מהי Control 6.7?
שליטה 6.7, עבודה מרחוק היא פקד בתקן ISO 27002:2022 המתוקן. היא ממליצה כי לארגונים תהיה מדיניות בנושא עבודה מרחוק וכן מערכת ניהול אבטחת מידע הכוללת נהלים לאבטחת גישה מרחוק למערכות מידע ורשתות.
השלכות אבטחת מידע של עבודה מרחוק
העבודה מרחוק הפכה נפוצה יותר ככל שהטכנולוגיה התפתחה וכיום ניתן לעובדים לעבוד מהבית מבלי לפגוע בפריון או ביעילות. עם זאת, זה יכול גם לעורר כמה חששות לגבי אבטחת מידע.
אם אתה בעל עסק, תרצה לדעת כיצד להגן על הקניין הרוחני שלך מפני פושעי סייבר ולהבטיח שהנתונים שלך בטוחים מפני האקרים.
להלן כמה השלכות אבטחת מידע של עבודה מרחוק:
בקרת גישה
עבודה מרחוק יכולה להיות יתרון שכן היא מאפשרת גישה קלה יותר למידע ולמערכות רגישות. עם זאת, לעבודה מרחוק יש מספר השלכות אבטחה.
עבודה מרחוק, אם לא מנוהלת כראוי, עלולה להיות רגישה לסיכוני אבטחה כגון פריצה, התקפות תוכנות זדוניות, גישה לא מורשית ועוד. זה נכון במיוחד כאשר העובדים אינם נמצאים פיזית בסביבה מאובטחת.
אובדן ביטחון פיזי
עבודה מרחוק יכולה גם להשפיע על האבטחה הפיזית של העסק. הסיבה לכך היא שהעובדים כבר לא נמצאים פיזית במשרד או בבניין, ולפיכך, סביר להניח שלא יראו או ישמעו פעילות חשודה.
סודיות
עבודה מרחוק יכולה גם להוות סיכונים מסוימים בכל הנוגע לסודיות. לדוגמה, עובדים יכולים לגשת למידע סודי מרחוק ולגשת אליו ללא הסכמת החברה.
כמו כן, עובדים יכולים לגשת בקלות למידע רגיש של החברה באינטרנט הציבורי. למעשה, ישנם אפילו אתרים שבהם העובדים יכולים להעלות מידע רגיש שכולם יוכלו לראות.
פרטיות
עבודה מרחוק יכולה גם להשפיע על הפרטיות של ארגון. לדוגמה, אם עובדים עובדים מהבית, סביר יותר שהם ישאירו את חפציהם האישיים מונחים.
חפצים אלו עשויים להכיל מידע רגיש שעלול לסכן את פרטיות החברה.
הגנה על נתונים
עבודה מרחוק יכולה גם להוות סיכון לנתונים של העסק. לדוגמה, עובדים יכולים לגשת לנתוני החברה מרחוק, אותם ניתן לאחסן במגוון מיקומים.
זה יכול לכלול נתונים על מחשבים, שרתים ומכשירים ניידים. אם העובד עוזב את המשרד ולוקח את המכשיר, יכול להיות קשה יותר לשחזר את הנתונים.
כמו כן, העובד יכול לטעות או לעשות משהו זדוני עם המכשיר, מה שעלול לסכן את הנתונים.
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
טבלת בקרה של תכונות 6.7
תכונות משמשות לקטגוריות פקדים. אתה יכול להתאים מיד את אפשרות השליטה שלך לביטויים ומפרטים בתעשייה בשימוש נרחב באמצעות תכונות.
תכונות לבקרה 6.7 הן כפי שניתן לראות להלן.
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לְהַגֵן | #ניהול נכסים | #הֲגָנָה |
| #יושרה | #הגנת מידע | |||
| #זמינות | #ביטחון פיזי | |||
| #אבטחת מערכת ורשת |
מהי מטרת בקרה 6.7?
מטרת Control 6.7 היא להבטיח שלעובדים שעובדים מרחוק יהיו בקרות גישה נאותות במקום כדי להגן על הסודיות, השלמות והזמינות של מידע, תהליכים ומערכות רגישים או קנייניים מפני גישה או חשיפה בלתי מורשית של אנשים לא מורשים.
כדי להבטיח את אבטחת המידע כאשר צוות עובדים מרחוק, ארגונים צריכים להוציא מדיניות ספציפית לנושא על עבודה מרחוק המגדירה את התנאים וההגבלות הרלוונטיות לאבטחת מידע. המדיניות צריכה להיות מופצת לכל הצוות ולכלול הדרכה כיצד הם יכולים להשתמש בטכנולוגיות גישה מרחוק בצורה בטוחה ומאובטחת.
מדיניות ספציפית לנושא כמו זו תכסה ככל הנראה:
- הנסיבות שבהן מותרת עבודה מרחוק.
- התהליכים המשמשים כדי להבטיח שעובדים מרוחקים מורשים לגשת למידע סודי.
- הנהלים להבטחת מידע מוגן כאשר הוא מועבר בין מיקומים פיזיים שונים.
בנוסף לדרישות הבסיסיות הללו, חשוב גם לנהל נוהל מוגדר בבירור לדיווח על תקריות, כולל פרטי ההתקשרות המתאימים. זה יכול לעזור להפחית את הסיכון של הפרות או סוגים אחרים של אירועי אבטחה שיתרחשו מלכתחילה.
ייתכן שהמדיניות תצטרך לטפל בבעיות כמו הצפנה, חומות אש ועדכוני תוכנות אנטי-וירוס וכן הדרכת עובדים לגבי אופן השימוש בקישוריות מרחוק בבטחה.
מה כרוך ואיך לעמוד בדרישות
על מנת לעמוד בדרישות לבקרה 6.7, ארגונים המאפשרים פעילויות עבודה מרחוק צריכים להוציא מדיניות ספציפית לנושא על עבודה מרחוק המגדירה את התנאים וההגבלות הרלוונטיים.
יש לבחון את המדיניות באופן קבוע, במיוחד כאשר חל שינוי כלשהו בטכנולוגיה או בחקיקה.
יש למסור את המדיניות לכל העובדים, הקבלנים והגורמים האחרים המעורבים בפעילויות עבודה מרחוק.
המדיניות צריכה להיות מתועדת ולהיות זמינה לכל צד שלישי רלוונטי, לרבות רגולטורים ורואי חשבון.
ארגונים חייבים גם להבטיח שיש להם אמצעים הולמים כדי להגן על מידע רגיש או סודי המועבר או מאוחסן באופן אלקטרוני במהלך פעילויות עבודה מרחוק.
בהתאם להוראות בקרה 6.7, יש לשקול את העניינים הבאים:
- האבטחה הפיזית הקיימת או המוצעת של אתר העבודה המרוחק, תוך התחשבות באבטחה הפיזית של המקום והסביבה המקומית, לרבות תחומי השיפוט השונים שבהם נמצאים אנשי הצוות.
- כללים ומנגנוני אבטחה לסביבה הפיזית המרוחקת כגון ארונות תיוק ניתנים לנעילה, תחבורה מאובטחת בין מיקומים וכללים לגישה מרחוק, שולחן נקי, הדפסה וסילוק מידע ונכסים נלווים אחרים ודיווח על אירועי אבטחת מידע.
- סביבות העבודה הפיזיות המרוחקות הצפויות.
- דרישות אבטחת התקשורת, תוך התחשבות בצורך בגישה מרחוק למערכות הארגון, רגישות המידע שאליו יש גישה והעברתו דרך קישור התקשורת ורגישות המערכות והאפליקציות.
- השימוש בגישה מרחוק כגון גישה וירטואלית לשולחן העבודה התומכת בעיבוד ואחסון מידע על ציוד בבעלות פרטית.
- האיום של גישה בלתי מורשית למידע או משאבים מאנשים אחרים באתר העבודה המרוחק (למשל משפחה וחברים).
- האיום של גישה בלתי מורשית למידע או משאבים מאנשים אחרים במקומות ציבוריים.
- השימוש ברשתות ביתיות וברשתות ציבוריות, ודרישות או הגבלות על תצורת שירותי רשת אלחוטית.
- שימוש באמצעי אבטחה, כגון חומות אש והגנה מפני תוכנות זדוניות.
- מנגנונים מאובטחים לפריסה ואתחול מערכות מרחוק.
- מנגנונים מאובטחים לאימות והפעלת הרשאות גישה תוך התחשבות בפגיעות של מנגנוני אימות חד-גורם שבהם מותרת גישה מרחוק לרשת הארגון.
ההנחיות והאמצעים שיש לקחת בחשבון צריכים לכלול:
- אספקת ציוד מתאים וריהוט אחסון לפעילות העבודה מרחוק, כאשר אסור להשתמש בציוד בבעלות פרטית שאינה בשליטת הארגון.
- הגדרת העבודה המותרת, סיווג המידע שניתן להחזיק והמערכות והשירותים הפנימיים שהעובד המרוחק מורשה לגשת אליהם.
- מתן הדרכה לעובדים מרחוק ולנותני תמיכה. זה צריך לכלול איך לנהל עסקים בצורה מאובטחת תוך כדי עבודה מרחוק.
- אספקת ציוד תקשורת מתאים, לרבות שיטות לאבטחת גישה מרחוק, כגון דרישות על נעילות מסך המכשיר וטיימרים לחוסר פעילות.
- הפעלת מעקב אחר מיקום המכשיר.
- התקנת יכולות ניגוב מרחוק.
- ביטחון פיזי.
- כללים והדרכה לגבי גישה של משפחה ומבקרים לציוד ומידע.
- מתן תמיכה ותחזוקה בחומרה ותוכנה.
- מתן ביטוח.
- הנהלים לגיבוי והמשכיות עסקית.
- ביקורת וניטור אבטחה.
- שלילת סמכות וזכויות גישה והחזרת ציוד עם סיום פעולות העבודה מרחוק.
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
שינויים והבדלים מ-ISO 27002:2013
בקרה 6.7 ב-ISO 27002:2022 היא גרסה שונה של בקרה 6.2.2 ב-ISO 27002:2013 ואינה פקד חדש.
בעוד שלשני הפקדים הללו יש מאפיינים רבים, הם שונים במקצת במינון ובניסוחים. שם הפקד, למשל, אינו זהה. בקרה 6.2.2 ב-ISO 27002:2013 מכונה עבודה מרחוק. בקרה 6.7 מתייחסת אליו כאל עבודה מרחוק. במקביל, העבודה מרחוק הוחלפה בעבודה מרחוק בגרסה החדשה של התקן.
בבקרה 6.7, ISO 27002:2022, התקן מגדיר מהי עבודה מרחוק, ואת סוגי העבודה שיכולים להתאים כעבודה מרחוק. זה כולל עבודה מרחוק, שהוא שם הבקרה המקורי בגרסת 2013 של התקן.
הנחיות היישום דומות במקצת למרות שהשפה והמונחים שונים. גרסה 2022 השתמשה בהרבה שפה ידידותית למשתמש כדי להבטיח שמשתמשי התקן יוכלו להבין מה הם עושים.
עם זאת, כמה נקודות נוספו בבקרה 6.7 וחלק הוסרו מבקרה 6.2.2.
נוסף ל-Control 6.7 Remote Working
- כללים ומנגנוני אבטחה לסביבה הפיזית המרוחקת כגון ארונות תיוק ניתנים לנעילה, תחבורה מאובטחת בין מיקומים וכללים לגישה מרחוק, שולחן כתיבה נקי, הדפסה וסילוק מידע ונכסים נלווים אחרים ודיווח על אירועי אבטחת מידע.
- סביבות העבודה הפיזיות המרוחקות הצפויות.
- האיום של גישה בלתי מורשית למידע או משאבים מאנשים אחרים במקומות ציבוריים.
- מנגנונים מאובטחים לפריסה ואתחול מערכות מרחוק.
- מנגנונים מאובטחים לאימות והפעלת הרשאות גישה תוך התחשבות בפגיעות של מנגנוני אימות חד-גורם שבהם מותרת גישה מרחוק לרשת הארגון.
הוסר מהשליטה 6.2.2 עבודה מרחוק
- השימוש ברשתות ביתיות ודרישות או הגבלות על תצורת שירותי רשת אלחוטית.
- מדיניות ונהלים למניעת מחלוקות הנוגעות לזכויות על קניין רוחני שפותחו על ציוד בבעלות פרטית.
- גישה לציוד בבעלות פרטית (כדי לאמת את אבטחת המכונה או במהלך חקירה), אשר עשויה להימנע על ידי חקיקה.
- הסכמי רישוי תוכנה שהם כאלה שארגונים עשויים להיות אחראים לרישוי עבור תוכנת לקוח בתחנות עבודה בבעלות פרטית של עובדים או משתמשי צד חיצוני.
יתרה מזאת, גרסה 27002 של ISO 2022 מספקת הצהרות של מטרות וטבלאות תכונות לכל פקד, המסייעות למשתמשים להבין טוב יותר ולהטמיע את הפקדים.
לגרסת 2013 אין את שני החלקים הללו.
מי אחראי על התהליך הזה?
האחריות העיקרית ליצירת מדיניות אבטחת מידע לעובדים מרוחקים היא של קצין אבטחת המידע של הארגון. עם זאת, גם בעלי עניין אחרים צריכים להיות מעורבים בתהליך.
זה כולל מנהלי IT, האחראים על יישום ותחזוקת המדיניות, וכן מנהלי משאבי אנוש, שאחראים לוודא שהעובדים מבינים אותה ודבקים בה.
אם יש לך תוכנית לניהול ספקים, אז התשובה תהיה תלויה במי שאחראי על ניהול הקבלנים והספקים בכלל. ברוב המקרים, אדם זה יהיה אחראי גם ליצירת מדיניות אבטחת מידע עבור עובדים מרוחקים באותה מחלקה.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
מה המשמעות של השינויים הללו עבורך?
ה-ISO 27002 לא השתנה באופן משמעותי ולכן אינך צריך לעשות הרבה מלבד לבדוק שתהליכי אבטחת המידע שלך תואמים לשדרוג.
השינוי העיקרי היה לשנות חלק מהבקרות ולהבהיר חלק מהדרישות. ההשפעה העיקרית לגבי בקרה 6.7 היא שאם אתה מיקור חוץ את כל הפעולות שלך לצד שלישי או שאנשים עובדים מרחוק, תצטרך לוודא שיש להם רמה מתאימה של בקרות אבטחה במקום.
אם יש לך הסמכה קיימת של ISO 27001, אז התהליך הנוכחי שלך לניהול אבטחת מידע יעמוד בדרישות החדשות.
משמעות הדבר היא שאם אתה מחפש לחדש את הסמכת ISO 27001 הנוכחית שלך, אינך צריך לעשות דבר כלל. אתה רק צריך לוודא שהתהליכים שלך עדיין מתאימים לסטנדרט החדש.
אם עם זאת, אתה מתחיל מאפס, אז תצטרך להשקיע מחשבה כיצד החברה שלך יכולה להיות מוכנה להתקפות סייבר ואיומים אחרים על נכסי המידע שלה.
העיקר הוא שחשוב להתייחס לסיכוני סייבר ברצינות מספקת כדי שהם ינוהלו כחלק מהאסטרטגיה העסקית הכוללת שלך במקום להיות מטופלים כסוגיה נפרדת על ידי מחלקות IT או אבטחה בלבד.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.Online עוזר
פלטפורמת ISMS.Online מסייעת בכל ההיבטים של יישום ISO 27002, מניהול פעילויות הערכת סיכונים ועד לפיתוח מדיניות, נהלים והנחיות לעמידה בדרישות התקן.
זה מספק דרך לתעד את הממצאים שלך ולתקשר אותם עם חברי הצוות שלך באינטרנט. ISMS.Online גם מאפשר לך ליצור ולשמור רשימות ביקורת עבור כל המשימות הכרוכות ביישום ISO 27002, כך שתוכל לעקוב בקלות אחר התקדמות תוכנית האבטחה של הארגון שלך.
עם ערכת הכלים האוטומטית שלו, ISMS.Online מקל על ארגונים להוכיח עמידה בתקן ISO 27002.
פנה אלינו עוד היום ל קבע הדגמה.
