ISO 27002:2022, Kontroll 7.3 – Säkra kontor, rum och anläggningar

Attributtabell

Attribut gör att du snabbt kan matcha ditt kontrollval med typiska industrispecifikationer och terminologi. Följande kontroller är tillgängliga i kontroll 7.3.

Vad är syftet med kontroll 7.3?

Syftet med Kontroll 7.3 är att förhindra obehörig fysisk åtkomst, skada och störning av organisationens information och andra tillhörande tillgångar i kontor, rum och anläggningar.

Huvudsyftet med Kontroll 7.3 är att minska risknivån för obehörig fysisk åtkomst till kontor, rum och faciliteter, till en acceptabel nivå genom att:

• Förhindra obehörig fysisk åtkomst till kontor, rum och faciliteter av andra personer än behörig personal.
• Förhindra skada eller störning av organisationens information och andra tillhörande tillgångar inne på kontor, rum och anläggningar.
• Se till att alla informationssäkerhetskänsliga områden är diskreta för att göra det svårt för människor att avgöra sitt syfte.
• Minimera risken för stöld eller förlust av egendom inom kontor, rum och lokaler.
• Se till att personer som har auktoriserat fysiskt tillträde identifieras (detta kan uppnås genom att använda en kombination av uniformsbrickor, elektroniska dörrsystem och besökskort).
• Där det är möjligt bör CCTV eller andra övervakningsanordningar användas för att tillhandahålla säkerhetsövervakning över viktiga områden såsom ingångar/utgångar.

Kontroll 7.3 gäller alla byggnader som används av organisationen för kontor eller administrativa funktioner. Det gäller även rum där konfidentiell information lagras eller behandlas, inklusive mötesrum där känsliga diskussioner äger rum.

Den gäller inte mottagningsområden eller andra allmänna utrymmen i en organisations lokaler om de inte används för administrativa ändamål (t.ex. en reception som fungerar som kontor).

Vad är inblandat och hur man uppfyller kraven

Kontrollen 7.3 anger att rum och anläggningar ska säkras. Följande säkerhetsåtgärder kan vidtas, enligt kontrollriktlinjerna i ISO 27002:2022, för att säkerställa att rum och faciliteter är säkra:

• Placera kritiska anläggningar för att undvika tillgång för allmänheten.
• I tillämpliga fall, se till att byggnader är diskreta och ger en minimal indikation om deras syfte, utan uppenbara tecken, utanför eller inuti byggnaden, som identifierar förekomsten av informationsbehandlingsaktiviteter.
• Konfigurera faciliteter för att förhindra att konfidentiell information eller aktiviteter blir synliga och hörbara utifrån. Elektromagnetisk skärmning bör också övervägas som lämpligt.
• Att inte göra kataloger, interna telefonböcker och online tillgängliga kartor som identifierar platser för bearbetningsanläggningar för konfidentiell information lätt tillgängliga för alla obehöriga.

Du kan få mer information om vad som innebär att uppfylla kraven för kontrollen i standarddokumentet ISO 27002:2022.

Ändringar och skillnader från ISO 27002:2013

Ursprungligen publicerad 2013, den reviderade 2022-revideringen av ISO 27002 släpptes den 15 februari 2022.

Kontroll 7.3 är ingen ny kontroll. Det hänvisar till en modifierad version av kontroll 11.1.3 i ISO 27002. En stor skillnad mellan 2013 och 2022 versioner är förändringen i kontrollnummer. Kontrollnumret 11.1.3 ersattes med 7.3. Bortsett från det är sammanhanget och innebörden i stort sett densamma, även om frasologin är annorlunda.

En annan skillnad mellan båda kontrollerna är att 2022-versionen kommer med en attributtabell och syftesförklaring. Dessa avsnitt är inte tillgängliga i 2013 års version.

Vem är ansvarig för denna process?

Den första att tänka på när det gäller att säkra kontor, rum och lokaler är den individ som har mest kontroll över den fysiska byggnaden och dess innehåll. Denna person är vanligtvis anläggningschefen eller direktören.

Sedan är det säkerhetschefen. Säkerhetschefen ansvarar för att alla områden är säkra, inklusive kontorsutrymmen och lokaler. Säkerhetschefen är också ansvarig för att hålla reda på alla anställda som har tillgång till dessa områden och se till att de använder sin åtkomst på rätt sätt.

I vissa fall delar dock flera personer på ansvaret för säkerheten. Till exempel, när en individ har tillgång till känslig information som kan användas mot ditt företags intressen eller andra anställdas personliga liv, är det viktigt att ha flera personer inblandade i deras skydd.

En HR-avdelning kan hantera personalförsäkringar och förmåner medan IT hanterar datorsystem och nätverk; båda avdelningarna kan ha en hand i att hantera fysisk säkerhet såväl som cybersäkerhetsproblem som nätfiske och obehöriga försök till åtkomst.

Vad betyder dessa förändringar för dig?

Inga större ändringar krävs för att uppfylla den senaste versionen av ISO 27002.

Du bör dock utvärdera din nuvarande informationssäkerhetslösning för att säkerställa att den överensstämmer med den reviderade standarden. Om du har gjort några ändringar sedan den senaste utgåvan släpptes 2013, är det värt att se över dessa justeringar för att avgöra om de fortfarande är relevanta eller om de behöver uppdateras.

Hur ISMS.Online hjälper

Vår plattform har utvecklats specifikt för dig som är ny på informationssäkerhet eller behöver ett enkelt sätt att lära sig om ISO 27002 utan att behöva lägga tid på att lära sig från grunden eller läsa igenom långa dokument.

ISMS.Online är utrustad med alla verktyg som behövs för att uppnå efterlevnad inklusive dokumentmallar, checklistor och policyer som kan anpassas efter dina behov.

Vill du se hur det fungerar?

Hör av dig idag för att boka en demo.