ISO 27001:2022 Phụ lục A 7.13

Phụ lục A 7.13 của ISO 27001:2022 liên quan đến việc thiết lập và triển khai các quy trình và biện pháp phù hợp để bảo trì thiết bị đúng cách nhằm đảm bảo rằng các tài sản thông tin được lưu trữ trên thiết bị này sẽ không bị xâm phạm.

Đối với việc lưu trữ, sử dụng và chuyển giao tài sản thông tin , các thiết bị CNTT như máy chủ, máy tính xách tay, thiết bị mạng và máy in là rất cần thiết. Việc không bảo trì các thiết bị này theo thông số kỹ thuật và rủi ro về môi trường có thể dẫn đến chất lượng kém và hiệu suất giảm sút. Do thiếu bảo trì này, tính toàn vẹn, tính bảo mật và tính khả dụng của tài sản thông tin có thể bị xâm phạm.

Ví dụ, một tổ chức có thể không nhận ra dung lượng đĩa của mình đã đầy nếu không thực hiện bảo trì thường xuyên phần cứng máy chủ. Máy chủ có thể mất dữ liệu được truyền đến hoặc đi do đó.

Mục đích của Phụ lục A 7.13 của ISO 27001:2022 là gì?

Phụ lục A 7.13 của ISO 27001:2022 mô tả cách tiến hành bảo trì đúng cách đối với thiết bị được sử dụng để lưu trữ tài sản thông tin dựa trên các biện pháp và quy trình kỹ thuật.

Các biện pháp và quy trình được đưa ra để đảm bảo rằng tài sản thông tin được bảo vệ khỏi bị mất mát, hư hỏng và truy cập trái phép, cùng nhiều mối quan ngại khác.

Phụ lục A 7.13 của ISO 27001:2022 mô tả loại kiểm soát phòng ngừa mà theo đó các tổ chức cần có biện pháp chủ động để bảo trì thiết bị của mình.

Ai là người sở hữu Phụ lục A 7.13?

Việc tuân thủ Phụ lục A 7.13 nêu rõ rằng cần phải lập danh sách thiết bị, tiến hành đánh giá rủi ro dựa trên các yếu tố môi trường và thông số kỹ thuật của sản phẩm, cũng như thiết lập và triển khai các quy trình và biện pháp thích hợp để đảm bảo bảo trì thiết bị đúng cách.

Người quản lý an ninh thông tin phải chịu trách nhiệm đảm bảo tuân thủ Phụ lục A 7.13 của ISO 27001:2022 mặc dù các cá nhân vẫn phải xử lý thiết bị này hàng ngày.

Hướng dẫn chung về ISO 27001:2022 Phụ lục A 7.13 để tuân thủ

Phụ lục A 7.13 cung cấp cho các tổ chức 11 khuyến nghị cụ thể:

1. Nên tuân thủ các thông số kỹ thuật của nhà sản xuất thiết bị liên quan đến quy trình bảo trì, chẳng hạn như khoảng thời gian bảo dưỡng được khuyến nghị.
2. Đối với mọi thiết bị, tổ chức phải thiết lập và triển khai chương trình bảo trì.
3. Việc bảo trì hoặc sửa chữa thiết bị chỉ nên được thực hiện bởi nhân viên được ủy quyền hoặc bên thứ ba được ủy quyền.
4. Mọi trục trặc và lỗi của thiết bị đều phải được các tổ chức ghi lại. Hơn nữa, mọi hoạt động bảo trì trên các thiết bị đó cũng phải được ghi lại.
5. Điều cần thiết đối với các tổ chức là áp dụng các quy trình bảo trì phù hợp bất kể việc bảo trì được thực hiện bởi nhân viên của họ hay bởi bên thứ ba. Hơn nữa, các thỏa thuận bảo mật phải được ký bởi các nhân viên có liên quan.
6. Mọi nhân viên bảo trì đều phải được giám sát mọi lúc.
7. Các thủ tục truy cập và ủy quyền phải được thực hiện nghiêm ngặt đối với công việc bảo trì từ xa.
8. Các tổ chức phải áp dụng các biện pháp an ninh phù hợp theo Phụ lục A 7.9 bất cứ khi nào thiết bị được di chuyển khỏi cơ sở để bảo trì.
9. Các tổ chức phải tuân thủ các yêu cầu bảo trì do nhà cung cấp bảo hiểm đưa ra.
10. Để đảm bảo thiết bị không bị can thiệp và hoạt động bình thường, các công ty nên kiểm tra thiết bị sau khi bảo trì.
11. Các tổ chức phải thiết lập và thực hiện các biện pháp và quy trình phù hợp để xử lý hoặc tái sử dụng thiết bị theo Phụ lục A 7.14.

Hướng dẫn bổ sung về Phụ lục A 7.13

Phụ lục A 7.13 của ISO 27001:2022 quy định rằng những điều sau đây được coi là thiết bị và nằm trong phạm vi của Phụ lục A 7.13:

• Bộ chuyển đổi điện năng.
• Máy điều hòa không khí.
• Tài sản tương tự.
• Các thành phần kỹ thuật của cơ sở xử lý thông tin .
• Pin.
• Bình chữa cháy.
• Thang máy.

Những thay đổi và khác biệt so với ISO 27001:2013 là gì?

Phụ lục A 7.13 của ISO 27001:2022 thay thế Phụ lục A 11.2.4 của ISO 27001:2013 (‘Bảo trì thiết bị’).

Phiên bản ISO 27001:2022 bao gồm các yêu cầu toàn diện hơn

So với phiên bản ISO 27001:2013, Phụ lục A 7.13 trong Phiên bản 2022 nêu ra các yêu cầu toàn diện hơn.

Trong khi phiên bản ISO 27001:2013 chỉ liệt kê sáu yêu cầu cụ thể thì Phụ lục A 7.13 của ISO 27001:2022 chứa 11 yêu cầu.

Phụ lục A 7.13 giới thiệu năm yêu cầu sau đây không được đề cập trong phiên bản ISO 27001:2013:

1. Đối với mọi thiết bị, tổ chức phải thiết lập và triển khai chương trình bảo trì.
2. Mọi nhân viên bảo trì đều phải được giám sát mọi lúc.
3. Công việc bảo trì được thực hiện từ xa phải tuân theo các biện pháp kiểm soát quyền truy cập và ủy quyền chặt chẽ.
4. Theo Phụ lục A 7.14, các tổ chức phải thiết lập và thực hiện các biện pháp và quy trình thích hợp để thải bỏ hoặc tái sử dụng thiết bị.
5. Các tổ chức phải áp dụng các biện pháp an ninh phù hợp theo Phụ lục A 7.9 bất cứ khi nào thiết bị được di chuyển khỏi cơ sở để bảo trì.

Bản sửa đổi ISO 27001:2022 định nghĩa ‘Thiết bị’

Hướng dẫn bổ sung định nghĩa ‘Thiết bị’ trong Phụ lục A 7.13. Ngược lại, phiên bản ISO 27001:2013 không đề cập đến ý nghĩa của ‘Thiết bị’.