ISO 27001:2022 bilaga A 7.9 – Säkerhet för tillgångar utanför lokaler

• Se ISO 27002:2022 Kontroll 7.9 för mer information.
• Se ISO 27001:2013 bilaga A 11.2.6 för mer information.

ISO 27001:2022 Kontroll 7.9 – Säkerhet för tillgångar utanför kontoret

När enheter som innehåller värdefulla informationstillgångar tas bort från organisationens fysiska plats är de mer mottagliga för skada, stöld, förlust, förstörelse eller intrång.

Fysiska säkerhetskontroller inom en organisations anläggningar kommer inte att vara effektiva, vilket gör att dess tillgångar utanför platsen blir utsatta för hot som fysiska risker och illvilliga individer som försöker få obehörig åtkomst.

Partners arbetar på distans kan ta företagsdatorer med konfidentiell data bort från verksamheten, arbeta på ett kafé, hotellobby, etc, ansluta till osäkrat offentligt Wi-Fi och lämna sina enheter oövervakade. Dessa åtgärder utgör en risk för säkerheten, konfidentialitet, integritet och tillgänglighet för informationen som finns på enheterna.

Organisationer bör se till att enheter som tas utanför lokalerna förblir säkra.

ISO 27001:2022 bilaga A 7.9 beskriver hur organisationer kan säkerställa säkerheten för enheter som är placerade borta från huvudplatsen och som är värd för informationstillgångar. De måste upprätta lämpliga kontroller och rutiner för att uppnå detta.

Syftet med ISO 27001:2022 bilaga A 7.9

ISO 27001: 2022 Bilaga A 7.9 tillåter organisationer att skydda säkerheten för informationstillgångar som finns i hårdvara genom att motverka två distinkta risker:

• Minimerar risken för att datatillgångar i enheter utanför platsen går förlorade, skadas, förstörs eller exponeras.
• Att undvika avbrott i företagets databehandling operationer från intrång i externa enheter.

Äganderätt till bilaga A 7.9

ISO 27001:2022 Annex A 7.9 kräver att organisationer upprättar och implementerar protokoll och regler som täcker alla enheter som ägs eller används för företagets räkning. Dessutom är det viktigt för ett effektivt skydd av enheter utanför anläggningen att en tillgångsinventering skapas och att den högsta ledningen godkänner användningen av personliga enheter.

Smakämnen Informationssäkerhetschef bör rådgöra med ledning och tillgångsägare och ansvara för att utveckla, genomföra och upprätthålla rutiner och åtgärder för att säkerställa säkerheten för enheter som tas bort från företagets lokaler.

Allmän vägledning om ISO 27001:2022 bilaga A 7.9 Överensstämmelse

Bilaga A 7.9 beskriver sex nödvändigheter som organisationer måste iaktta när de konstruerar och tillämpar åtgärder och protokoll för att skydda tillgångar som tas bort från lokalerna:

1. Datorer, USB-enheter, hårddiskar och bildskärmar som tagits utanför anläggningen av företaget bör aldrig lämnas utan tillsyn i allmänna utrymmen som kaféer, och inte heller på någon osäker plats.
2. Följ alltid enhetstillverkarens instruktioner och specifikationer angående fysiskt skydd av enheten. Följ till exempel deras instruktioner om att skydda enheten från vatten, värme, elektromagnetiska fält och damm.
3. Anställda och andra organisationer som tar datorutrustning utanför företagets lokaler bör föra en logg som beskriver förvarskedjan. Denna logg bör åtminstone innehålla namnen på de personer som är ansvariga för enheten och deras organisation.
4. Om en organisation finner att auktorisation är nödvändig och praktisk för att avlägsna utrustning från företagets lokaler, bör de upprätta ett förfarande. Denna procedur bör täcka tagande av viss utrustning utanför anläggningen och föra ett register över alla borttagningsåtgärder för att ge organisationen en revisionsspår.
5. Det är viktigt att vidta nödvändiga åtgärder för att avvärja faran för otillåten visning av data på kollektivtrafikens skärmar.
6. Organisationen bör installera platsspårningsverktyg och möjliggöra fjärråtkomst, så att enhetens plats kan övervakas och vid behov all data som lagras på enheten kan fjärrrensas.

Kompletterande vägledning om bilaga A 7.9

ISO 27001:2022 bilaga A 7.9 ställer krav på skydd av utrustning som installeras utanför företagets lokaler på permanent basis.

Denna utrustning kan bestå av antenner och bankomater.

Med tanke på den ökade risken för skada och förlust av denna utrustning, kräver bilaga A 7.9 att organisationer överväger följande när de skyddar den utanför anläggningen:

• ISO 27001:2022 bilaga A 7.4, Fysisk säkerhetsövervakning, bör beaktas.
• Se till att ISO 27001:2022 bilaga A 7.5 beaktas, vilket är skyddet mot miljö- och fysiska hot.
• Åtkomstkontroller bör skapas och lämpliga åtgärder bör vidtas för att stoppa störningar.
• Skapa och tillämpa logiska åtkomstkontroller.

Bilaga A 7.9 rekommenderar organisationer att ha bilaga A 6.7 och bilaga A 8.1 i åtanke när de formulerar och inför åtgärder för att skydda anordningar och utrustning.

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 bilaga A 7.9 ersätter ISO 27001:2013 Bilaga A 11.2.6.

Det finns tre stora skillnader som bör noteras:

ISO 27001:2022 bilaga A Kontroll 7.9 kräver en omfattande uppsättning instruktioner.

Bilaga A 7.9 introducerar två nya krav i jämförelse med dess ISO 27001:2013-version:

• Lämpliga åtgärder bör vidtas för att förhindra att obehöriga ser informationen som visas i kollektivtrafiken.
• Platsövervakning och fjärråtkomst bör aktiveras för att möjliggöra spårning av enheten och möjligheten att radera information som lagrats på enheten på distans, om det behövs.

I bilaga A 7.9 införs nya kriterier för anordningar som är permanent placerade på avstånd från lokalerna.

I jämförelse med ISO 27001:2013-versionen ger ISO 27001:2022 Annex A 7.9 tydliga råd om skyddsutrustning som är fixerad på en annan plats.

Det kan röra sig om antenner och bankomater.

Förbudet mot distansarbete införs för att minska riskerna.

ISO 27001:2013-versionen klargjorde att organisationer kunde förbjuda anställda från distansarbete om det var förenligt med de risknivåer som hade identifierats. Däremot nämner inte ISO 27001:2022-versionen detta.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje enskild ISO 27001:2022 Annex A-kontroll.

Hur ISMS.online Hjälp

ISMS.online är det perfekta verktyget för att hantera en ISO 27001:2022-implementering. Den är skräddarsydd för att hjälpa företag att implementera en ledningssystem för informationssäkerhet (ISMS) som uppfyller standarderna i ISO 27001:2022.

Plattformen använder sig av ett riskbaserat tillvägagångssätt, tillsammans med bästa praxis och mallar i toppklass, för att hjälpa till att känna igen riskerna som din organisation står inför och nödvändiga kontroller för att hantera dem. Genom att göra det kan du effektivt minimera både din riskexponering och efterlevnadskostnader.

Kontakta oss nu för att arrangera en demonstration.