ISO 27001:2022 bilaga A 7.5 – Skydd mot fysiska och miljömässiga hot

• Se ISO 27002:2022 Kontroll 7.5 för mer information.
• Se ISO 27001:2013 bilaga A 11.1.4 för mer information.

ISO 27001 Annex A 7.5: Stärka säkerheten mot fysiska och miljömässiga hot

Organisationer måste ta hänsyn till de risker som fysiska hot utgör mot deras informationstillgångar.

Sådana hot kan inkludera miljöskador, stöld, förstörelse och äventyrande av data. Dessa problem kan alla leda till förlust av information och risken för att känslig information exponeras.

Naturliga händelser som jordbävningar, översvämningar och skogsbränder, såväl som av människan skapade katastrofer som civila oroligheter och kriminella handlingar, utgör hot.

ISO 27001: 2022 Bilaga A 7.5 kräver att organisationer bedömer, erkänner och minskar riskerna för vital fysisk infrastruktur från fysiska och miljömässiga faror.

Syftet med ISO 27001:2022 bilaga A 7.5

ISO 27001:2022 Annex A 7.5 gör det möjligt för organisationer att bedöma de potentiella risker som miljö- och fysiska hot utgör, och att minska eller eliminera dessa risker genom att implementera lämpliga åtgärder.

Äganderätt till bilaga A 7.5

ISO 27001: 2022 Bilaga A 7.5 kräver att organisationer genomför en omfattande riskbedömning innan de utför någon fysisk verksamhet i lokalerna och att vidta lämpliga åtgärder i proportion till den identifierade risken.

Säkerhetschefer ansvarar för att skapa, hantera, implementera och utvärdera hela processen.

Vägledning om ISO 27001:2022 bilaga A 7.5 Överensstämmelse

ISO 27001:2022 Annex A 7.5 beskriver en tredelad strategi för att identifiera och ta bort potentiella faror från fysiska och miljömässiga källor.

Steg 1 – Gör en riskbedömning

Organisationer bör utföra en riskbedömning att identifiera eventuella fysiska och miljömässiga faror som kan uppstå i deras lokaler och sedan bedöma de möjliga effekterna av dessa identifierade fysiska och miljömässiga risker.

Med tanke på mångfalden av miljöförhållanden och fysiska risker som varje lokal och infrastruktur kan möta, kommer typen av hot och risknivån som identifieras att variera beroende på platsen.

En fastighet kan vara särskilt sårbar för skogsbränder medan en annan kan vara belägen i ett område som är utsatt för jordbävningar.

Det är väsentligt att en riskbedömning görs innan aktiviteter påbörjas på plats, enligt bilaga A 7.5.

Steg 2 – Upprätta och använda kontroller

Med tanke på typen av hot och den tillhörande risken som identifierades initialt, bör organisationer implementera korrekta kontroller med de möjliga konsekvenserna av miljömässiga och fysiska hot i åtanke.

ISO 27001:2022 Annex A 7.5 ger exempel på kontroller som kan implementeras för att bekämpa olika hot:

• Organisationer bör installera system som kan varna dem om bränder och aktivera brandsläckningssystem för att skydda digitala medier och informationssystem från förstörelse.
• System bör implementeras och installeras för att identifiera översvämningar på platser där data lagras. Dessutom bör vattenpumpar vara förberedda för att kunna användas i händelse av översvämning.
• Servrar och datahanteringssystem måste skyddas mot elektriska överspänningar. Regelbundet underhåll och skydd är avgörande för optimal prestanda.
• Organisationer borde regelbundet revision och inspektera människor, föremål och fordon som kommer in på kritiska infrastrukturplatser.

Steg 3 – Övervakning

Håll koll på framstegen och gör justeringar vid behov. Utvärdera regelbundet resultat och gör ändringar för att säkerställa att målen uppnås. Se till att dokumentera eventuella ändringar för framtida referens.

Kompletterande vägledning om bilaga A 7.5

ISO 27001:2022 Annex A 7.5 beskriver fyra överväganden som organisationer bör ha i åtanke.

Samråd med experter

Varje miljömässigt och fysiskt hot, såsom giftigt avfall, jordbävning och brand, är distinkt i termer av dess egenskaper, faran den utgör och de åtgärder som måste vidtas.

Organisationer bör konsultera specialistråd om hur man upptäcker, minskar och/eller hanterar risker som dessa hot utgör.

Val av plats för lokaler

Med tanke på den lokala terrängen, vattennivåerna och den tektoniska aktiviteten på en potentiell plats för en byggnad kan det hjälpa att identifiera och eliminera potentiella risker tidigt.

Organisationer bör överväga riskerna för katastrofer orsakade av människor i det valda stadsområdet, till exempel politisk oro och kriminellt beteende.

Extra lager av säkerhet

Användningen av säkra lagringsmetoder, såsom kassaskåp, ger ett extra lager av skydd mot katastrofer som brand och översvämningar, utöver de befintliga säkerhetsåtgärderna.

Brottsförebyggande genom miljödesign

ISO 27001:2022 Annex A 7.5 föreslår att organisationer överväger detta koncept när de inför kontroller för att stärka lokalsäkerheten. Detta tillvägagångssätt kan användas för att bekämpa urbana hot såsom kriminell verksamhet, civila oroligheter och terrorism.

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 bilaga A 7.5 ersätter ISO 27001:2013 Bilaga A 11.1.4 i den reviderade standarden.

2013-versionen fokuserade på hur organisationer bör vidta förebyggande åtgärder mot fysiska och miljömässiga hot, medan 2022-versionen är mer omfattande och beskriver de specifika steg som organisationer bör vidta för att följa.

Sammanfattningsvis sticker två huvudsakliga distinktioner ut.

2022-versionen ger råd om mötesbestämmelser

2013 års upplaga gav ingen vägledning om hur organisationer kan känna igen och minska risker orsakade av miljömässiga och fysiska faror.

2022-versionen beskriver en process i tre steg som organisationer måste implementera, som börjar med en riskbedömning.

Revisionen 2022 uppmuntrar organisationer att införa ett extra lager av åtgärder

Den kompletterande vägledningen för 2022 inkluderar användning av kassaskåp och brottsförebyggande genom miljödesign som sätt att öka säkerheten mot hot.

Under 2013 togs dock inga extra steg.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje enskild ISO 27001:2022 Annex A-kontroll.

Hur ISMS.online Hjälp

ISMS.online-plattformen erbjuder en mängd potenta verktyg för att dokumentera, implementera, bevara och förbättra din ledningssystem för informationssäkerhet (ISMS) och att bli kompatibel med ISO 27001:2022 lättare.

Denna omfattande samling verktyg tillhandahåller en enda plats där du kan anpassa en uppsättning policyer och procedurer för att matcha din organisations särskilda risker och behov.

Kontakta oss idag för att arrangera en demonstration.