ISO 27002:2022, Kontroll 7.9 – Säkerhet för tillgångar utanför lokaler

Äganderätt till kontroll 7.9

Kontroll 7.9 kräver att organisationer upprättar och tillämpar procedurer och kontroller som täcker alla enheter som ägs av eller används för organisationens räkning. Dessutom är skapandet av en tillgångsinventering och den högsta ledningens godkännande av användningen av personliga enheter väsentligt för ett effektivt skydd av externa enheter.

Därför bör informationssäkerhetschefen samråda med ledningen och relevanta tillgångsägare och bör ansvara för att skapa, implementera och underhålla procedurer och åtgärder för att upprätthålla säkerheten för enheter som tas bort från företagets lokaler.

Allmän vägledning om efterlevnad

Kontroll 7.9 listar sex krav som organisationer bör följa när de utformar och implementerar åtgärder och riktlinjer för skydd av tillgångar som tas utanför anläggningen:

1. Datorutrustning och lagringsmedia som tas utanför anläggningen såsom företagsdatorer, USB-enheter, hårddiskar och bildskärmar bör inte lämnas obevakad i offentliga utrymmen som kaféer eller i något otryggt område.
2. Enhetstillverkarens vägledning och specifikationer om det fysiska skyddet för den relevanta enheten bör alltid följas. Till exempel kan enhetstillverkarens instruktioner innehålla hur man skyddar enheten/utrustningen mot vatten, värme, elektromagnetiska fält och damm.
3. Anställda och/eller andra organisationer som tar datorutrustning utanför företagets lokaler kan överföra denna utrustning till andra anställda eller tredje part. För att upprätthålla säkerheten för denna utrustning bör organisationer föra en logg som definierar spårbarhetskedjan. Denna loggpost bör åtminstone innehålla namn på individer ansvarig för enheten och dess organisation.
4. Om en organisation anser att en auktoriseringsprocess är nödvändig och praktisk för att avlägsna utrustning från företagets lokaler, bör den upprätta och tillämpa ett tillståndsförfarande för att ta med viss utrustning utanför anläggningen. Denna auktoriseringsprocedur bör också innefatta att föra ett register över alla åtgärder för att ta bort enheten så att organisationen har ett revisionsspår.
5. Lämpliga åtgärder bör vidtas för att eliminera risken för obehörig visning av information på skärmen i kollektivtrafiken.
6. Platsspårningsverktyg och fjärråtkomst bör finnas på plats så att enheten kan spåras och informationen i enheten kan raderas på distans vid behov.

Kompletterande vägledning om kontroll 7.9

Kontroll 7.9 föreskriver även krav på skydd av utrustning som permanent installeras utanför företagets lokaler.

Denna utrustning kan innefatta antenner och bankomater.

Med tanke på att denna utrustning kan utsättas för ökade risker för skada och förlust, kräver Control 7.9 att organisationer tar hänsyn till följande när de skyddar denna utrustning utanför anläggningen:

1. Kontroll 7.4, nämligen den fysiska säkerhetsövervakningen, bör övervägas.
2. Kontroll 7.5, nämligen skyddet mot miljöhot och fysiska hot bör beaktas
3. Åtkomstkontroller bör upprättas och lämpliga åtgärder bör vidtas för att förhindra manipulering.
4. Logiska åtkomstkontroller bör skapas och tillämpas.

Kontroll 7.9 rekommenderar dessutom att organisationer överväger kontrollerna 6.7 och 8.1 när de definierar och implementerar åtgärder för att skydda enheter och utrustning.

Ändringar och skillnader från ISO 27002:2013

27002:2022/ 7.9 ersätter 27002:2013/(11.2.6)

Det finns tre viktiga skillnader som måste belysas:

• Kontroll 7.9 föreskriver mer omfattande krav

I jämförelse med 2013 års version, Kontroll 7.9 i 2022 års version inför följande två krav:

1. Lämpliga åtgärder bör vidtas för att eliminera risken för obehörig visning av information på skärmen i kollektivtrafiken.
2. Platsspårningsverktyg och fjärråtkomst bör finnas på plats så att enheten kan spåras och informationen i enheten kan raderas på distans vid behov.

• Control 7.9 introducerar nya krav för permanent installerade externa enheter

Till skillnad från 2013 års version innehåller Control 7.9 i 2022 års version separat vägledning om skydd av utrustning som är permanent installerad på en annan plats.

Dessa kan innefatta antenner och bankomater.

• Förbud mot distansarbete för att eliminera risker

2013 års version angav uttryckligen att organisationer kan förbjuda anställda att arbeta på distans när det är lämpligt för den identifierade risknivån. 2022 års version hänvisar dock inte till en sådan åtgärd.

Hur ISMS.online hjälper

Du kan använda ISMS.online för att hantera din ISO 27002-implementering, eftersom det har utformats specifikt för att hjälpa ett företag att implementera sitt ledningssystem för informationssäkerhet (ISMS) för att uppfylla kraven i ISO 27002.

Plattformen använder ett riskbaserat tillvägagångssätt kombinerat med branschledande bästa praxis och mallar för att hjälpa dig identifiera riskerna som din organisation står inför och de kontroller som behövs för att hantera dessa risker. Detta gör att du systematiskt kan minska både din riskexponering och dina efterlevnadskostnader.

Hör av dig idag för att boka en demo.