ISO 27002 Kontroll 7.8: Beste praksis for plassering og beskyttelse av utstyr
Mens cybertrusler som malware-angrep, SQL-injeksjon og trafikkavlytting blir mer sofistikerte og utgjør en stor risiko for sikkerhet for informasjonsmidler.
Risikolandskapet er ikke begrenset til programvarebaserte cyberangrep:
- Fysiske og miljømessige trusler mot IT-utstyr som servere, datamaskiner, harddisker og flyttbare lagringsmedier kan også kompromittere tilgjengelighet, konfidensialitet og integritet til informasjonsressurser.
For eksempel er søl av en drink på en server, en nedstenging av et datasystem på grunn av høy temperatur og uautorisert tilgang til et datasystem som ikke er plassert i et sikkert område, alle eksempler på fysiske trusler mot utstyrshus informasjonskapasitet.
Kontroll 7.8 tar for seg hvordan organisasjoner kan eliminere og redusere risikoer som oppstår som følge av fysiske og miljømessige trusler til utstyr som er vert for informasjonsressurser.
Formål med kontroll 7.8
Kontroll 7.8 gjør det mulig for organisasjoner å eliminere og/eller redusere to typer risiko for utstyr som inneholder informasjonsmidler:
- Fysiske og miljømessige trusler mot utstyr som belysning, strømbrudd, tyveri, kommunikasjonsforstyrrelser og elektriske forstyrrelser. Disse truslene inkluderer også endringer i miljøforhold som fuktighet og temperaturnivåer som kan forstyrre informasjonsbehandlingsaktivitetene.
- Uautorisert tilgang til, bruk av, skade på og ødeleggelse av utstyr som ikke er lagret i sikre områder.
Attributttabell for kontroll 7.8
Kontroll 7.8 er en forebyggende type kontroll som krever at organisasjoner opprettholder integriteten, tilgjengeligheten og konfidensialiteten til informasjonsressurser ved å beskytte utstyr som inneholder informasjonsmidler mot fysiske og miljømessige trusler.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | #Fysisk sikkerhet | #Beskyttelse |
| #Integritet | # Asset Management | |||
| #Tilgjengelighet |
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Eierskap til kontroll 7.8
Overholdelse av kontroll 7.8 innebærer opprettelse av en inventar av utstyr som er vert for informasjonsressurser, plassering av alt utstyr i sikre områder og implementering av passende tiltak for å forhindre fysiske og miljømessige trusler.
Derfor, informasjonssikkerhetsledere bør være ansvarlige for å etablere, implementere og vedlikeholde nødvendige tiltak og retningslinjer for sikker plassering og beskyttelse av utstyr.
Generell veiledning om samsvar
Kontroll 7.8 foreskriver ni spesifikke krav som bør tas i betraktning for overholdelse:
- Utstyr bør plasseres i sikre områder slik at uvedkommende ikke får tilgang til utstyret.
- Verktøy som brukes til å behandle sensitiv informasjon som datamaskiner, skjermer og skrivere bør plasseres på en måte som uautorisert personer kan ikke se informasjon vist på skjermer uten tillatelse.
- Det bør settes inn egnede tiltak for å eliminere og/eller redusere risikoer som oppstår som følge av fysiske og miljømessige trusler som eksplosiver, kommunikasjonsforstyrrelser, brann, støv og elektromagnetisk stråling.
- For eksempel kan en lynavleder være en effektiv kontroll mot lynnedslag.
- Retningslinjer for spising og drikking rundt utstyr bør etableres og kommuniseres til alle relevante parter.
- Miljøforhold som kan forstyrre informasjonsbehandlingen bør overvåkes kontinuerlig. Disse kan inkludere temperatur- og fuktighetsnivåer.
- Lynbeskyttelsesmekanismer bør implementeres i alle bygninger og kontorer. Videre bør lynbeskyttelsesfiltre bygges inn i alle innkommende kraftledninger, inkludert kommunikasjonslinjer.
- Hvis utstyret er plassert i et industrielt miljø, bør spesielle beskyttelseskontroller som tastaturmembraner brukes om nødvendig.
- Elektromagnetisk utstråling kan føre til lekkasje av sensitiv informasjon. Derfor utstyrshus sensitive eller kritiske informasjonsmidler bør sikres for å forhindre slik risiko.
- IT-utstyr som eies og kontrolleres av en organisasjon, bør være klart atskilt fra det som ikke eies og kontrolleres av organisasjonen.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer og forskjeller fra ISO 27002:2013
27002:2022/7.8 replaces 27002:2013/(11.2.1)
Selv om 2022- og 2013-versjonene i stor grad ligner, er det én viktig forskjell som må fremheves:
I motsetning til 2013-versjonen introduserer Control 7.8 i 2022-versjonen følgende krav:
- IT-utstyr som eies og kontrolleres av en organisasjon, bør være klart atskilt fra det som ikke eies og kontrolleres av organisasjonen.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
Vår plattform er intuitiv og enkel å bruke. Det er ikke bare for svært tekniske mennesker; det er for alle i organisasjonen din. Vi oppfordrer deg til å involvere ansatte på alle nivåer i virksomheten din i prosessen med å bygge ditt ISMS, fordi det hjelper deg å bygge et virkelig bærekraftig system.
Noen av nøkkelen fordelene ved å bruke ISMS.online inkluderer:
- Du kan bygge din ISO 27001-kompatibel ISMS innenfor plattformen.
- Brukere kan fullføre oppgaver og sende inn bevis for å demonstrere samsvar med standarden.
- Det er enkelt å delegere ansvar og overvåke fremdriften mot overholdelse.
- Det omfattende risikovurdering verktøysett sparer tid og krefter gjennom hele prosessen.
- Vi har en dedikert team av konsulenter tilgjengelig for å støtte deg gjennom hele reisen mot samsvar.
Ta kontakt i dag for å bestill en demo.
