Việc lưu trữ các tài sản thông tin nhạy cảm ở những khu vực an toàn như phòng máy chủ an toàn và thực hiện kiểm soát truy cập chặt chẽ là không đủ để duy trì tính bảo mật của các tài sản này:
- Nhân viên có quyền truy cập vào các phòng an toàn có thể cố ý hoặc vô ý gây hư hỏng thiết bị phần cứng và tài sản kỹ thuật số được lưu trữ trong khu vực an toàn hoặc truy cập, sử dụng, phá hủy các tài sản và cơ sở thông tin này mà không được phép.
Kiểm soát 7.6 đề cập đến cách các tổ chức có thể bảo vệ tài sản thông tin được lưu trữ trong các khu vực an toàn trước những rủi ro khác nhau do nhân viên làm việc trong các khu vực này gây ra.
Mục đích của Kiểm soát 7.6
Kiểm soát 7.6 cho phép các tổ chức áp dụng các biện pháp bảo mật phù hợp đối với tất cả nhân viên làm việc trong các khu vực an toàn để họ không thể truy cập, sử dụng, sửa đổi, phá hủy, làm hỏng hoặc can thiệp vào tài sản thông tin hoặc cơ sở thông tin mà không được phép.
Bảng Thuộc tính
Biện pháp kiểm soát 7.6 mang tính phòng ngừa vì nó yêu cầu các tổ chức phải duy trì tính bảo mật, tính toàn vẹn và tính khả dụng của các tài sản thông tin được lưu trữ trong các khu vực an toàn bằng cách loại bỏ các rủi ro có thể phát sinh do hành vi sai trái của nhân sự.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật #Toàn vẹn #Khả dụng | #Bảo vệ | #An ninh vật lý | #Sự bảo vệ |
Quyền sở hữu kiểm soát 7.6
Xem xét rằng Kiểm soát 7.6 yêu cầu các tổ chức phải thiết kế và triển khai các biện pháp bảo mật áp dụng cho mọi hoạt động được thực hiện trong các khu vực an toàn, Cán bộ An ninh Thông tin (ISO) phải chịu trách nhiệm tạo ra, triển khai và duy trì các biện pháp bảo mật phù hợp, có tính đến mức độ rủi ro đối với từng khu vực an toàn được chỉ định.
Trong quá trình thiết kế và áp dụng các biện pháp kiểm soát an ninh phù hợp tại các khu vực an toàn, Cán bộ An ninh Thông tin có thể hợp tác với nhóm quản lý cơ sở và chủ sở hữu tài sản thông tin để đưa các biện pháp đã thiết kế vào thực tế một cách hiệu quả.
Hướng dẫn chung về tuân thủ
Tiêu chuẩn 7.6 nhấn mạnh rằng các biện pháp an ninh phải áp dụng cho tất cả nhân viên làm việc trong khu vực an ninh và mọi hoạt động được thực hiện trong các khu vực này.
Mặc dù loại hình và mức độ biện pháp bảo mật được triển khai có thể khác nhau tùy thuộc vào mức độ rủi ro đối với các tài sản thông tin cụ thể , nhưng Kiểm soát 7.6 liệt kê sáu yêu cầu cụ thể mà các tổ chức phải tuân thủ:
- Các tổ chức nên thông báo cho nhân viên của mình về sự tồn tại của các khu vực an toàn và về các hoạt động cụ thể được tiến hành trong các khu vực này khi cần thiết.
- Không một nhân viên nào được phép thực hiện bất kỳ hoạt động nào mà không có sự giám sát trong các khu vực an ninh được chỉ định.
- Những khu vực an toàn không có người ở phải được khóa và phải được kiểm tra định kỳ.
- Việc sử dụng thiết bị ghi âm, bao gồm cả thiết bị dùng để ghi âm, ghi hình và ghi hình ảnh, phải tuân theo các thủ tục cấp phép nghiêm ngặt.
- Việc mang theo và sử dụng các thiết bị đầu cuối của người dùng như máy tính xách tay và điện thoại thông minh ở những khu vực an toàn phải được kiểm soát chặt chẽ.
- Các quy trình khẩn cấp phải được trưng bày ở nơi dễ tiếp cận đối với tất cả nhân viên làm việc trong khu vực an toàn.
Những thay đổi và khác biệt so với ISO 27002:2013
27002:2022/7.6 thay thế 27002:2013/(11.1.5)
Mặc dù cả hai phiên bản đều tương tự nhau ở một số khía cạnh, nhưng phiên bản năm 2022 toàn diện hơn về các yêu cầu đối với các biện pháp bảo mật cần triển khai.
Đặc biệt, phiên bản 2022 đưa ra hai yêu cầu mới mà các tổ chức cần lưu ý khi triển khai các biện pháp an ninh cho các khu vực an toàn:
- Việc mang theo và sử dụng các thiết bị đầu cuối của nhân viên như máy tính xách tay và điện thoại thông minh ở những khu vực an ninh chỉ được phép thực hiện khi có sự kiểm soát chặt chẽ.
- Các quy trình khẩn cấp phải được hiển thị ở nơi dễ thấy để tất cả nhân viên làm việc trong khu vực an toàn có thể dễ dàng tiếp cận.
