ISO 27002:2022, Kontroll 7.1 – Fysiska säkerhetsperimetrar

Attributtabell

Attribut är ett sätt att klassificera kontroller. Attribut gör att du snabbt kan matcha ditt kontrollval med typiska industrispecifikationer och terminologi. Följande kontroller är tillgängliga i kontroll 7.1.

Kontroll 7.1 säkerställer att en organisation kan visa att den har tillräckliga fysiska säkerhetsperimetrar på plats för att förhindra obehörig fysisk åtkomst till information och andra tillhörande tillgångar.

Detta inkluderar att förhindra:

• Otillåtet tillträde till byggnader, rum eller områden som innehåller informationstillgångar;
• Otillåtet avlägsnande av tillgångar från lokaler;
• Otillåten användning av tillgångar i lokaler (t.ex. datorer och datorrelaterade enheter); och
• Obehörig åtkomst till elektronisk kommunikationsutrustning såsom telefoner, faxar och datorterminaler (t.ex. obehörig manipulation).

Fysiska säkerhetsperimetrar kan implementeras genom följande två kategorier:

Fysisk tillträdeskontroll: Ger kontroller över tillträde till anläggningar och byggnader, såväl som rörelsen inom dem. Dessa kontroller inkluderar låsning av dörrar, användning av larm på dörrar, användning av staket eller barriärer runt anläggningar, etc.

Hårdvarusäkerhet: Ger kontroller över fysisk utrustning (t.ex. datorer) som används av en organisation för att behandla data som skrivare och skannrar som kan innehålla känslig information.

Implementering av denna kontroll kan också omfatta obehörig användning av anläggningsutrymme, utrustning och förnödenheter för att skydda information och andra tillhörande tillgångar, såsom konfidentiella dokument, register och utrustning.

Vad är inblandat och hur man uppfyller kraven

Följande riktlinjer bör övervägas och implementeras när det är lämpligt för fysiska säkerhetsområden:

• Definiera säkerhetsperimetrar och placeringen och styrkan för var och en av perimetrarna i enlighet med informationssäkerhetskraven relaterade till tillgångarna inom omkretsen.
• Att ha fysiskt sunda omkretsar för en byggnad eller plats som innehåller informationsbehandlingsanläggningar (dvs. det ska inte finnas några luckor i omkretsen eller områden där ett inbrott lätt kan inträffa).
• Yttertak, väggar, tak och golv på platsen bör vara av solid konstruktion och alla ytterdörrar bör vara lämpligt skyddade mot obehörigt tillträde med kontrollmekanismer (t.ex. bommar, larm, lås).
• Dörrar och fönster bör låsas när de inte är uppmärksammade och yttre skydd bör övervägas för fönster, särskilt på marknivå; ventilationspunkter bör också beaktas.

Du kan få mer information om vad som innebär att uppfylla kraven för kontrollen i standarddokumentet ISO 27002:2022.

Ändringar och skillnader från ISO 27002:2013

Den nya 2022-revideringen av ISO 27002 publicerades den 15 februari 2022 och är en uppgradering av ISO 27002:2013.

11 nya kontroller lades till denna version av ISO 27002. Kontroll 7.1 är dock inte en ny kontroll, utan det är en modifierad version av kontroll 11.1.1 i 2013 års version av ISO 27002. Den stora skillnaden mellan 2013 och 2022 version är byte av kontrollnummer.

Kontrollnumret 11.1.1 ersattes med 7.1. Bortsett från det är sammanhanget och innebörden i stort sett lika, även om den frasologin är annorlunda.

En annan skillnad mellan båda kontrollerna är att implementeringskraven reducerades i 2022 års version.

Följande krav som finns tillgängliga i kontroll 11.1.1 i ISO 27002:2013 saknas i kontroll 7.1:

• En bemannad mottagning eller andra medel för att kontrollera fysisk åtkomst till platsen eller byggnaden bör finnas på plats.
• Tillgång till platser och byggnader bör begränsas till endast behörig personal.
• Fysiska barriärer bör, i förekommande fall, byggas för att förhindra obehörig fysisk åtkomst och miljöförorening.
• Lämpliga intrångsdetekteringssystem bör installeras enligt nationella, regionala eller internationella standarder och regelbundet testas för att täcka alla ytterdörrar och tillgängliga fönster.
• Oupptagna områden ska alltid larmas.
• Täckning bör även tillhandahållas för andra områden, t.ex. datorrum eller kommunikationsrum.
• Informationsbehandlingsanläggningar som förvaltas av organisationen bör vara fysiskt åtskilda från de som hanteras av externa parter.

Dessa utelämnanden gör inte på något sätt den nya standarden mindre effektiv, istället togs de bort för att göra den nya kontrollen mer användarvänlig.

Vem är ansvarig för denna process?

Informatören är den som ansvarar för informationssäkerheten. Denna person är ansvarig för att implementera policyer och procedurer för att skydda företagets data och system. CIO:n arbetar vanligtvis med andra chefer, såsom finanschefen och verkställande direktören, för att säkerställa att säkerhetsåtgärder beaktas vid affärsbeslut.

Ekonomichefen är också involverad i att fatta beslut om fysiska säkerhetsperimetrar. Han eller hon samarbetar med andra medlemmar i C-sviten – inklusive CIO – för att avgöra hur mycket pengar som ska tilldelas fysiska säkerhetsåtgärder som övervakningskameror, åtkomstkontroller och larm.

Vad betyder dessa förändringar för dig?

Den nya ISO 27002:2022 är ingen större revidering. Därför behöver du inte implementera några allvarliga ändringar för att vara kompatibel med den senaste versionen av ISO 27002.

Du bör dock överväga att se över din nuvarande implementering och se till att den överensstämmer med de nya kraven. I synnerhet om du har gjort några ändringar sedan den tidigare versionen publicerades 2013. Det är värt att ta en titt på dessa ändringar igen för att se om de fortfarande är giltiga eller om de behöver ändras.

Som sagt, du kan få mer information om hur den nya ISO 27002 kommer att påverka dina informationssäkerhetsprocesser och ISO 27001-certifiering genom att läsa vår ISO 27002:2022-guide.

Hur ISMS.Online hjälper

ISMS.online kan också hjälpa till med att visa efterlevnad av ISO 27002 genom att förse dig med ett onlinesystem som låter dig lagra alla dina dokument på ett ställe och göra dem tillgängliga för alla som behöver dem. Systemet låter dig också skapa checklistor för varje dokument så att det är enkelt för alla som är inblandade i att göra ändringar eller granska dokument för att se vad som behöver göras härnäst och när det ska göras.

Vill du se hur det fungerar?

Hör av dig idag för att boka en demo.