ISO 27002:2022 – Controle 7.5 – Bescherming tegen fysieke en ecologische bedreigingen

Uw organisatie beschermen tegen fysieke en omgevingsbedreigingen

Bedreigingen voor informatiemiddelen zijn niet louter digitaal: de kritieke fysieke infrastructuur van een organisatie waarin informatiemiddelen worden gehost, wordt ook blootgesteld aan omgevings- en fysieke bedreigingen die kunnen leiden tot verlies, vernietiging, diefstal en compromittering van informatiemiddelen en gevoelige gegevens.

Deze bedreigingen kunnen natuurlijke gebeurtenissen omvatten, zoals aardbevingen, overstromingen en bosbranden. Hiertoe kunnen ook door de mens veroorzaakte rampen behoren, zoals burgerlijke onrust en criminele activiteiten.

Controle 7.5 behandelt hoe organisaties risico's voor kritieke fysieke infrastructuur als gevolg van fysieke en ecologische bedreigingen kunnen beoordelen, identificeren en beperken.

Doel van de controle 7.5

Met Control 7.5 kunnen organisaties de mogelijke nadelige effecten van ecologische en fysieke bedreigingen en deze effecten te verzachten en/of te elimineren door passende maatregelen te nemen.

Attributen Controletabel 7.5

Controle 7.5 is een preventieve vorm van controle vereist dat organisaties de gevolgen elimineren en/of verzachten die waarschijnlijk voortkomen uit externe risico's zoals natuurrampen en door de mens veroorzaakte incidenten.

Eigendom van zeggenschap 7.5

Controle 7.5 vereist dat organisaties dit doen een diepgaande risicoanalyse uitvoeren voordat met werkzaamheden op een fysieke locatie wordt begonnen, en om de nodige maatregelen te implementeren die in verhouding staan ​​tot het geïdentificeerde risiconiveau.

Chief Security Officers moeten daarom verantwoordelijk zijn voor het creëren, beheren, implementeren en beoordelen van het hele proces.

Algemene richtlijnen voor naleving

Controle 7.5 specificeert een proces in drie stappen om risico’s als gevolg van fysieke en omgevingsbedreigingen te identificeren en te elimineren:

• Stap 1: Voer een risicobeoordeling uit

Organisaties zouden dat moeten doen een risicoanalyse uitvoeren om potentiële fysieke en ecologische rampen te identificeren die zich op elk specifiek fysiek terrein kunnen voordoen en vervolgens de effecten te meten die waarschijnlijk zullen optreden als gevolg van de geïdentificeerde fysieke en ecologische bedreigingen.

Gezien het feit dat elk fysiek gebouw en elke infrastructuur daarin onderworpen zal zijn aan verschillende omgevingsomstandigheden en fysieke risicofactoren, zal het type dreiging en het geïdentificeerde risiconiveau variëren per gebouw en locatie.

Hoewel een pand bijvoorbeeld het meest kwetsbaar is voor natuurbranden, kan een ander pand zich in een gebied bevinden waar regelmatig aardbevingen voorkomen.

Een andere kritische vereiste die in controle 7.5 wordt gesteld, is dat deze risicobeoordeling moet worden uitgevoerd vóór de start van de activiteiten op een fysiek terrein.

• Stap 2: Identificeer en implementeer controles

Op basis van het type bedreiging en het risiconiveau dat in de eerste stap is geïdentificeerd, moeten organisaties passende controles invoeren, waarbij rekening wordt gehouden met de waarschijnlijke gevolgen van de bedreigingen vanuit het milieu en de fysieke omgeving.

Ter illustratie geeft Controle 7.5 voorbeelden van controles die kunnen worden ingevoerd voor de volgende bedreigingen:

Fire: Organisaties moeten systemen inzetten om alarmen te activeren wanneer er brand wordt gedetecteerd of om brandblussystemen te activeren die opslagmedia en informatiesystemen tegen schade kunnen beschermen.

Overstroming: Er moeten systemen worden ingezet en geconfigureerd om overstromingen te detecteren in gebieden waar informatiebronnen zijn opgeslagen. Bovendien moeten gereedschappen zoals waterpompen gereed zijn voor gebruik in geval van overstromingen.

Elektrische pieken: Servers en kritisch informatiemanagementsystemen moeten worden onderhouden en beschermd tegen stroomuitval.

Explosieven en wapens: Organisaties zouden dat moeten doen willekeurige audits uitvoeren en inspecties van alle personen, voorwerpen en voertuigen die gebouwen binnenkomen waar kritieke infrastructuur aanwezig is.

• Stap 3: Monitoring

Gezien het feit dat het soort bedreigingen en het risiconiveau in de loop van de tijd kunnen veranderen, moeten organisaties de risicobeoordelingen voortdurend monitoren en indien nodig de controles die zij hebben geïmplementeerd, heroverwegen.

Aanvullende begeleiding

Controle 7.5 somt vier specifieke overwegingen op waar organisaties rekening mee moeten houden.

Overleg met deskundigen

Elk specifiek type milieu- en fysieke bedreiging, of het nu gaat om giftig afval, een aardbeving of een brand, is uniek wat betreft de aard ervan, de risico's die het met zich meebrengt en de tegenmaatregelen die het vereist.

Daarom moeten organisaties deskundig advies inwinnen over hoe ze de risico’s die uit deze bedreigingen voortkomen, kunnen identificeren en/of beperken.

Keuze van locatie voor gebouwen

Rekening houden met de lokale topografie, waterstanden en tektonische bewegingen van de potentiële locatie voor gebouwen kan ertoe bijdragen dat risico's in een vroeg stadium worden geïdentificeerd en geëlimineerd.

Bovendien moeten organisaties rekening houden met de risico's van door de mens veroorzaakte rampen in het gekozen stedelijke gebied, zoals politieke onrust en criminele activiteiten.

Extra beveiligingslaag

Naast de specifieke geïmplementeerde controles, veilige informatieopslag Methoden zoals kluizen kunnen een extra beveiligingslaag toevoegen tegen rampen zoals brand en overstromingen.

Misdaadpreventie door middel van milieuontwerp

Controle 7.5 beveelt organisaties aan dit concept in overweging te nemen bij het implementeren van controles om de beveiliging van gebouwen te verbeteren. Deze methode kan worden gebruikt om stedelijke bedreigingen zoals criminele activiteiten, burgerlijke onrust en terrorisme te elimineren.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022/7.5 replaces 27002:2013/(11.1.4)

Terwijl in de versie van 2013 werd beschreven hoe organisaties passende preventieve maatregelen tegen fysieke en ecologische bedreigingen moeten treffen, is de versie van 2022 veel uitgebreider in termen van specifieke nalevingsstappen die organisaties moeten nemen.

Over het geheel genomen zijn er twee belangrijke verschillen:

• Versie 2022 biedt richtlijnen voor naleving

De versie uit 2013 bevatte geen richtlijnen over hoe organisaties risico's als gevolg van omgevings- en fysieke bedreigingen moesten identificeren en elimineren.

De 2022-versie beschrijft contractueel een proces dat uit drie stappen bestaat en dat organisaties moeten volgen, inclusief het uitvoeren van een risicobeoordeling.

• De versie van 2022 raadt organisaties aan om een ​​extra laag maatregelen te implementeren

In de aanvullende leidraad verwijst de versie uit 2022 naar maatregelen zoals het gebruik van kluizen en misdaadpreventie door middel van milieuontwerpconcepten die kunnen worden gebruikt om de bescherming tegen bedreigingen te verbeteren.

In de versie van 2013 kwamen dergelijke aanvullende maatregelen echter niet aan de orde.

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

Uw partner voor ISMS.online-platform biedt een reeks krachtige tools die de manier vereenvoudigen waarop u uw informatiebeveiligingsbeheersysteem (ISMS) kunt documenteren, implementeren, onderhouden en verbeteren en naleving van ISO 27002 kunt bereiken.

Het uitgebreide pakket aan tools biedt u één centrale plek waar u een op maat gemaakte set beleid en procedures kunt creëren die aansluiten bij uw wensen specifieke risico's en behoeften van de organisatie.

Neem vandaag nog contact op met boek een demo.