ISO 27001:2022 Annex A 7.4 – Fysisk säkerhetsövervakning

Stärka den fysiska säkerheten med ISO 27001:2022 efterlevnad

I händelse av att obehörig åtkomst ges till begränsade fysiska områden som serverrum och IT-utrustningsrum, informationstillgångar kan äventyras när det gäller konfidentialitet, tillgänglighet, integritet och säkerhet.

I ISO 27001:2022 bilaga A 7.4 hindras inkräktare från att ta sig in i känsliga fysiska lokaler utan tillstånd.

Syftet med ISO 27001:2022 bilaga A 7.4?

Bilaga A Kontroll 7.4 kräver att organisationer implementerar lämpliga övervakningsverktyg. Detta för att upptäcka och förhindra externa och interna inkräktare från att ta sig in på begränsade fysiska områden utan tillstånd.

Övervakningsverktyg som kan övervaka och registrera åtkomstbegränsade områden skyddar mot risker till följd av obehörig åtkomst till begränsade områden, inklusive men inte begränsat till:

• Datastöld.
• Förlusten av informationstillgångar.
• Ekonomisk skada.
• Borttagning av flyttbara mediatillgångar för skadliga syften.
• Skadlig programvara infektion av IT-tillgångar.
• Attacker utförs av en inkräktare som använder ransomware.

Vem har äganderätten till bilaga A 7.4?

Enligt ISO 27001 Bilaga A Kontroll 7.4, efterlevnad av denna kontroll kräver identifiering av alla restriktiva områden. Det kräver också identifiering av övervakningsverktyg som är lämpliga för det specifika fysiska området som ska övervakas.

Därför måste säkerhetschefen vara ansvarig för implementering, underhåll, förvaltning och översyn av övervakningssystem på ett effektivt sätt.

Vägledning om hur man följer ISO 27001:2022 bilaga A 7.4

Enligt ISO 27001 Annex A Kontroll 7.4 måste organisationer implementera följande tre steg för att upptäcka och förhindra obehörig åtkomst till anläggningar som innehåller kritiska informationstillgångar och förhindra att de äventyras.

Sätt in ett videoövervakningssystem för att hålla ett öga på situationen

För att kontinuerligt övervaka åtkomst till begränsade områden som är värd för kritiska informationstillgångar, bör en organisation ha ett videoövervakningssystem, såsom CCTV-kameror. Detta är ett exempel på ett sådant system. Dessutom är det också viktigt att detta övervakningssystem håller ett register över alla in- och utgångar i lokalerna.

Installera detektorer för att utlösa ett larm

Möjligheten att utlösa ett larm när en inkräktare kommer in i den fysiska lokalen gör att säkerhetsteamet kan reagera snabbt på eventuella säkerhetsöverträdelser. Det kan också vara ett effektivt sätt att avskräcka inkräktare från att ta sig in i ditt hem.

Det rekommenderas att organisationer köper rörelse-, ljud- och kontaktdetektorer som varnar dem när onormal aktivitet upptäcks inom organisationens fysiska lokaler.

Detta inkluderar, men är inte begränsat till:

• En kontaktdetektor bör installeras i miljön. När ett okänt föremål eller individ kommer i kontakt med ett specifikt föremål eller bryter kontakten med ett visst föremål, bör ett larm aktiveras. En kontaktdetektor kan till exempel konfigureras för att utlösa ett larm när kontaktdetektorn kommer i kontakt med valfritt fönster eller dörr.
• Rörelsedetektorerna kan konfigureras så att de varnar dig om de upptäcker rörelse inom sitt synfält av ett föremål som rör sig i deras synområde.
• En ljuddetektor, till exempel en krossglasdetektor, kan aktiveras när den upptäcker ett ljud, vilket kan hjälpa till att förhindra bilolyckor.

Konfiguration av larm för alla interna lokaler

Det är absolut nödvändigt att säkerställa att larmsystemet har konfigurerats på lämpligt sätt. Detta kommer att säkerställa att alla känsliga områden, inklusive alla ytterdörrar, fönster, obemannade områden och datorrum, är inom larmsystemets räckvidd. Detta kommer att förhindra att eventuella sårbarheter utnyttjas.

Till exempel kan inkräktare använda rökområden eller gymentréer som attackvektorer om de inte övervakas.

Tillgängliga typer av övervakningssystem

Även ISO 27001 Bilaga A Kontroll 7.4 kräver inte att organisationer väljer ett övervakningssystem framför ett annat, den listar flera övervakningsverktyg som kan användas separat eller i kombination med andra, inklusive:

• CCTV kameror.
• Säkerhetsvakter.
• Inbrottslarmsystem.
• Programvara för fysisk säkerhet.

ISO 27001:2022 bilaga A 7.4 Kompletterande vägledning

Följande överväganden bör beaktas vid implementering av fysiska säkerhetsövervakningssystem enligt bilaga A Kontroll 7.4:

• Att upprätthålla konfidentialitet om övervakningssystemens utformning och inre funktion är viktigt.
• För att eliminera risken för avaktivering av övervakningssystem på distans av illvilliga parter bör lämpliga åtgärder vidtas. Dessa åtgärder bör vidtas för att förhindra avslöjande av övervakningsverksamhet, och videoflöden till obehöriga parter.
• Det är viktigt att larmcentralen är placerad i ett larmutrustat område. Dessutom är det väsentligt att den som utlöser larmet har säker och enkel tillgång att lämna området.
• En manipuleringssäker detektor och en larmcentral bör användas.
• Individer bör övervakas och registreras med hjälp av övervakningssystem endast för legitima ändamål. Denna övervakning och inspelning bör följa alla tillämpliga lagar och förordningar, inklusive dataskyddslagar. Till exempel EU och Storbritannien GDPR kan kräva att organisationer gör en konsekvensbedömning innan de sätter in CCTV-kameror. Dessutom bör inspelningen av videoflöden följa de datalagringsperioder som fastställts av tillämpliga lokala lagar.

Vilka är ändringarna från ISO 27001:2013?

Det är relevant att notera att kontroll 7.4 är en helt ny bilaga A-kontroll som inte behandlas i ISO 27001:2013.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje enskild ISO 27001:2022 Annex A-kontroll.

Fördelarna med ISMS.online

ISMS.online erbjuder ett brett utbud av kraftfulla verktyg som förenklar implementering, underhåll och förbättring av ditt ledningssystem för informationssäkerhet (ISMS) för att uppfylla kraven för efterlevnad av ISO 27001.

Förutom att tillhandahålla omfattande verktyg, ISMS.online låter dig skapa skräddarsydda policyer och procedurer skräddarsydda för din organisations risker och krav. Det möjliggör också samarbete mellan kollegor och externa partners såsom leverantörer eller tredjepartsrevisorer.

Hör av dig idag för att boka en demo.