ISO 27002:2022, Beheer 6.7 – Afstandswerk

Eienskappe tabel

Eienskappe word gebruik om kontroles te kategoriseer. U kan onmiddellik u beheeropsie pas by wydgebruikte industriefrases en spesifikasies deur eienskappe te gebruik.

Eienskappe vir beheer 6.7 is soos hieronder gesien.

Wat is die doel van beheer 6.7?

Die doel van Beheer 6.7 is om te verseker dat personeel wat op afstand werk, voldoende toegangskontroles in plek het om die vertroulikheid, integriteit en beskikbaarheid van sensitiewe of eie inligting, prosesse en stelsels te beskerm teen ongemagtigde toegang of openbaarmaking deur ongemagtigde individue.

Om die sekuriteit van inligting te verseker wanneer personeel op afstand werk, moet organisasies 'n onderwerpspesifieke beleid oor afstandwerk uitreik wat die relevante voorwaardes en beperkings vir inligtingsekuriteit definieer. Die beleid moet aan alle personeel versprei word en leiding insluit oor hoe hulle afstandtoegangstegnologie veilig en veilig kan gebruik.

'n Onderwerpspesifieke beleid soos hierdie sal waarskynlik dek:

• Die omstandighede waarin afstandwerk toegelaat word.
• Die prosesse wat gebruik word om te verseker dat afstandwerkers gemagtig is om toegang tot vertroulike inligting te verkry.
• Die prosedures om te verseker dat inligting beskerm word wanneer dit tussen verskillende fisiese liggings versend word.

Benewens hierdie basiese vereistes, is dit ook belangrik om 'n duidelik gedefinieerde prosedure te hê om insidente aan te meld, insluitend die toepaslike kontakbesonderhede. Dit kan help om die risiko te verminder dat oortredings of ander soorte sekuriteitsinsidente in die eerste plek plaasvind.

Die beleid moet dalk ook kwessies soos enkripsie, brandmure en antivirussagteware-opdaterings aanspreek, asook opleiding van werknemers oor hoe om afstandverbindings veilig te gebruik.

Wat is betrokke en hoe om aan die vereistes te voldoen

Om aan die vereistes vir beheer 6.7 te voldoen, moet organisasies wat afstandwerkaktiwiteite toelaat, 'n onderwerpspesifieke beleid oor afstandwerk uitreik wat die relevante voorwaardes en beperkings definieer.

Die beleid moet gereeld hersien word, veral wanneer daar enige verandering in tegnologie of wetgewing is.

Die beleid moet aan alle werknemers, kontrakteurs en ander partye wat by afstandwerkaktiwiteite betrokke is, gekommunikeer word.

Die beleid moet gedokumenteer word en beskikbaar gestel word aan enige relevante derde party, insluitend reguleerders en ouditeure.

Organisasies moet ook verseker dat hulle voldoende maatreëls in plek het om sensitiewe of vertroulike inligting wat tydens afgeleë werkaktiwiteite versend of gestoor word, te beskerm.

In ooreenstemming met die bepalings van beheer 6.7, moet die volgende aangeleenthede oorweeg word:

• Die bestaande of voorgestelde fisiese sekuriteit van die afgeleë werkterrein, met inagneming van die fisiese sekuriteit van die ligging en die plaaslike omgewing, insluitend die verskillende jurisdiksies waar personeel geleë is.
• Reëls en sekuriteitsmeganismes vir die afgeleë fisiese omgewing soos sluitbare liasseerkaste, veilige vervoer tussen liggings en reëls vir afstandtoegang, duidelike lessenaar, druk en wegdoening van inligting en ander verwante bates, en inligtingsekuriteitsgebeurtenisverslagdoening.
• Die verwagte fisiese afgeleë werksomgewings.
• Die kommunikasiesekuriteitsvereistes, met inagneming van die behoefte aan afstandtoegang tot die organisasie se stelsels, die sensitiwiteit van die inligting wat verkry moet word en oor die kommunikasieskakel deurgegee word en die sensitiwiteit van die stelsels en toepassings.
• Die gebruik van afstandtoegang soos virtuele rekenaartoegang wat verwerking en berging van inligting op toerusting in privaat besit ondersteun.
• Die bedreiging van ongemagtigde toegang tot inligting of hulpbronne van ander persone by die afgeleë werkplek (bv. familie en vriende).
• Die bedreiging van ongemagtigde toegang tot inligting of hulpbronne van ander persone in openbare plekke.
• Die gebruik van tuisnetwerke en publieke netwerke, en vereistes of beperkings op die opstelling van draadlose netwerkdienste.
• Gebruik van sekuriteitsmaatreëls, soos brandmure en beskerming teen wanware.
• Veilige meganismes om stelsels op afstand te ontplooi en te inisialiseer.
• Veilige meganismes vir stawing en aktivering van toegangsregte met inagneming van die kwesbaarheid van enkelfaktor-verifikasiemeganismes waar afstandtoegang tot die organisasie se netwerk toegelaat word.

Die riglyne en maatreëls wat oorweeg moet word, moet die volgende insluit:

1. Die voorsiening van geskikte toerusting en stoormeubels vir die afgeleë werksaktiwiteite, waar die gebruik van toerusting in privaat besit wat nie onder die beheer van die organisasie is nie toegelaat word nie.
2. 'n Definisie van die werk wat toegelaat word, die klassifikasie van inligting wat gehou kan word en die interne stelsels en dienste waartoe die afstandwerker gemagtig is om toegang te verkry.
3. Die verskaffing van opleiding vir diegene wat op afstand werk en diegene wat ondersteuning verskaf. Dit moet insluit hoe om besigheid op 'n veilige manier te doen terwyl jy op afstand werk.
4. Die verskaffing van geskikte kommunikasietoerusting, insluitend metodes om afstandtoegang te beveilig, soos vereistes op toestelskermslotte en onaktiwiteit-tydtellers.
5. Die aktivering van toestelliggingopsporing.
6. Installering van afgeleë vee vermoëns.
7. Fisiese sekuriteit.
8. Reëls en leiding oor familie- en besoekerstoegang tot toerusting en inligting.
9. Die verskaffing van hardeware en sagteware ondersteuning en instandhouding.
10. Die voorsiening van versekering.
11. Die prosedures vir rugsteun en besigheidskontinuïteit.
12. Oudit en sekuriteitsmonitering.
13. Herroeping van magtiging en toegangsregte en die terugbesorging van toerusting wanneer die afstandwerkaktiwiteite beëindig word.

Veranderinge en verskille vanaf ISO 27002:2013

Beheer 6.7 in ISO 27002:2022 is 'n gewysigde weergawe van beheer 6.2.2 in ISO 27002:2013 en is nie 'n nuwe beheer nie.

Alhoewel hierdie twee kontroles baie kenmerke het, verskil hulle ietwat in nomenklatuur en bewoording. Die beheernaam is byvoorbeeld nie dieselfde nie. Daar word na beheer 6.2.2 in ISO 27002:2013 verwys as telewerk. Beheer 6.7 verwys daarna as afstandwerk. Terselfdertyd is telewerk vervang deur afstandwerk in die nuwe weergawe van die standaard.

In beheer 6.7, ISO 27002:2022, definieer die standaard wat afstandwerk is, en die tipes werk wat as afstandwerk kan kwalifiseer. Dit sluit telewerk in, wat die oorspronklike beheernaam in die 2013-weergawe van die standaard is.

Die implementeringsriglyne stem ietwat ooreen, al verskil die taal en terme. Weergawe 2022 het baie gebruikersvriendelike taal gebruik om te verseker dat die gebruikers van die standaard kan verstaan ​​wat hulle doen.

Dit gesê, sommige punte is bygevoeg in kontrole 6.7 en sommige verwyder uit kontrole 6.2.2.

Bygevoeg by Beheer 6.7 Remote Working

• reëls en sekuriteitsmeganismes vir die afgeleë fisiese omgewing soos sluitbare liasseerkaste, veilige vervoer tussen liggings en reëls vir afstandtoegang, duidelike lessenaar, druk en wegdoening van inligting en ander verwante bates, en inligtingsekuriteitsgebeurtenisverslagdoening.
• die verwagte fisiese afgeleë werksomgewings.
• die bedreiging van ongemagtigde toegang tot inligting of hulpbronne van ander persone in openbare plekke.
• veilige meganismes om stelsels op afstand te ontplooi en te inisialiseer.
• veilige meganismes vir stawing en aktivering van toegangsregte met inagneming van die kwesbaarheid van enkelfaktor-verifikasiemeganismes waar afstandtoegang tot die organisasie se netwerk toegelaat word.

Uit beheer verwyder 6.2.2 Telewerk

• Die gebruik van tuisnetwerke en vereistes of beperkings op die opstelling van draadlose netwerkdienste.
• Beleide en prosedures om dispute te voorkom oor regte op intellektuele eiendom ontwikkel op toerusting in privaat besit.
• Toegang tot toerusting in privaat besit (om die sekuriteit van die masjien te verifieer of tydens 'n ondersoek), wat deur wetgewing verhoed kan word.
• Sagtewarelisensie-ooreenkomste wat sodanig is dat organisasies aanspreeklik kan word vir lisensiëring vir kliëntsagteware op werkstasies wat privaat besit word deur werknemers of eksterne partygebruikers.

Verder verskaf die ISO 27002 weergawe 2022 stellings van doel en kenmerktabelle vir elke kontrole, wat gebruikers help om die kontroles beter te verstaan ​​en te implementeer.

Die 2013-weergawe het nie hierdie twee dele nie.

Wie is in beheer van hierdie proses?

Die primêre verantwoordelikheid vir die skep van 'n inligtingsekuriteitsbeleid vir afgeleë werkers lê by die organisasie se inligtingsekuriteitsbeampte. Ander belanghebbendes moet egter ook by die proses betrek word.

Dit sluit IT-bestuurders in, wat verantwoordelik is vir die implementering en instandhouding van die beleid, asook HR-bestuurders, wat verantwoordelik is om seker te maak dat werknemers dit verstaan ​​en daarby hou.

As jy 'n verskafferbestuursprogram het, sal die antwoord afhang van wie verantwoordelik is vir die bestuur van kontrakteurs en verskaffers in die algemeen. In die meeste gevalle sal hierdie persoon ook verantwoordelik wees vir die skep van 'n inligtingsekuriteitsbeleid vir afgeleë werkers in daardie departement.

Wat beteken hierdie veranderinge vir jou?

Die ISO 27002 is nie aansienlik verander nie, so jy hoef nie veel te doen nie, behalwe om seker te maak dat jou inligtingsekuriteitsprosesse in lyn is met die opgradering.

Die belangrikste verandering was om sommige van die kontroles te wysig en om sommige van die vereistes uit te klaar. Die hoofeffek met betrekking tot beheer 6.7 is dat as jy enige van jou bedrywighede aan 'n derde party uitkontrakteer of mense op afstand werk, jy sal moet verseker dat hulle 'n toepaslike vlak van sekuriteitskontroles in plek het.

As jy 'n bestaande ISO 27001-sertifisering het, sal jou huidige proses vir die bestuur van inligtingsekuriteit aan die nuwe vereistes voldoen.

Dit beteken dat as jy jou huidige ISO 27001-sertifisering wil hernu, jy glad nie hoef te doen nie. Jy moet net seker maak dat jou prosesse steeds met die nuwe standaard ooreenstem.

As jy egter van voor af begin, sal jy moet dink oor hoe jou maatskappy voorbereid kan wees op kuberaanvalle en ander bedreigings vir sy inligtingsbates.

Die belangrikste ding is dat dit belangrik is om kuberrisiko's ernstig genoeg te behandel sodat dit as deel van jou algehele besigheidstrategie bestuur word eerder as om as 'n aparte kwessie deur IT- of sekuriteitsdepartemente alleen hanteer te word.

Hoe ISMS.Online help

Die ISMS.Online-platform help met alle aspekte van die implementering van ISO 27002, van die bestuur van risiko-assesseringsaktiwiteite tot die ontwikkeling van beleide, prosedures en riglyne om aan die standaard se vereistes te voldoen.

Dit bied 'n manier om jou bevindinge te dokumenteer en dit aanlyn met jou spanlede te kommunikeer. ISMS.Online laat jou ook toe om kontrolelyste te skep en te stoor vir al die take betrokke by die implementering van ISO 27002, sodat jy maklik die vordering van jou organisasie se sekuriteitsprogram kan dophou.

Met sy outomatiese gereedskapstel maak ISMS.Online dit maklik vir organisasies om voldoening aan die ISO 27002-standaard te demonstreer.

Kontak ons ​​vandag nog om beplan 'n demo.