Các tổ chức phải tính đến những rủi ro do các mối đe dọa vật lý gây ra cho tài sản thông tin của họ.
Các mối đe dọa như vậy có thể bao gồm thiệt hại về môi trường, trộm cắp, phá hủy và xâm phạm dữ liệu. Tất cả những vấn đề này đều có thể dẫn đến mất thông tin và khả năng dữ liệu nhạy cảm bị lộ.
Các sự kiện thiên nhiên như động đất, lũ lụt và cháy rừng, cũng như các thảm họa do con người gây ra như bất ổn dân sự và hành vi tội phạm, đều gây ra mối đe dọa.
Phụ lục A 7.5 của ISO 27001:2022 yêu cầu các tổ chức phải đánh giá, nhận biết và giảm thiểu rủi ro đối với cơ sở hạ tầng vật lý quan trọng do các mối nguy hiểm về vật lý và môi trường.
Mục đích của ISO 27001:2022 Phụ lục A 7.5
Phụ lục A 7.5 của ISO 27001:2022 cho phép các tổ chức đánh giá các rủi ro tiềm ẩn do các mối đe dọa về môi trường và vật lý gây ra, đồng thời giảm thiểu hoặc loại bỏ các rủi ro này bằng cách triển khai các biện pháp phù hợp.
Quyền sở hữu của Phụ lục A 7.5
Phụ lục A 7.5 của ISO 27001:2022 yêu cầu các tổ chức phải tiến hành đánh giá rủi ro toàn diện trước khi thực hiện bất kỳ hoạt động nào tại cơ sở vật chất và triển khai các biện pháp phù hợp tương ứng với rủi ro đã xác định.
Các giám đốc an ninh chịu trách nhiệm xây dựng, quản lý, triển khai và đánh giá toàn bộ quy trình.
Hướng dẫn về ISO 27001:2022 Phụ lục A 7.5 Tuân thủ
Phụ lục A 7.5 của ISO 27001:2022 phác thảo chiến lược gồm ba phần để nhận biết và loại bỏ các mối nguy tiềm ẩn từ các nguồn vật lý và môi trường.
Bước 1 – Hoàn thành Đánh giá Rủi ro
Các tổ chức nên tiến hành đánh giá rủi ro để xác định mọi mối nguy hiểm về vật lý và môi trường tiềm ẩn có thể xảy ra tại cơ sở của mình, sau đó đánh giá những tác động có thể xảy ra của những rủi ro vật lý và môi trường đã xác định này.
Xét đến sự đa dạng của các điều kiện môi trường và rủi ro vật lý mà mỗi cơ sở và cơ sở hạ tầng có thể phải đối mặt, loại mối đe dọa và mức độ rủi ro được xác định sẽ khác nhau tùy thuộc vào vị trí.
Một tài sản có thể đặc biệt dễ bị cháy rừng trong khi tài sản khác có thể nằm trong khu vực dễ xảy ra động đất.
Điều cần thiết là phải tiến hành đánh giá rủi ro trước khi bắt đầu các hoạt động tại chỗ, theo Phụ lục A 7.5.
Bước 2 – Thiết lập và sử dụng các biện pháp kiểm soát
Với loại mối đe dọa và rủi ro liên quan được xác định ban đầu, các tổ chức cần triển khai các biện pháp kiểm soát phù hợp, lưu ý đến những hậu quả có thể xảy ra do các mối đe dọa về môi trường và vật lý.
Phụ lục A 7.5 của ISO 27001:2022 đưa ra các ví dụ về các biện pháp kiểm soát có thể được triển khai để chống lại các mối đe dọa khác nhau:
- Các tổ chức nên lắp đặt hệ thống có khả năng cảnh báo hỏa hoạn và kích hoạt hệ thống chữa cháy để bảo vệ phương tiện kỹ thuật số và hệ thống thông tin khỏi bị phá hủy.
- Hệ thống nên được triển khai và thiết lập để xác định tình trạng ngập lụt tại các địa điểm lưu trữ dữ liệu. Ngoài ra, máy bơm nước nên được chuẩn bị để sử dụng trong trường hợp ngập lụt.
- Máy chủ và hệ thống xử lý dữ liệu phải được bảo vệ chống lại sự tăng đột biến điện. Bảo trì và bảo vệ thường xuyên là điều cần thiết để có hiệu suất tối ưu.
- Các tổ chức nên thường xuyên kiểm tra và thanh tra người, vật phẩm và phương tiện ra vào các địa điểm cơ sở hạ tầng quan trọng.
Bước 3 – Giám sát
Theo dõi tiến độ và thực hiện điều chỉnh khi cần thiết. Đánh giá thường xuyên kết quả và thực hiện thay đổi để đảm bảo đạt được mục tiêu. Đảm bảo ghi lại bất kỳ thay đổi nào để tham khảo trong tương lai.
Hướng dẫn bổ sung về Phụ lục A 7.5
Phụ lục A 7.5 của ISO 27001:2022 nêu ra bốn cân nhắc mà các tổ chức cần ghi nhớ.
Tư vấn với chuyên gia
Mỗi mối đe dọa về môi trường và vật chất, chẳng hạn như chất thải độc hại, động đất và hỏa hoạn, đều khác nhau về đặc điểm, mức độ nguy hiểm và các biện pháp cần thực hiện.
Các tổ chức nên tham khảo ý kiến chuyên gia về cách phát hiện, giảm thiểu và/hoặc quản lý rủi ro do những mối đe dọa này gây ra.
Lựa chọn vị trí cho cơ sở
Việc xem xét địa hình, mực nước và hoạt động kiến tạo tại địa điểm tiềm năng để xây dựng tòa nhà có thể giúp xác định và loại bỏ sớm các rủi ro tiềm ẩn.
Các tổ chức cần cân nhắc đến những mối nguy hiểm do thảm họa do con người gây ra ở khu vực đô thị được chọn, ví dụ như bất ổn chính trị và hành vi tội phạm.
Lớp bảo mật bổ sung
Việc sử dụng các phương pháp lưu trữ an toàn, chẳng hạn như két sắt, cung cấp thêm một lớp bảo vệ chống lại các thảm họa như hỏa hoạn và lũ lụt, ngoài các biện pháp an ninh hiện có.
Phòng ngừa tội phạm thông qua thiết kế môi trường
ISO 27001:2022 Phụ lục A 7.5 đề xuất rằng các tổ chức nên cân nhắc khái niệm này khi đưa ra các biện pháp kiểm soát để tăng cường an ninh cơ sở. Cách tiếp cận này có thể được sử dụng để chống lại các mối đe dọa đô thị như hoạt động tội phạm, bất ổn dân sự và khủng bố.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 7.5 của ISO 27001:2022 thay thế Phụ lục A 11.1.4 của ISO 27001:2013 trong tiêu chuẩn đã sửa đổi.
Phiên bản năm 2013 tập trung vào cách các tổ chức nên áp dụng các biện pháp phòng ngừa đối với các mối đe dọa về vật chất và môi trường, trong khi phiên bản năm 2022 toàn diện hơn, nêu rõ các bước cụ thể mà các tổ chức nên thực hiện để tuân thủ.
Tóm lại, có hai điểm khác biệt chính.
Phiên bản 2022 cung cấp lời khuyên về Quy định họp
Phiên bản năm 2013 không đưa ra hướng dẫn về cách các tổ chức có thể nhận biết và giảm thiểu rủi ro do các mối nguy về môi trường và vật lý gây ra.
Phiên bản năm 2022 phác thảo quy trình ba bước mà các tổ chức phải thực hiện, bắt đầu bằng việc đánh giá rủi ro.
Bản sửa đổi năm 2022 khuyến khích các tổ chức giới thiệu một lớp biện pháp bổ sung
Hướng dẫn bổ sung cho năm 2022 bao gồm việc sử dụng két sắt và phòng ngừa tội phạm thông qua thiết kế thân thiện với môi trường như một cách tăng cường an ninh chống lại các mối đe dọa.
Tuy nhiên, không có bước tiến bổ sung nào được thực hiện vào năm 2013.
