ISO 27002 Beheer 7.9: Beveiliging van bates buite die kantoor
Wanneer toestelle wat inligtingsbates bevat uit 'n organisasie se perseel geneem word, sal hulle blootgestel word aan hoër risiko's van skade, verlies, vernietiging, diefstal of kompromie.
Dit is omdat fisiese sekuriteitskontroles wat binne 'n organisasie se fasiliteite geïmplementeer word, sal nie effektief wees nie, wat die bates wat van die terrein af geneem word, kwesbaar sal maak vir bedreigings soos fisiese risiko's en ongemagtigde toegang deur kwaadwillige partye.
Werknemers wat van die perseel af werk, kan byvoorbeeld korporatiewe rekenaars wat sensitiewe inligting bevat uit die besigheidsperseel neem, by 'n koffiehuis of 'n hotelvoorportaal werk, aan 'n onveilige openbare Wi-Fi koppel en hul toestelle sonder toesig laat. Al hierdie is teenwoordig risiko's vir die sekuriteit, vertroulikheid, integriteit en beskikbaarheid van inligting wat op hierdie toestelle gehuisves word.
Daarom moet organisasies verseker dat toestelle wat van die terrein af geneem word, veilig gehou word.
Beheer 7.9-adresse hoe organisasies die sekuriteit kan handhaaf van toestelle buite die perseel wat inligtingbates huisves deur toepaslike beheermaatreëls en prosedures daar te stel en te implementeer.
Doel van beheer 7.9
Beheer 7.9 stel organisasies in staat om handhaaf die sekuriteit van toerusting wat inligtingbates bevat deur twee spesifieke risiko's te voorkom:
- Uitskakeling en/of vermindering van risiko's van verlies, skade, vernietiging of kompromie van toestelle wat inligtingsbates huisves wanneer dit van die perseel af geneem word.
- Voorkoming van die risiko van onderbreking van die organisasie se inligtingverwerking aktiwiteite as gevolg van die kompromie van off-site toestelle.
Eienskappe Tabel van beheer 7.9
Beheer 7.9 is voorkomend van aard. Dit stel organisasies in staat om toepaslike beheermaatreëls en prosedures voorkomend te implementeer sodat toestelle wat van 'n organisasie se perseel verwyder word dieselfde vlak van beskerming gebied word wat verskaf word aan toestelle wat op die perseel gehuisves word.
| beheer Tipe | Eienskappe vir inligtingsekuriteit | Kuberveiligheidskonsepte | Operasionele vermoëns | Sekuriteitsdomeine |
|---|---|---|---|---|
| #Voorkomende | #Vertroulikheid | #Beskerm | #Fisiese sekuriteit | #Beskerming |
| #Integriteit | #Batebestuur | |||
| #Beskikbaarheid |
Kry 'n voorsprong van 81%.
Ons het die harde werk vir jou gedoen, wat jou 'n voorsprong van 81% gee vanaf die oomblik dat jy aanmeld.
Al wat jy hoef te doen is om die spasies in te vul.
Eienaarskap van beheer 7.9
Beheer 7.9 vereis van organisasies om prosedures en kontroles daar te stel en toe te pas wat alle toestelle dek wat deur die organisasie besit word of namens die organisasie gebruik word. Verder is die skep van 'n bate-inventaris en die hoër bestuur se goedkeuring van die gebruik van persoonlike toestelle noodsaaklik vir die doeltreffende beskerming van off-site toestelle.
Daarom moet die inligtingsekuriteitsbestuurder met die bestuur en relevante bate-eienaars konsulteer en moet verantwoordelik wees vir die skepping, implementering en instandhouding van prosedures en maatreëls om die sekuriteit te handhaaf van toestelle wat van korporatiewe persele verwyder is.
Algemene riglyne oor nakoming
Beheer 7.9 lys ses vereistes waaraan organisasies moet voldoen wanneer maatreëls en riglyne ontwerp en geïmplementeer word vir die beskerming van bates wat van die terrein af geneem word:
- Rekenaartoerusting en bergingsmedia wat van die terrein af geneem word, soos korporatiewe rekenaars, USB's, hardeskywe en monitors, moet nie onbewaak gelaat word in openbare ruimtes soos koffiehuise of in enige onveilige area nie.
- Toestelvervaardiger se leiding en spesifikasies oor die fisiese beskerming van die betrokke toestel moet te alle tye nagekom word. Die toestelvervaardiger se instruksies kan byvoorbeeld insluit hoe om die toestel/toerusting teen water, hitte, elektromagnetiese velde en stof te beskerm.
- Werknemers en/of ander organisasies wat rekenaartoerusting buite die korporatiewe perseel neem, mag hierdie toerusting aan ander werknemers of derde partye oordra. Om die sekuriteit van hierdie toerusting te handhaaf, moet organisasies 'n logboek hou wat die ketting van bewaring definieer. Hierdie log rekord moet ten minste die name van individue bevat verantwoordelik vir die toestel en hul organisasie.
- Indien 'n organisasie ag dat 'n magtigingsproses nodig en prakties is vir die verwydering van toerusting uit die korporatiewe perseel, moet dit 'n magtigingsprosedure instel en toepas vir die neem van sekere toerusting van die perseel af. Hierdie magtigingsprosedure moet ook die hou van rekord van alle toestelverwyderingsaksies insluit sodat die organisasie het 'n ouditspoor.
- Toepaslike maatreëls moet geïmplementeer word om die risiko van ongemagtigde besigtiging van inligting op die skerm op openbare vervoer uit te skakel.
- Liggingopsporingsnutsgoed en afstandtoegang moet in plek wees sodat die toestel opgespoor kan word en die inligting wat in die toestel vervat is, op afstand uitgevee kan word indien nodig.
Aanvullende leiding oor beheer 7.9
Beheer 7.9 skryf ook vereistes voor vir die beskerming van toerusting wat permanent buite die korporatiewe perseel geïnstalleer is.
Hierdie toerusting kan antennas en OTM'e insluit.
Aangesien hierdie toerusting onderhewig kan wees aan verhoogde risiko's van skade en verlies, vereis Beheer 7.9 dat organisasies die volgende in ag neem wanneer hulle hierdie toerusting buite die terrein beskerm:
- Beheer 7.4, naamlik die Fisiese sekuriteitsmonitering, moet oorweeg word.
- Beheer 7.5, naamlik die beskerming teen omgewings- en fisiese bedreigings moet in ag geneem word
- Toegangsbeheer moet ingestel word en toepaslike maatreëls moet geïmplementeer word om gepeuter te voorkom.
- Logiese toegangskontroles moet geskep en toegepas word.
Verder beveel Beheer 7.9 aan dat organisasies beheermaatreëls 6.7 en 8.1 oorweeg wanneer maatreëls gedefinieer en implementeer word om toestelle en toerusting te beskerm.
Bestuur al jou nakoming op een plek
ISMS.online ondersteun meer as 100 standaarde
en regulasies, gee jou 'n enkele
platform vir al jou voldoeningsbehoeftes.
Veranderinge en verskille vanaf ISO 27002:2013
27002:2022/ 7.9 vervang 27002:2013/(11.2.6)
Daar is drie sleutelverskille wat uitgelig moet word:
- Beheer 7.9 skryf meer omvattende vereistes voor
In vergelyking met die 2013-weergawe, Beheer 7.9 in die 2022-weergawe stel die volgende twee vereistes bekend:
- Toepaslike maatreëls moet geïmplementeer word om die risiko van ongemagtigde besigtiging van inligting op die skerm op openbare vervoer uit te skakel.
- Liggingopsporingsnutsgoed en afstandtoegang moet in plek wees sodat die toestel opgespoor kan word en die inligting wat in die toestel vervat is, op afstand uitgevee kan word indien nodig.
- Beheer 7.9 stel nuwe vereistes vir permanent geïnstalleerde toestelle buite die perseel bekend
In teenstelling met die 2013-weergawe, bevat Beheer 7.9 in die 2022-weergawe aparte riglyne oor die beskerming van toerusting wat permanent op 'n plek buite die perseel geïnstalleer is.
Dit kan antennas en OTM'e insluit.
- Verbod op afstandwerk om risiko's uit te skakel
Die 2013-weergawe het uitdruklik gesê dat organisasies werknemers mag verbied om op afstand te werk wanneer dit gepas is vir die vlak van risiko wat geïdentifiseer is. Die 2022-weergawe verwys egter nie na so 'n maatreël nie.
Nuwe ISO 27002-kontroles
Nuwe kontroles
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 5.7 | Nuut | Bedreigingsintelligensie |
| 5.23 | Nuut | Inligtingsekuriteit vir die gebruik van wolkdienste |
| 5.30 | Nuut | IKT-gereedheid vir besigheidskontinuïteit |
| 7.4 | Nuut | Fisiese sekuriteitsmonitering |
| 8.9 | Nuut | Konfigurasiebestuur |
| 8.10 | Nuut | Inligting verwydering |
| 8.11 | Nuut | Datamaskering |
| 8.12 | Nuut | Voorkoming van datalekkasies |
| 8.16 | Nuut | Moniteringsaktiwiteite |
| 8.23 | Nuut | Webfiltrering |
| 8.28 | Nuut | Veilige kodering |
Organisatoriese kontroles
Mense beheer
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Terme en diensvoorwaardes |
| 6.3 | 07.2.2 | Bewustheid, onderwys en opleiding van inligtingsekuriteit |
| 6.4 | 07.2.3 | Dissiplinêre proses |
| 6.5 | 07.3.1 | Verantwoordelikhede na beëindiging of verandering van diens |
| 6.6 | 13.2.4 | Vertroulikheids- of nie-openbaarmakingsooreenkomste |
| 6.7 | 06.2.2 | Afstand werk |
| 6.8 | 16.1.2, 16.1.3 | Rapportering van inligtingsekuriteitsgebeurtenisse |
Fisiese beheer
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 7.1 | 11.1.1 | Fisiese sekuriteit omtrek |
| 7.2 | 11.1.2, 11.1.6 | Fisiese toegang |
| 7.3 | 11.1.3 | Beveiliging van kantore, kamers en fasiliteite |
| 7.4 | Nuut | Fisiese sekuriteitsmonitering |
| 7.5 | 11.1.4 | Beskerming teen fisiese en omgewingsbedreigings |
| 7.6 | 11.1.5 | Werk in veilige areas |
| 7.7 | 11.2.9 | Duidelike lessenaar en duidelike skerm |
| 7.8 | 11.2.1 | Toerusting plaas en beskerming |
| 7.9 | 11.2.6 | Sekuriteit van bates buite die perseel |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Berging media |
| 7.11 | 11.2.2 | Ondersteunende nutsprogramme |
| 7.12 | 11.2.3 | Bekabeling sekuriteit |
| 7.13 | 11.2.4 | Onderhoud van toerusting |
| 7.14 | 11.2.7 | Veilige wegdoening of hergebruik van toerusting |
Tegnologiese kontroles
Hoe ISMS.online help
Jy kan ISMS.online gebruik om bestuur jou ISO 27002 implementering, aangesien dit spesifiek ontwerp is om 'n maatskappy te help met die implementering van hul inligtingsekuriteitbestuurstelsel (ISMS) om aan die vereistes van ISO 27002 te voldoen.
Die platform gebruik 'n risiko-gebaseerde benadering gekombineer met toonaangewende beste praktyke en sjablone om jou te help om die risiko's te identifiseer wat jou organisasie in die gesig staar en die kontroles wat nodig is om daardie risiko's te bestuur. Dit laat jou toe om beide jou risikoblootstelling en jou nakomingskoste stelselmatig te verminder.
Kontak vandag nog om bespreek 'n demo.
Spring na onderwerp
