ISO 27002:2022 – Controle 7.9 – Beveiliging van activa buiten locatie

ISO 27002 Controle 7.9: Beveiliging van activa buiten het kantoor

Wanneer apparaten met informatiemiddelen uit de gebouwen van een organisatie worden gehaald, worden ze blootgesteld aan hogere risico's op schade, verlies, vernietiging, diefstal of compromittering.

Dit is zo omdat fysieke beveiligingscontroles geïmplementeerd binnen de faciliteiten van een organisatie zal niet effectief zijn, waardoor de activa die buiten de locatie worden gebracht kwetsbaar blijven voor bedreigingen zoals fysieke risico's en ongeoorloofde toegang door kwaadwillende partijen.

Werknemers die extern werken, kunnen bijvoorbeeld bedrijfscomputers met gevoelige informatie meenemen uit bedrijfsruimten, in een koffiehuis of hotellobby gaan werken, verbinding maken met een onveilig openbaar wifi-netwerk en hun apparaten onbeheerd achterlaten. Deze zijn allemaal aanwezig risico’s voor de veiligheid, vertrouwelijkheid, integriteit en beschikbaarheid van informatie die op deze apparaten wordt gehost.

Daarom moeten organisaties ervoor zorgen dat apparaten die buiten de locatie worden meegenomen, veilig worden bewaard.

Controle 7.9 adressen hoe organisaties de beveiliging kunnen handhaven van externe apparaten waarop informatie wordt gehost door het opzetten en implementeren van passende controles en procedures.

Doel van de controle 7.9

Met Control 7.9 kunnen organisaties dit doen het handhaven van de beveiliging van apparatuur die informatiemiddelen bevat door twee specifieke risico’s te voorkomen:

• Het elimineren en/of minimaliseren van de risico's van verlies, beschadiging, vernietiging of compromittering van apparaten waarop informatiemiddelen zijn opgeslagen wanneer deze buiten het pand worden meegenomen.
• voorkomen van de risico op onderbreking van de informatieverwerking van de organisatie activiteiten als gevolg van het compromitteren van externe apparaten.

Attributen Controletabel 7.9

Controle 7.9 heeft een preventief karakter. Het stelt organisaties in staat preventief de juiste controles en procedures te implementeren, zodat apparaten die buiten het terrein van de organisatie worden verwijderd, hetzelfde beschermingsniveau krijgen als de apparaten die zich ter plaatse bevinden.

Eigendom van zeggenschap 7.9

Controle 7.9 vereist dat organisaties procedures en controles vaststellen en toepassen die betrekking hebben op alle apparaten die eigendom zijn van of gebruikt worden namens de organisatie. Bovendien is het opstellen van een activa-inventaris en de goedkeuring door het hogere management van het gebruik van persoonlijke apparaten essentieel voor de effectieve bescherming van externe apparaten.

Daarom moet de informatiebeveiligingsmanager overleg plegen met het management en de relevante eigenaren van bedrijfsmiddelen en moet hij verantwoordelijk zijn voor het opstellen, implementeren en onderhouden van procedures en maatregelen om de veiligheid te handhaven van apparaten die buiten het bedrijfsterrein worden verwijderd.

Algemene richtlijnen voor naleving

Controle 7.9 somt zes vereisten op waaraan organisaties zich moeten houden bij het ontwerpen en implementeren van maatregelen en richtlijnen voor de bescherming van activa die off-site worden meegenomen:

1. Computerapparatuur en opslagmedia die extern worden meegenomen, zoals bedrijfscomputers, USB's, harde schijven en monitoren, mogen niet onbeheerd worden achtergelaten in openbare ruimtes zoals koffiehuizen of in een onveilige omgeving.
2. De richtlijnen en specificaties van de fabrikant van het apparaat met betrekking tot de fysieke bescherming van het relevante apparaat moeten te allen tijde worden nageleefd. De instructies van de fabrikant van het apparaat kunnen bijvoorbeeld bevatten hoe het apparaat/de apparatuur moet worden beschermd tegen water, hitte, elektromagnetische velden en stof.
3. Werknemers en/of andere organisaties die computerapparatuur meenemen naar buiten het bedrijfsterrein, mogen deze apparatuur overdragen aan andere medewerkers of derden. Om de veiligheid van deze apparatuur te waarborgen, moeten organisaties een logboek bijhouden waarin de bewakingsketen wordt gedefinieerd. Dit logrecord moet in ieder geval de namen van personen bevatten verantwoordelijk voor het apparaat en de organisatie ervan.
4. Als een organisatie van mening is dat een autorisatieproces noodzakelijk en praktisch is voor het verwijderen van apparatuur uit bedrijfsruimten, moet zij een autorisatieprocedure opstellen en toepassen voor het meenemen van bepaalde apparatuur naar een andere locatie. Deze autorisatieprocedure moet ook het bijhouden van alle handelingen voor het verwijderen van apparaten omvatten, zodat de organisatie beschikt over een audittrail.
5. Er moeten passende maatregelen worden genomen om het risico van ongeoorloofde weergave van informatie op het scherm over het openbaar vervoer te elimineren.
6. Er moeten tools voor locatietracking en toegang op afstand aanwezig zijn, zodat het apparaat kan worden gevolgd en de informatie op het apparaat indien nodig op afstand kan worden gewist.

Aanvullend richtsnoer voor controle 7.9

Controle 7.9 schrijft ook eisen voor de bescherming van apparatuur die permanent buiten bedrijfsruimten is geïnstalleerd.

Deze apparatuur kan antennes en geldautomaten omvatten.

Gezien het feit dat deze apparatuur onderhevig kan zijn aan verhoogde risico's op schade en verlies, vereist Controle 7.9 dat organisaties rekening houden met het volgende bij het beschermen van deze externe apparatuur:

1. Controle 7.4, namelijk het toezicht op de fysieke beveiliging, moet worden overwogen.
2. Er moet rekening worden gehouden met controle 7.5, namelijk de bescherming tegen omgevings- en fysieke bedreigingen
3. Toegangscontrole Er moeten passende maatregelen worden genomen om manipulatie te voorkomen.
4. Er moeten logische toegangscontroles worden gemaakt en toegepast.

Bovendien beveelt Controle 7.9 aan dat organisaties controles 6.7 en 8.1 in overweging nemen bij het definiëren en implementeren van maatregelen om apparaten en apparatuur te beschermen.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022/ 7.9 vervangt 27002:2013/(11.2.6)

Er zijn drie belangrijke verschillen die moeten worden benadrukt:

• Controle 7.9 schrijft uitgebreidere eisen voor

Vergeleken met de versie uit 2013, Controle 7.9 in de 2022-versie introduceert de volgende twee vereisten:

1. Er moeten passende maatregelen worden genomen om het risico van ongeoorloofde weergave van informatie op het scherm over het openbaar vervoer te elimineren.
2. Er moeten tools voor locatietracking en toegang op afstand aanwezig zijn, zodat het apparaat kan worden gevolgd en de informatie op het apparaat indien nodig op afstand kan worden gewist.

• Control 7.9 introduceert nieuwe vereisten voor permanent geïnstalleerde externe apparaten

In tegenstelling tot de versie uit 2013 bevat Control 7.9 in de versie uit 2022 aparte richtlijnen over de bescherming van apparatuur die permanent op een externe plaats is geïnstalleerd.

Denk hierbij aan antennes en geldautomaten.

• Verbod op werken op afstand om risico's te elimineren

In de versie uit 2013 werd expliciet gesteld dat organisaties werknemers mogen verbieden om op afstand te werken als dit passend is voor het geïdentificeerde risiconiveau. In de versie uit 2022 wordt echter niet over een dergelijke maatregel gesproken.

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

U kunt ISMS.online gebruiken om beheer uw ISO 27002-implementatie, omdat het specifiek is ontworpen om een ​​bedrijf te helpen bij het implementeren van zijn informatiebeveiligingsbeheersysteem (ISMS) om te voldoen aan de eisen van ISO 27002.

Het platform maakt gebruik van een op risico's gebaseerde aanpak in combinatie met toonaangevende best practices en sjablonen om u te helpen de risico's waarmee uw organisatie wordt geconfronteerd te identificeren en de controles die nodig zijn om deze risico's te beheersen. Hierdoor kunt u zowel uw risicoblootstelling als uw compliancekosten systematisch verminderen.

Neem vandaag nog contact op met boek een demo.