Beskytt organisasjonen din mot fysiske og miljømessige trusler
Trusler mot informasjonsressurser er ikke bare digitale: En organisasjons kritiske fysiske infrastruktur som er vert for informasjonsressurser er også utsatt for miljømessige og fysiske trusler som kan resultere i tap, ødeleggelse, tyveri og kompromittering av informasjonsressurser og sensitive data.
Disse truslene kan omfatte naturhendelser som jordskjelv, flom og skogbranner. De kan også omfatte menneskeskapte katastrofer som sivil uro og kriminelle aktiviteter.
Kontroll 7.5 tar for seg hvordan organisasjoner kan vurdere, identifisere og redusere risikoer for kritisk fysisk infrastruktur på grunn av fysiske og miljømessige trusler.
Formål med kontroll 7.5
Kontroll 7.5 gjør det mulig for organisasjoner å måle potensielle negative effekter av miljømessige og fysiske trusler , og å redusere og/eller eliminere disse effektene ved å iverksette passende tiltak.
Attributttabell for kontroll 7.5
Kontroll 7.5 er en forebyggende type kontroll som krever at organisasjoner eliminerer og/eller reduserer konsekvensene som sannsynligvis vil oppstå som følge av eksterne risikoer som naturkatastrofer og menneskeskapte hendelser.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | #Fysisk sikkerhet | #Beskyttelse |
| #Integritet | ||||
| #Tilgjengelighet |
Eierskap til kontroll 7.5
Kontroll 7.5 krever at organisasjoner gjennomfører en grundig risikovurdering før de starter noen form for drift på et fysisk område, og at de implementerer nødvendige tiltak i samsvar med det identifiserte risikonivået.
Sikkerhetssjefer bør derfor være ansvarlige for opprettelse, ledelse, implementering og gjennomgang av hele prosessen.
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Generell veiledning om samsvar
Kontroll 7.5 spesifiserer en tre-trinns prosess for å identifisere og eliminere risikoer på grunn av fysiske trusler og miljøtrusler:
- Trinn 1: Fullfør en risikovurdering
Organisasjoner bør gjennomføre en risikovurdering for å identifisere potensielle fysiske og miljømessige katastrofer som kan inntreffe på hvert spesifikke fysiske område, og deretter måle effektene som sannsynligvis vil oppstå på grunn av de identifiserte fysiske og miljømessige truslene.
Tatt i betraktning at hvert fysisk premiss og infrastruktur deri vil være gjenstand for ulike miljøforhold og fysiske risikofaktorer, vil typen trussel og risikonivået som er identifisert variere etter hvert premiss og dets plassering.
For eksempel, mens en lokal kan være mest sårbar for skogbrann, kan en annen lokalitet være lokalisert i et område der jordskjelv forekommer ofte.
Et annet kritisk krav som stilles av kontroll 7.5 er at denne risikovurderingen skal gjennomføres før igangsetting av operasjoner på et fysisk premiss.
- Trinn 2: Identifiser og implementer kontroller
Basert på typen trussel og risikonivået identifisert i det første trinnet, bør organisasjoner sette på plass passende kontroller som tar hensyn til de sannsynlige konsekvensene av de miljømessige og fysiske truslene.
For å illustrere gir Control 7.5 eksempler på kontroller som kan settes på plass for følgende trusler:
Brann: Organisasjoner bør distribuere systemer for å utløse alarmer når brann oppdages, eller for å aktivere brannslokkingssystemer som kan beskytte lagringsmedier og informasjonssystemer mot skade.
Oversvømmelse: Systemer bør utplasseres og konfigureres for å oppdage oversvømmelser i områder der informasjonsressurser lagres. Videre bør verktøy som vannpumper være klare til bruk i tilfelle oversvømmelse.
Elektriske overspenninger: Servere og kritiske informasjonshåndteringssystemer bør vedlikeholdes og beskyttes mot strømbrudd.
Eksplosiver og våpen: Organisasjoner bør utføre tilfeldige revisjoner og inspeksjoner av alle personer, gjenstander og kjøretøy som går inn i lokaler som inneholder kritisk infrastruktur.
- Trinn 3: Overvåking
Tatt i betraktning at typen trusler og risikonivået kan endre seg over tid, bør organisasjoner kontinuerlig overvåke risikovurderingene og revurdere kontrollene de implementerte om nødvendig.
Supplerende veiledning
Kontroll 7.5 lister opp fire spesifikke hensyn som organisasjoner bør ta hensyn til.
Konsultasjon med eksperter
Hver spesifikk type miljømessig og fysisk trussel, enten det er giftig avfall, jordskjelv eller brann, er unik med tanke på sin natur, risikoen den utgjør og mottiltak den krever.
Derfor bør organisasjoner søke ekspertråd om hvordan de kan identifisere eliminere og/eller redusere risikoer som oppstår på grunn av disse truslene.
Valg av plassering for lokaler
Ved å ta hensyn til den lokale topografien, kan vannstander og tektoniske bevegelser av den potensielle plasseringen av lokaler bidra til å identifisere og eliminere risikoer tidlig.
Videre bør organisasjoner vurdere risikoen for menneskeskapte katastrofer i det valgte byområdet som politisk uro og kriminell aktivitet.
Ekstra lag med sikkerhet
I tillegg til de spesifikke kontrollene som er implementert, kan sikre informasjonslagringsmetoder som safer legge til et ekstra lag med sikkerhet mot katastrofer som brann og flom.
Forebygging av kriminalitet gjennom miljødesign
Kontroll 7.5 anbefaler at organisasjoner vurderer dette konseptet når de implementerer kontroller for å øke sikkerheten til lokaler. Denne metoden kan brukes til å eliminere urbane trusler som kriminelle aktiviteter, sivil uro og terrorisme.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer og forskjeller fra ISO 27002:2013
27002:2022/7.5 replaces 27002:2013/(11.1.4)
Mens 2013-versjonen tok for seg hvordan organisasjoner bør iverksette passende forebyggende tiltak mot fysiske og miljømessige trusler, er 2022-versjonen mye mer omfattende når det gjelder spesifikke etterlevelsestrinn organisasjoner bør ta.
Totalt sett er det to hovedforskjeller:
- 2022-versjonen gir veiledning om samsvar
2013-versjonen inneholdt ingen veiledning om hvordan organisasjoner skulle identifisere og eliminere risikoer på grunn av miljømessige og fysiske trusler.
2022-versjonen, i kontrakt, beskriver en tre-trinns prosess organisasjoner bør følge, inkludert å utføre en risikovurdering.
- 2022-versjonen anbefaler organisasjoner å vurdere å implementere ekstra lag med tiltak
I tilleggsveiledningen viser 2022-versjonen til tiltak som bruk av safer og kriminalitetsforebygging gjennom miljødesignkonsepter som kan brukes til å styrke beskyttelsen mot trusler.
2013-versjonen tok derimot ikke opp slike tilleggstiltak.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISMS.online -plattformen tilbyr en rekke kraftige verktøy som forenkler måten du kan dokumentere, implementere, vedlikeholde og forbedre informasjonssikkerhetsstyringssystemet (ISMS) ditt og oppnå samsvar med ISO 27002.
Den omfattende verktøypakken gir deg ett sentralt sted hvor du kan lage et skreddersydd sett med retningslinjer og prosedyrer som samsvarer med organisasjonens spesifikke risikoer og behov.
Ta kontakt i dag for å bestille en demonstrasjon.
