Khi các thiết bị lưu trữ thông tin có giá trị bị di dời khỏi vị trí vật lý của tổ chức, chúng sẽ dễ bị hư hại, trộm cắp, mất mát, phá hủy hoặc vi phạm hơn.
Các biện pháp kiểm soát an ninh vật lý trong cơ sở của một tổ chức sẽ không hiệu quả, khiến các tài sản bên ngoài dễ bị đe dọa như rủi ro vật lý và những cá nhân có ý đồ xấu cố gắng truy cập trái phép.
Nhân viên làm việc từ xa có thể mang máy tính của công ty có dữ liệu bí mật ra khỏi doanh nghiệp, làm việc tại quán cà phê, sảnh khách sạn, v.v., kết nối với Wi-Fi công cộng không an toàn và để thiết bị của họ không được giám sát. Những hành động này gây ra rủi ro cho tính bảo mật, tính bí mật, tính toàn vẹn và tính khả dụng của thông tin được lưu giữ trên thiết bị.
Các tổ chức phải đảm bảo các thiết bị mang ra ngoài khuôn viên vẫn an toàn.
ISO 27001:2022 Phụ lục A 7.9 phác thảo cách các tổ chức có thể đảm bảo an ninh cho các thiết bị nằm xa địa điểm chính, nơi lưu trữ tài sản thông tin. Họ phải thiết lập các biện pháp kiểm soát và quy trình phù hợp để đạt được điều này.
Mục đích của ISO 27001:2022 Phụ lục A 7.9
Phụ lục A 7.9 của ISO 27001:2022 cho phép các tổ chức bảo vệ tính bảo mật của tài sản thông tin được lưu trữ trong phần cứng bằng cách ngăn chặn hai rủi ro riêng biệt:
- Giảm thiểu khả năng dữ liệu trong các thiết bị ngoài cơ sở bị mất, hư hại, bị phá hủy hoặc bị lộ.
- Tránh gián đoạn hoạt động xử lý dữ liệu của công ty do vi phạm từ các thiết bị bên ngoài.
Quyền sở hữu của Phụ lục A 7.9
ISO 27001:2022 Phụ lục A 7.9 yêu cầu các tổ chức phải thiết lập và triển khai các giao thức và quy định bao gồm tất cả các thiết bị do công ty sở hữu hoặc sử dụng. Ngoài ra, điều quan trọng đối với việc bảo vệ hiệu quả các thiết bị ngoài công ty là phải lập danh mục tài sản và ban quản lý cấp cao chấp thuận việc sử dụng các thiết bị cá nhân.
Người quản lý an ninh thông tin phải tham khảo ý kiến của ban quản lý và chủ sở hữu tài sản và chịu trách nhiệm xây dựng, thực hiện và duy trì các quy trình và biện pháp để đảm bảo an ninh cho các thiết bị được mang ra khỏi cơ sở công ty.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 7.9 Tuân thủ
Phụ lục A 7.9 nêu chi tiết sáu điều cần thiết mà các tổ chức phải tuân thủ khi xây dựng và áp dụng các biện pháp và giao thức để bảo vệ tài sản được di dời khỏi cơ sở:
- Máy tính, USB, ổ cứng và màn hình được công ty mang ra ngoài không bao giờ được để ở nơi công cộng như quán cà phê hoặc bất kỳ nơi nào không an toàn.
- Luôn tuân thủ hướng dẫn và thông số kỹ thuật của nhà sản xuất thiết bị về bảo vệ vật lý cho thiết bị. Ví dụ, tuân thủ hướng dẫn của họ về việc bảo vệ thiết bị khỏi nước, nhiệt, trường điện từ và bụi.
- Nhân viên và các tổ chức khác mang thiết bị máy tính ra khỏi khuôn viên công ty phải duy trì nhật ký ghi chi tiết về chuỗi lưu ký. Nhật ký này phải bao gồm, ít nhất, tên của những người chịu trách nhiệm về thiết bị và tổ chức của họ.
- Nếu một tổ chức thấy rằng việc ủy quyền là cần thiết và thực tế để di dời thiết bị khỏi cơ sở của công ty, họ nên thiết lập một quy trình. Quy trình này nên bao gồm việc di dời một số thiết bị ra khỏi cơ sở và lưu giữ hồ sơ về tất cả các hành động di dời để cung cấp cho tổ chức một dấu vết kiểm toán .
- Việc thực hiện các bước cần thiết để ngăn chặn nguy cơ xem dữ liệu trái phép trên màn hình phương tiện giao thông công cộng là điều cần thiết.
- Tổ chức nên cài đặt các công cụ theo dõi vị trí và cho phép truy cập từ xa để có thể theo dõi vị trí của thiết bị và nếu cần, có thể xóa từ xa mọi dữ liệu được lưu trữ trên thiết bị.
Hướng dẫn bổ sung về Phụ lục A 7.9
Phụ lục A 7.9 của ISO 27001:2022 nêu ra các yêu cầu để bảo vệ thiết bị được lắp đặt bên ngoài khuôn viên công ty một cách cố định.
Thiết bị này có thể bao gồm ăng-ten và máy ATM.
Xét đến rủi ro hư hỏng và mất mát cao của thiết bị này, Phụ lục A 7.9 yêu cầu các tổ chức cân nhắc những điều sau đây khi bảo vệ thiết bị bên ngoài:
- Cần lưu ý đến Phụ lục A 7.4 của ISO 27001:2022, Giám sát an ninh vật lý.
- Đảm bảo áp dụng Phụ lục A 7.5 của ISO 27001:2022, đây là biện pháp bảo vệ chống lại các mối đe dọa về môi trường và vật lý.
- Cần phải tạo ra các biện pháp kiểm soát truy cập và thực hiện các bước phù hợp để ngăn chặn sự can thiệp.
- Tạo và áp dụng các biện pháp kiểm soát truy cập logic.
Phụ lục A 7.9 khuyên các tổ chức nên ghi nhớ Phụ lục A 6.7 và Phụ lục A 8.1 khi xây dựng và triển khai các biện pháp bảo vệ thiết bị.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 7.9 của ISO 27001:2022 thay thế Phụ lục A 11.2.6 của ISO 27001:2013 .
Có ba điểm khác biệt chính cần lưu ý:
Phụ lục A của ISO 27001:2022 Kiểm soát 7.9 yêu cầu một bộ hướng dẫn mở rộng.
Phụ lục A 7.9 đưa ra hai yêu cầu mới so với phiên bản ISO 27001:2013:
- Cần phải thực hiện các biện pháp thích hợp để ngăn chặn những người không có thẩm quyền nhìn thấy thông tin được hiển thị trên phương tiện giao thông công cộng.
- Cần bật tính năng theo dõi vị trí và truy cập từ xa để có thể theo dõi thiết bị và có khả năng xóa thông tin được lưu trữ trên thiết bị từ xa nếu cần.
Phụ lục A 7.9 đưa ra các tiêu chí mới cho các thiết bị được đặt cố định xa cơ sở.
So với phiên bản ISO 27001:2013, Phụ lục A 7.9 của ISO 27001:2022 đưa ra lời khuyên riêng biệt về việc bảo vệ thiết bị được cố định tại vị trí ngoài cơ sở.
Những thứ này có thể liên quan đến ăng-ten và máy ATM.
Việc cấm làm việc từ xa được đưa ra để giảm thiểu rủi ro.
Phiên bản ISO 27001:2013 nêu rõ rằng các tổ chức có thể cấm nhân viên làm việc từ xa nếu điều đó phù hợp với mức độ rủi ro đã được xác định. Ngược lại, phiên bản ISO 27001:2022 không đề cập đến điều này.
