ISO 27002:2022, Kontroll 7.4 – Fysisk säkerhetsövervakning

Allmän vägledning om hur man följer

Kontroll 7.4 kräver att organisationer implementerar dessa tre steg för att upptäcka och förhindra obehörig åtkomst till anläggningar som är värd för viktiga informationstillgångar:

• Steg 1: Sätt på plats ett videoövervakningssystem

Organisationer bör ha ett videoövervakningssystem, ett exempel är en CCTV-kamera, för att kontinuerligt övervaka åtkomst till begränsade områden som är värd för viktiga informationstillgångar. Dessutom bör detta övervakningssystem föra ett register över alla inträden i de fysiska lokalerna.

• Steg 2: Installera detektorer för att utlösa ett larm

Att utlösa ett larm när en inkräktare kommer åt fysiska lokaler gör det möjligt för säkerhetsteamet att reagera snabbt på säkerhetsöverträdelser. Dessutom kan det också vara effektivt för att avskräcka inkräktaren.

Organisationer bör använda rörelse-, ljud- och kontaktdetektorer som utlöser ett larm när en ovanlig aktivitet i de fysiska lokalerna upptäcks.

I synnerhet:

• En kontaktdetektor bör installeras och den ska utlösa ett larm när ett okänt föremål/person kommer i kontakt med ett föremål eller bryter kontakten med ett föremål. Till exempel kan en kontaktdetektor konfigureras för att utlösa ett larm när ett fönster eller en dörr kontaktas.
• Rörelsedetektorer kan programmeras för att starta ett larm när ett objekts rörelse detekteras inom deras synfält.
• Ljuddetektorer såsom krossglasdetektorer kan aktiveras när ett ljud upptäcks.

• Steg 3: Konfiguration av larm för att skydda alla interna lokaler

Det tredje efterlevnadssteget kräver konfigurering av larmsystemet för att säkerställa att alla känsliga områden, inklusive alla ytterdörrar, fönster, obemannade områden och datorrum ligger inom larmsystemets räckvidd så att det inte finns någon sårbarhet som kan utnyttjas.

Till exempel, om lokaler som rökområden eller till och med gymentréer inte övervakas, kan dessa användas som attackvektorer av inkräktare.

Typer av övervakningssystem

Medan Control 7.4 inte anger att organisationer måste välja och implementera ett specifikt övervakningssystem framför andra alternativ, listar den en rad övervakningsverktyg som kan användas separat eller i kombination med andra:

• CCTV-kameror
• Säkerhetsvakter
• Trygghetslarm för inkräktare
• Mjukvaruverktyg för fysiska säkerhetshantering

Kompletterande vägledning om kontroll 7.4

Kontroll 7.4 understryker att organisationer bör ta hänsyn till följande när de implementerar system för fysisk säkerhetsövervakning:

• Övervakningssystemens utformning och inre funktion bör hållas konfidentiella.
• Lämplig åtgärder bör vidtas för att förhindra avslöjande av övervakning aktiviteter och videoflöden till obehöriga parter och för att eliminera risken för fjärrinaktivering av övervakningssystemen av illvilliga parter.
• Larmcentralerna bör placeras i larmzon och det ska finnas en säker och enkel utgångsväg för den som utlöser larmet.
• Alla detektorer som används och de larmcentraler som används bör vara manipulationssäkra.
• Övervakning och registrering av individer via övervakningssystem, även när det är för legitima ändamål, bör vara i överensstämmelse med alla tillämpliga lagar och förordningar, särskilt dataskyddslagar. Till exempel EU och Storbritannien GDPR kan kräva att organisationer genomför en konsekvensbedömning innan CCTV-kameror sätts in. Vidare bör inspelningen av videoflöden följa de datalagringsperioder som anges av tillämpliga lokala lagar.

Ändringar och skillnader från ISO 27002:2013

Kontroll 7.4 är a ny kontroll som inte togs upp i ISO 27002:2013 i vilken egenskap som helst.

Hur ISMS.online hjälper

Smakämnen ISMS.online-plattform tillhandahåller en rad kraftfulla verktyg som förenklar hur du kan dokumentera, implementera, underhålla och förbättra ditt ledningssystem för informationssäkerhet (ISMS) och uppnå överensstämmelse med ISO 27002.

Det omfattande verktygspaketet ger dig en central plats där du kan skapa en skräddarsydd uppsättning policyer och procedurer som är anpassade till din organisations specifika risker och behov. Det möjliggör också samarbete mellan såväl kollegor som externa partners som leverantörer eller tredjepartsrevisorer.

Hör av dig idag för att boka en demo.