הבטחת תחזוקת ציוד מאובטחת ותואמת לפי בקרת ISO 27002 7.13
ציוד IT כגון שרתים, מחשבים ניידים, התקני רשת ומדפסות חיוניים לפעולות רבות של עיבוד מידע כגון אחסון, שימוש והעברה של נכסי מידע.
עם זאת, אם ציוד זה אינו מתוחזק תוך התחשבות במפרטי המוצר ובסיכונים הסביבתיים, הוא עלול לפגוע באיכות ובביצועים. חוסר תחזוקה זה עלול לגרום לפגיעה בזמינות, שלמות ו סודיות של נכסי מידע מאוחסן על ציוד זה.
לדוגמה, אם ארגון לא יצליח לבצע תחזוקה שוטפת בחומרת השרת, ייתכן שהוא לא יזהה ששטח הדיסק מלא. הדבר עלול לגרום לאובדן נתונים המועברים אל השרת או מחוצה לו.
יתרה מזאת, עובדים או ספקי שירותים חיצוניים עשויים לקבל גישה לציוד IT כחלק מהליך התחזוקה והדבר עלול להוות גם סיכונים לסודיות של מידע רגיש.
לדוגמה, ספק שירותי תחזוקה חיצוני עשוי לקבל גישה למידע רגיש המאוחסן במחשבים ניידים או להתקין תוכנות זדוניות במכשירים.
בקרה 7.13 עוסקת כיצד ארגונים יכולים להקים וליישם נהלים ואמצעים מתאימים לתחזוקה נכונה של הציוד כך שה נכסי מידע המאוחסנים בציוד זה אינם נפגעים.
מטרת הבקרה 7.13
בקרה 7.13 מאפשרת לארגונים להקים אמצעים ונהלים טכניים הדרושים לביצוע פעולות תחזוקה נאותות בציוד המשמש לאחסון נכסי מידע.
אמצעים ונהלים אלה מספקים ביטחון שנכסי מידע לא יאבדו או ייפגעו, והם אינם חשופים לסיכון של פשרה כגון גישה לא מורשית.
טבלת בקרה של תכונות 7.13
בקרה 7.13 היא סוג מניעתי של בקרה הדורש מארגונים לנקוט בגישה יזומה לתחזוקת ציוד.
זה כרוך באיתור סיכונים שעלולים להיווצר עקב חוסר תחזוקה, קביעת נהלי תחזוקת ציוד תוך התחשבות במפרטים של כל ציוד ויישום מתאים בקרות שיגנו על נכסי מידע מתארח בציוד זה נגד פשרה.
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לְהַגֵן | #ביטחון פיזי | #הֲגָנָה |
| #יושרה | #ניהול נכסים | #כּוֹשֵׁר הִתאוֹשְׁשׁוּת | ||
| #זמינות |
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
בעלות על שליטה 7.13
תאימות עם בקרה 7.13 כרוכה ביצירת רשימה של ציוד, ביצוע הערכת סיכונים בהתבסס על גורמים סביבתיים ומפרטי מוצר והקמת ויישום נהלים ואמצעים מתאימים לתחזוקה נאותה.
בעוד שתפקידם של אנשים המטפלים בציוד זה על בסיס יומי הוא קריטי, מנהל אבטחת המידע צריך לשאת באחריות לעמידה בבקרה 7.13.
הנחיות כלליות בנושא ציות
בקרה 7.13 מפרטת 11 המלצות ספציפיות לארגונים שיש לקחת בחשבון:
- נהלי התחזוקה צריכים להתאים למפרטים של יצרן הציוד כגון תדירות השירות המומלצת.
- ארגונים צריכים להקים וליישם תוכנית תחזוקה עבור כל הציוד.
- יש לאפשר רק לצוות המורשים או לצדדים שלישיים לבצע פעולות תחזוקה או תיקונים בציוד.
- ארגונים צריכים ליצור ולנהל רישום של כל התקלות והתקלות בציוד. יתר על כן, רישום זה צריך לכלול גם את כל פעולות התחזוקה המתבצעות בציוד.
- ארגונים צריכים להפעיל אמצעים מתאימים במהלך ביצוע התחזוקה, תוך התחשבות אם התחזוקה מבוצעת על ידי עובד או ספק שירות של צד שלישי. יתר על כן, על הצוות הרלוונטי לחתום על הסכם סודיות.
- יש לפקח על כוח אדם המבצע את עבודות התחזוקה בכל עת.
- עבודות תחזוקה מרחוק צריכות להיות כפופות להליכי גישה והרשאה קפדניים.
- אם הציוד הוצא מהמתחם לצורך עבודות תחזוקה, על הארגונים להפעיל אמצעי אבטחה מתאימים בהתאם לבקרה 7.9.
- ארגונים צריכים לעמוד בכל הדרישות המוטלות על ידי ספקי ביטוח לגבי אופן ביצוע התחזוקה.
- ארגונים צריכים לבדוק ציוד שעבר עבודות תחזוקה כדי לוודא שלא מתעסקים בו ומתפקדים כראוי.
- אם הציוד ייפטר או יעשה בו שימוש חוזר, ארגונים צריכים להקים וליישם אמצעים ונהלים מתאימים תוך התחשבות בדרישות המפורטות בבקרה 7.14.
הנחיות משלימות בקרה 7.14
בקרה 7.13 קובעת כי הדברים הבאים נחשבים לציוד ונופלים תחת היקף בקרה 7.13:
- רכיבים טכניים של מתקני עיבוד מידע
- סוללות
- מטפי כיבוי
- מעליות
- ממירי כוח
- מזגנים
- נכסים דומים
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
שינויים והבדלים מ-ISO 27002:2013
27002: 2022 / 7.13 מחליף את 27002:2013/(11.2.4)
גרסת 2022 מכילה דרישות מקיפות יותר
בהשוואה לגרסת 2013, ה-Control 7.13 בגרסת 2022 מגדירה דרישות מקיפות יותר. בעוד שגרסת 2013 מונה רק שש דרישות ספציפיות, Control 7.13 מכיל 11 דרישות.
בקרה 7.13 מציגה את חמש הדרישות הבאות, שלא טופלו בגרסת 2013:
- ארגונים צריכים להקים וליישם תוכנית תחזוקה עבור כל הציוד.
- יש לפקח על כוח אדם המבצע את עבודות התחזוקה בכל עת.
- עבודות תחזוקה מרחוק צריכות להיות כפופות להליכי גישה והרשאה קפדניים.
- אם הציוד ייפטר או יעשה בו שימוש חוזר, ארגונים צריכים להקים וליישם אמצעים ונהלים מתאימים בהתאם לבקרה 7.14.
- אם הציוד הוצא מהמתחם לצורך עבודות תחזוקה, על הארגונים להפעיל אמצעי אבטחה מתאימים בהתאם לבקרה 7.9.
גרסת 2022 מגדירה 'ציוד'
בהנחיה המשלימה, הבקרה 7.13 מגדירה מה נכנס לתחום 'ציוד'. לעומת זאת, גרסת 2013 לא התייחסה למשמעות של 'ציוד'.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
ISMS.Online מאפשר לך:
- תיעד את התהליכים שלך. ממשק אינטואיטיבי זה מאפשר לך לתעד את התהליכים שלך מבלי להתקין תוכנה כלשהי במחשב או ברשת.
- הפוך את שלך לאוטומטי תהליך הערכת סיכונים.
- הצג תאימות בקלות עם דוחות מקוונים ורשימות ביקורת.
- שמור תיעוד של ההתקדמות תוך כדי עבודה לקראת הסמכה.
- ISMS.Online מציעה מגוון שלם של תכונות כדי לעזור לארגונים ועסקים להשיג תאימות ל- תקן תעשייה ISO 27001 ו/או ISO 27002 האיזמים.
צור קשר עוד היום כדי הזמן הדגמה.
