ISO 27001:2022 Liite A 7.1 – Fyysiset turvakehät

• nähdä ISO 27002:2022 Control 7.1 lisätietoja.
• nähdä ISO 27001:2013 Liite A 11.1.1 lisätietoja.

Mikä on ISO 27001:2022 liite A 7.1?

ISO 27001: 2022 Liite A 7.1 edellyttää, että organisaatiot määrittävät turvarajat ja käyttävät niitä tietojen ja niihin liittyvien omaisuuserien suojaamiseen.

Tieto- ja tietoturvaomaisuudet selitetty

Tiedolla voidaan kuvata mitä tahansa tietoa, tietämystä tai oivallusta, jolla on arvoa organisaatiolle tai yritykselle. Tämä sisältää kaikki yksityishenkilöistä, asiakkaista, kumppaneista, työntekijöistä ja muista sidosryhmistä saadut tiedot.

Tietoturvaresurssit voidaan luokitella laajasti seuraaviin:

Päiväys

Data ja informaatio sekoitetaan usein keskenään, mutta niissä on selvä ero. Data on raakaa, käsittelemätöntä ja yleensä hyödytöntä nykyisessä muodossaan. Toisaalta tieto on dataa, joka on järjestetty käyttökelpoiseen muotoon, kuten sähköposti tai puhelinnumero.

Infrastruktuuri

Infrastruktuuri kattaa kaikki verkon osat – palvelimet, tulostimet, reitittimet ja paljon muuta – yhtenäisen järjestelmän luomiseksi.

Ohjelmistoinfrastruktuuri, esim käyttöjärjestelmät ja sovellukset on suojattava kyberuhkilta, aivan kuten laitteistokin. Jotta haitalliset hakkerit eivät pääse hyödyntämään arkaluontoisia tietoja, molempiin on päivitettävä säännöllisesti korjaustiedostoja ja korjauksia hakkereiden paljastamien haavoittuvuuksien varalta.

Fyysisen turvallisuuden rajat selitetty

Fyysisellä turvalla tarkoitetaan fyysisiä toimenpiteitä, joilla turvataan organisaation resurssit ja tilat. Se on olennainen ja välttämätön osa tietoturvaa. Se sisältää enemmän kuin vain oven lukitsemisen; se edellyttää myös tietoisuutta siitä, kenellä on pääsy mihinkin, milloin, missä ja miten.

Fyysiset turvakehät tunnistavat rakennuksen tai alueen fyysiset rajat ja valvovat pääsyä niihin. Aidat, seinät, portit ja muut esteet voidaan käyttää estämään ihmisten tai ajoneuvojen luvaton pääsy. Lisäksi elektronisia valvontalaitteita, kuten CCTV-kameroita, voidaan käyttää valvomaan toimintaa laitoksen ulkopuolella.

Fyysiset suojakehät tarjoavat ensimmäisen suojakerroksen ulkopuolisia vastaan, jotka yrittävät päästä tietokonejärjestelmääsi langallisen tai langattoman yhteyden kautta yrityksessä. Ne yhdistetään usein lisätietoturvaohjaimiin, kuten identiteetinhallintaan, kulunvalvontaan ja tunkeutumisen havaitsemisjärjestelmiin.

ISO 27001:2022 -standardin liite A 7.1

ISO 27001:2022 Liite A 7.1 takaa, että organisaatio voi osoittaa, että sillä on sopivat fyysiset turvarajat estämään luvattoman fyysisen pääsyn tietoihin ja muihin asiaan liittyviin resursseihin.

Tämä edellyttää toimenpiteitä, joilla estetään:

• Luvaton pääsy rakennuksiin, huoneisiin tai tietoresursseja sisältäviin alueisiin on kielletty.
• Omaisuuden siirtämistä tiloista ilman lupaa ei voida hyväksyä.
• Tilojen omaisuuden, kuten tietokoneiden ja niihin liittyvien laitteiden, luvaton käyttö ei ole sallittua.
• Sähköisten viestintälaitteiden, kuten puhelinten, faksien ja tietokonepäätteiden, luvaton peukalointi ei ole sallittua.

On mahdollista toteuttaa fyysisiä suojausalueita kahdella eri tavalla:

Fyysinen kulunvalvonta – turvaa pääsyn tiloihin ja rakennuksiin sekä liikkumisen niissä. Tämä sisältää ovien, hälyttimien, aitojen ja esteiden lukitsemisen.

Laitteiden turvallisuus – tarjoaa hallinnan fyysisille laitteille, kuten tietokoneille, tulostimille ja skannereille, jotka käsittelevät arkaluonteisia tietoja sisältäviä tietoja.

Tämä ohjaus auttaa suojata tiedot ja muut asiaan liittyvät omaisuuserät, kuten luottamukselliset asiakirjat, asiakirjat ja laitteet, estämällä tilojen, laitteiden ja tarvikkeiden luvattoman käytön.

Mitä se sisältää ja kuinka vaatimukset täytetään

Suuntaviivat, jotka on otettava huomioon fyysisten turvarajojen osalta, olisi hyväksyttävä mahdollisuuksien mukaan:

• Turvaesteiden luominen ja kunkin tarkan sijainnin ja vahvuuden määrittäminen rajan sisällä olevia resursseja koskevien tietoturvamääräysten mukaisesti.
• Tietojenkäsittelyjärjestelmiä sisältävän rakennuksen tai tontin fyysisen turvallisuuden varmistaminen on elintärkeää, sillä alueella ei ole aukkoja tai heikkoja kohtia, joissa sisäänmurto voitaisiin helpottaa.
• Kohteen ulkopintojen, mukaan lukien katot, seinät, katot ja lattiat, tulee olla tukevarakenteisia, ja kaikki ulko-ovet tulee varustaa ohjausmekanismilla, kuten tankoilla, hälyttimillä ja lukoilla luvattoman sisäänpääsyn estämiseksi.
• Varmista, että ikkunat ja ovet on lukittu, kun ne eivät ole asukkaita, ja harkitse ikkunoiden ulkoista turvallisuutta, erityisesti pohjakerroksessa; tuuletus on myös otettava huomioon.

Saat lisätietoa siitä, mitä ISO 27001:2022 -standardin noudattamiselta odotetaan, tutustu siihen liittyvästä dokumentaatiosta.

Muutokset ja erot standardista ISO 27001:2013

ISO 27001:2022 Liite A 7.1 korvaa standardin ISO 27001:2013 Liite A 11.1.1; konteksti ja merkitys pysyvät suurelta osin samanlaisina, vaikkakin ilmaistuna eri tavalla.

Vuoden 2022 versiossa toteutusvaatimukset vähenivät aiempaan valvontaan verrattuna.

Liitteestä A 7.1 puuttuu liitteessä A 11.1.1 esitetyt vaatimukset, jotka ovat seuraavat:

• Siellä tulee olla henkilökunnallinen vastaanottoalue tai jokin muu tapa hoitaa asioita fyysinen sisääntulo tontille tai rakennukselle.
• Ainoastaan ​​valtuutetun henkilöstön tulee päästää työmaille ja rakennuksiin.
• Rakenna tarvittaessa fyysisiä esteitä luvattoman fyysisen pääsyn estämiseksi ja ympäristön saastumisen estämiseksi.
• On tarpeen asentaa kansalliset, alueelliset tai kansainväliset standardit täyttävät tunkeutumisen havaitsemisjärjestelmät ja testata niitä säännöllisesti kaikkien ulko-ovien ja esteettömien ikkunoiden turvaamiseksi.
• Kaikki asumattomat tilat tulee aina varustaa hälytysjärjestelmällä.
• Meidän tulisi varmistaa muiden alueiden, kuten tietokone- ja viestintähuoneiden, kattavuus.
• Organisaation tulee pitää tietojenkäsittelylaitoksensa fyysisesti erillään ulkoisten lähteiden hallinnoimista tiloista.

Mikään pois jättäminen heikentää uuden ISO 27001:2022 -standardin tehokkuutta; sen sijaan ne poistettiin, jotta säädin olisi helpompi käyttää ja ymmärtää.

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta henkilöstä ISO 27001:2022 liite A Ohjaus.

Kuka on vastuussa tästä prosessista?

- Tietohallintojohtaja (CIO) on yrityksen tietojen ja järjestelmien turvaamisesta vastaava johtaja. He työskentelevät muiden johtajien, kuten talousjohtajan ja toimitusjohtajan, kanssa harkitakseen turvallisuutta tehdessään liiketoimintapäätöksiä. Yrityksen tietojen suojaamiseen tähtäävien periaatteiden ja menettelyjen toteuttaminen on keskeinen osa tietohallintojohtajan roolia.

Talousjohtajalla on rooli fyysisten turvarajojen päättämisessä. Yhteistyössä muiden C-suite-johtajien, mukaan lukien tietohallintojohtajan, kanssa he päättävät, kuinka paljon investoivat fyysisiin turvatoimiin, kuten valvontakameroihin, kulunvalvontaan ja hälyttimiin.

Mitä nämä muutokset merkitsevät sinulle?

ISO 27001:2022 ei ole suuri uudistus, joten merkittäviä muutoksia ei tarvita vaatimustenmukaisuuden varmistamiseksi.

On syytä tutkia nykyistä toteutustasi varmistaaksesi, että se on uusien vaatimusten mukainen. Etenkin, jos muutoksia on tehty vuoden 2013 version jälkeen. Muutokset kannattaa arvioida uudelleen sen selvittämiseksi, ovatko ne edelleen voimassa vai tarvitsevatko niitä muuttaa.

Miten ISMS.Online Help

ISMS.online voi auttaa todistamaan ISO 27001 -yhteensopivuuden tarjoamalla online-järjestelmän, joka mahdollistaa asiakirjojen tallentamisen yhteen, helposti saatavilla olevaan paikkaan. Se helpottaa myös tarkistuslistojen kehittämistä jokaiselle asiakirjalle, mikä helpottaa asiakirjojen tarkistamista ja muokkaamista.

Haluatko kokea kuinka se toimii?

Ota yhteyttä jo tänään varata esittely.