- Bekijk ISO 27002:2022 Controle 7.5 voor meer informatie.
- Bekijk ISO 27001:2013 Bijlage A 11.1.4 voor meer informatie.
ISO 27001 Bijlage A 7.5: Versterking van de beveiliging tegen fysieke en omgevingsbedreigingen
Organisaties moeten rekening houden met de risico’s die fysieke bedreigingen voor hun informatiemiddelen met zich meebrengen.
Dergelijke bedreigingen kunnen milieuschade, diefstal, vernietiging en compromittering van de gegevens omvatten. Deze problemen kunnen allemaal leiden tot informatieverlies en de mogelijkheid dat gevoelige gegevens openbaar worden gemaakt.
Natuurlijke gebeurtenissen zoals aardbevingen, overstromingen en bosbranden, maar ook door de mens veroorzaakte rampen zoals burgerlijke onrust en criminele daden, vormen bedreigingen.
ISO 27001:2022 Bijlage A 7.5 vereist dat organisaties de risico's voor vitale fysieke infrastructuur als gevolg van fysieke en ecologische gevaren beoordelen, herkennen en verminderen.
Doel van ISO 27001:2022 Bijlage A 7.5
ISO 27001:2022 Annex A 7.5 stelt organisaties in staat de potentiële risico's van omgevings- en fysieke bedreigingen te beoordelen, en deze risico's te verminderen of te elimineren door passende maatregelen te implementeren.
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Eigendom van bijlage A 7.5
ISO 27001:2022 bijlage A 7.5 vereist dat organisaties een alomvattende risicobeoordeling uitvoeren voordat zij fysieke activiteiten op locatie ondernemen, en passende maatregelen implementeren die evenredig zijn aan het geïdentificeerde risico.
Hoofd veiligheidsagenten zijn verantwoordelijk voor het creëren, beheren, implementeren en beoordelen van het hele proces.
Leidraad voor ISO 27001:2022 bijlage A 7.5 Naleving
ISO 27001:2022 bijlage A 7.5 schetst een driedelige strategie voor het herkennen en verwijderen van potentiële gevaren uit fysieke en omgevingsbronnen.
Stap 1 – Voer een risicobeoordeling uit
Organisaties moeten een risico-evaluatie om eventuele fysieke en ecologische gevaren die zich op hun terrein kunnen voordoen te identificeren, en vervolgens de mogelijke gevolgen van deze geïdentificeerde fysieke en ecologische risico's te meten.
Gezien de verscheidenheid aan omgevingsomstandigheden en fysieke risico's waarmee elk gebouw en elke infrastructuur te maken kan krijgen, zal het type dreiging en het geïdentificeerde risiconiveau verschillen afhankelijk van de locatie.
Het ene pand kan bijzonder kwetsbaar zijn voor natuurbranden, terwijl het andere zich in een gebied bevindt dat gevoelig is voor aardbevingen.
Het is essentieel dat er een risicobeoordeling wordt uitgevoerd voordat activiteiten ter plaatse worden gestart, zoals beschreven in bijlage A 7.5.
Stap 2 – Breng controles tot stand en gebruik deze
Gezien het type dreiging en het bijbehorende risico dat in eerste instantie is geïdentificeerd, moeten organisaties de juiste controles implementeren, waarbij rekening wordt gehouden met de mogelijke gevolgen van bedreigingen voor het milieu en fysieke bedreigingen.
ISO 27001:2022 Bijlage A 7.5 biedt voorbeelden van controles die kunnen worden geïmplementeerd om verschillende bedreigingen te bestrijden:
- Organisaties moeten systemen installeren die hen kunnen waarschuwen voor branden en die brandblussystemen kunnen activeren om digitale media- en informatiesystemen tegen vernietiging te beschermen.
- Er moeten systemen worden geïmplementeerd en opgezet om overstromingen te identificeren op locaties waar gegevens worden opgeslagen. Bovendien moeten er waterpompen worden voorbereid die kunnen worden gebruikt in geval van overstromingen.
- Servers en gegevensverwerkingssystemen moeten worden beveiligd tegen stroompieken. Regelmatig onderhoud en bescherming zijn essentieel voor optimale prestaties.
- Organisaties zouden dat moeten doen regelmatig auditeren en inspecteer mensen, voorwerpen en voertuigen die kritieke infrastructuurlocaties binnenkomen.
Stap 3 – Toezicht
Houd de voortgang bij en voer indien nodig aanpassingen uit. Evalueer de resultaten regelmatig en breng wijzigingen aan om ervoor te zorgen dat de doelstellingen worden behaald. Zorg ervoor dat u eventuele wijzigingen documenteert voor toekomstig gebruik.
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Aanvullend richtsnoer bij bijlage A 7.5
ISO 27001:2022 Annex A 7.5 schetst vier overwegingen waarmee organisaties rekening moeten houden.
Overleg met deskundigen
Elke ecologische en fysieke bedreiging, zoals giftig afval, aardbevingen en brand, is verschillend in termen van kenmerken, het gevaar dat het met zich meebrengt en de maatregelen die moeten worden genomen.
Organisaties moeten gespecialiseerd advies raadplegen over hoe ze de risico’s van deze bedreigingen kunnen detecteren, verminderen en/of beheren.
Keuze van locatie voor gebouwen
Door rekening te houden met het lokale terrein, de waterstanden en de tektonische activiteit van een potentiële locatie voor een gebouw, kunnen potentiële risico's vroegtijdig worden geïdentificeerd en geëlimineerd.
Organisaties moeten nadenken over de gevaren van door de mens veroorzaakte rampen in het geselecteerde stedelijke gebied, bijvoorbeeld politieke onrust en crimineel gedrag.
Extra beveiligingslaag
Het gebruik van veilige opslagmethoden, zoals kluizen, biedt een extra beschermingslaag tegen rampen zoals brand en overstromingen, naast de bestaande beveiligingsmaatregelen.
Misdaadpreventie door middel van milieuontwerp
ISO 27001:2022 Annex A 7.5 suggereert dat organisaties dit concept overwegen bij het introduceren van controles om de beveiliging van gebouwen te verbeteren. Deze aanpak kan worden gebruikt om stedelijke bedreigingen zoals criminele activiteiten, burgerlijke onrust en terrorisme te bestrijden.
Wijzigingen en verschillen ten opzichte van ISO 27001:2013
ISO 27001:2022 bijlage A 7.5 vervangt ISO 27001:2013 Bijlage A 11.1.4 in de herziene standaard.
De versie uit 2013 concentreerde zich op de manier waarop organisaties preventieve maatregelen moeten nemen tegen fysieke en ecologische bedreigingen, terwijl de versie uit 2022 uitgebreider is en de specifieke stappen schetst die organisaties moeten nemen om hieraan te voldoen.
Concluderend vallen twee belangrijke verschillen op.
Versie 2022 biedt advies over vergaderreglementen
De editie van 2013 bevatte geen richtlijnen over hoe organisaties risico's veroorzaakt door milieu- en fysieke gevaren konden herkennen en verminderen.
De versie van 2022 schetst een proces in drie stappen dat organisaties moeten implementeren, te beginnen met een risicobeoordeling.
De herziening van 2022 moedigt organisaties aan om een extra laag maatregelen te introduceren
De aanvullende richtlijnen voor 2022 omvatten het gebruik van kluizen en misdaadpreventie door middel van milieuontwerp als manieren om de veiligheid tegen bedreigingen te vergroten.
In 2013 zijn er echter geen extra stappen gezet.
Tabel met alle ISO 27001:2022 bijlage A-controles
In de onderstaande tabel vindt u meer informatie over elke afzonderlijke ISO 27001:2022 Annex A-controle.
| Bijlage A Controletype | ISO/IEC 27001:2022 bijlage A-identificatie | ISO/IEC 27001:2013 bijlage A-identificatie | Bijlage A Naam |
|---|---|---|---|
| Organisatorische controles | Bijlage A 5.1 |
Bijlage A 5.1.1 Bijlage A 5.1.2 |
Beleid voor informatiebeveiliging |
| Organisatorische controles | Bijlage A 5.2 | Bijlage A 6.1.1 | Rollen en verantwoordelijkheden op het gebied van informatiebeveiliging |
| Organisatorische controles | Bijlage A 5.3 | Bijlage A 6.1.2 | Scheiding van taken |
| Organisatorische controles | Bijlage A 5.4 | Bijlage A 7.2.1 | Directie verantwoordelijkheden |
| Organisatorische controles | Bijlage A 5.5 | Bijlage A 6.1.3 | Contact met autoriteiten |
| Organisatorische controles | Bijlage A 5.6 | Bijlage A 6.1.4 | Contact met speciale interessegroepen |
| Organisatorische controles | Bijlage A 5.7 | NIEUW | Bedreiging Intelligentie |
| Organisatorische controles | Bijlage A 5.8 |
Bijlage A 6.1.5 Bijlage A 14.1.1 |
Informatiebeveiliging in projectmanagement |
| Organisatorische controles | Bijlage A 5.9 |
Bijlage A 8.1.1 Bijlage A 8.1.2 |
Inventarisatie van informatie en andere bijbehorende activa |
| Organisatorische controles | Bijlage A 5.10 |
Bijlage A 8.1.3 Bijlage A 8.2.3 |
Aanvaardbaar gebruik van informatie en andere bijbehorende activa |
| Organisatorische controles | Bijlage A 5.11 | Bijlage A 8.1.4 | Teruggave van activa |
| Organisatorische controles | Bijlage A 5.12 | Bijlage A 8.2.1 | Classificatie van informatie |
| Organisatorische controles | Bijlage A 5.13 | Bijlage A 8.2.2 | Etikettering van informatie |
| Organisatorische controles | Bijlage A 5.14 |
Bijlage A 13.2.1 Bijlage A 13.2.2 Bijlage A 13.2.3 |
Informatieoverdracht |
| Organisatorische controles | Bijlage A 5.15 |
Bijlage A 9.1.1 Bijlage A 9.1.2 |
Access Controle |
| Organisatorische controles | Bijlage A 5.16 | Bijlage A 9.2.1 | Identiteitsbeheer |
| Organisatorische controles | Bijlage A 5.17 |
Bijlage A 9.2.4 Bijlage A 9.3.1 Bijlage A 9.4.3 |
Authenticatie-informatie |
| Organisatorische controles | Bijlage A 5.18 |
Bijlage A 9.2.2 Bijlage A 9.2.5 Bijlage A 9.2.6 |
Toegangsrechten |
| Organisatorische controles | Bijlage A 5.19 | Bijlage A 15.1.1 | Informatiebeveiliging in leveranciersrelaties |
| Organisatorische controles | Bijlage A 5.20 | Bijlage A 15.1.2 | Het aanpakken van informatiebeveiliging binnen leveranciersovereenkomsten |
| Organisatorische controles | Bijlage A 5.21 | Bijlage A 15.1.3 | Beheer van informatiebeveiliging in de ICT-toeleveringsketen |
| Organisatorische controles | Bijlage A 5.22 |
Bijlage A 15.2.1 Bijlage A 15.2.2 |
Monitoring, beoordeling en wijzigingsbeheer van leveranciersdiensten |
| Organisatorische controles | Bijlage A 5.23 | NIEUW | Informatiebeveiliging voor gebruik van cloudservices |
| Organisatorische controles | Bijlage A 5.24 | Bijlage A 16.1.1 | Planning en voorbereiding van informatiebeveiligingsincidentbeheer |
| Organisatorische controles | Bijlage A 5.25 | Bijlage A 16.1.4 | Beoordeling en beslissing over informatiebeveiligingsgebeurtenissen |
| Organisatorische controles | Bijlage A 5.26 | Bijlage A 16.1.5 | Reactie op informatiebeveiligingsincidenten |
| Organisatorische controles | Bijlage A 5.27 | Bijlage A 16.1.6 | Leren van informatiebeveiligingsincidenten |
| Organisatorische controles | Bijlage A 5.28 | Bijlage A 16.1.7 | Verzameling van bewijsmateriaal |
| Organisatorische controles | Bijlage A 5.29 |
Bijlage A 17.1.1 Bijlage A 17.1.2 Bijlage A 17.1.3 |
Informatiebeveiliging tijdens disruptie |
| Organisatorische controles | Bijlage A 5.30 | NIEUW | ICT-gereedheid voor bedrijfscontinuïteit |
| Organisatorische controles | Bijlage A 5.31 |
Bijlage A 18.1.1 Bijlage A 18.1.5 |
Wettelijke, statutaire, regelgevende en contractuele vereisten |
| Organisatorische controles | Bijlage A 5.32 | Bijlage A 18.1.2 | Intellectuele eigendomsrechten |
| Organisatorische controles | Bijlage A 5.33 | Bijlage A 18.1.3 | Bescherming van records |
| Organisatorische controles | Bijlage A 5.34 | Bijlage A 18.1.4 | Privacy en bescherming van PII |
| Organisatorische controles | Bijlage A 5.35 | Bijlage A 18.2.1 | Onafhankelijke beoordeling van informatiebeveiliging |
| Organisatorische controles | Bijlage A 5.36 |
Bijlage A 18.2.2 Bijlage A 18.2.3 |
Naleving van beleid, regels en normen voor informatiebeveiliging |
| Organisatorische controles | Bijlage A 5.37 | Bijlage A 12.1.1 | Gedocumenteerde operationele procedures |
| Bijlage A Controletype | ISO/IEC 27001:2022 bijlage A-identificatie | ISO/IEC 27001:2013 bijlage A-identificatie | Bijlage A Naam |
|---|---|---|---|
| Mensencontroles | Bijlage A 6.1 | Bijlage A 7.1.1 | Doorlichting |
| Mensencontroles | Bijlage A 6.2 | Bijlage A 7.1.2 | Arbeidsvoorwaarden |
| Mensencontroles | Bijlage A 6.3 | Bijlage A 7.2.2 | Informatiebeveiligingsbewustzijn, onderwijs en training |
| Mensencontroles | Bijlage A 6.4 | Bijlage A 7.2.3 | Disciplinair proces |
| Mensencontroles | Bijlage A 6.5 | Bijlage A 7.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| Mensencontroles | Bijlage A 6.6 | Bijlage A 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| Mensencontroles | Bijlage A 6.7 | Bijlage A 6.2.2 | Werken op afstand |
| Mensencontroles | Bijlage A 6.8 |
Bijlage A 16.1.2 Bijlage A 16.1.3 |
Rapportage van informatiebeveiligingsgebeurtenissen |
| Bijlage A Controletype | ISO/IEC 27001:2022 bijlage A-identificatie | ISO/IEC 27001:2013 bijlage A-identificatie | Bijlage A Naam |
|---|---|---|---|
| Fysieke controles | Bijlage A 7.1 | Bijlage A 11.1.1 | Fysieke beveiligingsperimeters |
| Fysieke controles | Bijlage A 7.2 |
Bijlage A 11.1.2 Bijlage A 11.1.6 |
Fysieke toegang |
| Fysieke controles | Bijlage A 7.3 | Bijlage A 11.1.3 | Beveiliging van kantoren, kamers en faciliteiten |
| Fysieke controles | Bijlage A 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| Fysieke controles | Bijlage A 7.5 | Bijlage A 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| Fysieke controles | Bijlage A 7.6 | Bijlage A 11.1.5 | Werken in beveiligde gebieden |
| Fysieke controles | Bijlage A 7.7 | Bijlage A 11.2.9 | Duidelijk bureau en helder scherm |
| Fysieke controles | Bijlage A 7.8 | Bijlage A 11.2.1 | Apparatuurlocatie en bescherming |
| Fysieke controles | Bijlage A 7.9 | Bijlage A 11.2.6 | Beveiliging van activa buiten gebouwen |
| Fysieke controles | Bijlage A 7.10 |
Bijlage A 8.3.1 Bijlage A 8.3.2 Bijlage A 8.3.3 Bijlage A 11.2.5 |
Opslag media |
| Fysieke controles | Bijlage A 7.11 | Bijlage A 11.2.2 | Ondersteunende nutsvoorzieningen |
| Fysieke controles | Bijlage A 7.12 | Bijlage A 11.2.3 | Beveiliging van bekabeling |
| Fysieke controles | Bijlage A 7.13 | Bijlage A 11.2.4 | Equipment Maintenance |
| Fysieke controles | Bijlage A 7.14 | Bijlage A 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
| Bijlage A Controletype | ISO/IEC 27001:2022 bijlage A-identificatie | ISO/IEC 27001:2013 bijlage A-identificatie | Bijlage A Naam |
|---|---|---|---|
| Technologische controles | Bijlage A 8.1 |
Bijlage A 6.2.1 Bijlage A 11.2.8 |
Eindpuntapparaten van gebruikers |
| Technologische controles | Bijlage A 8.2 | Bijlage A 9.2.3 | Bevoorrechte toegangsrechten |
| Technologische controles | Bijlage A 8.3 | Bijlage A 9.4.1 | Beperking van toegang tot informatie |
| Technologische controles | Bijlage A 8.4 | Bijlage A 9.4.5 | Toegang tot broncode |
| Technologische controles | Bijlage A 8.5 | Bijlage A 9.4.2 | Veilige authenticatie |
| Technologische controles | Bijlage A 8.6 | Bijlage A 12.1.3 | Capaciteitsmanagement |
| Technologische controles | Bijlage A 8.7 | Bijlage A 12.2.1 | Bescherming tegen malware |
| Technologische controles | Bijlage A 8.8 |
Bijlage A 12.6.1 Bijlage A 18.2.3 |
Beheer van technische kwetsbaarheden |
| Technologische controles | Bijlage A 8.9 | NIEUW | Configuration Management |
| Technologische controles | Bijlage A 8.10 | NIEUW | Informatie verwijderen |
| Technologische controles | Bijlage A 8.11 | NIEUW | Gegevensmaskering |
| Technologische controles | Bijlage A 8.12 | NIEUW | Preventie van gegevenslekken |
| Technologische controles | Bijlage A 8.13 | Bijlage A 12.3.1 | Informatieback-up |
| Technologische controles | Bijlage A 8.14 | Bijlage A 17.2.1 | Redundantie van informatieverwerkingsfaciliteiten |
| Technologische controles | Bijlage A 8.15 |
Bijlage A 12.4.1 Bijlage A 12.4.2 Bijlage A 12.4.3 |
Logging |
| Technologische controles | Bijlage A 8.16 | NIEUW | Bewakingsactiviteiten |
| Technologische controles | Bijlage A 8.17 | Bijlage A 12.4.4 | Kloksynchronisatie |
| Technologische controles | Bijlage A 8.18 | Bijlage A 9.4.4 | Gebruik van bevoorrechte hulpprogramma's Toegangsrechten |
| Technologische controles | Bijlage A 8.19 |
Bijlage A 12.5.1 Bijlage A 12.6.2 |
Installatie van software op besturingssystemen |
| Technologische controles | Bijlage A 8.20 | Bijlage A 13.1.1 | Netwerkbeveiliging |
| Technologische controles | Bijlage A 8.21 | Bijlage A 13.1.2 | Beveiliging van netwerkdiensten |
| Technologische controles | Bijlage A 8.22 | Bijlage A 13.1.3 | Segregatie van netwerken |
| Technologische controles | Bijlage A 8.23 | NIEUW | Web filtering |
| Technologische controles | Bijlage A 8.24 |
Bijlage A 10.1.1 Bijlage A 10.1.2 |
Gebruik van cryptografie |
| Technologische controles | Bijlage A 8.25 | Bijlage A 14.2.1 | Levenscyclus van veilige ontwikkeling |
| Technologische controles | Bijlage A 8.26 |
Bijlage A 14.1.2 Bijlage A 14.1.3 |
Beveiligingsvereisten voor applicaties |
| Technologische controles | Bijlage A 8.27 | Bijlage A 14.2.5 | Principes van veilige systeemarchitectuur en engineeringLeren van incidenten met informatiebeveiliging |
| Technologische controles | Bijlage A 8.28 | NIEUW | Veilig coderen |
| Technologische controles | Bijlage A 8.29 |
Bijlage A 14.2.8 Bijlage A 14.2.9 |
Beveiligingstesten bij ontwikkeling en acceptatie |
| Technologische controles | Bijlage A 8.30 | Bijlage A 14.2.7 | Uitbestede ontwikkeling |
| Technologische controles | Bijlage A 8.31 |
Bijlage A 12.1.4 Bijlage A 14.2.6 |
Scheiding van ontwikkel-, test- en productieomgevingen |
| Technologische controles | Bijlage A 8.32 |
Bijlage A 12.1.2 Bijlage A 14.2.2 Bijlage A 14.2.3 Bijlage A 14.2.4 |
Change Management |
| Technologische controles | Bijlage A 8.33 | Bijlage A 14.3.1 | Test informatie |
| Technologische controles | Bijlage A 8.34 | Bijlage A 12.7.1 | Bescherming van informatiesystemen tijdens audittests |
[case_study_slider ids=”88859,101932,92016″ autoplay=”true” autoplay_speed=”5000″]
Hoe ISMS.online helpt
Het ISMS.online-platform biedt een verscheidenheid aan krachtige tools om uw documenten te documenteren, implementeren, behouden en verbeteren managementsysteem voor informatiebeveiliging (ISMS) en gemakkelijker voldoen aan ISO 27001:2022.
Deze uitgebreide verzameling hulpmiddelen biedt één centrale locatie waar u een reeks beleidsregels en procedures kunt aanpassen aan de specifieke risico's en behoeften van uw organisatie.
Neem vandaag nog contact met ons op een demonstratie organiseren.