ISO 27701, Klousule 6.3.2, Mobiele toestelle en Telewerk

ISO 27701 Voldoening: Bestuur van mobiele toestelle en risiko's vir afgeleë werk

Mobiele toestelle en afstandwerk word vinnig deel van die moderne werkplek.

Organisasie se behoefte om te verseker dat alle soorte toestelle gedek word onder 'n algemene eindgebruikertoestelbeleid wat die aard van die toestel in ag neem, hoe dit in samewerking met PII gebruik sal word, hoe dit deur die organisasie bestuur word en wat die eindgebruiker se verpligtinge is terwyl die toestel gebruik word.

ISO vra organisasies om eindpunttoestelle op twee maniere te kategoriseer:

Toestelle wat binne die grense van die organisasie se netwerk en fisiese perseel gebruik moet word.
Toestelle wat beide binne en buite die organisasie se LAN en fisiese perseel gebruik word.

Wat word gedek in ISO 27701 Klousule 6.3.2

Klousule 6.3.2 dek twee sleutelaspekte van wat voorheen as 'telewerk' bekend gestaan het, maar is nou meer algemeen bekend as 'afstandwerk' – toestelbestuur en algemene afstandwerkbeginsels.

Klousule 6.3.2 verdeel dit in twee subklousules, wat leiding bevat van twee gekoppelde subklousules wat handel oor organisatoriese datasekuriteit in ISO 27002:

ISO 27701 6.3.2.1 – Mobiele toestelle en telewerk (Verwysings ISO 27002 Beheer 8.1)
ISO 27701 6.3.2.2 – Telewerk (Verwysings ISO 27002 Beheer 6.7)

Subklousule 6.3.2.1 bevat verdere leiding oor die toepaslike areas van GDPR-wetgewing.

Neem asseblief kennis dat GDPR-aanhalings slegs vir aanduidingsdoeleindes is. Organisasies moet die wetgewing onder die loep neem en hul eie oordeel maak oor watter dele van die wet op hulle van toepassing is.

Geen subklousule bevat enige bykomende riglyne vir die vestiging of instandhouding van 'n PIMS, binne die konteks van afstandwerk of gebruikertoestelbestuur nie.

ISMS.online ondersteun meer as 100 standaarde en regulasies, wat jou 'n enkele platform bied vir al jou voldoeningsbehoeftes.

Bespreek jou demo

ISO 27701 Klousule 6.3.2.1 – Mobiele toestelbeleide

Verwysings ISO 27002 Beheer 8.1

Organisasies moet onderwerpspesifieke beleide implementeer wat handel oor verskillende kategorieë eindpunttoestelle en sagtewareweergawes vir mobiele toestelle, en hoe sekuriteitskontroles aangepas moet word om datasekuriteit te verbeter.

'n Organisasie se mobiele toestelbeleid, prosedures en ondersteunende sekuriteitsmaatreëls moet in ag neem:

Die verskillende kategorieë van data wat die toestel beide kan verwerk en stoor.
Hoe toestelle op die netwerk geregistreer en geïdentifiseer word.
Hoe toestelle fisies beskerm gaan word.
Enige beperkings op toepassings en sagteware-installasies.
Afgeleë bestuur, insluitend opdaterings en pleisters.
Gebruikerstoegangskontroles, insluitend RBAC indien nodig.
Enkripsie.
Antimalware-teenmaatreëls (bestuur of onbestuur).
BUDR.
Blaaibeperkings.
Gebruikersanalise (sien ISO 27002 Beheer 8.16).
Die installering, gebruik en afstandbestuur van verwyderbare bergingstoestelle of verwyderbare randtoestelle.
Hoe om data op die toestel te skei, sodat PII afgeskort word van standaard toesteldata (insluitend die gebruiker se persoonlike data). Dit sluit in om te oorweeg of dit gepas is om enige soort organisatoriese data op die fisiese toestel te stoor, eerder as om die toestel te gebruik om aanlyn toegang daartoe te verskaf.
Wat gebeur wanneer 'n toestel verlore of gesteel word – dit wil sê om enige wetlike, regulatoriese of kontraktuele vereistes aan te spreek, en die organisasie se versekeraars te hanteer.

Individuele gebruikersverantwoordelikheid

Almal in die organisasie wat afstandtoegang gebruik, moet uitdruklik bewus gemaak word van enige mobiele toestelbeleid en prosedures wat op hulle van toepassing is binne die konteks van veilige eindpunttoestelbestuur.

Gebruikers moet opdrag gegee word om:

Maak enige aktiewe werksessies toe wanneer dit nie meer gebruik word nie.
Implementeer fisiese en digitale beskermingskontroles, soos deur die beleid vereis word.
Wees bedag op hul fisiese omgewing - en die inherente sekuriteitsrisiko's wat dit bevat - wanneer toegang tot veilige data verkry word deur die toestel te gebruik.

Bring jou eie toestel (BJET)

Organisasies wat personeel toelaat om toestelle in persoonlike besit te gebruik, moet ook die volgende sekuriteitskontroles oorweeg:

Die installering van sagteware op die toestel (insluitend selfone) wat help met die skeiding van besigheids- en persoonlike data.
Afdwinging van 'n BYOD-beleid wat die volgende insluit:

Erkenning van organisatoriese eienaarskap van PII.
Fisiese en digitale beskermingsmaatreëls (sien hierbo).
Afgeleë verwydering van data.
Enige maatreëls wat ooreenstemming met PII-wetgewing en regulatoriese leiding verseker.

IP-regte, met betrekking tot maatskappy eienaarskap van enigiets wat op 'n persoonlike toestel vervaardig is.
Organisatoriese toegang tot die toestel – hetsy vir privaatheidsbeskermingsdoeleindes, of om aan 'n interne of eksterne ondersoek te voldoen.
EULA's en sagtewarelisensiëring wat beïnvloed kan word deur die gebruik van kommersiële sagteware op 'n toestel in privaat besit.

Draadlose konfigurasies

By die opstel van prosedures wat oor draadlose verbinding op eindpunttoestelle handel, moet organisasies:

Oorweeg noukeurig hoe sulke toestelle toegelaat moet word om aan draadlose netwerke te koppel vir internettoegang, met die doel om PII te beskerm.
Maak seker dat draadlose verbindings voldoende kapasiteit het om rugsteun of enige ander onderwerpspesifieke funksies te fasiliteer.

Relevante ISO 27002-kontroles

ISO 27002 beheer 8.9 – Konfigurasiebestuur
ISO 27002 beheer 8.16 – Moniteringsaktiwiteite

Toepaslike GDPR-artikels

Artikel 5 – (1)(f)

Integreer, brei uit en skaal jou nakoming, sonder die gemors. IO gee jou die veerkragtigheid en vertroue om veilig te groei.

Bespreek jou demo

ISO 27701 Klousule 6.3.2.2 – Telewerk

Verwysings ISO 27002 Beheer 6.7

Soos met gebruikertoestelbestuur, moet afstandwerkbeleide onderwerpspesifiek wees en verband hou met die verskillende rolle wat binne die organisasie uitgevoer word.

By die formulering van afstandwerkbeleide moet organisasies die volgende in ag neem:

Enige potensiële risiko's beïnvloed die fisiese sekuriteit en inligtingsekuriteit van toestelle by spesifieke afgeleë werkplekke, insluitend toegang deur ongemagtigde personeel.
Kontroles wat besigheidsdata beskerm, insluitend vervoersekuriteit, duidelike lessenaarbeleide, veilige drukwerk, antimalware-platforms, firewalls, ens.
'n Kategoriese lys van aanvaarde afgeleë werkplekke, insluitend openbare areas soos hotelle, openbare vergaderlokale en telewerkterreine.
Hoe die toestel met die organisasie se netwerk gaan kommunikeer (VPN-parameters ens.), soos verwant aan die kategorie data wat oorgedra word en die aard van die organisasie se PII-werking.
Virtuele lessenaar omgewings.
Draadlose sekuriteitsprotokolle en die onderliggende sekuriteitsrisiko's wat in tuis- of openbare netwerke voorkom.
Afgeleë bestuur van toestelle (afgeleë deaktiveer, installasies, data-skrap, ens.).
Verifikasiemetodes, meer spesifiek, die gebruik van MFA.

Om privaatheidbeskerming te verbeter en PII te beskerm, moet algemene en onderwerpspesifieke afstandwerkbeleide die volgende insluit:

Die verskaffing van voldoende toerusting (IKT-toerusting en fisiese bergingsmaatreëls), waar sulke toerusting nie in die afgeleë werksomgewing bestaan nie.
Duidelike riglyne oor die soort werk wat toegelaat word om uitgevoer te word, en watter stelsels, data en toepassings wat op afstand toegang verkry kan word.
Opleidingsprogramme wat afstandwerk beheer, beide in terme van die toestelle wat gebruik word en wat van afgeleë werkers verwag word vanuit 'n praktiese en kontraktuele perspektief.
Maatreëls wat korrelige afstandbestuur van eindpunttoestelle bied, insluitend skermslotfunksionaliteit, GPS-nasporing en afstandouditering.
Fisiese sekuriteitsmaatreëls wat die gebruik van organisasie en kit wat deur gebruikers besit word buite die perseel beheer, insluitend derdeparty-toegang.
Versekeringsdekking.
'n Afgeleë werkspesifieke BUDR-plan, insluitend besigheidskontinuïteitskontroles.
Prosedures wat uiteensit hoe afgeleë gebruikertoegang beperk of herroep word soos nodig.

Ondersteunende kontroles vanaf ISO 27002 en GDPR

ISO 27701 Klousule Identifiseerder	ISO 27701 Klousule Naam	ISO 27002-vereiste	Geassosieerde GDPR-artikels
6.3.2.1	Mobiele toestelbeleid	8.1 – Gebruikerseindpunttoestelle vir ISO 27002	Artikel (5)
6.3.2.2	Telewerk	6.7 – Werk op afstand vir ISO 27002	Geen

Hoe ISMS.online help

By ISMS.online kan ons voorsieningskettinginligtingsekuriteitbestuur in jou ISMS inkorporeer.

Vinnige en praktiese prestasiemaatstawwe kan ook gebruik word om die vordering van jou verskaffers en ander derdeparty-vennootskappe te monitor.

Gebruik ISMS.online Clusters om die hele voorsieningsketting op een plek bymekaar te kry vir duidelikheid, insig en beheer.

Vind meer uit en kry 'n praktiese demonstrasie deur bespreek 'n demo.

Toby Cane

Vennoot Kliëntesuksesbestuurder

Toby Cane is die Senior Vennoot Suksesbestuurder vir ISMS.online. Hy werk al vir byna 4 jaar vir die maatskappy en het 'n reeks rolle vervul, insluitend die aanbied van hul webinare. Voordat hy in SaaS gewerk het, was Toby 'n hoërskoolonderwyser.

ISO 27701-klousules

Ons is 'n leier in ons veld