ISO 27002:2022 – Kontroll 7.4 – Fysisk säkerhetsövervakning

Syfte med kontroll 7.4

Kontroll 7.4 är en ny typ av kontroll som kräver att organisationer upptäcker och förebygger externa och interna inkräktare som tar sig in i begränsade fysiska områden utan tillstånd genom att införa lämpliga övervakningsverktyg.

Dessa övervakningsverktyg övervakar och registrerar ständigt åtkomstbegränsade områden och skyddar organisationen mot risker som kan uppstå till följd av obehörig åtkomst, inklusive men inte begränsat till:

• Stöld av känsliga uppgifter.
• Förlust av informationstillgångar.
• Ekonomisk skada.
• Stöld av flyttbara mediatillgångar för skadlig användning.
• Infektion av IT-tillgångar med skadlig programvara.
• Ransomware-attacker som kan utföras av en inkräktare.

Attributtabell med kontroller 7.4

Kontroll 7.4 är detektiv och förebyggande till sin natur. Det gör det möjligt för organisationer att upprätthålla integritet, konfidentialitet, tillgänglighet och säkerhet för känsliga data och kritiska informationstillgångar genom att kontinuerligt övervaka tillgången till begränsade lokaler.

Äganderätt till kontroll 7.4

Överensstämmelse med kontroll 7.4 kräver identifiering av alla restriktiva områden och fastställande av övervakningsverktyg som är lämpliga för det relevanta fysiska området.

Därför bör säkerhetschefer vara ansvariga för korrekt implementering, underhåll, förvaltning och översyn av övervakningssystem.

Allmän vägledning om hur man följer

Kontroll 7.4 kräver att organisationer implementerar dessa tre steg för att upptäcka och förhindra obehörig åtkomst till anläggningar som är värd för viktiga informationstillgångar:

• Steg 1: Sätt på plats ett videoövervakningssystem

Organisationer bör ha ett videoövervakningssystem, ett exempel är en CCTV-kamera, för att kontinuerligt övervaka åtkomst till begränsade områden som är värd för viktiga informationstillgångar. Dessutom bör detta övervakningssystem föra ett register över alla inträden i de fysiska lokalerna.

• Steg 2: Installera detektorer för att utlösa ett larm

Att utlösa ett larm när en inkräktare kommer åt fysiska lokaler gör det möjligt för säkerhetsteamet att reagera snabbt på säkerhetsöverträdelser. Dessutom kan det också vara effektivt för att avskräcka inkräktaren.

Organisationer bör använda rörelse-, ljud- och kontaktdetektorer som utlöser ett larm när en ovanlig aktivitet i de fysiska lokalerna upptäcks.

I synnerhet:

• En kontaktdetektor bör installeras och den ska utlösa ett larm när ett okänt föremål/person kommer i kontakt med ett föremål eller bryter kontakten med ett föremål. Till exempel kan en kontaktdetektor konfigureras för att utlösa ett larm när ett fönster eller en dörr kontaktas.
• Rörelsedetektorer kan programmeras för att starta ett larm när ett objekts rörelse detekteras inom deras synfält.
• Ljuddetektorer såsom krossglasdetektorer kan aktiveras när ett ljud upptäcks.
• Steg 3: Konfiguration av larm för att skydda alla interna lokaler

Det tredje efterlevnadssteget kräver konfigurering av larmsystemet för att säkerställa att alla känsliga områden, inklusive alla ytterdörrar, fönster, obemannade områden och datorrum ligger inom larmsystemets räckvidd så att det inte finns någon sårbarhet som kan utnyttjas.

Till exempel, om lokaler som rökområden eller till och med gymentréer inte övervakas, kan dessa användas som attackvektorer av inkräktare.

Typer av övervakningssystem

Medan Control 7.4 inte anger att organisationer måste välja och implementera ett specifikt övervakningssystem framför andra alternativ, listar den en rad övervakningsverktyg som kan användas separat eller i kombination med andra:

• CCTV-kameror
• Säkerhetsvakter
• Trygghetslarm för inkräktare
• Mjukvaruverktyg för fysiska säkerhetshantering

Kompletterande vägledning om kontroll 7.4

Kontroll 7.4 understryker att organisationer bör ta hänsyn till följande när de implementerar system för fysisk säkerhetsövervakning:

• Övervakningssystemens utformning och inre funktion bör hållas konfidentiella.
• Lämplig åtgärder bör vidtas för att förhindra avslöjande av övervakning aktiviteter och videoflöden till obehöriga parter och för att eliminera risken för fjärrinaktivering av övervakningssystemen av illvilliga parter.
• Larmcentralerna bör placeras i larmzon och det ska finnas en säker och enkel utgångsväg för den som utlöser larmet.
• Alla detektorer som används och de larmcentraler som används bör vara manipulationssäkra.
• Övervakning och registrering av individer via övervakningssystem, även när det är för legitima ändamål, bör vara i överensstämmelse med alla tillämpliga lagar och förordningar, särskilt dataskyddslagar. Till exempel EU och Storbritannien GDPR kan kräva att organisationer genomför en konsekvensbedömning innan CCTV-kameror sätts in. Vidare bör inspelningen av videoflöden följa de datalagringsperioder som anges av tillämpliga lokala lagar.

Ändringar och skillnader från ISO 27002:2013

Kontroll 7.4 är a ny kontroll som inte togs upp i ISO 27002:2013 i vilken egenskap som helst.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

Ocuco-landskapet ISMS.online-plattform tillhandahåller en rad kraftfulla verktyg som förenklar hur du kan dokumentera, implementera, underhålla och förbättra ditt ledningssystem för informationssäkerhet (ISMS) och uppnå överensstämmelse med ISO 27002.

Det omfattande verktygspaketet ger dig en central plats där du kan skapa en skräddarsydd uppsättning policyer och procedurer som är anpassade till din organisations specifika risker och behov. Det möjliggör också samarbete mellan såväl kollegor som externa partners som leverantörer eller tredjepartsrevisorer.

Hör av dig idag för att boka en demo.