Phụ lục A 7.1 của ISO 27001:2022 là gì?
Phụ lục A 7.1 của ISO 27001:2022 yêu cầu các tổ chức thiết lập các vành đai an ninh và sử dụng chúng để bảo vệ thông tin và tài sản liên quan.
Giải thích về thông tin và tài sản bảo mật thông tin
Thông tin có thể được mô tả là bất kỳ dữ liệu, kiến thức hoặc hiểu biết nào có giá trị đối với một tổ chức hoặc công ty. Điều này bao gồm bất kỳ thông tin chi tiết nào thu được về cá nhân, khách hàng, đối tác, nhân viên và các bên liên quan khác.
Tài sản bảo mật thông tin có thể được phân loại thành:
Dữ liệu
Dữ liệu và thông tin thường bị nhầm lẫn với nhau nhưng có một sự khác biệt rõ ràng. Dữ liệu là dữ liệu thô, chưa được xử lý và thường không có tác dụng gì ở dạng hiện tại. Mặt khác, thông tin là dữ liệu đã được sắp xếp theo định dạng có thể sử dụng được, chẳng hạn như email hoặc số điện thoại.
Cơ sở hạ tầng
Cơ sở hạ tầng bao gồm tất cả các thành phần của mạng – máy chủ, máy in, bộ định tuyến, v.v. – để tạo thành một hệ thống gắn kết.
Cơ sở hạ tầng phần mềm, chẳng hạn như hệ điều hành và ứng dụng, phải được bảo vệ khỏi các mối đe dọa mạng, giống như phần cứng. Để tránh bị tin tặc độc hại khai thác tìm cách truy cập dữ liệu nhạy cảm, cả hai đều cần được cập nhật thường xuyên bằng các bản vá và bản sửa lỗi cho bất kỳ lỗ hổng nào do tin tặc khai thác.
Giải thích về vành đai an ninh vật lý
An ninh vật lý đề cập đến các biện pháp vật lý bảo vệ tài nguyên và cơ sở của một tổ chức. Đây là một phần cơ bản và không thể thiếu của an ninh thông tin. Nó không chỉ bao gồm việc khóa cửa; mà còn bao gồm việc biết ai có quyền truy cập vào cái gì, khi nào, ở đâu và như thế nào.
Chu vi an ninh vật lý xác định ranh giới vật lý của một tòa nhà hoặc khu vực và kiểm soát quyền truy cập vào đó. Hàng rào, tường, cổng và các rào cản khác có thể được sử dụng để ngăn chặn người hoặc phương tiện xâm nhập trái phép. Hơn nữa, thiết bị giám sát điện tử như camera CCTV có thể được sử dụng để theo dõi hoạt động bên ngoài cơ sở.
Chu vi bảo mật vật lý cung cấp lớp bảo vệ ban đầu chống lại những người bên ngoài cố gắng truy cập vào hệ thống máy tính của bạn thông qua kết nối có dây hoặc không dây trong doanh nghiệp. Chúng thường được kết hợp với các biện pháp kiểm soát bảo mật thông tin bổ sung, chẳng hạn như quản lý danh tính, kiểm soát truy cập và hệ thống phát hiện xâm nhập.
Hướng dẫn về ISO 27001:2022 Phụ lục A 7.1
Phụ lục A 7.1 của ISO 27001:2022 đảm bảo một tổ chức có thể chứng minh rằng mình có các ranh giới bảo mật vật lý phù hợp để ngăn chặn truy cập vật lý trái phép vào thông tin và các tài sản liên quan khác.
Điều này đòi hỏi phải thực hiện các bước để ngăn ngừa:
- Nghiêm cấm xâm nhập trái phép vào các tòa nhà, phòng hoặc khu vực chứa tài sản thông tin.
- Việc di chuyển tài sản ra khỏi cơ sở mà không được phép là không thể chấp nhận được.
- Việc sử dụng trái phép tài sản của cơ sở như máy tính và các thiết bị liên quan là không được phép.
- Không được phép can thiệp trái phép vào các thiết bị truyền thông điện tử như điện thoại, máy fax và thiết bị đầu cuối máy tính.
Có thể triển khai vành đai bảo mật vật lý theo hai cách khác nhau:
Kiểm soát truy cập vật lý – bảo vệ lối vào các cơ sở và tòa nhà và di chuyển bên trong chúng. Bao gồm khóa cửa, báo động, hàng rào và rào chắn.
Bảo mật phần cứng – cung cấp khả năng kiểm soát các thiết bị vật lý, chẳng hạn như máy tính, máy in và máy quét, xử lý dữ liệu có chứa thông tin nhạy cảm.
Kiểm soát này giúp bảo vệ thông tin và các tài sản liên quan khác , chẳng hạn như tài liệu mật, hồ sơ và thiết bị, bằng cách ngăn chặn việc sử dụng trái phép không gian, thiết bị và vật tư của cơ sở.
Những gì liên quan và cách đáp ứng các yêu cầu
Các hướng dẫn cần lưu ý về ranh giới an ninh vật lý nên được áp dụng khi có thể:
- Thiết lập các rào cản an ninh và xác định chính xác vị trí và sức mạnh của từng rào cản theo quy định về an ninh thông tin liên quan đến các nguồn lực trong ranh giới.
- Việc đảm bảo an ninh vật lý cho tòa nhà hoặc địa điểm chứa hệ thống xử lý thông tin là rất quan trọng, không có khoảng hở hoặc điểm yếu nào ở chu vi nơi có thể tạo điều kiện cho kẻ đột nhập.
- Các bề mặt bên ngoài của công trình, bao gồm mái, tường, trần và sàn, phải được xây dựng chắc chắn và tất cả các cửa bên ngoài phải được trang bị các cơ chế kiểm soát như thanh chắn, báo động và khóa để ngăn chặn việc xâm nhập trái phép.
- Đảm bảo cửa sổ và cửa ra vào được khóa khi không có người và cân nhắc đến vấn đề an ninh bên ngoài cho cửa sổ, đặc biệt là ở tầng trệt; vấn đề thông gió cũng phải được lưu ý.
Để hiểu rõ hơn về những yêu cầu khi tuân thủ tiêu chuẩn ISO 27001:2022, hãy tham khảo tài liệu liên quan.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 7.1 của ISO 27001:2022 thay thế Phụ lục A 11.1.1 của ISO 27001:2013 ; bối cảnh và ý nghĩa vẫn tương tự, mặc dù được diễn đạt khác nhau.
Phiên bản 2022 chứng kiến sự giảm bớt các yêu cầu triển khai so với phiên bản kiểm soát trước đó.
Phụ lục A 7.1 thiếu các yêu cầu được nêu chi tiết trong Phụ lục A 11.1.1, như sau:
- Nên có khu vực lễ tân có nhân viên hoặc có cách quản lý lối vào thực tế cho công trình hoặc tòa nhà.
- Chỉ những người có thẩm quyền mới được phép vào khu vực và tòa nhà.
- Xây dựng các rào cản vật lý, nếu có thể, để ngăn chặn việc tiếp cận trái phép và tránh ô nhiễm môi trường.
- Việc lắp đặt hệ thống phát hiện xâm nhập đáp ứng các tiêu chuẩn quốc gia, khu vực hoặc quốc tế và kiểm tra thường xuyên để bảo vệ tất cả các cửa ra vào bên ngoài và cửa sổ có thể tiếp cận được là điều cần thiết.
- Mọi khu vực không có người ở đều phải được lắp đặt hệ thống báo động mọi lúc.
- Chúng ta nên đảm bảo bao phủ các khu vực khác như phòng máy tính và phòng truyền thông.
- Tổ chức phải tách biệt cơ sở xử lý thông tin của mình khỏi các cơ sở được quản lý bởi các nguồn bên ngoài.
Không có sự thiếu sót nào làm giảm hiệu quả của tiêu chuẩn ISO 27001:2022 mới; thay vào đó, chúng bị loại bỏ để việc kiểm soát dễ sử dụng và dễ hiểu hơn.
Ai là người chịu trách nhiệm cho quá trình này?
Giám đốc thông tin (CIO) là người lãnh đạo chịu trách nhiệm bảo vệ dữ liệu và hệ thống của công ty. Họ làm việc với các giám đốc điều hành khác để xem xét vấn đề bảo mật khi đưa ra quyết định kinh doanh, chẳng hạn như Giám đốc tài chính và Giám đốc điều hành. Việc triển khai các chính sách và quy trình để bảo vệ thông tin của công ty là một phần quan trọng trong vai trò của CIO.
Giám đốc tài chính có vai trò quyết định về phạm vi an ninh vật lý. Làm việc với các giám đốc điều hành cấp cao khác, bao gồm cả CIO, họ quyết định mức đầu tư vào các biện pháp an ninh vật lý như camera giám sát, kiểm soát ra vào và báo động.
Những thay đổi này có ý nghĩa gì đối với bạn?
ISO 27001:2022 không phải là một cuộc đại tu lớn, do đó không cần thay đổi đáng kể nào để tuân thủ.
Bạn nên xem xét việc triển khai hiện tại của mình để đảm bảo nó phù hợp với các yêu cầu mới. Đặc biệt, nếu có bất kỳ thay đổi nào được thực hiện kể từ phiên bản 2013. Bạn nên đánh giá lại những thay đổi đó để xác định xem chúng có còn hiệu lực hay cần phải thay đổi không.
