ISO 27002:2022, Kontroll 7.3 – Sikring av kontorer, rom og fasiliteter

Attributttabell

Attributter lar deg raskt matche kontrollutvalget ditt med typiske bransjespesifikasjoner og terminologi. Følgende kontroller er tilgjengelige i kontroll 7.3.

Hva er hensikten med kontroll 7.3?

Formålet med Kontroll 7.3 er å hindre uautorisert fysisk tilgang, skade og forstyrrelse av organisasjonens informasjon og andre tilhørende eiendeler i kontorer, rom og fasiliteter.

Hovedformålet med Kontroll 7.3 er å redusere risikonivået for uautorisert fysisk tilgang til kontorer, rom og fasiliteter, til et akseptabelt nivå ved å:

• Hindre uautorisert fysisk tilgang til kontorer, rom og fasiliteter av andre enn autorisert personell.
• Forhindre skade eller forstyrrelse av organisasjonens informasjon og andre tilhørende eiendeler inne på kontorer, rom og fasiliteter.
• Sikre at alle informasjonssikkerhetssensitive områder ikke er påtrengende for å gjøre det vanskelig for folk å bestemme formålet sitt.
• Minimere risikoen for tyveri eller tap av eiendom innenfor kontorer, rom og fasiliteter.
• Sikre at personer som har autorisert fysisk tilgang blir identifisert (dette kan oppnås ved å bruke en kombinasjon av uniformsmerker, elektroniske dørinngangssystemer og besøkskort).
• Der det er mulig, bør CCTV eller andre overvåkingsenheter brukes for å gi sikkerhetsovervåking over nøkkelområder som innganger/utganger.

Kontroll 7.3 gjelder alle bygninger som brukes av organisasjonen til kontorer eller administrative funksjoner. Det gjelder også rom hvor konfidensiell informasjon lagres eller behandles, inkludert møterom hvor sensitive diskusjoner finner sted.

Den gjelder ikke for mottaksområder eller andre offentlige områder i en organisasjons lokaler med mindre de brukes til administrative formål (f.eks. et resepsjonsområde som fungerer som kontor).

Hva er involvert og hvordan du oppfyller kravene

Kontrollen 7.3 spesifiserer at rom og anlegg skal sikres. Følgende sikkerhetstiltak kan tas, i henhold til kontrollretningslinjene i ISO 27002:2022, for å sikre at rom og fasiliteter er sikre:

• Plassering av kritiske fasiliteter for å unngå tilgang for publikum.
• Der det er aktuelt, sikre at bygninger er diskrete og gir minimumsindikasjoner om formålet, uten tydelige tegn, utenfor eller inne i bygningen, som identifiserer tilstedeværelsen av informasjonsbehandlingsaktiviteter.
• Konfigurere fasiliteter for å forhindre at konfidensiell informasjon eller aktiviteter blir synlig og hørbar fra utsiden. Elektromagnetisk skjerming bør også vurderes som hensiktsmessig.
• Ikke gjør kataloger, interne telefonbøker og online tilgjengelige kart som identifiserer plasseringer av konfidensiell informasjonsbehandlingsfasiliteter lett tilgjengelig for enhver uautorisert person.

Du kan få mer informasjon om hva som ligger i å oppfylle kravene til kontrollen i standarddokumentet ISO 27002:2022.

Endringer og forskjeller fra ISO 27002:2013

Opprinnelig publisert i 2013, ble den reviderte 2022-revisjonen av ISO 27002 utgitt 15. februar 2022.

Kontroll 7.3 er ikke en ny kontroll. Det refererer til en modifisert versjon av kontroll 11.1.3 i ISO 27002. En stor forskjell mellom 2013- og 2022-versjonene er endringen i kontrollnummeret. Kontrollnummeret 11.1.3 ble erstattet med 7.3. Bortsett fra det er konteksten og betydningen stort sett den samme, selv om fraseologien er annerledes.

En annen forskjell mellom begge kontrollene er at 2022-versjonen kommer med en attributttabell og formålserklæring. Disse delene er ikke tilgjengelige i 2013-versjonen.

Hvem er ansvarlig for denne prosessen?

Den første man må vurdere når det gjelder sikring av kontorer, rom og fasiliteter er den som har mest kontroll over det fysiske bygget og dets innhold. Denne personen er vanligvis anleggsleder eller direktør.

Så er det sikkerhetssjefen. Sikkerhetsansvarlig er ansvarlig for at alle områder er sikre, inkludert kontorlokaler og fasiliteter. Sikkerhetssjefen er også ansvarlig for å holde styr på alle ansatte som har tilgang til disse områdene og sørge for at de bruker tilgangen på riktig måte.

I noen tilfeller deler imidlertid flere personer ansvaret for sikkerhet. For eksempel, når en person har tilgang til sensitiv informasjon som kan brukes mot bedriftens interesser eller andre ansattes personlige liv, er det viktig å ha flere personer involvert i beskyttelsen deres.

En HR-avdeling kan håndtere ansattes forsikringer og fordeler mens IT håndterer datasystemer og nettverk; begge avdelingene kan ha en hånd i å administrere fysisk sikkerhet så vel som cybersikkerhetsproblemer som phishing-svindel og uautoriserte tilgangsforsøk.

Hva betyr disse endringene for deg?

Ingen store endringer kreves for å overholde den nyeste versjonen av ISO 27002.

Du bør imidlertid vurdere din nåværende informasjonssikkerhetsløsning for å sikre at den er i samsvar med den reviderte standarden. Hvis du har gjort noen endringer siden den siste utgaven ble utgitt i 2013, er det verdt å se disse justeringene på nytt for å finne ut om de fortsatt er relevante eller om de må oppdateres.

Hvordan ISMS.Online hjelper

Plattformen vår er utviklet spesielt for de som er nye innen informasjonssikkerhet eller trenger en enkel måte å lære om ISO 27002 uten å måtte bruke tid på å lære fra bunnen av eller lese gjennom lange dokumenter.

ISMS.Online er utstyrt med alle verktøyene som trengs for å oppnå samsvar, inkludert dokumentmaler, sjekklister og retningslinjer som kan tilpasses etter dine behov.

Vil du se hvordan det fungerer?

Ta kontakt i dag for å bestill en demo.