ISO 27701 – Klousule 6.8 – Fisiese en Omgewingssekerheid

ISO 27701 Klousule 6.8: Versterking van Fisiese en Omgewingssekerheid

Sowel as digitale sekuriteitsmaatreëls (RBAC, enkripsie en verifikasiekontroles), moet organisasies fisiese liggings (terreine, kantore, fasiliteite) bou en bestuur wat verhoogde beskerming aan PII bied waar dit ook al verwerk of gestoor word.

ISO skets talle menslike, omgewings- en stedelike bedreigings wat bekamp moet word deur boubeplanning, risikobestuur en robuuste fisiese beheermaatreëls.

Wat word gedek in ISO 27701 Klousule 6.8

ISO 27701 6.8 se leiding is versprei oor ses subklousules, wat elk bevat leiding van verskeie kontroles binne ISO 27002, toegepas binne die konteks van PII en privaatheidbeskerming:

• ISO 27701 6.8.1.1 – Fisiese sekuriteitsomtrek (Verwysings ISO 27002 Beheer 7.1)
• ISO 27701 6.8.1.2 – Fisiese toegangskontroles (Verwysings ISO 27002 Kontrole 7.2)
• ISO 27701 6.8.1.3 – Beveiliging van kantore, kamers en fasiliteite (Verwysings ISO 27002 Beheer 7.3)
• ISO 27701 6.8.1.4 – Beskerming teen eksterne en omgewingsbedreigings (Verwysings ISO 27002 Beheer 7.5)
• ISO 27701 6.8.1.5 – Werk in veilige gebiede (Verwysings ISO 27002 Beheer 7.6)
• ISO 27701 6.8.1.6 – Aflewerings- en laaiareas (Verwysings ISO 27002 Beheer 7.2)

ISO 27701 Klousule 6.8 bevat geen aanvullende riglyne vir die implementering en bestuur van 'n PIMS nie, en daar is ook geen Britse GDPR-artikels om te oorweeg nie.

ISO 27701 Klousule 6.8.1.1 – Fisiese sekuriteitsomtrek

Verwysings ISO 27002 Beheer 7.1

Omtrekbeskerming werk op die beginsel om deurlopende interne fisiese hindernisse te skep, wat ongemagtigde toegang tot private inligting voorkom.

Om 'n end-tot-end omtrekbeskermingsoperasie te handhaaf, moet organisasies fisiese toegang tot PII verhoed deur:

• Definieer en implementeer sekuriteitsgrense wat die berging van sensitiewe data (PII) in ag neem.
• Die handhawing van 'fisies gesonde' omtrek wat veilige toegang 24/7 bied.
• Sluit alle buite-ingangs- en uitgangpunte wanneer geen personeel teenwoordig is nie (en beveiliging van ventilasiepunte, waar toepaslik).
• Beskerm deure met alarms en veilige toegangsmaatreëls (sleutelkodes, outomatiese sluitmeganismes, ens.).
• Die handhawing van 'n robuuste stel alarmdeure wat die heersende wetgewing oor die konstruksie van buite- en binnetoegangspunte in ag neem.
• Voorbereiding van gebeurlikheidsplanne wat voorsiening maak vir verhoogde sekuriteit tydens kritieke situasies of sekuriteitsinsidente.

ISO 27701 Klousule 6.8.1.2 – Fisiese toegangskontroles

Verwysings ISO 27002 Beheer 7.2

Terwyl ISO 27701 6.8.1.1 op sekuriteitsomtreke fokus, skets klousule 6.8.1.2 algemene beginsels om te verseker dat slegs gemagtigde personeel toegang het tot gebiede wat PII en privaatheidsverwante bates bevat.

Algemene leiding

Organisasies moet:

• Beperk toegang tot hele terreine, geboue en kantoorfasiliteite eenvormig tot slegs gemagtigde personeel (insluitend nooduitgange).
• Voer periodieke hersiening van toegangsvlakke uit, wat 'n algemene opdatering van alle toegangsvlakke moet insluit, soos vereis (sien ISO 27002 beheer 5.18).
• Hou 'n logboek, of skep 'n digitale ouditspoor, van terrein- en kamertoegang (sien ISO 27002 beheer 5.33).
• Ontwikkel en installeer tegniese toegangsmaatreëls (sleutelkaarte, fobs, biometriese toegangstelsels, gekodeerde alarms, ens.).
• Handhaaf 'n gemonitorde ontvangsarea.
• Ondersoek die persoonlike besittings van interne en eksterne personeel voor toegang (LW streekwette oor die inspeksie van persoonlike eiendom kan organisasies verhinder om dit te doen).
• Pas werfwye foto-ID-regulasies toe.
• Om besoekers van beperkte toegang te voorsien tot enige area wat PII of privaatheidverwante inligting stoor of verwerk.
• Skep gebeurlikheidsplanne vir voorvalle en kritieke scenario's.
• Handhaaf 'n sleutelbestuurstelsel wat toegang tot verifikasiemetodes soos deurtoegangstelsels en kombinasieslotte aanteken, oudit, in stand hou, verleen en herroep (sien ISO 27002 beheer 5.17).

Besoekers

Wanneer besoekers toegang tot beperkte gebiede toegelaat word, moet organisasies:

• Verifieer die identiteit van die besoeker voordat toegang verleen word.
• Teken die datum en tyd van 'n besoek aan.
• Verseker dat die aard van die besoek verstaan ​​en aangeteken word, en gepas is binne die konteks van die fisiese area waartoe toegang verkry word.
• Verseker dat die besoeker onder toesig is, waar relevant.

Aflewering en laai areas

Wanneer 'n laaiarea ontwerp en bedryf word, moet organisasies:

• Beperk toegang tot laaiareas tot geverifieerde maatskappye en individue.
• Bou die laaiarea sodat geen ander deel van die perseel toeganklik is sonder die behoorlike magtiging nie.
• Kontroleer ontvangde aflewerings vir gevaarlike, onwettige en plofbare materiaal, en gepeuter, voordat die inhoud daarvan om die perseel verskuif word.
• Teken inkomende aflewerings aan in ooreenstemming met organisatoriese batebestuurkontroles (sien ISO 27002 kontroles 5.9 en 7.10).
• Bied 'n ruimte vir personeel om inkomende en uitgaande materiaal fisies te skei.

Relevante ISO 27002-kontroles

• ISO 27002 5.9
• ISO 27002 5.17
• ISO 27002 5.18
• ISO 27002 5.33
• ISO 27002 7.10

ISO 27701 Klousule 6.8.1.3 – Beveiliging van kantore, kamers en fasiliteite

Verwysings ISO 27002 Beheer 7.3

Fisiese beskerming van PII en privaatheidverwante bates strek ook tot kamers binne 'n gevestigde sekuriteitsomtrek. Om kantore, kamers en fasiliteite te beveilig, moet organisasies:

Om interne fasiliteite te beskerm, moet organisasies:

• Vermy die bou van kantoorfasiliteite wat lede van die publiek vrye toegang bied, sonder behoorlike magtiging.
• Waar PII-verwerkingsfasiliteite ter sprake is, vermy tekens wat die doel van die fasiliteit (intern of ekstern) aandui.
• Bou fasiliteite wat verhoed dat personeel sigbaar is vir die publiek, met toepaslike elektromagnetiese afskerming geïnstalleer indien nodig.
• Versteek die teenwoordigheid van PII-verwerkingsfasiliteite van aanlyn kaartplatforms en kommunikasiegidse.

ISO 27701 Klousule 6.8.1.4 – Beskerming teen eksterne en omgewingsbedreigings

Verwysings ISO 27002 Beheer 7.5

'n 'Bedreiging' kan vertolk word as enige groot gebeurtenis wat die potensiaal het om PII of privaatheidsverwante bates te beïnvloed.

Organisasies moet 'n bedreigingsrisiko-evaluering begin voordat 'kritieke operasies' uitgevoer word, wat veranderinge in die bedreigingsomgewing in ag neem, insluitend beide fisiese (bv. kriminele aktiwiteite) en omgewingsbedreigings (vloede, brande ens.).

By die bou van fisiese persele moet organisasies in ag neem:

• Plaaslike geografiese en topologiese faktore, insluitend grondkenmerke, nabygeleë water en die potensiaal vir 'n aardbewing.
• Enige dreigemente wat voortspruit uit menslike bronne binne stedelike gebiede, soos terroriste of kriminele aktiwiteite, en politieke geweld/onrus.

Sodra die risiko-assessering voltooi is, moet organisasies 'n reeks beheermaatreëls ontwikkel wat poog om beide die risiko van 'n bedreiging te voorkom of te verminder en te verminder.

ISO noem vuur, oorstromings, elektriese stuwings en plofstof/wapens as van besondere belang. As hulpbronne uitgerek word, moet organisasies op hierdie vier areas as 'n prioriteit fokus.

ISO 27701 Klousule 6.8.1.5 – Werk in veilige gebiede

Verwysings ISO 27002 Beheer 7.6

Organisasies moet PII en privaatheidverwante bates beskerm deur 'n veilige werkbeleid vir alle personeel te implementeer, wat werksrolle en fisiese beskermingsmaatreëls in ag neem.

Wanneer organisasies werkende beleide in veilige gebiede formuleer, moet organisasies:

• Verseker dat personeel op 'n 'need to know'-basis funksioneer.
• Vermy om personeel vir lang tydperke sonder toesig te laat.
• Verseker dat alle relevante deure gesluit is, en lae voetval of permanent leë areas is onderhewig aan periodieke inspeksies.
• Moniteer en beheer die gebruik van persoonlike en organisatoriese eindpunttoestelle, tot 'n vlak wat eweredig is met die data wat gehou word.
• Vertoon gebeurlikheidsplanne en noodprosedures duidelik sodat personeel verstaan ​​hoe om op kritieke scenario's te reageer.

ISO 27701 Klousule 6.8.1.6 – Aflewerings- en laaiareas

Verwysings ISO 27002 Beheer 7.2

Sien ISO 27701 Klousule 6.8.1.2 (hierbo).

Ondersteunende kontroles vanaf ISO 27002 en GDPR

Hoe ISMS.online help

Hoe help ons?

Om ISO 27701 te bereik, moet u 'n privaatheidsinligtingbestuurstelsel (PIMS) bou. Met ons vooraf gekonfigureerde PIMS kan jy vinnig en maklik klante-, verskaffer- en personeelinligting organiseer en bestuur om ten volle aan ISO 27701 te voldoen.

Jy kan ook die groeiende aantal globale, streeks- en sektorspesifieke privaatheidsregulasies wat ons ondersteun op die ISMS.aanlyn-platform akkommodeer.

Om sertifisering volgens ISO 27701 te behaal, moet jy eers sertifisering volgens ISO 27001 behaal. Die goeie nuus is dat ons platform jou kan help om albei te doen.

Vind meer uit deur bespreek 'n praktiese demo.