ISO 27002:2022, Kontroll 7.1 – Fysiske sikkerhetsomkretser

Attributttabell

Attributter er en måte å klassifisere kontroller på. Attributter lar deg raskt matche kontrollutvalget ditt med typiske bransjespesifikasjoner og terminologi. Følgende kontroller er tilgjengelige i kontroll 7.1.

Kontroll 7.1 sikrer at en organisasjon kan demonstrere at den har tilstrekkelige fysiske sikkerhetsperimeter på plass for å forhindre uautorisert fysisk tilgang til informasjon og andre tilhørende eiendeler.

Dette inkluderer å forhindre:

• Uautorisert adgang til bygninger, rom eller områder som inneholder informasjonsressurser;
• Uautorisert fjerning av eiendeler fra lokaler;
• Uautorisert bruk av eiendeler i lokaler (f.eks. datamaskiner og datamaskinrelaterte enheter); og
• Uautorisert tilgang til elektronisk kommunikasjonsutstyr som telefoner, faksmaskiner og dataterminaler (f.eks. uautorisert tukling).

Fysiske sikkerhetsomkretser kan implementeres gjennom følgende to kategorier:

Fysisk adgangskontroll: Gir kontroll over inngangen til anlegg og bygninger, samt bevegelsen i dem. Disse kontrollene inkluderer låsing av dører, bruk av alarmer på dører, bruk av gjerder eller barrierer rundt anlegg, etc.

Maskinvaresikkerhet: Gir kontroll over fysisk utstyr (f.eks. datamaskiner) som brukes av en organisasjon til å behandle data som skrivere og skannere som kan inneholde sensitiv informasjon.

Implementering av denne kontrollen kan også dekke uautorisert bruk av anleggsplass, utstyr og forsyninger for å beskytte informasjon og andre tilknyttede eiendeler, for eksempel konfidensielle dokumenter, poster og utstyr.

Hva er involvert og hvordan du oppfyller kravene

Følgende retningslinjer bør vurderes og implementeres der det er hensiktsmessig for fysiske sikkerhetsomkretser:

• Definere sikkerhetsomkrets og plassering og styrke for hver av omkretsene i samsvar med informasjonssikkerhetskravene knyttet til eiendelene innenfor omkretsen.
• Å ha fysisk forsvarlige omkretser for en bygning eller tomt som inneholder informasjonsbehandlingsanlegg (dvs. det skal ikke være hull i omkretsen eller områder hvor det lett kan forekomme innbrudd).
• Utvendige tak, vegger, tak og gulv på tomten bør være av solid konstruksjon, og alle ytterdører bør være passende beskyttet mot uautorisert tilgang med kontrollmekanismer (f.eks. sprosser, alarmer, låser).
• Dører og vinduer bør låses når de ikke er tilsyn, og utvendig beskyttelse bør vurderes for vinduer, spesielt på bakkenivå; ventilasjonspunkter bør også vurderes.

Du kan få mer informasjon om hva som ligger i å oppfylle kravene til kontrollen i standarddokumentet ISO 27002:2022.

Endringer og forskjeller fra ISO 27002:2013

Den nye 2022-revisjonen av ISO 27002 ble publisert 15. februar 2022, og er en oppgradering av ISO 27002:2013.

11 nye kontroller ble lagt til denne versjonen av ISO 27002. Kontroll 7.1 er imidlertid ikke en ny kontroll, snarere er det en modifisert versjon av kontroll 11.1.1 i 2013-versjonen av ISO 27002. Den største forskjellen mellom 2013 og 2022 versjon er endring av kontrollnummer.

Kontrollnummeret 11.1.1 ble erstattet med 7.1. Bortsett fra det er konteksten og betydningen stort sett lik, selv om den fraseologien er annerledes.

En annen forskjell mellom begge kontrollene er at implementeringskravene ble redusert i 2022-versjonen.

Følgende krav som er tilgjengelige i kontroll 11.1.1 i ISO 27002:2013 mangler i kontroll 7.1:

• Et bemannet mottaksområde eller andre midler for å kontrollere fysisk tilgang til tomten eller bygningen bør være på plass.
• Tilgang til tomter og bygninger bør begrenses til kun autorisert personell.
• Fysiske barrierer bør, der det er aktuelt, bygges for å hindre uautorisert fysisk tilgang og miljøforurensning.
• Egnede inntrengerdeteksjonssystemer bør installeres i henhold til nasjonale, regionale eller internasjonale standarder og regelmessig testes for å dekke alle ytterdører og tilgjengelige vinduer.
• Ubesatte områder skal være alarmert til enhver tid.
• Dekning bør også gis for andre områder, f.eks. datarom eller kommunikasjonsrom.
• Informasjonsbehandlingsfasiliteter administrert av organisasjonen bør være fysisk atskilt fra de som administreres av eksterne parter.

Disse utelatelsene gjør på ingen måte den nye standarden mindre effektiv, i stedet ble de fjernet for å gjøre den nye kontrollen mer brukervennlig.

Hvem er ansvarlig for denne prosessen?

Informasjonssjefen er ansvarlig for informasjonssikkerheten. Denne personen er ansvarlig for å implementere retningslinjer og prosedyrer for å beskytte selskapets data og systemer. CIOen samarbeider vanligvis med andre ledere, for eksempel økonomisjefen og administrerende direktør, for å sikre at sikkerhetstiltak blir tatt i betraktning under forretningsbeslutninger.

Økonomisjefen er også involvert i beslutninger om fysiske sikkerhetsomkretser. Han eller hun samarbeider med andre medlemmer av C-suiten – inkludert CIO – for å finne ut hvor mye penger som skal bevilges til fysiske sikkerhetstiltak som overvåkingskameraer, tilgangskontroller og alarmer.

Hva betyr disse endringene for deg?

Den nye ISO 27002:2022 er ingen stor revisjon. Derfor trenger du ikke implementere noen alvorlige endringer for å være i samsvar med den nyeste versjonen av ISO 27002.

Du bør imidlertid vurdere å gjennomgå den nåværende implementeringen din og sørge for at den stemmer overens med de nye kravene. Spesielt hvis du har gjort endringer siden forrige versjon ble publisert i 2013. Det er verdt å ta en titt på disse endringene på nytt for å se om de fortsatt er gyldige eller om de må endres.

Når det er sagt, kan du få mer informasjon om hvordan den nye ISO 27002 vil påvirke informasjonssikkerhetsprosessene dine og ISO 27001-sertifiseringen ved å lese vår ISO 27002:2022-veiledning.

Hvordan ISMS.Online hjelper

ISMS.online kan også hjelpe med å demonstrere samsvar med ISO 27002 ved å gi deg et online system som lar deg lagre alle dokumentene dine på ett sted og gjøre dem tilgjengelige for alle som trenger dem. Systemet lar deg også lage sjekklister for hvert dokument slik at det er enkelt for alle som er involvert i å gjøre endringer eller gjennomgå dokumenter for å se hva som må gjøres videre og når det bør gjøres.

Vil du se hvordan det fungerer?

Ta kontakt i dag for å bestill en demo.