Phụ lục A 7.3 của ISO 27001:2022 là gì?
Phụ lục A 7.3 của ISO 27001:2022 nêu rõ yêu cầu về xây dựng và thực hiện an ninh vật lý cho văn phòng, phòng họp và địa điểm.
Kiểm soát này khuyến khích các tổ chức áp dụng các biện pháp thích hợp để bảo vệ chống lại việc truy cập trái phép vào phòng, văn phòng và cơ sở, đặc biệt là khi xử lý vấn đề bảo mật thông tin . Các biện pháp đó có thể bao gồm khóa, báo động, nhân viên bảo vệ hoặc các biện pháp phù hợp khác để bảo vệ chống lại các vấn đề bảo mật thông tin.
Giải thích về an ninh vật lý cho văn phòng, phòng và cơ sở
Bảo mật vật lý là một thành phần thiết yếu của bảo mật thông tin. Cả hai phải được xem xét cùng nhau. Bảo mật thông tin là bảo vệ dữ liệu và hệ thống khỏi việc truy cập, sử dụng, tiết lộ, gián đoạn, thay đổi hoặc phá hủy trái phép.
An ninh vật lý bao gồm việc thực hiện các biện pháp bảo vệ nhân sự, cơ sở vật chất, thiết bị và tài sản khác khỏi các mối nguy tiềm ẩn như trộm cắp, phá hoại, khủng bố và các hoạt động tội phạm khác bằng cách giảm thiểu các rủi ro liên quan.
Xác định xem bạn có vị trí thông tin nhạy cảm hay không là bước đầu tiên trong bảo mật vật lý . Đây có thể là văn phòng, phòng hoặc cơ sở có máy tính chứa dữ liệu nhạy cảm hoặc những nơi có nhân viên được cấp quyền truy cập vào thông tin nhạy cảm.
Khóa và chìa khóa
Bảo vệ tất cả các cửa ra vào, cửa sổ và tủ; gắn tem bảo mật vào máy tính xách tay và thiết bị di động; cài đặt mật khẩu bảo vệ cho máy tính; mã hóa dữ liệu nhạy cảm.
camera giám sát
Camera mạch kín cung cấp phương tiện hiệu quả để giám sát hoạt động trên mặt đất hoặc các khu vực cụ thể của một công trình.
Báo động xâm nhập
Chuyển động, nhiệt hoặc âm thanh có thể kích hoạt các báo động này, giúp cảnh báo bạn về bất kỳ kẻ xâm nhập hoặc người không được phép nào ở trong khu vực (ví dụ: báo động an ninh sẽ kêu nếu có người cố đột nhập vào văn phòng).
Mục đích của Phụ lục A 7.3 của ISO 27001:2022 là gì?
Mục tiêu của Phụ lục A Kiểm soát 7.3 của ISO 27001:2022 là bảo vệ thông tin của tổ chức và các tài sản liên quan khác trong văn phòng, phòng và cơ sở khỏi sự truy cập vật lý trái phép, hư hỏng và can thiệp.
Mục tiêu chính của Phụ lục A 7.3 của ISO 27001:2022 là giảm thiểu rủi ro tiếp cận vật lý trái phép vào văn phòng, phòng và cơ sở xuống mức có thể chấp nhận được bằng cách:
- Việc ngăn chặn những cá nhân không được phép vào văn phòng, phòng và cơ sở là điều cần thiết. Tất cả nhân viên phải được ủy quyền trước khi họ có thể vào.
- Ngăn ngừa tổn hại hoặc gián đoạn dữ liệu của tổ chức và các tài sản liên quan khác trong khu vực, phòng và cơ sở làm việc.
- Đảm bảo các khu vực nhạy cảm về bảo mật thông tin được tách biệt để khó có thể phát hiện ra mục đích của chúng.
- Giảm thiểu nguy cơ trộm cắp hoặc mất mát tài sản trong văn phòng, phòng ốc và cơ sở vật chất.
- Đảm bảo nhận dạng được nhân sự được phép ra vào bằng cách kết hợp đồng phục, hệ thống kiểm soát cửa điện tử và thẻ ra vào.
- Khi có thể, nên lắp đặt camera CCTV hoặc các hệ thống giám sát khác để đảm bảo an ninh ở những khu vực quan trọng như cửa ra vào/lối ra.
Phụ lục A 7.3 liên quan đến tất cả các cấu trúc được tổ chức sử dụng cho văn phòng hoặc hoạt động hành chính. Nó cũng bao gồm các phòng lưu trữ hoặc xử lý dữ liệu bí mật, bao gồm các khu vực diễn ra các cuộc trò chuyện nhạy cảm.
Điều này không bao gồm khu vực lễ tân hoặc các khu vực công cộng khác trong khuôn viên của một tổ chức, trừ khi chúng được sử dụng cho mục đích hành chính, chẳng hạn như khi khu vực lễ tân được dùng làm văn phòng.
Bao gồm những gì và làm thế nào để đáp ứng các yêu cầu
Phụ lục A 7.3 của ISO 27001:2022 quy định rằng các phòng và cơ sở phải được bảo vệ. Để đáp ứng các yêu cầu này, các biện pháp an ninh sau đây phải được thực hiện:
- Xác định vị trí các cơ sở quan trọng để ngăn chặn công chúng tiếp cận.
- Đảm bảo các tòa nhà không gây khó chịu và thể hiện tối thiểu dấu hiệu về mục đích của chúng, không có dấu hiệu rõ ràng nào ở bên trong hoặc bên ngoài tòa nhà cho thấy các hoạt động xử lý thông tin đang diễn ra.
- Thiết lập hệ thống để bảo vệ dữ liệu và hoạt động bí mật khỏi bị nghe hoặc nhìn thấy từ bên ngoài. Có thể cần phải có lớp chắn điện từ.
- Đảm bảo danh bạ, danh bạ điện thoại nội bộ và bản đồ trực tuyến hiển thị vị trí của các cơ sở xử lý thông tin bí mật mà bất kỳ người không được phép nào cũng có thể truy cập.
Để biết thêm chi tiết về việc đạt được mức kiểm soát theo quy định trong tiêu chuẩn ISO 27001:2022, hãy tham khảo tài liệu.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 7.3 của ISO 27001:2022 thay thế Phụ lục A 11.1.3 của ISO 27001:2013 trong tiêu chuẩn đã sửa đổi năm 2022.
Phụ lục A 7.3 không phải là một biện pháp kiểm soát mới. Đây là phiên bản sửa đổi của Phụ lục A 11.1.3 trong ISO 27001:2013. Sự khác biệt quan trọng nhất giữa phiên bản 2013 và 2022 là Số kiểm soát Phụ lục A đã được thay đổi. Ngoài sự điều chỉnh này, ngữ cảnh và ý nghĩa chung vẫn không thay đổi, mặc dù đã diễn đạt lại.
Phụ lục A năm 2022 có bảng thuộc tính và tuyên bố mục đích, những nội dung không có trong phiên bản năm 2013.
Ai là người chịu trách nhiệm cho quá trình này?
Người đầu tiên cần tham khảo khi sắp xếp văn phòng, phòng ốc và cơ sở vật chất thường là người quản lý hoặc giám đốc phụ trách tòa nhà và nội dung bên trong.
Người quản lý an ninh giám sát an ninh ở mọi khu vực, bao gồm văn phòng và cơ sở. Người này theo dõi tất cả nhân viên có quyền truy cập vào các khu vực này và đảm bảo việc sử dụng của họ là phù hợp.
Trong một số trường hợp, nhiều người có thể chịu trách nhiệm về an ninh. Ví dụ, khi một cá nhân có quyền truy cập vào thông tin nhạy cảm có thể gây bất lợi cho doanh nghiệp hoặc cuộc sống riêng tư của các nhân viên khác, thì việc có nhiều cá nhân tham gia vào vấn đề an ninh của họ là điều cần thiết.
Phòng nhân sự chịu trách nhiệm về các chính sách bảo hiểm và phúc lợi của nhân viên, trong khi CNTT quản lý hệ thống máy tính và mạng. Cả hai phòng đều tham gia quản lý an toàn vật lý cũng như các vấn đề an ninh mạng như lừa đảo qua email và các nỗ lực truy cập trái phép.
Những thay đổi này có ý nghĩa gì đối với bạn?
Không cần thực hiện bất kỳ sửa đổi đáng kể nào để tuân thủ phiên bản mới nhất của ISO 27001:2022.
Đánh giá giải pháp bảo mật thông tin hiện tại của bạn để đảm bảo nó đáp ứng tiêu chuẩn mới. Nếu bạn đã sửa đổi bất kỳ điều gì kể từ năm 2013 khi phiên bản cuối cùng được phát hành, hãy cân nhắc xem xét những thay đổi đó để quyết định xem chúng vẫn áp dụng được hay cần phải sửa đổi.
