Trong khi các mối đe dọa mạng, bao gồm các cuộc tấn công phần mềm độc hại, tiêm SQL và chặn lưu lượng truy cập, ngày càng đe dọa đến tính bảo mật của tài sản thông tin. Bối cảnh rủi ro mở rộng ra ngoài các cuộc tấn công mạng dựa trên phần mềm:
- Tính khả dụng, tính bảo mật và tính toàn vẹn của tài sản thông tin cũng có thể bị tổn hại do các mối đe dọa vật lý và môi trường đối với thiết bị CNTT, chẳng hạn như máy chủ, máy tính, ổ cứng và phương tiện lưu trữ di động.
Ví dụ, làm đổ đồ uống lên máy chủ, tắt hệ thống máy tính do nhiệt độ cao và truy cập trái phép vào thiết bị lưu trữ thông tin đều là ví dụ về các mối đe dọa vật lý.
Phụ lục A 7.8 của ISO 27001:2022 mô tả cách các tổ chức có thể loại bỏ và giảm thiểu rủi ro phát sinh từ các mối đe dọa vật lý và mối nguy hại về môi trường.
Mục đích của Phụ lục A 7.8 của ISO 27001:2022 là gì?
Phụ lục A 7.8 cung cấp cho các tổ chức khả năng loại bỏ và/hoặc giảm thiểu hai loại rủi ro liên quan đến thiết bị chứa tài sản thông tin:
- Chiếu sáng, mất điện, trộm cắp, nhiễu thông tin liên lạc và nhiễu điện đều là các mối đe dọa vật lý và môi trường đối với thiết bị. Những mối đe dọa này cũng bao gồm những thay đổi về điều kiện môi trường, chẳng hạn như độ ẩm và nhiệt độ, có thể gây gián đoạn trong các hoạt động xử lý thông tin .
- Thiết bị không được lưu trữ ở khu vực an toàn có thể bị truy cập, sử dụng, làm hỏng hoặc phá hủy mà không được phép.
Ai là người sở hữu Phụ lục A 7.8?
Việc tuân thủ Phụ lục A 7.8 của ISO 27001:2022 yêu cầu phải lập danh mục thiết bị lưu trữ tài sản thông tin, đặt tất cả thiết bị vào khu vực an toàn và triển khai các biện pháp thích hợp để ngăn ngừa các mối nguy về vật lý và môi trường.
Do đó, Người quản lý an ninh thông tin phải thiết lập, triển khai và duy trì các biện pháp và hướng dẫn an ninh để bảo vệ thiết bị và vị trí an toàn.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 7.8
Phụ lục A 7.8 của ISO 27001:2022 nêu ra chín yêu cầu phải được lưu ý để tuân thủ:
- Cần chỉ định các khu vực an toàn cho thiết bị được đặt tại đó để những người không có thẩm quyền không thể tiếp cận được.
- Các công cụ được sử dụng để xử lý thông tin nhạy cảm, bao gồm máy tính, màn hình và máy in, phải được cấu hình và bố trí sao cho những cá nhân không được phép không thể xem thông tin trên màn hình khi chưa được phép.
- Cần phải thực hiện các biện pháp thích hợp để loại bỏ và/hoặc giảm thiểu rủi ro phát sinh từ các mối đe dọa vật lý và môi trường, bao gồm chất nổ, nhiễu thông tin liên lạc, hỏa hoạn, bụi và bức xạ điện từ. Ví dụ, thanh chống sét có thể cung cấp khả năng bảo vệ đầy đủ chống sét.
- Cần xây dựng và truyền đạt hướng dẫn về thực phẩm và đồ uống cho tất cả các bên liên quan.
- Hoạt động xử lý thông tin cần được theo dõi liên tục để phát hiện các điều kiện môi trường có thể làm gián đoạn hoạt động. Ví dụ, nhiệt độ và độ ẩm là hai trong số các yếu tố này.
- Các tòa nhà và văn phòng phải được trang bị cơ chế chống sét. Các bộ lọc chống sét cũng phải được lắp đặt trên tất cả các đường dây điện đến, bao gồm cả đường dây thông tin liên lạc.
- Cần sử dụng các biện pháp bảo vệ đặc biệt, chẳng hạn như màng bàn phím, nếu thiết bị được đặt trong môi trường công nghiệp.
- Có khả năng thông tin nhạy cảm bị rò rỉ do phát xạ điện từ. Để ngăn ngừa những rủi ro như vậy, thiết bị chứa tài sản thông tin nhạy cảm hoặc quan trọng phải được bảo mật.
- Một tổ chức phải tách biệt rõ ràng thiết bị CNTT của mình với các thiết bị không thuộc quyền sở hữu hoặc kiểm soát của tổ chức.
Những thay đổi so với ISO 27001:2013 là gì?
Phụ lục A 7.8 của ISO 27001:2022 thay thế Phụ lục A 11.2.1 của ISO 27001:2013 (‘ Sắp xếp và bảo vệ thiết bị ‘).
Mặc dù có nhiều điểm tương đồng đáng kể giữa phiên bản 2022 và 2013, vẫn có một điểm khác biệt chính cần lưu ý:
- Cần phải có sự phân tách rõ ràng giữa các thiết bị CNTT do tổ chức sở hữu và kiểm soát với các thiết bị không do tổ chức sở hữu và kiểm soát.
