ISO 27002:2022 – Controle 7.13 – Onderhoud van apparatuur

Zorgen voor veilig en conform apparatuuronderhoud onder ISO 27002-controle 7.13

IT-apparatuur zoals servers, laptops, netwerkapparaten en printers zijn van cruciaal belang voor veel informatieverwerkingsactiviteiten, zoals de opslag, het gebruik en de overdracht van informatiemiddelen.

Als deze apparatuur echter niet wordt onderhouden waarbij rekening wordt gehouden met de productspecificaties en milieurisico's, kan de kwaliteit en prestatie ervan afnemen. Dit gebrek aan onderhoud kan resulteren in het in gevaar brengen van de beschikbaarheid, integriteit en vertrouwelijkheid van informatiemiddelen opgeslagen op deze apparatuur.

Als een organisatie er bijvoorbeeld niet in slaagt regelmatig onderhoud aan serverhardware uit te voeren, herkent zij mogelijk niet dat de schijfruimte vol is. Dit kan resulteren in verlies van gegevens die naar of vanuit de server worden verzonden.

Bovendien kunnen werknemers of externe dienstverleners toegang krijgen tot IT-apparatuur als onderdeel van de onderhoudsprocedure en dit kan ook risico's met zich meebrengen voor de vertrouwelijkheid van gevoelige informatie.

Een externe onderhoudsdienstverlener kan bijvoorbeeld toegang krijgen tot gevoelige informatie die op laptops is opgeslagen of malware op apparaten installeren.

Controle 7.13 gaat over hoe organisaties passende procedures en maatregelen kunnen vaststellen en implementeren voor het juiste onderhoud van apparatuur, zodat de informatie-activa die op deze apparatuur zijn opgeslagen, worden niet aangetast.

Doel van de controle 7.13

Controle 7.13 stelt organisaties in staat de noodzakelijke technische maatregelen en procedures in te voeren om de juiste onderhoudsactiviteiten uit te voeren op apparatuur die wordt gebruikt om informatiemiddelen op te slaan.

Deze maatregelen en procedures bieden de zekerheid dat informatiemiddelen niet verloren gaan of beschadigd raken, en dat ze niet worden blootgesteld aan het risico van compromittering, zoals ongeoorloofde toegang.

Attributen Controletabel 7.13

Controle 7.13 is een preventief type controle dat vereist dat organisaties een proactieve benadering hanteren bij het onderhoud van apparatuur.

Het omvat het opsporen van risico's die kunnen ontstaan ​​als gevolg van gebrekkig onderhoud, het vaststellen van onderhoudsprocedures voor apparatuur, waarbij rekening wordt gehouden met de specificaties van elke apparatuur, en het toepassen van passende controles die informatiemiddelen beschermen gehost op deze apparatuur tegen compromissen.

Eigendom van zeggenschap 7.13

Naleving van Controle 7.13 houdt in dat er een lijst met apparatuur wordt opgesteld, het uitvoeren van een risicoanalyse op basis van omgevingsfactoren en productspecificaties en het vaststellen en implementeren van geschikte procedures en maatregelen voor goed onderhoud.

Hoewel de rol van personen die dagelijks met deze apparatuur omgaan van cruciaal belang is, moet de informatiebeveiligingsmanager de verantwoordelijkheid dragen voor de naleving van Controle 7.13.

Algemene richtlijnen voor naleving

Controle 7.13 somt 11 specifieke aanbevelingen op die organisaties kunnen overwegen:

1. Onderhoudsprocedures moeten voldoen aan de specificaties van de fabrikant van de apparatuur, zoals de aanbevolen onderhoudsfrequentie.
2. Organisaties moeten een onderhoudsprogramma voor alle apparatuur opstellen en toepassen.
3. Alleen bevoegd personeel of derden mogen onderhoudswerkzaamheden of reparaties aan apparatuur uitvoeren.
4. Organisaties moeten een register opstellen en bijhouden van alle defecten aan apparatuur en fouten. Bovendien moeten in dit register ook alle onderhoudsactiviteiten aan de apparatuur worden vermeld.
5. Organisaties moeten passende maatregelen treffen tijdens het uitvoeren van onderhoud, waarbij rekening moet worden gehouden met de vraag of het onderhoud wordt uitgevoerd door een medewerker of een externe dienstverlener. Bovendien moet het relevante personeel een geheimhoudingsovereenkomst ondertekenen.
6. Het personeel dat de onderhoudswerkzaamheden uitvoert, moet te allen tijde onder toezicht staan.
7. Onderhoudswerkzaamheden op afstand moeten onderworpen zijn aan strikte toegangs- en autorisatieprocedures.
8. Als apparatuur uit de gebouwen wordt gehaald voor onderhoudswerkzaamheden, moeten organisaties passende beveiligingsmaatregelen treffen in overeenstemming met Controle 7.9.
9. Organisaties dienen zich te houden aan alle eisen die verzekeraars stellen aan het uitvoeren van onderhoud.
10. Organisaties moeten apparatuur die onderhoudswerkzaamheden heeft ondergaan inspecteren om er zeker van te zijn dat er niet mee wordt geknoeid en dat deze naar behoren functioneert.
11. Als de apparatuur wordt weggegooid of hergebruikt, moeten organisaties geschikte maatregelen en procedures vaststellen en implementeren, rekening houdend met de vereisten uiteengezet in Beheersing 7.14.

Aanvullend richtsnoer voor controle 7.14

Controle 7.13 stelt dat het volgende als apparatuur wordt beschouwd en onder de reikwijdte van Controle 7.13 valt:

1. Technische componenten van informatieverwerkingsfaciliteiten
2. Batterijen
3. Brandblussers
4. Liften
5. Stroomomzetters
6. Airconditioners
7. Soortgelijke activa

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002: 2022/7.13 vervangt 27002:2013/(11.2.4)

De 2022-versie bevat uitgebreidere vereisten

Vergeleken met de versie 2013 stelt de Control 7.13 in de versie 2022 uitgebreidere eisen. Waar de versie uit 2013 slechts zes specifieke eisen vermeldde, bevat de Control 7.13 11 eisen.

Controle 7.13 introduceert de vijf volgende vereisten, die niet aan bod kwamen in de versie van 2013:

• Organisaties moeten een onderhoudsprogramma voor alle apparatuur opstellen en toepassen.
• Het personeel dat de onderhoudswerkzaamheden uitvoert, moet te allen tijde onder toezicht staan.
• Onderhoudswerkzaamheden op afstand moeten onderworpen zijn aan strikte toegangs- en autorisatieprocedures.
• Als de apparatuur wordt weggegooid of hergebruikt, moeten organisaties passende maatregelen en procedures vaststellen en implementeren in overeenstemming met Controle 7.14.
• Als apparatuur uit de gebouwen wordt gehaald voor onderhoudswerkzaamheden, moeten organisaties passende beveiligingsmaatregelen treffen in overeenstemming met Controle 7.9.

De versie van 2022 definieert 'apparatuur'

In de Aanvullende Leidraad wordt in besturingselement 7.13 gedefinieerd wat onder de reikwijdte van 'Apparatuur' valt. In de versie van 2013 werd daarentegen niet verwezen naar de betekenis van 'Uitrusting'.

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

Met ISMS.Online kunt u:

• Documenteer uw processen. Met deze intuïtieve interface kunt u uw processen documenteren zonder software op uw computer of netwerk te installeren.
• Automatiseer uw risicobeoordelingsproces.
• Toon naleving eenvoudig aan met online rapporten en checklists.
• Houd de voortgang bij terwijl u aan certificering werkt.
• ISMS.Online biedt een volledig scala aan functies om organisaties en bedrijven te helpen bij het bereiken van naleving van de industriestandaard ISO 27001 en/of ISO 27002 ISMS.

Neem vandaag nog contact op met boek een demo.