Phụ lục A 7.2 của ISO 27001:2022 nhấn mạnh yêu cầu các tổ chức phải bảo vệ các khu vực thông qua việc sử dụng các biện pháp kiểm soát lối vào và điểm truy cập phù hợp.
Phụ lục A 7.2 của ISO 27001:2022 là gì?
Kiểm soát lối vào và điểm truy cập là rất quan trọng đối với hệ thống an ninh của bất kỳ tòa nhà nào. Chúng cho phép người cư trú ra vào trong khi vẫn duy trì an ninh và có thể ngăn chặn những người không được phép hoặc không mong muốn ra vào.
Kiểm soát nhập cảnh
Hệ thống kiểm soát ra vào cung cấp quyền truy cập vào tòa nhà thông qua cửa ra vào và cổng, bao gồm bàn phím, đầu đọc thẻ, máy quét sinh trắc học và chìa khóa. Ngoài ra, chúng còn cung cấp cơ chế khóa cho cửa ra vào và cổng, ngoài cửa quay và cửa xoay.
Điểm truy cập
Điểm truy cập là thiết bị điện tử đảm bảo an ninh trong các tòa nhà thương mại lớn. Nó sử dụng công nghệ RFID để theo dõi mọi chuyển động bên trong và bên ngoài cơ sở. Điểm truy cập gửi dữ liệu trở lại trụ sở chính, cho phép nhân viên an ninh quan sát khi có người vào hoặc ra khỏi cơ sở và những khu vực nào họ đang truy cập trong thời gian lưu trú.
Mục đích của Phụ lục A 7.2 của ISO 27001:2022 là gì?
Phụ lục A của ISO 27001:2022 Kiểm soát 7.2 chỉ đảm bảo quyền truy cập vật lý được ủy quyền vào dữ liệu của tổ chức và các tài sản liên quan khác.
Bảo mật vật lý là tối quan trọng để bảo vệ tính bảo mật, tính toàn vẹn và khả năng truy cập của các nguồn thông tin. Phụ lục A Kiểm soát 7.2 của ISO 27001:2022 chủ yếu liên quan đến việc bảo vệ dữ liệu và các tài sản liên quan khác khỏi việc truy cập trái phép, trộm cắp hoặc mất mát. Do đó, cần triển khai các điểm vào và điểm truy cập cần thiết để đảm bảo chỉ những nhân viên được ủy quyền mới có thể truy cập vào các khu vực an toàn .
Cần triển khai các biện pháp kiểm soát để đảm bảo hợp lý rằng chỉ những người được ủy quyền mới có quyền truy cập vật lý và họ được xác định chính xác.
Nên triển khai sử dụng khóa, chìa khóa (thủ công và điện tử), nhân viên bảo vệ, hệ thống giám sát và các rào cản khác tại lối vào và điểm ra vào. Nên sử dụng các hệ thống kiểm soát ra vào như mật khẩu, chìa khóa thẻ hoặc thiết bị sinh trắc học để bảo vệ các khu vực nhạy cảm trong cơ sở.
Bao gồm những gì và làm thế nào để đáp ứng các yêu cầu
Các tổ chức phải kiểm soát và nếu có thể, tách biệt các điểm truy cập như khu vực giao hàng và khu vực bốc xếp và các điểm vào khác của cơ sở với các cơ sở CNTT của họ để ngăn chặn truy cập trái phép, nhằm đáp ứng các yêu cầu của việc triển khai Phụ lục A 7.2. Các khu vực này chỉ nên giới hạn cho nhân viên được ủy quyền.
Tài liệu ISO 27001:2022 cung cấp hướng dẫn triển khai cho Phụ lục A 7.2, hỗ trợ đáp ứng các yêu cầu đối với nhân viên, khách tham quan và người giao hàng. Để xem các hướng dẫn này, hãy truy cập phiên bản đã sửa đổi của tiêu chuẩn.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 7.2 trong ISO 27001:2022 không phải là một biện pháp mới, mà là sự kết hợp của các Kiểm soát Phụ lục A 11.1.2 và 11.1.6 từ ISO 27001:2013. Hai Kiểm soát Phụ lục A này đã được sửa đổi trong ISO 27001:2022 để trực quan hơn ISO 27001:2013.
Phụ lục A Kiểm soát 11.1.2 – Kiểm soát nhập cảnh vật lý yêu cầu các khu vực an toàn phải được bảo vệ bằng các biện pháp kiểm soát nhập cảnh phù hợp, để chỉ những người được ủy quyền mới có thể tiếp cận. Phần này của tiêu chuẩn nêu rõ các biện pháp mà tổ chức có thể thực hiện để đảm bảo rằng chỉ những người được phép mới có thể vào vì mục đích cụ thể.
Quy định này yêu cầu phải triển khai xác thực hai yếu tố cho những người được ủy quyền để có thể truy cập vào các khu vực nhạy cảm về bảo mật thông tin, với sổ ghi chép vật lý hoặc dấu vết kiểm toán điện tử để hỗ trợ.
Phụ lục A Kiểm soát 11.1.6 – Khu vực giao hàng và bốc xếp quy định rằng chỉ những nhân viên được ủy quyền mới được phép vào những khu vực này. Nên thiết kế sao cho chúng tách biệt với các khu vực hoạt động, do đó ngăn không cho nhân viên giao hàng tiếp cận các khu vực khác của tòa nhà.
Cuối cùng, Phụ lục A Control 7.2 và Phụ lục A Controls 11.1.2 và 11.1.6 về bản chất có thể so sánh được. Điểm khác biệt chính là Phụ lục A 11.1.2 và Phụ lục A 11.1.6 được hợp nhất để tăng tính thân thiện với người dùng.
Trong phiên bản ISO 27001 năm 2022, bảng thuộc tính và mục đích kiểm soát đã được đưa vào, những tính năng này không có trong các biện pháp kiểm soát của phiên bản năm 2013.
Ai là người chịu trách nhiệm cho quá trình này?
Kiểm soát quyền truy cập vật lý là tối quan trọng đối với an ninh của bất kỳ tổ chức hoặc doanh nghiệp nào. Đảm bảo không có nhân viên trái phép nào vào cơ sở là điều cần thiết. Do đó, việc thực hiện các biện pháp nghiêm ngặt là điều cần thiết.
Bộ phận an ninh giám sát mọi khía cạnh an ninh vật lý, chẳng hạn như kiểm soát lối vào. Nếu họ thiếu chuyên môn hoặc nguồn lực cần thiết để quản lý việc này, họ có thể giao quyền cho một bộ phận khác.
Các nhóm CNTT cũng rất quan trọng đối với an ninh vật lý. Họ đảm bảo rằng các hệ thống công nghệ được sử dụng cho an ninh vật lý là hiện tại và an toàn. Ví dụ, nếu tổ chức của bạn có Hệ thống phát hiện xâm nhập (IDS) ở lối vào nhưng phần mềm chưa được gia hạn trong nhiều tháng, thì nó có thể không hiệu quả đối với những kẻ xâm nhập.
Những thay đổi này có ý nghĩa gì đối với bạn?
Tổ chức của bạn không cần phải thay đổi đáng kể các hoạt động bảo mật thông tin vì tiêu chuẩn sửa đổi ISO 27001:2022 chỉ được điều chỉnh tối thiểu.
Nếu bạn có chứng chỉ ISO 27001:2013, bạn sẽ thấy rằng phương pháp quản lý bảo mật thông tin hiện tại của bạn tuân thủ các tiêu chuẩn mới.
Nếu bạn mới bắt đầu, bạn nên làm quen với hướng dẫn tuân thủ trong tiêu chuẩn mới.
