ISO 27002:2022 – Kontroll 7.9 – Säkerhet för tillgångar utanför lokaler

ISO 27002 Kontroll 7.9: Säkra tillgångar utanför kontoret

När enheter som innehåller informationstillgångar tas ut från en organisations lokaler kommer de att utsättas för högre risker för skada, förlust, förstörelse, stöld eller kompromiss.

Det här är för att fysiska säkerhetskontroller implementerade inom en organisations anläggningar kommer inte att vara effektiva, vilket gör att tillgångarna som tas utanför platsen blir sårbara för hot som fysiska risker och otillåten åtkomst av illvilliga parter.

Till exempel kan anställda som arbetar utanför arbetsplatsen ta företagsdatorer som innehåller känslig information från affärslokaler, arbeta på ett kafé eller en hotellobby, ansluta till ett osäkert allmänt Wi-Fi och lämna sina enheter utan uppsikt. Alla dessa är närvarande risker för säkerheten, konfidentialitet, integritet och tillgänglighet för information som finns på dessa enheter.

Därför bör organisationer se till att enheter som tas utanför platsen hålls säkra.

Kontrollera 7.9-adresser hur organisationer kan upprätthålla säkerheten för enheter utanför anläggningen som är värd för informationstillgångar genom att upprätta och implementera lämpliga kontroller och förfaranden.

Syfte med kontroll 7.9

Kontroll 7.9 gör det möjligt för organisationer att upprätthålla säkerheten för utrustning som innehåller informationstillgångar genom att förhindra två specifika risker:

• Eliminera och/eller minimera riskerna för förlust, skada, förstörelse eller kompromittering av enheter som innehåller informationstillgångar när de tas bort från lokaler.
• Förhindrar risk för avbrott i organisationens informationsbehandling aktiviteter på grund av kompromiss med enheter utanför anläggningen.

Attributtabell för kontroll 7.9

Kontroll 7.9 är förebyggande till sin natur. Det gör det möjligt för organisationer att införa lämpliga kontroller och procedurer förebyggande så att enheter som tas bort från en organisations lokaler ges samma skyddsnivå som tillhandahålls för enheter som finns på plats.

Äganderätt till kontroll 7.9

Kontroll 7.9 kräver att organisationer upprättar och tillämpar procedurer och kontroller som täcker alla enheter som ägs av eller används för organisationens räkning. Dessutom är skapandet av en tillgångsinventering och den högsta ledningens godkännande av användningen av personliga enheter väsentligt för ett effektivt skydd av externa enheter.

Därför bör informationssäkerhetschefen samråda med ledningen och relevanta tillgångsägare och bör ansvara för att skapa, implementera och underhålla procedurer och åtgärder för att upprätthålla säkerheten för enheter som tas bort från företagets lokaler.

Allmän vägledning om efterlevnad

Kontroll 7.9 listar sex krav som organisationer bör följa när de utformar och implementerar åtgärder och riktlinjer för skydd av tillgångar som tas utanför anläggningen:

1. Datorutrustning och lagringsmedia som tas utanför anläggningen såsom företagsdatorer, USB-enheter, hårddiskar och bildskärmar bör inte lämnas obevakad i offentliga utrymmen som kaféer eller i något otryggt område.
2. Enhetstillverkarens vägledning och specifikationer om det fysiska skyddet för den relevanta enheten bör alltid följas. Till exempel kan enhetstillverkarens instruktioner innehålla hur man skyddar enheten/utrustningen mot vatten, värme, elektromagnetiska fält och damm.
3. Anställda och/eller andra organisationer som tar datorutrustning utanför företagets lokaler kan överföra denna utrustning till andra anställda eller tredje part. För att upprätthålla säkerheten för denna utrustning bör organisationer föra en logg som definierar spårbarhetskedjan. Denna loggpost bör åtminstone innehålla namn på individer ansvarig för enheten och dess organisation.
4. Om en organisation anser att en auktoriseringsprocess är nödvändig och praktisk för att avlägsna utrustning från företagets lokaler, bör den upprätta och tillämpa ett tillståndsförfarande för att ta med viss utrustning utanför anläggningen. Denna auktoriseringsprocedur bör också innefatta att föra ett register över alla åtgärder för att ta bort enheten så att organisationen har ett revisionsspår.
5. Lämpliga åtgärder bör vidtas för att eliminera risken för obehörig visning av information på skärmen i kollektivtrafiken.
6. Platsspårningsverktyg och fjärråtkomst bör finnas på plats så att enheten kan spåras och informationen i enheten kan raderas på distans vid behov.

Kompletterande vägledning om kontroll 7.9

Kontroll 7.9 föreskriver även krav på skydd av utrustning som permanent installeras utanför företagets lokaler.

Denna utrustning kan innefatta antenner och bankomater.

Med tanke på att denna utrustning kan utsättas för ökade risker för skada och förlust, kräver Control 7.9 att organisationer tar hänsyn till följande när de skyddar denna utrustning utanför anläggningen:

1. Kontroll 7.4, nämligen den fysiska säkerhetsövervakningen, bör övervägas.
2. Kontroll 7.5, nämligen skyddet mot miljöhot och fysiska hot bör beaktas
3. Åtkomstkontroller bör upprättas och lämpliga åtgärder bör vidtas för att förhindra manipulering.
4. Logiska åtkomstkontroller bör skapas och tillämpas.

Kontroll 7.9 rekommenderar dessutom att organisationer överväger kontrollerna 6.7 och 8.1 när de definierar och implementerar åtgärder för att skydda enheter och utrustning.

Ändringar och skillnader från ISO 27002:2013

27002:2022/ 7.9 ersätter 27002:2013/(11.2.6)

Det finns tre viktiga skillnader som måste belysas:

• Kontroll 7.9 föreskriver mer omfattande krav

I jämförelse med 2013 års version, Kontroll 7.9 i 2022 års version inför följande två krav:

1. Lämpliga åtgärder bör vidtas för att eliminera risken för obehörig visning av information på skärmen i kollektivtrafiken.
2. Platsspårningsverktyg och fjärråtkomst bör finnas på plats så att enheten kan spåras och informationen i enheten kan raderas på distans vid behov.

• Control 7.9 introducerar nya krav för permanent installerade externa enheter

Till skillnad från 2013 års version innehåller Control 7.9 i 2022 års version separat vägledning om skydd av utrustning som är permanent installerad på en annan plats.

Dessa kan innefatta antenner och bankomater.

• Förbud mot distansarbete för att eliminera risker

2013 års version angav uttryckligen att organisationer kan förbjuda anställda att arbeta på distans när det är lämpligt för den identifierade risknivån. 2022 års version hänvisar dock inte till en sådan åtgärd.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

Du kan använda ISMS.online för att hantera din ISO 27002-implementering, eftersom det har utformats specifikt för att hjälpa ett företag att implementera sitt ledningssystem för informationssäkerhet (ISMS) för att uppfylla kraven i ISO 27002.

Plattformen använder ett riskbaserat tillvägagångssätt kombinerat med branschledande bästa praxis och mallar för att hjälpa dig identifiera riskerna som din organisation står inför och de kontroller som behövs för att hantera dessa risker. Detta gör att du systematiskt kan minska både din riskexponering och dina efterlevnadskostnader.

Hör av dig idag för att boka en demo.