ISO 27002:2022, valvonta 7.9 – omaisuuden suojaus muualla

Määräysvallan omistus 7.9

Valvonta 7.9 edellyttää, että organisaatiot luovat ja soveltavat menettelyjä ja valvontatoimia, jotka kattavat kaikki organisaation omistamat tai sen puolesta käytetyt laitteet. Lisäksi omaisuusluettelon luominen ja ylimmän johdon hyväksyntä henkilökohtaisten laitteiden käytölle on olennaista ulkopuolisten laitteiden tehokkaan suojan kannalta.

Siksi tietoturvapäällikön tulee kuulla johtoa ja asiaankuuluvien omaisuuden omistajia ja olla vastuussa sellaisten menettelyjen ja toimenpiteiden luomisesta, toteuttamisesta ja ylläpidosta, joilla ylläpidetään yrityksen toimitiloista poistettujen laitteiden turvallisuutta.

Yleiset noudattamisohjeet

Ohjaus 7.9 luettelee kuusi vaatimusta, joita organisaatioiden tulee noudattaa suunniteltaessa ja toteuttaessaan toimenpiteitä ja ohjeita muualle siirretyn omaisuuden suojaamiseksi:

1. ATK-laitteita ja tallennusvälineitä, jotka on otettu pois toimipaikasta, kuten yritysten tietokoneita, USB-laitteita, kiintolevyjä ja näyttöjä, ei saa jättää vartioimatta julkisiin tiloihin, kuten kahviloihin tai mihinkään turvattomaan paikkaan.
2. Laitteen valmistajan ohjeita ja kyseisen laitteen fyysistä suojausta koskevia eritelmiä on aina noudatettava. Esimerkiksi laitteen valmistajan ohjeet voivat sisältää laitteen/laitteen suojaamisen vedeltä, lämmöltä, sähkömagneettisilta kentiltä ja pölyltä.
3. Työntekijät ja/tai muut organisaatiot, jotka vievät tietokonelaitteita yrityksen tilojen ulkopuolelle, voivat siirtää nämä laitteet muille työntekijöille tai kolmansille osapuolille. Näiden laitteiden turvallisuuden ylläpitämiseksi organisaatioiden tulee pitää lokia, joka määrittelee alkuperäketjun. Tämän lokitietueen tulee sisältää vähintään henkilöiden nimet vastuussa laitteesta ja niiden organisaatiosta.
4. Jos organisaatio katsoo, että valtuutusmenettely on välttämätön ja käytännöllinen laitteiden poistamiseksi yrityksen tiloista, sen tulisi luoda ja soveltaa lupamenettelyä tiettyjen laitteiden viemiseksi laitoksen ulkopuolelle. Tämän valtuutusmenettelyn tulisi sisältää myös kirjaaminen kaikista laitteen poistotoimista, jotta organisaatiolla on kirjausketju.
5. Asianmukaisia ​​toimenpiteitä tulisi toteuttaa, jotta vältetään julkisen liikenteen näytöllä olevien tietojen luvaton katsominen.
6. Sijainninseurantatyökalut ja etäkäyttö tulee olla paikallaan, jotta laitetta voidaan seurata ja laitteen sisältämät tiedot voidaan tarvittaessa pyyhkiä etäältä.

Valvontaa koskevat lisäohjeet 7.9

Ohjaus 7.9 sisältää myös vaatimukset yrityksen tilojen ulkopuolelle pysyvästi asennettujen laitteiden suojauksesta.

Tämä laite voi sisältää antenneja ja pankkiautomaatteja.

Ottaen huomioon, että tämä laite voi olla alttiina kohonneelle vaurio- ja katoamisriskille, valvonta 7.9 edellyttää, että organisaatiot ottavat huomioon seuraavat seikat suojattaessa tätä ulkopuolista laitetta:

1. Ohjaus 7.4, nimittäin Fyysisen turvallisuuden valvonta, tulisi harkita.
2. Valvonta 7.5, eli suojaus ympäristö- ja fyysisiä uhkia vastaan, olisi otettava huomioon
3. Kulunvalvonta olisi vahvistettava ja toteutettava asianmukaiset toimenpiteet peukaloinnin estämiseksi.
4. Looginen pääsynhallinta tulee luoda ja ottaa käyttöön.

Lisäksi Valvonta 7.9 suosittelee, että organisaatiot ottavat huomioon tarkastukset 6.7 ja 8.1 määritellessään ja toteuttaessaan toimenpiteitä laitteiden ja laitteiden suojaamiseksi.

Muutokset ja erot standardista ISO 27002:2013

27002:2022/ 7.9 korvaa 27002:2013/(11.2.6)

On kolme keskeistä eroa, jotka on korostettava:

• Ohjaus 7.9 asettaa kattavammat vaatimukset

Verrattuna vuoden 2013 versioon, Control 7.9 vuoden 2022 versiossa asettaa seuraavat kaksi vaatimusta:

1. Asianmukaisia ​​toimenpiteitä tulisi toteuttaa, jotta vältetään julkisen liikenteen näytöllä olevien tietojen luvaton katsominen.
2. Sijainninseurantatyökalut ja etäkäyttö tulee olla paikallaan, jotta laitetta voidaan seurata ja laitteen sisältämät tiedot voidaan tarvittaessa pyyhkiä etäältä.

• Ohjaus 7.9 tuo uusia vaatimuksia pysyvästi asennetuille muualla kuin toimipaikassa oleville laitteille

Toisin kuin vuoden 2013 versiossa, Control 7.9 vuoden 2022 versiossa sisältää erilliset ohjeet pysyvästi muualle asennettujen laitteiden suojaamisesta.

Näitä voivat olla antennit ja pankkiautomaatit.

• Etätyön kielto riskien poistamiseksi

Vuoden 2013 versiossa todettiin nimenomaisesti, että organisaatiot voivat kieltää työntekijöitä tekemästä etätyötä, kun se on tunnistetun riskitason kannalta tarkoituksenmukaista. Vuoden 2022 versiossa ei kuitenkaan viitata tällaiseen toimenpiteeseen.

Miten ISMS.online auttaa

Voit käyttää ISMS.onlinea hallita ISO 27002 -toteutustasi, koska se on suunniteltu erityisesti auttamaan yritystä ottamaan käyttöön tietoturvan hallintajärjestelmänsä (ISMS) ISO 27002 -standardin vaatimusten mukaisesti.

Alusta käyttää riskiin perustuvaa lähestymistapaa yhdistettynä alan johtaviin parhaisiin käytäntöihin ja malleihin, joiden avulla voit tunnistaa organisaatiosi kohtaamat riskit ja hallintakeinot, joita tarvitaan näiden riskien hallitsemiseksi. Näin voit systemaattisesti vähentää sekä riskiäsi että noudattamisesta aiheutuvia kustannuksia.

Ota yhteyttä jo tänään varaa esittely.