Mục đích của Phụ lục A 7.11 của ISO 27001:2022 là gì?
Khi các tiện ích như điện, khí đốt, nước hoặc làm mát bị hỏng hoặc gián đoạn, thông tin có thể bị xâm phạm hoặc tính liên tục của hoạt động kinh doanh có thể bị gián đoạn.
Ví dụ, nhiệt độ cao bất ngờ có thể là kết quả của sự cố thiết bị điều hòa không khí trong một trung tâm dữ liệu trong đợt nắng nóng. Máy chủ lưu trữ trang web và/hoặc dữ liệu khách hàng có thể ngừng hoạt động, dẫn đến mất dữ liệu và gián đoạn hoạt động kinh doanh.
Phụ lục A 7.11 của ISO 27001:2022 đảm bảo các tiện ích hỗ trợ được bảo vệ khỏi các sự cố và gián đoạn, chẳng hạn như mất điện, để các tổ chức loại bỏ và giảm thiểu rủi ro đối với tài sản thông tin và tính liên tục của hoạt động kinh doanh.
Ai là người sở hữu Phụ lục A 7.11?
Phụ lục A 7.11 xác định các rủi ro và triển khai các biện pháp và kiểm soát thích hợp để đảm bảo hoạt động liên tục của các tiện ích hỗ trợ. Mục đích là để đảm bảo rằng sự cố của các tiện ích này không ảnh hưởng đến tính khả dụng và tính toàn vẹn của tài sản thông tin.
Do đó, ngoài sự tham gia của nhóm quản lý cơ sở vật chất, Trưởng phòng An ninh thông tin phải chịu trách nhiệm tuân thủ Phụ lục A 7.11 của ISO 27001:2022.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 7.11
Để tuân thủ Phụ lục A 7.11 của ISO 27001:2022, các tổ chức nên cân nhắc bảy khuyến nghị sau:
- Khi cấu hình, sử dụng và bảo trì các tiện ích hỗ trợ, các tổ chức nên tuân theo hướng dẫn của nhà sản xuất.
- Kiểm toán tiện ích là cần thiết để đảm bảo rằng chúng tuân thủ các mục tiêu tăng trưởng kinh doanh và tương thích với các tiện ích khác.
- Các thiết bị hỗ trợ tiện ích phải được kiểm tra và thử nghiệm thường xuyên để tránh gián đoạn hoặc hỏng hóc.
- Hệ thống báo động thiết bị tiện ích bị trục trặc có thể được thiết lập dựa trên mức độ rủi ro đối với tài sản thông tin và tính liên tục của doanh nghiệp.
- Các tiện ích nên có nhiều nguồn cấp dữ liệu với định tuyến vật lý riêng biệt để giảm thiểu rủi ro.
- Nên thiết lập các mạng riêng biệt cho các thiết bị hỗ trợ tiện ích và cơ sở CNTT.
- Kết nối Internet cho các thiết bị hỗ trợ tiện ích chỉ được phép khi thực sự cần thiết và phải được thiết lập theo cách an toàn.
Hướng dẫn bổ sung về Phụ lục A 7.11
Phụ lục A 7.11 của ISO 27001:2022 cũng đưa ra các khuyến nghị về hai vấn đề cụ thể.
Thủ tục khẩn cấp
Một tổ chức phải chỉ định một người liên lạc khẩn cấp cùng với thông tin liên lạc của họ. Tất cả nhân viên phải nhận được những thông tin chi tiết này trong trường hợp xảy ra sự cố hoặc gián đoạn.
Gần lối thoát hiểm, cần bố trí các công tắc và van khẩn cấp để ngắt các tiện ích như nước, gas và điện.
Trong trường hợp khẩn cấp, phải có đèn chiếu sáng khẩn cấp và hệ thống liên lạc.
Kết nối mạng
Các tổ chức nên có các tuyến đường bổ sung từ các nhà cung cấp dịch vụ thay thế để ngăn ngừa sự cố hoặc gián đoạn của các tiện ích hỗ trợ.
Những thay đổi so với ISO 27001:2013 là gì?
Phụ lục A 7.11 của ISO 27001:2022 thay thế Phụ lục A 11.2.2 của ISO 27001:2013 (‘Tiện ích hỗ trợ’).
Phiên bản 2022 chủ yếu tương tự như phiên bản 2013, nhưng có một điểm khác biệt chính. Trong hướng dẫn chung, ISO 27001:2022 đưa ra hai yêu cầu sau:
- Cần phải tách biệt mạng kết nối với các thiết bị hỗ trợ tiện ích khỏi mạng kết nối với các cơ sở CNTT.
- Kết nối Internet cho các thiết bị hỗ trợ tiện ích chỉ được phép khi thực sự cần thiết và phải được thiết lập theo cách an toàn.
