תאימות ל-ISO 27701: ניהול התקנים ניידים וסיכוני עבודה מרחוק
מכשירים ניידים ועבודה מרחוק הופכים במהירות לחלק בלתי נפרד ממקום העבודה המודרני.
הצורך של הארגון להבטיח שכל סוגי המכשירים מכוסים תחת מדיניות גורפת של מכשירי משתמש קצה הלוקחת בחשבון את אופי המכשיר, האופן שבו הוא ישמש בשילוב עם PII, כיצד הוא מנוהל על ידי הארגון ומה התחייבויותיו של משתמש הקצה. נמצאים בזמן השימוש במכשיר.
ISO מבקשת מארגונים לסווג התקני נקודת קצה בשתי דרכים:
- מכשירים שאמורים לשמש בגבולות הרשת והשטחים הפיזיים של הארגון.
- התקנים המשמשים הן בתוך ומחוץ לרשת ה-LAN והשטח הפיזי של הארגון.
מה מכוסה בסעיף 27701 של ISO 6.3.2
סעיף 6.3.2 מכסה שני היבטים מרכזיים של מה שהיה ידוע בעבר כ'עבודה מרחוק', אך כיום ידוע יותר בשם 'עבודה מרחוק' - ניהול מכשירים ועקרונות כלליים של עבודה מרחוק.
סעיף 6.3.2 מפרק אותם לשני סעיפי משנה, המכילים הנחיות משני סעיפי משנה מקושרים העוסקים באבטחת מידע ארגוני ב-ISO 27002:
- ISO 27701 6.3.2.1 - מכשירים ניידים ועבודה מרחוק (References ISO 27002 Control 8.1)
- ISO 27701 6.3.2.2 - עבודה מרחוק (References ISO 27002 Control 6.7)
סעיף משנה 6.3.2.1 מכיל הנחיות נוספות לגבי התחומים הרלוונטיים של חקיקת ה-GDPR.
שים לב שהציטוטים של GDPR הם למטרות אינדיקטיביות בלבד. ארגונים צריכים לבחון את החקיקה ולעשות שיקול דעת בעצמם על אילו חלקים בחוק חלים עליהם.
אף סעיף משנה אינו מכיל הנחיה נוספת להקמת או תחזוקה של PIMS, בהקשר של עבודה מרחוק או ניהול מכשירי משתמש.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
ISO 27701 סעיף 6.3.2.1 - מדיניות מכשירים ניידים
הפניות ISO 27002 בקרה 8.1
ארגונים צריכים ליישם מדיניות ספציפית לנושא העוסקת בקטגוריות שונות של התקני קצה וגרסאות תוכנה למכשירים ניידים, וכיצד יש להתאים בקרות אבטחה לשיפור אבטחת הנתונים.
מדיניות המכשיר הסלולרי, הנהלים ואמצעי האבטחה התומכים של ארגון צריכים לקחת בחשבון:
- הקטגוריות השונות של נתונים שהמכשיר יכול גם לעבד וגם לאחסן.
- כיצד מכשירים נרשמים ומזוהים ברשת.
- כיצד מכשירים יהיו מוגנים פיזית.
- כל מגבלה על יישומים והתקנות תוכנה.
- ניהול מרחוק, כולל עדכונים ותיקונים.
- בקרות גישה למשתמש, כולל RBAC במידת הצורך.
- הצפנה.
- אמצעי נגד תוכנות זדוניות (מנוהלות או לא מנוהלות).
- BUDR.
- הגבלות גלישה.
- ניתוח משתמש (ראה ISO 27002 בקרה 8.16).
- התקנה, שימוש וניהול מרחוק של התקני אחסון נשלפים או התקנים היקפיים נשלפים.
- כיצד להפריד נתונים במכשיר, כך שה-PII יהיה מופרד מנתוני המכשיר הסטנדרטיים (כולל הנתונים האישיים של המשתמש). זה כולל לשקול האם ראוי או לא לאחסן כל סוג של נתונים ארגוניים במכשיר הפיזי, במקום להשתמש במכשיר כדי לספק גישה מקוונת אליו.
- מה קורה כאשר מכשיר אובד או נגנב – כלומר התייחסות לכל דרישות חוקיות, רגולטוריות או חוזיות, והתנהלות מול חברות הביטוח של הארגון.
אחריות משתמש אישי
כל מי בארגון שמשתמש בגישה מרחוק צריך להיות מודע במפורש לכל מדיניות ונהלים של מכשירים ניידים החלים עליהם בהקשר של ניהול מכשירי קצה מאובטחים.
יש להורות למשתמשים:
- סגור כל הפעלות עבודה פעילות כשהן כבר לא בשימוש.
- הטמעת בקרות הגנה פיזיות ודיגיטליות, כפי שנדרש במדיניות.
- היו מודעים לסביבתם הפיזית - ולסיכוני האבטחה הטמונים בהם - בעת גישה לנתונים מאובטחים באמצעות המכשיר.
הביא מכשיר משלך (BYOD)
ארגונים המאפשרים לעובדים להשתמש במכשירים בבעלות אישית צריכים לשקול גם את בקרות האבטחה הבאות:
- התקנת תוכנה במכשיר (כולל טלפונים ניידים) המסייעת בהפרדת נתונים עסקיים ואישיים.
- אכיפת מדיניות BYOD הכוללת:
- הכרה בבעלות ארגונית על PII.
- אמצעי הגנה פיזיים ודיגיטליים (ראה לעיל).
- מחיקה מרחוק של נתונים.
- כל אמצעי המבטיח התאמה לחקיקת PII והנחיה רגולטורית.
- זכויות IP, הנוגעות לבעלות החברה על כל דבר שהופק במכשיר אישי.
- גישה ארגונית למכשיר - או למטרות הגנה על פרטיות, או לציית לחקירה פנימית או חיצונית.
- EULAs ורישוי תוכנה שעלולים להיות מושפעים מהשימוש בתוכנה מסחרית במכשיר בבעלות פרטית.
תצורות אלחוטיות
בעת ניסוח נהלים העוסקים בקישוריות אלחוטית במכשירי קצה, ארגונים צריכים:
- שקול היטב כיצד יש לאפשר למכשירים כאלה להתחבר לרשתות אלחוטיות לצורך גישה לאינטרנט, למטרות הגנה על PII.
- ודא שלחיבורים אלחוטיים יש קיבולת מספקת כדי לאפשר גיבויים או כל פונקציה אחרת ספציפית לנושא.
בקרות ISO 27002 רלוונטיות
- ISO 27002 בקרת 8.9 - ניהול תצורה
- ISO 27002 בקרה 8.16 - ניטור פעילויות
מאמרי GDPR ישימים
- סעיף 5 – (1)(ו)
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
ISO 27701 סעיף 6.3.2.2 – עבודה מרחוק
הפניות ISO 27002 בקרה 6.7
כמו בניהול התקני משתמשים, מדיניות העבודה מרחוק צריכה להיות ספציפית לנושא, וקשורה לתפקידים השונים המבוצעים בתוך הארגון.
בעת גיבוש מדיניות עבודה מרחוק, ארגונים צריכים לשקול:
- כל סיכונים פוטנציאליים משפיעים על האבטחה הפיזית ואבטחת המידע של מכשירים במקומות עבודה מרוחקים ספציפיים, לרבות גישה של צוות לא מורשה.
- בקרות המגנות על נתונים עסקיים, כולל אבטחת תחבורה, מדיניות שולחן ברורה, הדפסה מאובטחת, פלטפורמות נגד תוכנות זדוניות, חומות אש וכו'.
- רשימה קטגורית של מקומות עבודה מרוחקים מקובלים, כולל אזורים ציבוריים כגון בתי מלון, חדרי ישיבות ציבוריים ואתרי עבודה מרחוק.
- כיצד המכשיר עומד לתקשר עם רשת הארגון (פרמטרי VPN וכו'), בהתאם לקטגוריית הנתונים המועברים ולאופי פעולת ה-PII של הארגון.
- סביבות שולחן עבודה וירטואליות.
- פרוטוקולי אבטחה אלחוטיים וסיכוני האבטחה הבסיסיים הרווחים ברשתות ביתיות או ציבוריות.
- ניהול מרחוק של מכשירים (השבתה מרחוק, התקנות, מחיקת נתונים וכו').
- שיטות אימות, ליתר דיוק, השימוש ב-MFA.
כדי לשפר את הגנת הפרטיות ולהגן על PII, מדיניות עבודה מרחוק כללית ונושא ספציפית צריכה לכלול:
- אספקת ציוד מתאים (ציוד ICT ואמצעי אחסון פיזיים), כאשר ציוד כזה אינו קיים בסביבת העבודה המרוחקת.
- הנחיות ברורות לגבי סוג העבודה שמותר לבצע, ולאילו מערכות, נתונים ואפליקציות ניתן לגשת מרחוק.
- תוכניות הדרכה השולטות בעבודה מרחוק, הן מבחינת המכשירים המשמשים והן מבחינת המצופה מעובדים מרחוק מנקודת מבט מעשית וחוזית.
- אמצעים המציעים ניהול מרחוק מפורט של התקני קצה, כולל פונקציונליות של נעילת מסך, מעקב GPS וביקורת מרחוק.
- אמצעי אבטחה פיזיים השולטים בשימוש בערכה של ארגון ומשתמש מחוץ לאתר, כולל גישה של צד שלישי.
- כיסוי ביטוחי.
- תוכנית BUDR ספציפית לעבודה מרחוק, כולל בקרות המשכיות עסקית.
- נהלים המתארים כיצד מגבילים או בוטלים גישת משתמשים מרחוק לפי הצורך.
בקרות תומכות מ-ISO 27002 ו-GDPR
| מזהה סעיף ISO 27701 | שם סעיף ISO 27701 | דרישת ISO 27002 | מאמרי GDPR משויכים |
|---|---|---|---|
| 6.3.2.1 | מדיניות מכשירים ניידים |
8.1 – התקני קצה של משתמש עבור ISO 27002 |
סעיף (5) |
| 6.3.2.2 | עבודות טלויזיה |
6.7 - עבודה מרחוק עבור ISO 27002 |
ללא חתימה |
כיצד ISMS.online עוזר
ב-ISMS.online נוכל לשלב ניהול אבטחת מידע בשרשרת האספקה ב-ISMS שלך.
מדדי ביצועים מהירים ומעשיים יכולים לשמש גם כדי לעקוב אחר התקדמות הספקים שלך ושותפויות צד שלישי אחרות.
השתמש באשכולות ISMS.online כדי לרכז את כל שרשרת האספקה במיקום אחד לצורך בהירות, תובנה ושליטה.
גלה עוד וקבל הדגמה ידיים על ידי הזמנת הדגמה.
