ISO 27002:2022 – Valvonta 7.1 – Fyysiset turvakehät

Mikä on Control 7.1?

Ohjaus 7.1 uudessa ISO 27002:2022:ssa kattaa organisaatioiden tarpeen määrittää ja asettaa suojausrajat ja käyttää näitä parametreja suojaamaan alueita, jotka sisältävät tietoa ja muuta asiaan liittyvää omaisuutta.

Tieto- ja tietoturvaomaisuudet selitetty

Tiedolla voidaan määritellä mitä tahansa dataa, tietoa tai tietoa, jolla on arvoa organisaatiollesi tai yrityksellesi. Tämä sisältää kaikki henkilöistä, asiakkaista, kumppaneista, työntekijöistä ja muista sidosryhmistä kerätyt tiedot.

Tietoturvaresurssit voidaan jakaa laajasti:

Päiväys

Data sekoitetaan usein tietoon, mutta datalla ja tiedolla on ero. Tiedot ovat raakaa, käsittelemätöntä ja usein käyttökelvottomia nykyisessä tilassaan, kun taas tiedot ovat tietoja, jotka on käsitelty käyttökelpoisiksi tiedoiksi, kuten sähköpostiosoitteeksi tai puhelinnumeroksi.

Infrastruktuuri

Infrastruktuuri tarkoittaa kaikkia verkon osia, mukaan lukien palvelimet ja muut laitteet, kuten tulostimet ja reitittimet jne.

Infrastruktuuri voi sisältää myös ohjelmistoja, kuten käyttöjärjestelmiä ja sovelluksia, joita tulee suojata kyberhyökkäyksiltä yhtä hyvin kuin laitteistoa, koska molemmat on pidettävä ajan tasalla hakkereiden löytämien haavoittuvuuksien korjaustiedostojen ja korjausten avulla, jotta niitä ei voida haitalliset hakkerit käyttävät hyväkseen arkaluontoisia tietoja.

Fyysisen turvallisuuden rajat selitetty

Fyysisellä turvalla tarkoitetaan kaikkia fyysisiä toimenpiteitä, jotka suojaavat organisaation tiloja ja omaisuutta. Fyysinen turvallisuus on tietoturvan perustavanlaatuisin ja tärkein osa. Kyse ei ole vain oven lukitsemisesta, vaan myös tiedosta, kenellä on pääsy mihinkin, milloin, missä ja miten.

Fyysisiä turvakehyksiä käytetään tunnistamaan rakennuksen tai alueen fyysiset rajat ja valvomaan niihin pääsyä. Fyysiset turva-alueet voivat sisältää aidat, seinät, portit ja muut esteet, jotka estävät ihmisten tai ajoneuvojen luvattoman pääsyn. Fyysisten esteiden lisäksi voidaan käyttää elektronisia valvontalaitteita, kuten suljetun piirin televisiokameroita, valvomaan toimintaa laitoksen ulkopuolella.

Fyysiset suojakehät tarjoavat ensimmäisen suojan tunkeilijoita vastaan, jotka saattavat yrittää päästä tietokonejärjestelmääsi verkkokaapelin tai organisaation langattoman yhteyden kautta. Niitä käytetään usein yhdessä muuntyyppisten tietoturvaohjausten, kuten identiteetinhallinnan, kulunvalvonta- ja tunkeutumisen havaitsemisjärjestelmien kanssa.

Attribuuttien ohjaustaulukko 7.1

Attribuutit ovat tapa luokitella säätimiä. Attribuuttien avulla voit nopeasti sovittaa ohjausvalintasi alan tyypillisiin spesifikaatioihin ja terminologiaan. Ohjauksessa 7.1 on käytettävissä seuraavat säätimet.

Valvonta 7.1 varmistaa, että organisaatio pystyy osoittamaan, että sillä on riittävät fyysiset turvaalueet estämään luvaton fyysinen pääsy tietoihin ja muihin asiaan liittyviin resursseihin.

Tähän sisältyy estäminen:

• Luvaton pääsy rakennuksiin, huoneisiin tai tietoresursseja sisältäville alueille;
• Omaisuuden luvaton siirtäminen tiloista;
• Omaisuuden luvaton käyttö tiloissa (esim. tietokoneet ja tietokoneisiin liittyvät laitteet); ja
• Sähköisten viestintälaitteiden, kuten puhelimien, faksilaitteiden ja tietokonepäätteiden, luvaton käyttö (esim. luvaton peukalointi).

Fyysiset turvakehät voidaan toteuttaa seuraavien kahden luokan kautta:

Fyysinen kulunvalvonta: Ohjaa sisäänpääsyä tiloihin ja rakennuksiin sekä liikkumista niissä. Näitä ohjaimia ovat ovien lukitseminen, hälyttimen käyttö ovissa, aitojen tai puomien käyttö tilojen ympärillä jne.

Laitteistosuojaus: Ohjaa fyysisiä laitteita (esim. tietokoneita), joita organisaatio käyttää tietojen, kuten tulostimien ja skannerien, käsittelemiseen, jotka saattavat sisältää arkaluonteisia tietoja.

Tämän valvonnan toteuttaminen voi kattaa myös tilojen, laitteiden ja tarvikkeiden luvattoman käytön tietojen ja muun asiaan liittyvän omaisuuden, kuten luottamuksellisten asiakirjojen, arkiston ja laitteiden, suojaamiseksi.

Mitä se sisältää ja kuinka vaatimukset täytetään

Seuraavia ohjeita tulee harkita ja ottaa tarvittaessa käyttöön fyysisten turvarajojen osalta:

• Turvakehät sekä kunkin kehän sijainnin ja vahvuuden määrittäminen kehän omaisuuteen liittyvien tietoturvavaatimusten mukaisesti.
• Tietojenkäsittelylaitteita sisältävän rakennuksen tai tontilla on oltava fyysisesti terveet rajat (eli kehällä ei saa olla aukkoja tai alueita, joissa sisäänmurto voi tapahtua helposti).
• Kohteen ulkokattojen, -seinien, -kattojen ja -lattian tulee olla vankkarakenteisia ja kaikki ulko-ovet on suojattava asianmukaisesti luvattomalta pääsyltä ohjausmekanismeilla (esim. tangot, hälyttimet, lukot).
• Ovet ja ikkunat on lukittava, kun niitä ei valvota, ja ikkunoiden ulkoinen suojaus tulee harkita, erityisesti maanpinnan tasolla; Myös tuuletuspisteet tulee ottaa huomioon.

ISO 27002:2022 -standardin dokumentista saat lisätietoa siitä, mitä valvonnan vaatimusten täyttämiseen liittyy.

Muutokset ja erot standardista ISO 27002:2013

ISO 2022:n uusi versio 27002 julkaistiin 15. helmikuuta 2022, ja se on ISO 27002:2013 -päivitys.

Tähän ISO 11 -versioon lisättiin 27002 uutta ohjausobjektia. Ohjaus 7.1 ei kuitenkaan ole uusi ohjausobjekti, vaan se on muunneltu versio ohjausyksiköstä 11.1.1 ISO 2013:n vuoden 27002 versiossa. Suurin ero vuosien 2013 ja 2022 välillä versio on ohjausnumeron muutos.

Kontrollinumero 11.1.1 korvattiin numerolla 7.1. Sen lisäksi konteksti ja merkitys ovat suurelta osin samankaltaisia, vaikka fraseologia onkin erilainen.

Toinen ero molempien ohjausobjektien välillä on, että toteutusvaatimuksia pienennettiin vuoden 2022 versiossa.

Ohjauksesta 11.1.1 puuttuu seuraavat vaatimukset, jotka ovat saatavilla standardin ISO 27002:2013 ohjauskohdassa 7.1:

• Paikalla tulee olla miehitetty vastaanottoalue tai muu keino valvoa fyysistä pääsyä tontille tai rakennukseen.
• Pääsy kohteisiin ja rakennuksiin tulisi rajoittaa vain valtuutetuille henkilöille.
• Tarvittaessa olisi rakennettava fyysisiä esteitä luvattoman fyysisen pääsyn ja ympäristön saastumisen estämiseksi.
• Sopivat tunkeutumisen havaitsemisjärjestelmät tulee asentaa kansallisten, alueellisten tai kansainvälisten standardien mukaisesti ja testata säännöllisesti kaikkien ulko-ovien ja esteettömien ikkunoiden kattamiseksi.
• Tyhjät alueet tulee aina varoittaa.
• Myös muut alueet, kuten tietokonehuone tai viestintähuoneet, tulisi peittää.
• Organisaation hallinnoimat tiedonkäsittelytilat tulisi fyysisesti erottaa ulkopuolisten tahojen hallinnoimista tiloista.

Nämä puutteet eivät millään tavalla tee uudesta standardista vähemmän tehokasta, vaan ne poistettiin, jotta uusi ohjaus olisi käyttäjäystävällisempi.

Kuka on vastuussa tästä prosessista?

Tietoturvajohtaja on tietoturvasta vastaava henkilö. Tämä henkilö on vastuussa käytäntöjen ja menettelyjen toteuttamisesta yrityksen tietojen ja järjestelmien suojaamiseksi. Tietohallintojohtaja tekee yleensä yhteistyötä muiden johtajien, kuten talousjohtajan ja toimitusjohtajan, kanssa varmistaakseen, että turvallisuustoimenpiteet otetaan huomioon liiketoimintapäätöksissä.

Talousjohtaja on mukana myös fyysisiä turvarajoja koskevien päätösten tekemisessä. Hän työskentelee muiden C-sarjan jäsenten - mukaan lukien tietohallintojohtajan - kanssa määrittääkseen, kuinka paljon rahaa tulisi varata fyysisiin turvatoimiin, kuten valvontakameroihin, kulunvalvontaan ja hälytuksiin.

Mitä nämä muutokset merkitsevät sinulle?

Uusi ISO 27002:2022 ei ole suuri muutos. Siksi sinun ei tarvitse tehdä vakavia muutoksia ollaksesi yhteensopiva ISO 27002 -standardin uusimman version kanssa.

Sinun tulisi kuitenkin harkita nykyisen toteutuksen tarkistamista ja varmistaa, että se vastaa uusia vaatimuksia. Etenkin, jos olet tehnyt muutoksia edellisen version julkaisun vuonna 2013 jälkeen. Muutokset kannattaa katsoa uudelleen nähdäksesi, ovatko ne edelleen voimassa vai tarvitsevatko niitä muuttaa.

Voit kuitenkin saada lisätietoja siitä, kuinka uusi ISO 27002 vaikuttaa tietoturvaprosesseihisi ja ISO 27001 -sertifiointiin lukemalla ISO 27002:2022 -oppaamme.

Uudet ISO 27002 -säätimet

Miten ISMS.Online auttaa

ISMS.online voi myös auttaa osoittamaan ISO 27002 -standardin noudattamisen tarjoamalla sinulle online-järjestelmän, jonka avulla voit tallentaa kaikki asiakirjasi yhteen paikkaan ja asettaa ne kaikkien niitä tarvitsevien saataville. Järjestelmän avulla voit myös luoda jokaiselle asiakirjalle tarkistuslistoja, jotta kaikkien muutosten tekemiseen tai asiakirjojen tarkistamiseen osallistuvien on helppo nähdä, mitä on tehtävä seuraavaksi ja milloin se pitäisi tehdä.

Haluatko nähdä miten se toimii?

Ota yhteyttä jo tänään varaa esittely.