ISO 27701 – Lauseke 6.8 – Fyysinen ja ympäristöturvallisuus

ISO 27701, lauseke 6.8: Fyysisen ja ympäristöllisen turvallisuuden vahvistaminen

Digitaalisten turvatoimien (RBAC, salaus ja todennushallinta) lisäksi organisaatioiden on rakennettava ja hallinnoitava fyysisiä paikkoja (sivustoja, toimistoja, tiloja), jotka tarjoavat korkeamman suojan henkilökohtaisille tunnistetiedoille missä tahansa niitä käsitellään tai säilytetään.

ISO hahmottelee lukuisia ihmisten, ympäristön ja kaupunkien uhkia, joita tulisi torjua rakennussuunnittelun, riskienhallinnan ja vankan fyysisen valvonnan avulla.

Mitä ISO 27701:n lauseke 6.8 kattaa

ISO 27701 6.8:n ohjeet jakautuvat kuuteen alalauseeseen, joista jokainen sisältää ohjausta erilaisilta ISO 27002 -säätimiltä, jota sovelletaan henkilökohtaisten tunnistetietojen ja yksityisyyden suojan yhteydessä:

• ISO 27701 6.8.1.1 – Fyysinen suojakehä (viitteet ISO 27002 Control 7.1)
• ISO 27701 6.8.1.2 – Fyysiset sisääntulon hallintalaitteet (viitteet ISO 27002 Control 7.2)
• ISO 27701 6.8.1.3 – Toimistojen, huoneiden ja tilojen turvaaminen (viitteet ISO 27002 Control 7.3)
• ISO 27701 6.8.1.4 – Suojaus ulkoisilta ja ympäristöuhkilta (viitteet ISO 27002 Control 7.5)
• ISO 27701 6.8.1.5 – Työskentely turvallisilla alueilla (viitteet ISO 27002 Control 7.6)
• ISO 27701 6.8.1.6 – Toimitus- ja lastausalueet (viitteet ISO 27002 Control 7.2)

ISO 27701:n lauseke 6.8 ei sisällä lisäohjeita PIMS:n käyttöönotosta ja hallinnasta, eikä Yhdistyneen kuningaskunnan GDPR-artikkeleita ole huomioitava.

ISO 27701, lauseke 6.8.1.1 – Fyysinen suojakehä

Viitteet ISO 27002 Control 7.1

Kehäsuojaus toimii periaatteella luoda jatkuvia sisäisiä fyysisiä esteitä, jotka estävät luvattoman pääsyn yksityisiin tietoihin.

Päästä päähän -alueen suojaustoiminnan ylläpitämiseksi organisaatioiden tulee estää fyysinen pääsy henkilökohtaisiin tunnistetietoihin seuraavasti:

• Arkaluontoisten tietojen (PII) tallentamisen huomioon ottavien turvarajojen määrittäminen ja toteuttaminen.
• Ylläpidämme "fyysisesti terveitä" kehyksiä, jotka tarjoavat turvallisen pääsyn 24/7.
• Kaikkien ulkopuolisten sisään- ja ulostulokohtien lukitseminen, kun henkilökuntaa ei ole paikalla (ja tarvittaessa ilmanvaihtopisteiden varmistaminen).
• Ovien suojaaminen hälyttimillä ja turvatoimilla (avainkoodit, automaattiset lukitusmekanismit jne.).
• Ylläpidämme vankkaa hälytettyjen palo-ovien sarjaa, jotka huomioivat voimassa olevan lainsäädännön ulko- ja sisätilojen kulkupisteiden rakentamisesta.
• Varosuunnitelmien laatiminen, jotka mahdollistavat turvallisuuden lisäämisen kriittisten tilanteiden tai turvallisuuspoikkeamien aikana.

ISO 27701, lauseke 6.8.1.2 – Fyysiset sisäänpääsyn hallintalaitteet

Viitteet ISO 27002 Control 7.2

ISO 27701 6.8.1.1 keskittyy turvarajoihin, kun taas lausekkeessa 6.8.1.2 esitetään yleiset periaatteet sen varmistamiseksi, että vain valtuutetut henkilöt pääsevät alueille, jotka sisältävät henkilökohtaisia ​​tunnistetietoja ja yksityisyyteen liittyviä resursseja.

Yleinen Ohjeistus

Organisaatioiden tulee:

• Rajoita yhtenäisesti pääsy kokonaisiin kohteisiin, rakennuksiin ja toimistotiloihin vain valtuutetuille henkilöille (mukaan lukien hätäuloskäynnit).
• Suorita käyttöoikeustasojen määräajoin tarkastuksia, joihin tulisi kuulua kaikkien käyttöoikeustasojen kattava päivitys tarpeen mukaan (katso ISO 27002 -ohjaus 5.18).
• Pidä lokikirjaa tai luo digitaalinen kirjausketju sivuston ja huoneen pääsystä (katso ISO 27002 -ohjaus 5.33).
• Kehitä ja asenna teknisiä pääsytoimenpiteitä (avainkortit, kaukosäätimet, biometriset syöttöjärjestelmät, koodatut hälyttimet jne.).
• Pidä valvottua vastaanottoaluetta.
• Tarkista sisäisen ja ulkoisen henkilöstön henkilökohtaiset tavarat ennen sisääntuloa (Huom. alueelliset henkilökohtaisen omaisuuden tarkastusta koskevat lait voivat estää organisaatioita tekemästä tätä).
• Täytä koko sivuston kuvallinen henkilöllisyystodistus.
• Tarjoamalla vierailijoille rajoitetun pääsyn alueelle, joka tallentaa tai käsittelee henkilökohtaisia ​​tunnistetietoja tai yksityisyyteen liittyviä tietoja.
• Luo varasuunnitelmia tapahtumia ja kriittisiä skenaarioita varten.
• Ylläpidä avaintenhallintajärjestelmää, joka kirjaa, tarkastaa, ylläpitää, myöntää ja peruuttaa pääsyn todennusmenetelmiin, kuten ovijärjestelmiin ja yhdistelmälukkoihin (katso ISO 27002 -ohjaus 5.17).

Vierailijat

Salliessaan vierailijoiden pääsyn rajoitetuille alueille organisaatioiden tulee:

• Varmista vierailijan henkilöllisyys ennen pääsyn myöntämistä.
• Kirjaa käynnin päivämäärä ja aika.
• Varmista, että vierailun luonne ymmärretään ja tallennetaan ja että se on sopiva käytettävän fyysisen alueen kontekstiin.
• Varmista, että vierailijaa valvotaan tarvittaessa.

Toimitus- ja lastausalueet

Kuormausaluetta suunniteltaessa ja käyttäessään organisaatioiden tulee:

• Rajoita pääsy lastausalueille vahvistettuihin yrityksiin ja henkilöihin.
• Rakenna lastausalue siten, että mihinkään muuhun tilojen osaan ei pääse ilman asianmukaista lupaa.
• Tarkista vastaanotetut toimitukset vaarallisten, laittomien ja räjähdysvaarallisten aineiden sekä peukaloinnin varalta, ennen kuin siirrät niiden sisältöä tiloihin.
• Kirjaa saapuvat toimitukset organisaation omaisuudenhallinnan säätöjen mukaisesti (katso ISO 27002 -säätimet 5.9 ja 7.10).
• Tarjoa henkilöstölle tilaa saapuvan ja lähtevän materiaalin fyysiseen erottamiseen.

Asiaankuuluvat ISO 27002 -säätimet

• ISO 27002 5.9
• ISO 27002 5.17
• ISO 27002 5.18
• ISO 27002 5.33
• ISO 27002 7.10

ISO 27701 lauseke 6.8.1.3 – toimistojen, huoneiden ja tilojen turvaaminen

Viitteet ISO 27002 Control 7.3

Henkilökohtaisten tunnistetietojen ja yksityisyyteen liittyvien resurssien fyysinen suoja ulottuu myös huoneisiin, jotka sijaitsevat vakiintuneen turvaalueen sisällä. Toimistojen, huoneiden ja tilojen turvaamiseksi organisaatioiden tulee:

Sisäisten tilojen suojaamiseksi organisaatioiden tulee:

• Vältä rakentamasta toimistotiloja, joihin yleisöllä on vapaa pääsy ilman asianmukaista lupaa.
• Henkilökohtaisten tunnistetietojen käsittelylaitteiden osalta vältä palvelun tarkoituksen osoittavia kylttejä (sisäisesti tai ulkoisesti).
• Rakenna tilat, jotka estävät henkilöstön näkyvyyden yleisölle, ja asenna tarvittaessa asianmukainen sähkömagneettinen suojaus.
• Piilota henkilökohtaisten tunnistetietojen käsittelylaitteiden läsnäolo online-kartta-alustoista ja viestintähakemistoista.

ISO 27701 lauseke 6.8.1.4 – Suojautuminen ulkoisilta ja ympäristöuhkilta

Viitteet ISO 27002 Control 7.5

"Uhka" voidaan tulkita suureksi tapahtumaksi, joka voi vaikuttaa henkilökohtaisiin tunnistetietoihin tai yksityisyyteen liittyvään omaisuuteen.

Organisaatioiden tulisi aloittaa uhkariskin arviointi ennen "kriittisten toimintojen" suorittamista, joissa otetaan huomioon muutokset uhkaympäristössä, mukaan lukien sekä fyysiset (esim. rikollinen toiminta) että ympäristöuhat (tulvat, tulipalot jne.).

Fyysisiä tiloja rakentaessaan organisaatioiden tulee ottaa huomioon:

• Paikalliset maantieteelliset ja topologiset tekijät, mukaan lukien maaperän piirteet, lähellä oleva vesi ja maanjäristyksen mahdollisuus.
• Kaikki kaupunkialueilla ihmisistä lähtevät uhat, kuten terroristi- tai rikollinen toiminta ja poliittinen väkivalta/levottomuus.

Kun riskinarviointi on valmis, organisaatioiden tulee kehittää sarja valvontatoimia, joilla pyritään sekä ehkäisemään että minimoimaan uhan esiintymisen tai toistumisen riski.

ISO mainitsee tulipalo, tulviminen, sähköpiikkejä ja räjähteitä/aseita erityisen tärkeänä. Jos resursseja venytetään, organisaatioiden tulisi keskittyä näihin neljään osa-alueeseen ensisijaisesti.

ISO 27701, lauseke 6.8.1.5 – Työskentely suojatuilla alueilla

Viitteet ISO 27002 Control 7.6

Organisaatioiden on turvattava henkilökohtaisia ​​tunnistetietoja ja yksityisyyteen liittyvää omaisuutta ottamalla käyttöön koko henkilöstölle turvallinen työskentelykäytäntö, jossa otetaan huomioon työroolit ja fyysiset suojatoimenpiteet.

Muotoillessaan työpolitiikkaa turvallisilla alueilla organisaatioiden tulee:

• Varmista, että henkilöstö toimii "tarve tietää" -periaatteella.
• Vältä jättämästä henkilökuntaa ilman valvontaa pitkiksi ajoiksi.
• Varmista, että kaikki asiaankuuluvat ovet on lukittu ja että alhainen liikkuvuus tai pysyvästi tyhjiä alueita tarkastetaan määräajoin.
• Tarkkaile ja hallitse henkilökohtaisten ja organisaation päätelaitteiden käyttöä tasolla, joka on oikeassa suhteessa säilytettävään tietoon.
• Esitä valmiussuunnitelmat ja hätätoimenpiteet selkeästi, jotta henkilökunta ymmärtää, miten kriittisiin skenaarioihin tulee reagoida.

ISO 27701, kohta 6.8.1.6 – Toimitus- ja lastausalueet

Viitteet ISO 27002 Control 7.2

Katso ISO 27701 lauseke 6.8.1.2 (edellä).

Tuetut ohjaimet ISO 27002:sta ja GDPR:stä

Miten ISMS.online auttaa

Miten autamme?

ISO 27701:n saavuttamiseksi sinun on rakennettava Privacy Information Management System (PIMS). Esikonfiguroidun PIMS:n avulla voit nopeasti ja helposti järjestellä ja hallita asiakas-, toimittaja- ja henkilöstötietoja täysin ISO 27701 -standardin mukaisiksi.

Voit myös mukautua kasvavaan määrään maailmanlaajuisia, alueellisia ja alakohtaisia ​​tietosuojasäännöksiä, joita tuemme ISMS.online-alustalla.

ISO 27701 -sertifikaatin saamiseksi sinun on ensin saatava ISO 27001 -sertifikaatti. Hyvä uutinen on, että alustamme voi auttaa sinua molempien suorittamisessa.

Lisätietoja: varata käytännön demo.