ISO 27002:2022 – Kontroll 7.7 – Clear Desk och Clear Screen

ISO 27002 Control 7.7: Stärka säkerheten med tydliga skrivbords- och skärmrutiner

När en anställd lämnar sin arbetsstation obevakad, kommer känslig information som finns i digitalt och fysiskt material på hans arbetsplats att utsättas för en ökad risk för obehörig åtkomst, förlust av konfidentialitet och skada.

Till exempel, om en anställd använder ett verktyg för hantering av kundrelationer som behandlar hälsojournaler och lämnar sin dator obevakad under en lunchrast, kan illvilliga parter utnyttja denna möjlighet att stjäla och missbruka känslig hälsodata.

Kontroll 7.7 tar upp hur organisationer kan utforma och tillämpa tydliga skrivbordsregler och tydliga skärmregler för att skydda och upprätthålla konfidentialitet för känslig information på digitala skärmar och på papper.

Syfte med kontroll 7.7

Kontroll 7.7 gör det möjligt för organisationer att eliminera och/eller minska riskerna för obehörig åtkomst, användning, skada eller förlust av känslig information på skärmar och papper som finns på anställdas arbetsstationer när anställda inte är närvarande.

Attributtabell för kontroll 7.7

Kontroll 7.7 är en förebyggande typ av kontroll som kräver att organisationer upprätthåller sekretessen för informationstillgångar genom att beskriva och tillämpa tydliga skrivbordsregler och tydliga skärmregler.

Äganderätt till kontroll 7.7

Med tanke på att Control 7.7 kräver att organisationer antar och implementerar en organisationsövergripande policy för clear desk och clear screen, bör informationssäkerhetsansvariga ansvara för produktion, underhåll och upprätthållande av clear desk och tydliga skärmregler som gäller i hela organisationen.

Allmän vägledning om efterlevnad

Kontroll 7.7 understryker att organisationer bör skapa och tillämpa en ämnesspecifik policy som anger tydliga skrivbord och tydliga skärmregler.

Dessutom listar Control 7.7 sju specifika krav som organisationer bör ta hänsyn till när de upprättar och tillämpar regler för tydliga skrivbord och tydliga skärmar:

1. Känslig eller kritisk informationstillgångar som lagras på digitala eller fysiska föremål bör låsas säkert när de inte används eller när arbetsstationen som är värd för dessa material är ledig. Till exempel bör föremål som pappersjournaler, datorer och skrivare förvaras i säkra möbler som ett låst eller lösenordsskyddat skåp eller låda.
2. Enheter som används av anställda som datorer, skannrar, skrivare och bärbara datorer bör skyddas via säkerhetsmekanismer som nyckellås när de inte används eller när de lämnas utan uppsikt.
3. När anställda lämnar sin arbetsyta och lämnar sina enheter obevakade bör de lämna sina enheter utloggade och återaktiveringen av enheten bör endast ske via en användarautentiseringsmekanism. Dessutom bör automatiska timeout- och utloggningsfunktioner installeras på alla anställda slutpunktsenheter som datorer.
4. Skrivare bör utformas på ett sätt så att utskrifter samlas in omedelbart av den person (upphovsman) som skrev ut dokumentet. Dessutom bör en stark autentiseringsmekanism finnas på plats så att endast upphovsmannen tillåts samla in utskriften.
5. Fysiskt material och flyttbara lagringsmedier som innehåller känslig information ska alltid förvaras säkert. När de inte längre behövs ska de kasseras genom en säker mekanism.
6. Organisationer bör skapa regler för visning av popup-fönster på skärmar och dessa regler bör kommuniceras till alla relevanta anställda. Till exempel kan popup-fönster för e-post och meddelanden innehålla känslig information och om de visas på skärmen under en presentation eller i ett offentligt utrymme kan detta äventyra sekretessen för känslig information.
7. Känslig eller kritisk information som visas på whiteboardtavlor bör raderas när de inte längre behövs.

Kompletterande vägledning – kontroll 7.7

Kontroll 7.7 varnar organisationer för risker som uppstår på grund av lediga lokaler. När en organisation lämnar en anläggning bör fysiskt och digitalt material som tidigare lagrats i anläggningen vara det säkert borttagen så att känslig information lämnas inte osäker.

Därför kräver kontroll 7.7 organisationer att upprätta rutiner för semester av anläggningar så att alla tillgångar med känslig information inhysta i den anläggningen kasseras på ett säkert sätt. Dessa procedurer kan innefatta att genomföra ett sista svep så att ingen känslig information lämnas oskyddad.

Ändringar och skillnader från ISO 27002:2013

27002:2022/7.7 replaces 27002:2013/(11.2.9)

Det finns två betydande skillnader mellan 2022 och 2013 års versioner.

• 2022-versionen hänvisar inte till kriterier som ska beaktas vid upprättande och implementering av clear desk och tydliga skärmregler.

I motsats till 2022-versionen angav 2013-versionen uttryckligen att organisationer bör överväga organisationsövergripande informationsklassificeringsnivåer, juridiska och avtalsmässiga krav och de typer av risker som organisationen står inför när de upprättar en tydlig skrivbords- och tydlig skärmpolicy.

Ocuco-landskapet ISO 27002:2022 versionhänvisar dock inte till dessa element.

• 2022-versionen introducerar nya och mer omfattande krav för det tydliga skrivbordet och tydliga skärmregler.

Till skillnad från 2013 års version ställer 2022 versionen följande krav som organisationer bör beakta när de upprättar tydliga skrivbord och tydliga skärmregler.

• Organisationer bör skapa specifika regler på popup-skärmar för att upprätthålla konfidentialitet för känslig information.
• Känslig information skriven på whiteboardtavlor bör tas bort när de inte längre behövs.
• Anställdas slutpunktsenheter som datorer bör skyddas med nyckellås när de inte används eller när de lämnas utan tillsyn.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

ISO 27002 implementeringen är enklare med vår steg-för-steg checklista som guidar dig genom hela processen. Din komplett efterlevnadslösning för ISO/IEC 27002:2022.

• Upp till 81 % framsteg från det att du loggar in
• Enkel och total efterlevnadslösning

Hör av dig idag för att boka en demo.