Doel van de controle 7.4
Controle 7.4 is een nieuw type controle dat vereist dat organisaties externe en interne problemen detecteren en voorkomen indringers die zonder toestemming beperkte fysieke gebieden betreden door geschikte bewakingsinstrumenten in te zetten.
Deze bewakingstools monitoren en registreren voortdurend gebieden met beperkte toegang en beschermen de organisatie tegen risico's die kunnen ontstaan als gevolg van ongeoorloofde toegang, inclusief maar niet beperkt tot:
- Diefstal van gevoelige gegevens.
- Verlies van informatiemiddelen.
- Financiële schade.
- Diefstal van verwijderbare media-items voor kwaadwillig gebruik.
- Infectie van IT-middelen met malware.
- Ransomware-aanvallen die door een indringer kunnen worden uitgevoerd.
Attributentabel met besturingselementen 7.4
Controle 7.4 is detectief en preventief van aard. Het stelt organisaties in staat de integriteit, vertrouwelijkheid, beschikbaarheid en beveiliging van gevoelige gegevens en kritieke informatiemiddelen door voortdurend de toegang tot beperkte locaties te monitoren.
| controle Type | Eigenschappen voor informatiebeveiliging | Cyberbeveiligingsconcepten | Operationele mogelijkheden | Beveiligingsdomeinen |
|---|---|---|---|---|
| #Preventief | #Vertrouwelijkheid | #Beschermen | #Fysieke bewaking | #Bescherming |
| #Detective | #Integriteit | #Detecteer | #Verdediging | |
| #Beschikbaarheid |
Eigendom van zeggenschap 7.4
Naleving van Controle 7.4 vereist identificatie van alle beperkte gebieden en het bepalen van bewakingsinstrumenten die geschikt zijn voor het relevante fysieke gebied.
Daarom moeten hoofdveiligheidsfunctionarissen verantwoordelijk zijn voor de juiste implementatie, onderhoud, beheer en beoordeling van bewakingssystemen.
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Algemene richtlijnen over hoe u hieraan kunt voldoen
Controle 7.4 vereist dat organisaties deze drie stappen implementeren om ongeoorloofde toegang tot faciliteiten waar kritieke informatie wordt gehost te detecteren en te ontmoedigen:
- Stap 1: Zet een videobewakingssysteem op
Organisaties moeten beschikken over een videobewakingssysteem, waarvan een voorbeeld een CCTV-camera is, om voortdurend de toegang te monitoren tot beperkte gebieden waar kritieke informatie wordt opgeslagen. Bovendien moet dit bewakingssysteem alle binnenkomsten in de fysieke gebouwen registreren.
- Stap 2: Installeer detectoren om een alarm te laten afgaan
Door een alarm te activeren wanneer een indringer een fysiek pand betreedt, kan het beveiligingsteam snel reageren op inbreuken op de beveiliging. Bovendien kan het ook effectief zijn bij het afschrikken van indringers.
Organisaties moeten bewegings-, geluids- en contactdetectoren gebruiken die een alarm activeren wanneer er een ongebruikelijke activiteit binnen het fysieke pand wordt gedetecteerd.
Met name:
- Er moet een contactdetector worden geïnstalleerd die een alarm moet laten afgaan wanneer een onbekend object/persoon in contact komt met een object of het contact met een object verbreekt. Een contactdetector kan bijvoorbeeld worden geconfigureerd om een alarm te activeren wanneer er contact wordt gemaakt met een raam of deur.
- Bewegingsdetectoren kunnen worden geprogrammeerd om een alarm te starten wanneer de beweging van een object binnen hun gezichtsveld wordt gedetecteerd.
- Geluidsmelders zoals glasbreukmelders kunnen worden geactiveerd wanneer er geluid wordt gedetecteerd.
- Stap 3: Configuratie van alarmen om alle interne gebouwen te beschermen
De derde nalevingsstap vereist de configuratie van het alarmsysteem om ervoor te zorgen dat alle gevoelige gebieden, inclusief alle externe deuren, ramen, onbezette gebieden en computerruimtes, zich binnen het bereik van het alarmsysteem bevinden, zodat er geen kwetsbaarheid is die kan worden uitgebuit.
Als gebouwen zoals rookruimtes of zelfs de ingangen van sportscholen bijvoorbeeld niet worden bewaakt, kunnen deze door indringers als aanvalsvectoren worden gebruikt.
Soorten bewakingssystemen
Hoewel Controle 7.4 niet stelt dat organisaties een specifiek surveillancesysteem moeten kiezen en implementeren boven andere alternatieven, somt het een reeks surveillance-instrumenten op die afzonderlijk of in combinatie met andere kunnen worden gebruikt:
- CCTV camera's
- Bewakers
- Beveiligingsalarmen voor indringers
- Softwaretools voor fysiek veiligheidsmanagement
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Aanvullend richtsnoer voor controle 7.4
Controle 7.4 benadrukt dat organisaties rekening moeten houden met het volgende bij het implementeren van fysieke beveiligingsmonitoringsystemen:
- Het ontwerp en de interne werking van de monitoringsystemen moeten vertrouwelijk worden gehouden.
- Geschikt Er moeten maatregelen worden genomen om de openbaarmaking van monitoring te voorkomen activiteiten en videofeeds door te geven aan onbevoegde partijen en om het risico van het op afstand uitschakelen van de monitoringsystemen door kwaadwillende partijen te elimineren.
- De alarmcentrales moeten zich in een gealarmeerde zone bevinden en er moet een veilige en gemakkelijke uitgang zijn voor de persoon die het alarm activeert.
- Alle gebruikte detectoren en de gebruikte alarmcentrales moeten manipulatiebestendig zijn.
- Het monitoren en registreren van individuen via surveillancesystemen, zelfs als dit voor legitieme doeleinden is, moet in overeenstemming zijn met alle toepasselijke wet- en regelgeving, met name de wetgeving inzake gegevensbescherming. Bijvoorbeeld de EU- en VK-AVG kan van organisaties eisen dat zij een effectbeoordeling uitvoeren voordat zij CCTV-camera's inzetten. Bovendien moet de opname van videofeeds voldoen aan de bewaartermijnen voor gegevens die zijn vastgelegd in de toepasselijke lokale wetgeving.
Wijzigingen en verschillen ten opzichte van ISO 27002:2013
Controle 7.4 wel a nieuwe controle dat werd niet behandeld in ISO 27002:2013 in welke hoedanigheid dan ook.
Nieuwe ISO 27002-controles
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 5.7 | NIEUW | Bedreigingsintelligentie |
| 5.23 | NIEUW | Informatiebeveiliging voor gebruik van clouddiensten |
| 5.30 | NIEUW | ICT gereed voor bedrijfscontinuïteit |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 8.9 | NIEUW | Configuratiebeheer |
| 8.10 | NIEUW | Verwijdering van informatie |
| 8.11 | NIEUW | Gegevensmaskering |
| 8.12 | NIEUW | Preventie van gegevenslekken |
| 8.16 | NIEUW | Monitoring activiteiten |
| 8.23 | NIEUW | Web filtering |
| 8.28 | NIEUW | Veilige codering |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 6.1 | 07.1.1 | Doorlichting |
| 6.2 | 07.1.2 | Arbeidsvoorwaarden |
| 6.3 | 07.2.2 | Bewustzijn, opleiding en training op het gebied van informatiebeveiliging |
| 6.4 | 07.2.3 | Disciplinair proces |
| 6.5 | 07.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| 6.6 | 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| 6.7 | 06.2.2 | Werken op afstand |
| 6.8 | 16.1.2, 16.1.3 | Rapportage van informatiebeveiligingsgebeurtenissen |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 7.1 | 11.1.1 | Fysieke veiligheidsperimeters |
| 7.2 | 11.1.2, 11.1.6 | Fysieke toegang |
| 7.3 | 11.1.3 | Beveiligen van kantoren, kamers en faciliteiten |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 7.5 | 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| 7.6 | 11.1.5 | Werken in beveiligde ruimtes |
| 7.7 | 11.2.9 | Overzichtelijk bureau en helder scherm |
| 7.8 | 11.2.1 | Locatie en bescherming van apparatuur |
| 7.9 | 11.2.6 | Beveiliging van activa buiten het terrein |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Opslag media |
| 7.11 | 11.2.2 | Ondersteunende nutsvoorzieningen |
| 7.12 | 11.2.3 | Beveiliging van de bekabeling |
| 7.13 | 11.2.4 | Apparatuuronderhoud |
| 7.14 | 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
Hoe ISMS.online helpt
De ISMS.online-platform biedt een reeks krachtige tools die de manier vereenvoudigen waarop u uw informatiebeveiligingsbeheersysteem (ISMS) kunt documenteren, implementeren, onderhouden en verbeteren en naleving van ISO 27002 kunt bereiken.
Het uitgebreide pakket aan tools biedt u één centrale plek waar u een op maat gemaakte set beleid en procedures kunt creëren die aansluiten bij de specifieke risico's en behoeften van uw organisatie. Het maakt ook samenwerking mogelijk tussen collega's en externe partners zoals leveranciers of externe auditors.
Neem vandaag nog contact op met boek een demo.
