ISO 27002:2022 – Ohjaus 7.7 – Clear Desk and Clear Screen

ISO 27002 Control 7.7: Turvallisuuden parantaminen selkeillä työpöytä- ja näyttökäytännöillä

Kun työntekijä jättää työpisteensä ilman valvontaa, hänen työtilassaan olevaan digitaaliseen ja fyysiseen materiaaliin sisältyvät arkaluontoiset tiedot altistuvat kohonneelle luvattoman käytön, luottamuksellisuuden menetyksen ja vaurioiden riskille.

Jos työntekijä esimerkiksi käyttää asiakassuhteen hallintatyökalua, joka käsittelee terveystietoja ja jättää tietokoneensa ilman valvontaa lounastauon aikana, pahantahtoiset osapuolet voivat hyödyntää tätä mahdollisuutta varastaa ja väärinkäyttää arkaluonteisia terveystietoja.

Ohjaus 7.7 käsittelee sitä, kuinka organisaatiot voivat suunnitella ja valvoa selkeät työpöytä- ja näyttösäännöt suojatakseen ja ylläpitääkseen digitaalisilla näytöillä ja papereilla olevien arkaluonteisten tietojen luottamuksellisuutta.

Ohjauksen tarkoitus 7.7

Valvonta 7.7 antaa organisaatioille mahdollisuuden poistaa ja/tai vähentää luvattoman pääsyn riskejä, arkaluonteisten tietojen käyttäminen, vahingoittuminen tai katoaminen työntekijöiden työasemien näytöillä ja papereissa, kun työntekijät eivät ole paikalla.

Attribuuttien ohjaustaulukko 7.7

Ohjaus 7.7 on ennaltaehkäisevä hallinta, joka vaatii organisaatioita säilyttämään tietovarallisuuden luottamuksellisuuden kuvaamalla ja valvomalla selkeät työpöytä- ja selkeät näytön säännöt.

Määräysvallan omistus 7.7

Ottaen huomioon, että Control 7.7 vaatii organisaatioita ottamaan käyttöön ja toteuttamaan koko organisaation kattavan selkeän työpöydän ja selkeän näytön politiikan, tietoturvavastaavien tulisi olla vastuussa koko organisaatiossa voimassa olevien selkeiden työpöytä- ja selkeiden näyttösääntöjen tuotannosta, ylläpidosta ja täytäntöönpanosta.

Yleiset noudattamisohjeet

Ohjaus 7.7 korostaa, että organisaatioiden tulee luoda ja valvoa aihekohtaista politiikkaa, jossa määritellään selkeät työpöytä- ja selkeät näyttösäännöt.

Lisäksi Control 7.7 luettelee seitsemän erityisvaatimusta, jotka organisaatioiden tulee ottaa huomioon luodessaan ja valvoessaan selkeitä työpöytä- ja selkeän näytön sääntöjä:

1. Herkkä tai kriittinen Digitaalisiin tai fyysisiin esineisiin tallennetut tietovarat tulee lukita turvallisesti kun ne eivät ole käytössä tai kun näitä materiaaleja isännöivä työasema vapautuu. Esimerkiksi esineet, kuten paperit, tietokoneet ja tulostimet, tulee säilyttää turvallisissa huonekaluissa, kuten lukitussa tai salasanalla suojatussa kaapissa tai laatikossa.
2. Työntekijöiden käyttämät laitteet, kuten tietokoneet, skannerit, tulostimet ja muistikirjat, tulee suojata turvamekanismeilla, kuten avainlukoilla, kun niitä ei käytetä tai kun ne jätetään ilman valvontaa.
3. Kun työntekijät vapautuvat työtilastaan ​​ja jättävät laitteensa ilman valvontaa, heidän tulee jättää laitteet kirjautumatta ulos ja laitteen uudelleenaktivointi tapahtuu vain käyttäjän todennusmekanismin kautta. Lisäksi automaattiset aikakatkaisu- ja uloskirjautumisominaisuudet tulisi asentaa kaikkiin työntekijöiden päätelaitteisiin, kuten tietokoneisiin.
4. Tulostimet tulee suunnitella siten, että asiakirjan tulostanut henkilö (alkuperäinen) kerää tulosteet välittömästi. Lisäksi käytössä olisi oltava vahva todennusmekanismi, jotta vain lähettäjä saa kerätä tulosteen.
5. Fyysiset materiaalit ja irrotettavat tallennusvälineet, jotka sisältävät arkaluontoisia tietoja, on säilytettävä aina turvassa. Kun niitä ei enää tarvita, ne tulee hävittää turvallisen mekanismin kautta.
6. Organisaatioiden tulee luoda säännöt ponnahdusikkunoiden näyttämiselle näytöillä, ja nämä säännöt olisi ilmoitettava kaikille asianomaisille työntekijöille. Esimerkiksi sähköpostin ja viestien ponnahdusikkunat voivat sisältää arkaluonteisia tietoja, ja jos ne näkyvät näytöllä esityksen aikana tai julkisessa tilassa, se voi vaarantaa arkaluonteisten tietojen luottamuksellisuuden.
7. Tauluilla näkyvät arkaluontoiset tai tärkeät tiedot tulee poistaa, kun niitä ei enää tarvita.

Täydentävät ohjeet – Valvonta 7.7

Ohjaus 7.7 varoittaa organisaatioita vapautuneista tiloista aiheutuvilta riskeiltä. Kun organisaatio vapautuu tiloista, kyseisessä tilassa aiemmin säilytetyt fyysiset ja digitaaliset materiaalit tulee jättää pois turvallisesti poistettu, jotta arkaluonteiset tiedot ei jää epävarmaksi.

Siksi valvonta 7.7 edellyttää, että organisaatiot laativat menettelyt tilojen lomalle niin, että kaikki arkaluonteisia tietoja kyseisessä laitoksessa olevat hävitetään turvallisesti. Näihin toimenpiteisiin voi sisältyä viimeinen pyyhkäisy, jotta mitään arkaluonteisia tietoja ei jätetä suojaamatta.

Muutokset ja erot ISO 27002:2013:sta

27002:2022/7.7 replaces 27002:2013/(11.2.9)

Vuoden 2022 ja 2013 versioiden välillä on kaksi merkittävää eroa.

• 2022-versio ei viittaa kriteereihin, jotka olisi otettava huomioon selkeiden työpöytä- ja näyttösääntöjen luomisessa ja käyttöönotossa.

Toisin kuin vuoden 2022 versiossa, vuoden 2013 versiossa todettiin nimenomaisesti, että organisaatioiden tulisi ottaa huomioon organisaation laajuiset tiedon luokittelutasot, laki- ja sopimusvaatimukset sekä organisaatioon kohdistuvat riskit määrittäessään selkeää työpöytää ja selkeää näyttöpolitiikkaa.

- ISO 27002:2022 versioei kuitenkaan viittaa näihin elementteihin.

• 2022-versio tuo uudet ja kattavammat vaatimukset selkeälle työpöydälle ja selkeille näytön säännöille.

Toisin kuin vuoden 2013 versiossa, vuoden 2022 versiossa esitetään seuraavat vaatimukset, jotka organisaatioiden tulee ottaa huomioon luodessaan selkeitä työpöytä- ja näyttösääntöjä.

• Organisaatioiden tulisi luoda erityisiä sääntöjä ponnahdusikkunoihin arkaluonteisten tietojen luottamuksellisuuden säilyttämiseksi.
• Tauluille kirjoitetut arkaluontoiset tiedot tulee poistaa, kun niitä ei enää tarvita.
• Työntekijöiden päätelaitteet, kuten tietokoneet, tulee suojata avainlukoilla, kun niitä ei käytetä tai kun ne jätetään ilman valvontaa.

Uudet ISO 27002 -säätimet

Miten ISMS.online auttaa

ISO 27002 käyttöönotto on yksinkertaisempaa vaiheittaisen tarkistusluettelomme avulla, joka opastaa sinut koko prosessin läpi. Sinun täydellinen vaatimustenmukaisuusratkaisu ISO/IEC 27002:2022:lle.

• Jopa 81 % edistystä sisäänkirjautumisen jälkeen
• Yksinkertainen ja täydellinen vaatimustenmukaisuusratkaisu

Ota yhteyttä jo tänään varaa esittely.