ISO 27002:2022, kontroll 7.9 – Sikkerhet for eiendeler utenfor lokaler

Eierskap til kontroll 7.9

Kontroll 7.9 krever at organisasjoner etablerer og anvender prosedyrer og kontroller som dekker alle enheter som eies av eller brukes på vegne av organisasjonen. Videre er opprettelsen av en aktivabeholdning og den øverste ledelsens godkjenning av bruken av personlige enheter avgjørende for effektiv beskyttelse av eksterne enheter.

Derfor bør informasjonssikkerhetssjefen rådføre seg med ledelsen og relevante eiendeler og bør være ansvarlig for opprettelse, implementering og vedlikehold av prosedyrer og tiltak for å opprettholde sikkerheten til enheter som fjernes fra bedriftens lokaler.

Generell veiledning om samsvar

Kontroll 7.9 lister opp seks krav som organisasjoner bør forholde seg til når de utformer og implementerer tiltak og retningslinjer for beskyttelse av eiendeler tatt utenfor stedet:

1. Datautstyr og lagringsmedier som tas utenfor stedet, for eksempel bedriftsdatamaskiner, USB-er, harddisker og skjermer, bør ikke etterlates uten tilsyn i offentlige rom som kaffebarer eller i utrygge områder.
2. Enhetsprodusentens veiledning og spesifikasjoner om den fysiske beskyttelsen til den aktuelle enheten skal overholdes til enhver tid. For eksempel kan enhetsprodusentens instruksjoner inkludere hvordan du beskytter enheten/utstyret mot vann, varme, elektromagnetiske felt og støv.
3. Ansatte og/eller andre organisasjoner som tar datautstyr utenfor bedriftens lokaler kan overføre dette utstyret til andre ansatte eller tredjeparter. For å opprettholde sikkerheten til dette utstyret, bør organisasjoner føre en logg som definerer varetektskjeden. Denne loggposten bør minst inneholde navn på enkeltpersoner ansvarlig for enheten og deres organisasjon.
4. Hvis en organisasjon anser at en autorisasjonsprosess er nødvendig og praktisk for å fjerne utstyr fra bedriftens lokaler, bør den etablere og anvende en autorisasjonsprosedyre for å ta med visst utstyr utenfor stedet. Denne autorisasjonsprosedyren bør også inkludere å føre en oversikt over alle handlinger for fjerning av enheten slik at organisasjonen har et revisjonsspor.
5. Det bør iverksettes hensiktsmessige tiltak for å eliminere risikoen for uautorisert visning av informasjon på skjermen på kollektivtransport.
6. Verktøy for posisjonssporing og ekstern tilgang bør være på plass slik at enheten kan spores og informasjonen i enheten kan slettes eksternt om nødvendig.

Supplerende veiledning om kontroll 7.9

Kontroll 7.9 foreskriver også krav til beskyttelse av utstyr installert utenfor bedriftens lokaler permanent.

Dette utstyret kan inkludere antenner og minibanker.

Tatt i betraktning at dette utstyret kan være utsatt for økt risiko for skade og tap, krever Control 7.9 at organisasjoner tar hensyn til følgende når de beskytter dette utstyret utenfor stedet:

1. Kontroll 7.4, nemlig den fysiske sikkerhetsovervåkingen, bør vurderes.
2. Kontroll 7.5, nemlig beskyttelse mot miljømessige og fysiske trusler bør tas i betraktning
3. Tilgangskontroller bør etableres og hensiktsmessige tiltak bør iverksettes for å forhindre tukling.
4. Logiske tilgangskontroller bør opprettes og brukes.

Videre anbefaler Kontroll 7.9 organisasjoner å vurdere kontrollene 6.7 og 8.1 når de definerer og implementerer tiltak for å beskytte enheter og utstyr.

Endringer og forskjeller fra ISO 27002:2013

27002:2022/ 7.9 erstatter 27002:2013/(11.2.6)

Det er tre hovedforskjeller som må fremheves:

• Kontroll 7.9 foreskriver mer omfattende krav

Sammenlignet med 2013-versjonen, Kontroller 7.9 i 2022-versjonen introduserer følgende to krav:

1. Det bør iverksettes hensiktsmessige tiltak for å eliminere risikoen for uautorisert visning av informasjon på skjermen på kollektivtransport.
2. Verktøy for posisjonssporing og ekstern tilgang bør være på plass slik at enheten kan spores og informasjonen i enheten kan slettes eksternt om nødvendig.

• Kontroll 7.9 introduserer nye krav for permanent installerte eksterne enheter

I motsetning til 2013-versjonen inneholder Control 7.9 i 2022-versjonen egen veiledning om beskyttelse av utstyr som er permanent installert på et sted utenfor stedet.

Disse kan inkludere antenner og minibanker.

• Forbud mot fjernarbeid for å eliminere risiko

2013-versjonen uttalte eksplisitt at organisasjoner kan forby ansatte å jobbe eksternt når det er passende for risikonivået som er identifisert. 2022-versjonen refererer imidlertid ikke til et slikt tiltak.

Hvordan ISMS.online hjelper

Du kan bruke ISMS.online for å administrere ISO 27002-implementeringen, ettersom den er designet spesielt for å hjelpe et selskap med å implementere deres styringssystem for informasjonssikkerhet (ISMS) for å oppfylle kravene i ISO 27002.

Plattformen bruker en risikobasert tilnærming kombinert med bransjeledende beste praksis og maler for å hjelpe deg med å identifisere risikoene organisasjonen står overfor og kontrollene som er nødvendige for å håndtere disse risikoene. Dette lar deg systematisk redusere både risikoeksponeringen og etterlevelseskostnadene.

Ta kontakt i dag for å bestill en demo.