- nähdä ISO 27002:2022 Control 7.1 lisätietoja.
- nähdä ISO 27001:2013 Liite A 11.1.1 lisätietoja.
Mikä on ISO 27001:2022 liite A 7.1?
ISO 27001: 2022 Liite A 7.1 edellyttää, että organisaatiot määrittävät turvarajat ja käyttävät niitä tietojen ja niihin liittyvien omaisuuserien suojaamiseen.
Tieto- ja tietoturvaomaisuudet selitetty
Tiedolla voidaan kuvata mitä tahansa tietoa, tietämystä tai oivallusta, jolla on arvoa organisaatiolle tai yritykselle. Tämä sisältää kaikki yksityishenkilöistä, asiakkaista, kumppaneista, työntekijöistä ja muista sidosryhmistä saadut tiedot.
Tietoturvaresurssit voidaan luokitella laajasti seuraaviin:
Päiväys
Data ja informaatio sekoitetaan usein keskenään, mutta niissä on selvä ero. Data on raakaa, käsittelemätöntä ja yleensä hyödytöntä nykyisessä muodossaan. Toisaalta tieto on dataa, joka on järjestetty käyttökelpoiseen muotoon, kuten sähköposti tai puhelinnumero.
Infrastruktuuri
Infrastruktuuri kattaa kaikki verkon osat – palvelimet, tulostimet, reitittimet ja paljon muuta – yhtenäisen järjestelmän luomiseksi.
Ohjelmistoinfrastruktuuri, esim käyttöjärjestelmät ja sovellukset on suojattava kyberuhkilta, aivan kuten laitteistokin. Jotta haitalliset hakkerit eivät pääse hyödyntämään arkaluontoisia tietoja, molempiin on päivitettävä säännöllisesti korjaustiedostoja ja korjauksia hakkereiden paljastamien haavoittuvuuksien varalta.
Fyysisen turvallisuuden rajat selitetty
Fyysisellä turvalla tarkoitetaan fyysisiä toimenpiteitä, joilla turvataan organisaation resurssit ja tilat. Se on olennainen ja välttämätön osa tietoturvaa. Se sisältää enemmän kuin vain oven lukitsemisen; se edellyttää myös tietoisuutta siitä, kenellä on pääsy mihinkin, milloin, missä ja miten.
Fyysiset turvakehät tunnistavat rakennuksen tai alueen fyysiset rajat ja valvovat pääsyä niihin. Aidat, seinät, portit ja muut esteet voidaan käyttää estämään ihmisten tai ajoneuvojen luvaton pääsy. Lisäksi elektronisia valvontalaitteita, kuten CCTV-kameroita, voidaan käyttää valvomaan toimintaa laitoksen ulkopuolella.
Fyysiset suojakehät tarjoavat ensimmäisen suojakerroksen ulkopuolisia vastaan, jotka yrittävät päästä tietokonejärjestelmääsi langallisen tai langattoman yhteyden kautta yrityksessä. Ne yhdistetään usein lisätietoturvaohjaimiin, kuten identiteetinhallintaan, kulunvalvontaan ja tunkeutumisen havaitsemisjärjestelmiin.
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
ISO 27001:2022 -standardin liite A 7.1
ISO 27001:2022 Liite A 7.1 takaa, että organisaatio voi osoittaa, että sillä on sopivat fyysiset turvarajat estämään luvattoman fyysisen pääsyn tietoihin ja muihin asiaan liittyviin resursseihin.
Tämä edellyttää toimenpiteitä, joilla estetään:
- Luvaton pääsy rakennuksiin, huoneisiin tai tietoresursseja sisältäviin alueisiin on kielletty.
- Omaisuuden siirtämistä tiloista ilman lupaa ei voida hyväksyä.
- Tilojen omaisuuden, kuten tietokoneiden ja niihin liittyvien laitteiden, luvaton käyttö ei ole sallittua.
- Sähköisten viestintälaitteiden, kuten puhelinten, faksien ja tietokonepäätteiden, luvaton peukalointi ei ole sallittua.
On mahdollista toteuttaa fyysisiä suojausalueita kahdella eri tavalla:
Fyysinen kulunvalvonta – turvaa pääsyn tiloihin ja rakennuksiin sekä liikkumisen niissä. Tämä sisältää ovien, hälyttimien, aitojen ja esteiden lukitsemisen.
Laitteiden turvallisuus – tarjoaa hallinnan fyysisille laitteille, kuten tietokoneille, tulostimille ja skannereille, jotka käsittelevät arkaluonteisia tietoja sisältäviä tietoja.
Tämä ohjaus auttaa suojata tiedot ja muut asiaan liittyvät omaisuuserät, kuten luottamukselliset asiakirjat, asiakirjat ja laitteet, estämällä tilojen, laitteiden ja tarvikkeiden luvattoman käytön.
Mitä se sisältää ja kuinka vaatimukset täytetään
Suuntaviivat, jotka on otettava huomioon fyysisten turvarajojen osalta, olisi hyväksyttävä mahdollisuuksien mukaan:
- Turvaesteiden luominen ja kunkin tarkan sijainnin ja vahvuuden määrittäminen rajan sisällä olevia resursseja koskevien tietoturvamääräysten mukaisesti.
- Tietojenkäsittelyjärjestelmiä sisältävän rakennuksen tai tontin fyysisen turvallisuuden varmistaminen on elintärkeää, sillä alueella ei ole aukkoja tai heikkoja kohtia, joissa sisäänmurto voitaisiin helpottaa.
- Kohteen ulkopintojen, mukaan lukien katot, seinät, katot ja lattiat, tulee olla tukevarakenteisia, ja kaikki ulko-ovet tulee varustaa ohjausmekanismilla, kuten tankoilla, hälyttimillä ja lukoilla luvattoman sisäänpääsyn estämiseksi.
- Varmista, että ikkunat ja ovet on lukittu, kun ne eivät ole asukkaita, ja harkitse ikkunoiden ulkoista turvallisuutta, erityisesti pohjakerroksessa; tuuletus on myös otettava huomioon.
Saat lisätietoa siitä, mitä ISO 27001:2022 -standardin noudattamiselta odotetaan, tutustu siihen liittyvästä dokumentaatiosta.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Muutokset ja erot standardista ISO 27001:2013
ISO 27001:2022 Liite A 7.1 korvaa standardin ISO 27001:2013 Liite A 11.1.1; konteksti ja merkitys pysyvät suurelta osin samanlaisina, vaikkakin ilmaistuna eri tavalla.
Vuoden 2022 versiossa toteutusvaatimukset vähenivät aiempaan valvontaan verrattuna.
Liitteestä A 7.1 puuttuu liitteessä A 11.1.1 esitetyt vaatimukset, jotka ovat seuraavat:
- Siellä tulee olla henkilökunnallinen vastaanottoalue tai jokin muu tapa hoitaa asioita fyysinen sisääntulo tontille tai rakennukselle.
- Ainoastaan valtuutetun henkilöstön tulee päästää työmaille ja rakennuksiin.
- Rakenna tarvittaessa fyysisiä esteitä luvattoman fyysisen pääsyn estämiseksi ja ympäristön saastumisen estämiseksi.
- On tarpeen asentaa kansalliset, alueelliset tai kansainväliset standardit täyttävät tunkeutumisen havaitsemisjärjestelmät ja testata niitä säännöllisesti kaikkien ulko-ovien ja esteettömien ikkunoiden turvaamiseksi.
- Kaikki asumattomat tilat tulee aina varustaa hälytysjärjestelmällä.
- Meidän tulisi varmistaa muiden alueiden, kuten tietokone- ja viestintähuoneiden, kattavuus.
- Organisaation tulee pitää tietojenkäsittelylaitoksensa fyysisesti erillään ulkoisten lähteiden hallinnoimista tiloista.
Mikään pois jättäminen heikentää uuden ISO 27001:2022 -standardin tehokkuutta; sen sijaan ne poistettiin, jotta säädin olisi helpompi käyttää ja ymmärtää.
Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista
Alla olevasta taulukosta löydät lisätietoja jokaisesta henkilöstä ISO 27001:2022 liite A Ohjaus.
| Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
|---|---|---|---|
| Organisaation valvonta | Liite A 5.1 |
Liite A 5.1.1 Liite A 5.1.2 |
Tietoturvakäytännöt |
| Organisaation valvonta | Liite A 5.2 | Liite A 6.1.1 | Tietoturvan roolit ja vastuut |
| Organisaation valvonta | Liite A 5.3 | Liite A 6.1.2 | Tehtävien erottelu |
| Organisaation valvonta | Liite A 5.4 | Liite A 7.2.1 | Johtamisvastuut |
| Organisaation valvonta | Liite A 5.5 | Liite A 6.1.3 | Ota yhteyttä viranomaisiin |
| Organisaation valvonta | Liite A 5.6 | Liite A 6.1.4 | Ota yhteyttä erityisiin eturyhmiin |
| Organisaation valvonta | Liite A 5.7 | UUSI | Threat Intelligence |
| Organisaation valvonta | Liite A 5.8 |
Liite A 6.1.5 Liite A 14.1.1 |
Tietoturva projektinhallinnassa |
| Organisaation valvonta | Liite A 5.9 |
Liite A 8.1.1 Liite A 8.1.2 |
Tietojen ja muiden niihin liittyvien omaisuuserien luettelo |
| Organisaation valvonta | Liite A 5.10 |
Liite A 8.1.3 Liite A 8.2.3 |
Tietojen ja muiden niihin liittyvien omaisuuserien hyväksyttävä käyttö |
| Organisaation valvonta | Liite A 5.11 | Liite A 8.1.4 | Omaisuuden palautus |
| Organisaation valvonta | Liite A 5.12 | Liite A 8.2.1 | Tietojen luokitus |
| Organisaation valvonta | Liite A 5.13 | Liite A 8.2.2 | Tietojen merkitseminen |
| Organisaation valvonta | Liite A 5.14 |
Liite A 13.2.1 Liite A 13.2.2 Liite A 13.2.3 |
Tietojen siirto |
| Organisaation valvonta | Liite A 5.15 |
Liite A 9.1.1 Liite A 9.1.2 |
Kulunvalvonta |
| Organisaation valvonta | Liite A 5.16 | Liite A 9.2.1 | Identity Management |
| Organisaation valvonta | Liite A 5.17 |
Liite A 9.2.4 Liite A 9.3.1 Liite A 9.4.3 |
Todennustiedot |
| Organisaation valvonta | Liite A 5.18 |
Liite A 9.2.2 Liite A 9.2.5 Liite A 9.2.6 |
Käyttöoikeudet |
| Organisaation valvonta | Liite A 5.19 | Liite A 15.1.1 | Tietoturva toimittajasuhteissa |
| Organisaation valvonta | Liite A 5.20 | Liite A 15.1.2 | Tietoturvasta huolehtiminen toimittajasopimusten puitteissa |
| Organisaation valvonta | Liite A 5.21 | Liite A 15.1.3 | Tietoturvan hallinta ICT:n toimitusketjussa |
| Organisaation valvonta | Liite A 5.22 |
Liite A 15.2.1 Liite A 15.2.2 |
Toimittajapalveluiden seuranta, tarkistus ja muutosten hallinta |
| Organisaation valvonta | Liite A 5.23 | UUSI | Tietoturva pilvipalveluiden käyttöön |
| Organisaation valvonta | Liite A 5.24 | Liite A 16.1.1 | Tietoturvahäiriöiden hallinnan suunnittelu ja valmistelu |
| Organisaation valvonta | Liite A 5.25 | Liite A 16.1.4 | Tietoturvatapahtumien arviointi ja päätös |
| Organisaation valvonta | Liite A 5.26 | Liite A 16.1.5 | Vastaus tietoturvaloukkauksiin |
| Organisaation valvonta | Liite A 5.27 | Liite A 16.1.6 | Tietoturvahäiriöistä oppimista |
| Organisaation valvonta | Liite A 5.28 | Liite A 16.1.7 | Todisteiden kerääminen |
| Organisaation valvonta | Liite A 5.29 |
Liite A 17.1.1 Liite A 17.1.2 Liite A 17.1.3 |
Tietoturva häiriön aikana |
| Organisaation valvonta | Liite A 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuutta varten |
| Organisaation valvonta | Liite A 5.31 |
Liite A 18.1.1 Liite A 18.1.5 |
Oikeudelliset, lakisääteiset, sääntely- ja sopimusvaatimukset |
| Organisaation valvonta | Liite A 5.32 | Liite A 18.1.2 | Immateriaalioikeudet |
| Organisaation valvonta | Liite A 5.33 | Liite A 18.1.3 | Tietueiden suojaus |
| Organisaation valvonta | Liite A 5.34 | Liite A 18.1.4 | Yksityisyys ja henkilötietojen suoja |
| Organisaation valvonta | Liite A 5.35 | Liite A 18.2.1 | Tietoturvan riippumaton katsaus |
| Organisaation valvonta | Liite A 5.36 |
Liite A 18.2.2 Liite A 18.2.3 |
Tietoturvakäytäntöjen, -sääntöjen ja -standardien noudattaminen |
| Organisaation valvonta | Liite A 5.37 | Liite A 12.1.1 | Dokumentoidut toimintaohjeet |
| Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
|---|---|---|---|
| Ihmisten ohjaukset | Liite A 6.1 | Liite A 7.1.1 | Seulonta |
| Ihmisten ohjaukset | Liite A 6.2 | Liite A 7.1.2 | Palvelussuhteen ehdot |
| Ihmisten ohjaukset | Liite A 6.3 | Liite A 7.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| Ihmisten ohjaukset | Liite A 6.4 | Liite A 7.2.3 | Kurinpitoprosessi |
| Ihmisten ohjaukset | Liite A 6.5 | Liite A 7.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| Ihmisten ohjaukset | Liite A 6.6 | Liite A 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| Ihmisten ohjaukset | Liite A 6.7 | Liite A 6.2.2 | Etätyö |
| Ihmisten ohjaukset | Liite A 6.8 |
Liite A 16.1.2 Liite A 16.1.3 |
Tietoturvatapahtumien raportointi |
| Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
|---|---|---|---|
| Fyysiset säätimet | Liite A 7.1 | Liite A 11.1.1 | Fyysisen turvallisuuden rajat |
| Fyysiset säätimet | Liite A 7.2 |
Liite A 11.1.2 Liite A 11.1.6 |
Fyysinen sisäänpääsy |
| Fyysiset säätimet | Liite A 7.3 | Liite A 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| Fyysiset säätimet | Liite A 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| Fyysiset säätimet | Liite A 7.5 | Liite A 11.1.4 | Fyysisiltä ja ympäristöuhkilta suojautuminen |
| Fyysiset säätimet | Liite A 7.6 | Liite A 11.1.5 | Työskentely turvallisilla alueilla |
| Fyysiset säätimet | Liite A 7.7 | Liite A 11.2.9 | Selkeä työpöytä ja selkeä näyttö |
| Fyysiset säätimet | Liite A 7.8 | Liite A 11.2.1 | Laitteiden sijoitus ja suojaus |
| Fyysiset säätimet | Liite A 7.9 | Liite A 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| Fyysiset säätimet | Liite A 7.10 |
Liite A 8.3.1 Liite A 8.3.2 Liite A 8.3.3 Liite A 11.2.5 |
Tallennusväline |
| Fyysiset säätimet | Liite A 7.11 | Liite A 11.2.2 | Apuohjelmat |
| Fyysiset säätimet | Liite A 7.12 | Liite A 11.2.3 | Kaapeloinnin turvallisuus |
| Fyysiset säätimet | Liite A 7.13 | Liite A 11.2.4 | Laitteiden huolto |
| Fyysiset säätimet | Liite A 7.14 | Liite A 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
| Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
|---|---|---|---|
| Tekniset säädöt | Liite A 8.1 |
Liite A 6.2.1 Liite A 11.2.8 |
Käyttäjän päätelaitteet |
| Tekniset säädöt | Liite A 8.2 | Liite A 9.2.3 | Etuoikeutetut käyttöoikeudet |
| Tekniset säädöt | Liite A 8.3 | Liite A 9.4.1 | Tietoihin pääsyn rajoitus |
| Tekniset säädöt | Liite A 8.4 | Liite A 9.4.5 | Pääsy lähdekoodiin |
| Tekniset säädöt | Liite A 8.5 | Liite A 9.4.2 | Suojattu todennus |
| Tekniset säädöt | Liite A 8.6 | Liite A 12.1.3 | Kapasiteetin hallinta |
| Tekniset säädöt | Liite A 8.7 | Liite A 12.2.1 | Suojaus haittaohjelmia vastaan |
| Tekniset säädöt | Liite A 8.8 |
Liite A 12.6.1 Liite A 18.2.3 |
Teknisten haavoittuvuuksien hallinta |
| Tekniset säädöt | Liite A 8.9 | UUSI | Configuration Management |
| Tekniset säädöt | Liite A 8.10 | UUSI | Tietojen poistaminen |
| Tekniset säädöt | Liite A 8.11 | UUSI | Tietojen peittäminen |
| Tekniset säädöt | Liite A 8.12 | UUSI | Tietovuotojen esto |
| Tekniset säädöt | Liite A 8.13 | Liite A 12.3.1 | Tietojen varmuuskopiointi |
| Tekniset säädöt | Liite A 8.14 | Liite A 17.2.1 | Tietojenkäsittelylaitteiden redundanssi |
| Tekniset säädöt | Liite A 8.15 |
Liite A 12.4.1 Liite A 12.4.2 Liite A 12.4.3 |
Hakkuu |
| Tekniset säädöt | Liite A 8.16 | UUSI | Seurantatoiminnot |
| Tekniset säädöt | Liite A 8.17 | Liite A 12.4.4 | Kellon synkronointi |
| Tekniset säädöt | Liite A 8.18 | Liite A 9.4.4 | Etuoikeutettujen apuohjelmien käyttöoikeudet |
| Tekniset säädöt | Liite A 8.19 |
Liite A 12.5.1 Liite A 12.6.2 |
Ohjelmistojen asennus käyttöjärjestelmiin |
| Tekniset säädöt | Liite A 8.20 | Liite A 13.1.1 | Verkkoturvallisuus |
| Tekniset säädöt | Liite A 8.21 | Liite A 13.1.2 | Verkkopalveluiden turvallisuus |
| Tekniset säädöt | Liite A 8.22 | Liite A 13.1.3 | Verkkojen erottelu |
| Tekniset säädöt | Liite A 8.23 | UUSI | Web-suodatus |
| Tekniset säädöt | Liite A 8.24 |
Liite A 10.1.1 Liite A 10.1.2 |
Kryptografian käyttö |
| Tekniset säädöt | Liite A 8.25 | Liite A 14.2.1 | Turvallisen kehityksen elinkaari |
| Tekniset säädöt | Liite A 8.26 |
Liite A 14.1.2 Liite A 14.1.3 |
Sovelluksen suojausvaatimukset |
| Tekniset säädöt | Liite A 8.27 | Liite A 14.2.5 | Turvallisen järjestelmän arkkitehtuuri ja suunnitteluperiaatteet Tietoturvapoikkeamista oppiminen |
| Tekniset säädöt | Liite A 8.28 | UUSI | Turvallinen koodaus |
| Tekniset säädöt | Liite A 8.29 |
Liite A 14.2.8 Liite A 14.2.9 |
Tietoturvatestaus kehitys- ja hyväksymisvaiheessa |
| Tekniset säädöt | Liite A 8.30 | Liite A 14.2.7 | Ulkoistettu kehitys |
| Tekniset säädöt | Liite A 8.31 |
Liite A 12.1.4 Liite A 14.2.6 |
Kehitys-, testaus- ja tuotantoympäristöjen erottaminen toisistaan |
| Tekniset säädöt | Liite A 8.32 |
Liite A 12.1.2 Liite A 14.2.2 Liite A 14.2.3 Liite A 14.2.4 |
Muutoksen hallinta |
| Tekniset säädöt | Liite A 8.33 | Liite A 14.3.1 | Testitiedot |
| Tekniset säädöt | Liite A 8.34 | Liite A 12.7.1 | Tietojärjestelmien suojaus tarkastustestauksen aikana |
Kuka on vastuussa tästä prosessista?
Focus-patjan Tietohallintojohtaja (CIO) on yrityksen tietojen ja järjestelmien turvaamisesta vastaava johtaja. He työskentelevät muiden johtajien, kuten talousjohtajan ja toimitusjohtajan, kanssa harkitakseen turvallisuutta tehdessään liiketoimintapäätöksiä. Yrityksen tietojen suojaamiseen tähtäävien periaatteiden ja menettelyjen toteuttaminen on keskeinen osa tietohallintojohtajan roolia.
Talousjohtajalla on rooli fyysisten turvarajojen päättämisessä. Yhteistyössä muiden C-suite-johtajien, mukaan lukien tietohallintojohtajan, kanssa he päättävät, kuinka paljon investoivat fyysisiin turvatoimiin, kuten valvontakameroihin, kulunvalvontaan ja hälyttimiin.
[case_study_slider ids=”88859,101932,92016″ automaattinen toisto=”true” automaattisen toiston nopeus=”5000″]
Mitä nämä muutokset merkitsevät sinulle?
ISO 27001:2022 ei ole suuri uudistus, joten merkittäviä muutoksia ei tarvita vaatimustenmukaisuuden varmistamiseksi.
On syytä tutkia nykyistä toteutustasi varmistaaksesi, että se on uusien vaatimusten mukainen. Etenkin, jos muutoksia on tehty vuoden 2013 version jälkeen. Muutokset kannattaa arvioida uudelleen sen selvittämiseksi, ovatko ne edelleen voimassa vai tarvitsevatko niitä muuttaa.
Miten ISMS.Online Help
ISMS.online voi auttaa todistamaan ISO 27001 -yhteensopivuuden tarjoamalla online-järjestelmän, joka mahdollistaa asiakirjojen tallentamisen yhteen, helposti saatavilla olevaan paikkaan. Se helpottaa myös tarkistuslistojen kehittämistä jokaiselle asiakirjalle, mikä helpottaa asiakirjojen tarkistamista ja muokkaamista.
Haluatko kokea kuinka se toimii?
Ota yhteyttä jo tänään varata esittely.