 Kontrol 7.2
Se ISO 27701 paragraf 6.8.1.2 (ovenfor).
Understøttende kontroller fra ISO 27002 og GDPR
| ISO 27701 klausulidentifikator | ISO 27701-klausulens navn | ISO 27002 krav | Tilknyttede GDPR-artikler |
|---|---|---|---|
| 6.8.1.1 | Fysisk sikkerhed perimeter |
7.1 – Fysiske sikkerhedsomkredse for ISO 27002 |
Ingen |
| 6.8.1.2 | Fysisk adgangskontrol |
7.2 – Fysisk adgang til ISO 27002 |
Ingen |
| 6.8.1.3 | Sikring af kontorer, lokaler og faciliteter |
7.3 – Sikring af kontorer, lokaler og faciliteter til ISO 27002 |
Ingen |
| 6.8.1.4 | Beskyttelse mod ydre og miljømæssige trusler |
7.5 – Beskyttelse mod fysiske og miljømæssige trusler for ISO 27002 |
Ingen |
| 6.8.1.5 | Arbejde i sikre områder |
7.6 – Arbejde i sikre områder for ISO 27002 |
Ingen |
| 6.8.1.6 | Leverings- og læsseområder |
7.2 – Fysisk adgang til ISO 27002 |
Ingen |
Hvordan ISMS.online hjælper
Hvordan hjælper vi?
For at opnå ISO 27701 skal du bygge et Privacy Information Management System (PIMS). Med vores prækonfigurerede PIMS kan du hurtigt og nemt organisere og administrere kunde-, leverandør- og personaleoplysninger for fuldt ud at overholde ISO 27701.
Du kan også imødekomme det voksende antal globale, regionale og sektorspecifikke regler om beskyttelse af personlige oplysninger, som vi understøtter på ISMS.online-platformen.
For at opnå certificering til ISO 27701 skal du først opnå certificering til ISO 27001. Den gode nyhed er, at vores platform kan hjælpe dig med at gøre begge dele.
Find ud af mere ved booking af en praktisk demo.
