ISO 27002 Kontroll 7.7: Styrking av sikkerheten med tydelige skrivebords- og skjermpraksis
Når en ansatt forlater sin arbeidsstasjon uten tilsyn, vil sensitiv informasjon i digitalt og fysisk materiale på arbeidsområdet hans bli utsatt for en økt risiko for uautorisert tilgang, tap av konfidensialitet og skade.
For eksempel, hvis en ansatt bruker et verktøy for administrasjon av kunderelasjoner som behandler helsejournaler og lar datamaskinen være uten tilsyn i en lunsjpause, kan ondsinnede parter utnytte denne muligheten til å stjele og misbruke sensitive helsedata.
Kontroll 7.7 tar for seg hvordan organisasjoner kan designe og håndheve klare skrivebords- og skjermregler for å beskytte og opprettholde konfidensialiteten til sensitiv informasjon på digitale skjermer og på papirer.
Formål med kontroll 7.7
Kontroll 7.7 gjør det mulig for organisasjoner å eliminere og/eller redusere risikoen for uautorisert tilgang, bruk, skade eller tap av sensitiv informasjon på skjermer og på papirer på ansattes arbeidsstasjoner når ansatte ikke er tilstede.
Attributttabell for kontroll 7.7
Kontroll 7.7 er en forebyggende type kontroll som krever at organisasjoner opprettholder konfidensialiteten til informasjonsressurser ved å beskrive og håndheve klare skrivebords- og klare skjermregler.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | #Fysisk sikkerhet | #Beskyttelse |
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Eierskap til kontroll 7.7
Tatt i betraktning at Kontroll 7.7 krever at organisasjoner vedtar og implementerer en organisasjonsomfattende policy for klar skrivebord og klar skjerm, bør informasjonssikkerhetsansvarlige være ansvarlige for produksjon, vedlikehold og håndheving av klare skrivebord og klare skjermregler som gjelder på tvers av hele organisasjonen.
Generell veiledning om samsvar
Kontroll 7.7 fremhever at organisasjoner bør lage og håndheve en emnespesifikk policy som angir klare skrivebord og klare skjermregler.
Videre lister Control 7.7 opp syv spesifikke krav som organisasjoner bør ta hensyn til når de etablerer og håndhever klare skrivebords- og klare skjermregler:
- Følsom eller kritisk informasjonsressurser som er lagret på digitale eller fysiske gjenstander, bør låses sikkert når de ikke er i bruk eller når arbeidsstasjonen som er vert for disse materialene er forlatt. For eksempel bør gjenstander som papirjournaler, datamaskiner og skrivere oppbevares i sikre møbler som et låst eller passordbeskyttet skap eller skuff.
- Enheter som brukes av ansatte som datamaskiner, skannere, skrivere og bærbare datamaskiner bør beskyttes via sikkerhetsmekanismer som nøkkellåser når de ikke brukes eller når de blir stående uten tilsyn.
- Når ansatte forlater arbeidsområdet og lar enhetene sine være uten tilsyn, bør de la enhetene være logget av og reaktivering av enheten skal kun skje via en brukerautentiseringsmekanisme. Videre bør automatiske funksjoner for tidsavbrudd og utlogging installeres på alle endepunktansattes enheter som datamaskiner.
- Skrivere bør utformes på en slik måte at utskrifter samles inn umiddelbart av personen (opphavsmannen) som har skrevet ut dokumentet. Videre bør en sterk autentiseringsmekanisme være på plass slik at bare opphavsmannen har lov til å samle utskriften.
- Fysisk materiale og flyttbare lagringsmedier som inneholder sensitiv informasjon skal holdes sikkert til enhver tid. Når de ikke lenger er nødvendige, bør de kastes gjennom en sikker mekanisme.
- Organisasjoner bør lage regler for visning av popup-vinduer på skjermer og disse reglene bør kommuniseres til alle relevante ansatte. For eksempel kan popup-vinduer for e-post og meldinger inneholde sensitiv informasjon, og hvis de vises på skjermen under en presentasjon eller i et offentlig rom, kan dette kompromittere konfidensialiteten til sensitiv informasjon.
- Sensitiv eller kritisk informasjon som vises på tavler bør slettes når de ikke lenger er nødvendige.
Supplerende veiledning – kontroll 7.7
Kontroll 7.7 advarer organisasjoner mot risiko som oppstår ved fraflyttede fasiliteter. Når en organisasjon forlater et anlegg, bør fysisk og digitalt materiale som tidligere er lagret i anlegget være det sikkert fjernet slik at sensitiv informasjon er ikke utrygg.
Derfor krever kontroll 7.7 at organisasjoner etablerer prosedyrer for ferie av anlegg slik at alle sensitiv informasjon eiendeler som er plassert i dette anlegget, blir forsvarlig avhendet. Disse prosedyrene kan omfatte å gjennomføre et siste sveip slik at ingen sensitiv informasjon blir ubeskyttet.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer og forskjeller fra ISO 27002:2013
27002:2022/7.7 replaces 27002:2013/(11.2.9)
Det er to betydelige forskjeller mellom 2022- og 2013-versjonene.
- 2022-versjonen refererer ikke til kriterier som skal vurderes ved etablering og implementering av clear desk og clear screen-regler.
I motsetning til 2022-versjonen, uttalte 2013-versjonen eksplisitt at organisasjoner bør vurdere informasjonsklassifiseringsnivåer for hele organisasjonen, juridiske og kontraktsmessige krav, og hvilke typer risikoer organisasjonen står overfor når de etablerer en klar skrivebords- og klarskjermpolicy.
Ocuco ISO 27002:2022 versjon, men refererer ikke til disse elementene.
- 2022-versjonen introduserer nye og mer omfattende krav til det klare skrivebordet og klare skjermregler.
I motsetning til 2013-versjonen, stiller 2022-versjonen følgende krav som organisasjoner bør vurdere når de etablerer klare skrivebord og klare skjermregler.
- Organisasjoner bør lage spesifikke regler på popup-skjermer for å opprettholde konfidensialiteten til sensitiv informasjon.
- Sensitiv informasjon skrevet på tavler bør fjernes når de ikke lenger er nødvendige.
- Ansattes endepunktsenheter som datamaskiner bør beskyttes med nøkkellåser når de ikke brukes eller når de blir stående uten tilsyn.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISO 27002 implementeringen er enklere med vår trinnvise sjekkliste som guider deg gjennom hele prosessen. Din komplette samsvarsløsning for ISO/IEC 27002:2022.
- Opptil 81 % fremgang fra du logger på
- Enkel og total overholdelsesløsning
Ta kontakt i dag for å bestill en demo.
