Trong khi các mối đe dọa mạng như tấn công phần mềm độc hại, tấn công SQL và chặn lưu lượng truy cập đang trở nên tinh vi hơn và gây ra rủi ro lớn cho tính bảo mật của tài sản thông tin .
Bối cảnh rủi ro không chỉ giới hạn ở các cuộc tấn công mạng dựa trên phần mềm:
- Các mối đe dọa về mặt vật lý và môi trường đối với thiết bị CNTT như máy chủ, máy tính, ổ cứng và phương tiện lưu trữ di động cũng có thể làm giảm tính khả dụng, tính bảo mật và tính toàn vẹn của tài sản thông tin .
Ví dụ, việc đổ đồ uống lên máy chủ, hệ thống máy tính bị tắt do nhiệt độ cao và truy cập trái phép vào hệ thống máy tính không nằm trong khu vực an toàn đều là những ví dụ về mối đe dọa vật lý đối với thiết bị lưu trữ tài sản thông tin .
Tiêu chuẩn Kiểm soát 7.8 đề cập đến cách các tổ chức có thể loại bỏ và giảm thiểu rủi ro phát sinh từ các mối đe dọa vật lý và môi trường đối với thiết bị lưu trữ tài sản thông tin.
Mục đích của Kiểm soát 7.8
Kiểm soát 7.8 cho phép các tổ chức loại bỏ và/hoặc giảm thiểu hai loại rủi ro đối với thiết bị chứa tài sản thông tin:
- Các mối đe dọa về mặt vật lý và môi trường đối với thiết bị như chiếu sáng, mất điện, trộm cắp, nhiễu thông tin liên lạc và nhiễu điện. Các mối đe dọa này cũng bao gồm những thay đổi về điều kiện môi trường như độ ẩm và nhiệt độ có thể làm gián đoạn các hoạt động xử lý thông tin.
- Truy cập, sử dụng, làm hỏng và phá hủy trái phép các thiết bị không được lưu trữ ở khu vực an toàn.
Bảng Thuộc tính
Kiểm soát 7.8 là loại kiểm soát phòng ngừa yêu cầu các tổ chức phải duy trì tính toàn vẹn, tính khả dụng và tính bảo mật của tài sản thông tin bằng cách bảo vệ thiết bị chứa tài sản thông tin khỏi các mối đe dọa về vật lý và môi trường.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật #Toàn vẹn #Khả dụng | #Bảo vệ | #An ninh vật lý #Quản lý tài sản | #Sự bảo vệ |
Quyền sở hữu kiểm soát 7.8
Việc tuân thủ Kiểm soát 7.8 đòi hỏi phải lập danh mục thiết bị lưu trữ tài sản thông tin, bố trí tất cả thiết bị ở những khu vực an toàn và thực hiện các biện pháp thích hợp để ngăn ngừa các mối đe dọa về vật lý và môi trường.
Do đó, người quản lý an ninh thông tin phải chịu trách nhiệm thiết lập, triển khai và duy trì các biện pháp và hướng dẫn cần thiết về vị trí an toàn và bảo vệ thiết bị.
Hướng dẫn chung về tuân thủ
Điều 7.8 quy định chín yêu cầu cụ thể cần được lưu ý để tuân thủ:
- Thiết bị phải được đặt ở những khu vực an toàn để những người không có thẩm quyền không thể tiếp cận thiết bị.
- Các công cụ dùng để xử lý thông tin nhạy cảm như máy tính, màn hình và máy in phải được bố trí ở nơi mà những người không được phép không thể nhìn thấy thông tin hiển thị trên màn hình khi chưa được phép .
- Cần áp dụng các biện pháp thích hợp để loại bỏ và/hoặc giảm thiểu rủi ro phát sinh từ các mối đe dọa vật lý và môi trường như chất nổ, nhiễu thông tin liên lạc, hỏa hoạn, bụi và bức xạ điện từ.
- Ví dụ, cột thu lôi có thể là biện pháp kiểm soát sét đánh hiệu quả.
- Cần thiết lập và truyền đạt hướng dẫn về việc ăn uống xung quanh thiết bị cho tất cả các bên liên quan.
- Các điều kiện môi trường có thể làm gián đoạn hoạt động xử lý thông tin cần được theo dõi liên tục. Chúng có thể bao gồm nhiệt độ và độ ẩm.
- Cơ chế chống sét phải được triển khai trong tất cả các tòa nhà và văn phòng. Ngoài ra, các bộ lọc chống sét phải được lắp đặt trong tất cả các đường dây điện đến, bao gồm cả đường dây thông tin liên lạc.
- Nếu thiết bị được đặt trong môi trường công nghiệp, cần sử dụng các biện pháp bảo vệ đặc biệt như màng bàn phím nếu cần.
- Phát xạ điện từ có thể dẫn đến rò rỉ thông tin nhạy cảm. Do đó, thiết bị chứa thông tin nhạy cảm hoặc quan trọng cần được bảo vệ để ngăn ngừa rủi ro đó .
- Thiết bị CNTT do tổ chức sở hữu và kiểm soát phải được tách biệt rõ ràng với các thiết bị không do tổ chức sở hữu và kiểm soát.
Những thay đổi và khác biệt so với ISO 27002:2013
27002:2022/7.8 thay thế 27002:2013/(11.2.1)
Mặc dù phiên bản 2022 và 2013 có nhiều điểm tương đồng, nhưng có một điểm khác biệt chính cần được nêu bật:
Ngược lại với Phiên bản 2013, Control 7.8 trong Phiên bản 2022 đưa ra yêu cầu sau:
- Thiết bị CNTT do tổ chức sở hữu và kiểm soát phải được tách biệt rõ ràng với các thiết bị không do tổ chức sở hữu và kiểm soát.
