ISO 27002 Kontroll 7.8: Bästa praxis för placering och skydd av utrustning
Medan cyberhot som skadliga attacker, SQL-injektion och trafikavlyssning blir mer sofistikerade och utgör en stor risk för säkerhet för informationstillgångar.
Risklandskapet är inte begränsat till mjukvarubaserade cyberattacker:
- Fysiska och miljömässiga hot mot IT-utrustning som servrar, datorer, hårddiskar och flyttbara lagringsmedier kan också äventyra tillgänglighet, konfidentialitet och integritet för informationstillgångar.
Till exempel spill av en drink på en server, en avstängning av ett datorsystem på grund av hög temperatur och obehörig åtkomst till ett datorsystem som inte finns i ett säkert område är alla exempel på fysiska hot mot utrustningshus informationstillgångar.
Kontroll 7.8 tar upp hur organisationer kan eliminera och minska risker som uppstår till följd av fysiska och miljömässiga hot till utrustning som är värd för informationstillgångar.
Syfte med kontroll 7.8
Kontrollera 7.8 gör det möjligt för organisationer att eliminera och/eller mildra två typer av risker för utrustning som innehåller informationstillgångar:
- Fysiska och miljömässiga hot mot utrustning som belysning, strömavbrott, stöld, kommunikationsstörningar och elektriska störningar. Dessa hot inkluderar också förändringar i miljöförhållanden som luftfuktighet och temperaturnivåer som kan störa informationsbearbetningen.
- Obehörig åtkomst till, användning av, skada på och förstörelse av utrustning som inte förvaras i säkra områden.
Attributtabell för kontroll 7.8
Kontroll 7.8 är en förebyggande typ av kontroll som kräver att organisationer upprätthåller integriteten, tillgängligheten och konfidentialiteten för informationstillgångar genom att skydda utrustning som innehåller informationstillgångar mot fysiska och miljömässiga hot.
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande | #Sekretess | #Skydda | #Fysisk säkerhet | #Skydd |
| #Integritet | #Asset Management | |||
| #Tillgänglighet |
ISO 27001 på ett enkelt sätt
Ett försprång på 81 % från dag ett
Vi har gjort det hårda arbetet åt dig, vilket ger dig ett försprång på 81 % från det ögonblick du loggar in. Allt du behöver göra är att fylla i tomrummen.
Äganderätt till kontroll 7.8
Överensstämmelse med kontroll 7.8 innebär att en inventering skapas av utrustning som är värd för informationstillgångar, placering av all utrustning i säkra områden och genomförande av lämpliga åtgärder för att förhindra fysiska och miljömässiga hot.
Därför, Informationssäkerhetsansvariga bör ansvara för att inrätta, genomföra och upprätthålla nödvändiga åtgärder och riktlinjer för säker placering och skydd av utrustning.
Allmän vägledning om efterlevnad
Kontroll 7.8 föreskriver nio specifika krav som bör beaktas för efterlevnad:
- Utrustning bör placeras i säkra områden så att obehöriga inte kan komma åt utrustningen.
- Verktyg som används för att behandla känslig information som datorer, bildskärmar och skrivare bör placeras på ett sätt som obehörigt personer kan inte se information som visas på skärmar utan tillstånd.
- Lämpliga åtgärder bör vidtas för att eliminera och/eller minska risker som uppstår till följd av fysiska och miljömässiga hot såsom explosiva ämnen, kommunikationsstörningar, brand, damm och elektromagnetisk strålning.
- Till exempel kan en blixtledare vara en effektiv kontroll mot blixtnedslag.
- Riktlinjer för att äta och dricka runt utrustning bör fastställas och kommuniceras till alla berörda parter.
- Miljöförhållanden som kan störa informationsbehandlingen bör kontinuerligt övervakas. Dessa kan innefatta temperatur- och luftfuktighetsnivåer.
- Åskskyddsmekanismer bör implementeras i alla byggnader och kontor. Vidare bör åskskyddsfilter byggas in i alla inkommande kraftledningar, inklusive kommunikationsledningar.
- Om utrustningen är placerad i en industriell miljö bör speciella skyddskontroller som tangentbordsmembran användas vid behov.
- Elektromagnetisk strålning kan resultera i läckage av känslig information. Därför är utrustningen känslig eller kritisk informationstillgångar bör säkras för att förhindra sådan risk.
- IT-utrustning som ägs och kontrolleras av en organisation bör vara tydligt åtskild från den som inte ägs och kontrolleras av organisationen.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Ändringar och skillnader från ISO 27002:2013
27002:2022/7.8 replaces 27002:2013/(11.2.1)
Även om 2022- och 2013-versionerna i stor utsträckning liknar varandra, finns det en viktig skillnad att lyfta fram:
Till skillnad från 2013-versionen introducerar Control 7.8 i 2022-versionen följande krav:
- IT-utrustning som ägs och kontrolleras av en organisation bör vara tydligt åtskild från den som inte ägs och kontrolleras av organisationen.
Nya ISO 27002 kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | NYA | Hot intelligens |
| 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| 5.30 | NYA | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 8.9 | NYA | Konfigurationshantering |
| 8.10 | NYA | Radering av information |
| 8.11 | NYA | Datamaskering |
| 8.12 | NYA | Förebyggande av dataläckage |
| 8.16 | NYA | Övervakningsaktiviteter |
| 8.23 | NYA | Webbfiltrering |
| 8.28 | NYA | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
Hur ISMS.online hjälper
Vår plattform är intuitiv och lättanvänd. Det är inte bara för högtekniska personer; det är för alla i din organisation. Vi uppmuntrar dig att involvera personal på alla nivåer av ditt företag i processen att bygga ditt ISMS, eftersom det hjälper dig att bygga ett verkligt hållbart system.
Några av nyckeln fördelarna med att använda ISMS.online innefattar:
- Du kan bygga din ISO 27001-kompatibelt ISMS inom plattformen.
- Användare kan slutföra uppgifter och skicka in bevis för att visa överensstämmelse med standarden.
- Det är lätt att delegera ansvar och övervaka framstegen mot efterlevnad.
- Den omfattande riskbedömning verktygsuppsättning sparar tid och ansträngning under hela processen.
- Vi har en dedikerad team av konsulter till hands för att stödja dig under hela din resa till efterlevnad.
Hör av dig idag för att boka en demo.
