ISO 27002:2022, בקרה 7.9 - אבטחת נכסים מחוץ לשטח

בעלות על שליטה 7.9

בקרה 7.9 מחייבת ארגונים להקים וליישם נהלים ובקרות המכסים את כל המכשירים שבבעלות הארגון או בשימוש מטעם הארגון. יתר על כן, יצירת מלאי נכסים ואישור ההנהלה העליונה לשימוש במכשירים אישיים חיוניים להגנה יעילה על מכשירים מחוץ לאתר.

לפיכך, על מנהל אבטחת המידע להתייעץ עם ההנהלה ובעלי הנכסים הרלוונטיים ועליו להיות אחראי על יצירה, יישום ותחזוקה של נהלים ואמצעים לשמירה על אבטחת המכשירים שהוסרו משטחי החברה.

הנחיות כלליות בנושא ציות

בקרה 7.9 מפרטת שש דרישות שארגונים צריכים לעמוד בהן בעת ​​תכנון ויישום אמצעים והנחיות להגנה על נכסים שנלקחו מחוץ לאתר:

1. אין להשאיר ציוד מחשוב ואמצעי אחסון שנלקחו מחוץ לאתר כגון מחשבים ארגוניים, USB, כוננים קשיחים ומסכים ללא השגחה במרחבים ציבוריים כגון בתי קפה או בכל אזור לא מאובטח.
2. יש לציית בכל עת להנחיות ומפרטי יצרן המכשיר לגבי ההגנה הפיזית של המכשיר הרלוונטי. לדוגמה, הוראות יצרן המכשיר עשויות לכלול כיצד להגן על המכשיר/הציוד מפני מים, חום, שדות אלקטרומגנטיים ואבק.
3. עובדים ו/או ארגונים אחרים המוציאים ציוד מחשוב מחוץ לתחומי החברה עשויים להעביר ציוד זה לעובדים אחרים או לצדדים שלישיים. כדי לשמור על אבטחת הציוד הזה, ארגונים צריכים לנהל יומן שמגדיר את שרשרת המשמורת. רשומת יומן זה צריכה להכיל לפחות שמות של אנשים אחראי על המכשיר והארגון שלו.
4. אם ארגון סבור שתהליך הרשאה הכרחי ומעשי להסרת ציוד מחוץ לשטחי החברה, עליו לקבוע וליישם נוהל אישור להוצאת ציוד מסוים מחוץ לאתר. הליך הרשאה זה צריך לכלול גם רישום של כל פעולות הסרת המכשיר כך שה לארגון יש מסלול ביקורת.
5. יש ליישם אמצעים מתאימים כדי למנוע את הסיכון של צפייה לא מורשית במידע על המסך בתחבורה ציבורית.
6. כלים למעקב אחר מיקום וגישה מרחוק צריכים להיות במקום כך שניתן יהיה לעקוב אחר המכשיר ולמחוק את המידע הכלול במכשיר מרחוק במידת הצורך.

הנחיות משלימות בקרה 7.9

בקרה 7.9 קובעת גם דרישות להגנה על ציוד המותקן מחוץ לשטחי החברה באופן קבוע.

ציוד זה עשוי לכלול אנטנות וכספומטים.

בהתחשב בכך שציוד זה עשוי להיות נתון לסיכונים מוגברים של נזק ואובדן, Control 7.9 דורשת מארגונים לקחת בחשבון את הדברים הבאים בעת הגנה על ציוד זה מחוץ לאתר:

1. יש לשקול בקרה 7.4, כלומר ניטור האבטחה הפיזי.
2. יש לקחת בחשבון בקרה 7.5, כלומר ההגנה מפני איומים סביבתיים ופיזיים
3. בקרות גישה יש להקים וליישם אמצעים מתאימים למניעת חבלה.
4. יש ליצור וליישם בקרות גישה לוגיות.

יתר על כן, בקרה 7.9 ממליצה לארגונים לשקול את בקרות 6.7 ו-8.1 בעת הגדרה ויישום אמצעים להגנה על מכשירים וציוד.

שינויים והבדלים מ-ISO 27002:2013

27002:2022/ 7.9 מחליף את 27002:2013/(11.2.6)

ישנם שלושה הבדלים מרכזיים שצריך להדגיש:

• בקרה 7.9 קובעת דרישות מקיפות יותר

בהשוואה לגרסת 2013, שליטה ב-7.9 בגרסת 2022 מציג את שתי הדרישות הבאות:

1. יש ליישם אמצעים מתאימים כדי למנוע את הסיכון של צפייה לא מורשית במידע על המסך בתחבורה ציבורית.
2. כלים למעקב אחר מיקום וגישה מרחוק צריכים להיות במקום כך שניתן יהיה לעקוב אחר המכשיר ולמחוק את המידע הכלול במכשיר מרחוק במידת הצורך.

• Control 7.9 מציג דרישות חדשות עבור התקנים מחוץ לתחום המותקנים באופן קבוע

בניגוד לגרסת 2013, קונטרול 7.9 בגרסת 2022 מכיל הדרכה נפרדת על הגנה על ציוד המותקן באופן קבוע במקום מחוץ לאתר.

אלה עשויים לכלול אנטנות וכספומטים.

• איסור על עבודה מרחוק למניעת סיכונים

גרסת 2013 קבעה במפורש כי ארגונים עשויים לאסור על עובדים לעבוד מרחוק כאשר הדבר מתאים לרמת הסיכון שזוהתה. גרסת 2022, לעומת זאת, אינה מתייחסת לאמצעי כזה.

כיצד ISMS.online עוזר

אתה יכול להשתמש ב-ISMS.online כדי לנהל את הטמעת ISO 27002 שלך, שכן הוא תוכנן במיוחד כדי לסייע לחברה ביישום מערכת ניהול אבטחת המידע שלה (ISMS) כדי לעמוד בדרישות של ISO 27002.

הפלטפורמה משתמשת בגישה מבוססת סיכונים בשילוב עם שיטות עבודה ותבניות מומלצות מהמובילות בתעשייה כדי לעזור לך לזהות את הסיכונים העומדים בפני הארגון שלך ואת הבקרות הדרושות לניהול סיכונים אלו. זה מאפשר לך להפחית באופן שיטתי הן את חשיפת הסיכון והן את עלויות הציות שלך.

צור קשר עוד היום כדי הזמן הדגמה.