Các thiết bị CNTT như máy chủ, máy tính xách tay, thiết bị mạng và máy in đóng vai trò quan trọng đối với nhiều hoạt động xử lý thông tin như lưu trữ, sử dụng và chuyển giao tài sản thông tin.
Tuy nhiên, nếu thiết bị này không được bảo trì theo thông số kỹ thuật sản phẩm và rủi ro về môi trường, chất lượng và hiệu suất của thiết bị có thể bị giảm sút. Việc thiếu bảo trì này có thể dẫn đến việc mất khả năng sử dụng, tính toàn vẹn và tính bảo mật của các tài sản thông tin được lưu trữ trên thiết bị này.
Ví dụ, nếu một tổ chức không thực hiện bảo trì thường xuyên phần cứng máy chủ, tổ chức đó có thể không nhận ra rằng dung lượng đĩa đã đầy. Điều này có thể dẫn đến mất dữ liệu được truyền đến hoặc ra khỏi máy chủ.
Hơn nữa, nhân viên hoặc nhà cung cấp dịch vụ bên ngoài có thể truy cập vào thiết bị CNTT như một phần của quy trình bảo trì và điều này cũng có thể gây ra rủi ro cho tính bảo mật của thông tin nhạy cảm.
Ví dụ, nhà cung cấp dịch vụ bảo trì bên ngoài có thể truy cập vào thông tin nhạy cảm được lưu trữ trên máy tính xách tay hoặc cài đặt phần mềm độc hại vào thiết bị.
Kiểm soát 7.13 đề cập đến cách các tổ chức có thể thiết lập và triển khai các quy trình và biện pháp phù hợp để bảo trì thiết bị đúng cách, sao cho thông tin được lưu trữ trên thiết bị này không bị xâm phạm.
Mục đích của Kiểm soát 7.13
Kiểm soát 7.13 cho phép các tổ chức áp dụng các biện pháp và quy trình kỹ thuật cần thiết để thực hiện các hoạt động bảo trì phù hợp đối với thiết bị được sử dụng để lưu trữ tài sản thông tin.
Các biện pháp và quy trình này đảm bảo rằng thông tin tài sản không bị mất hoặc hư hỏng, và không có nguy cơ bị xâm phạm như truy cập trái phép.
Bảng Thuộc tính
Kiểm soát 7.13 là loại kiểm soát mang tính phòng ngừa, yêu cầu các tổ chức phải có biện pháp chủ động trong việc bảo trì thiết bị.
Điều này bao gồm việc phát hiện các rủi ro có thể phát sinh do thiếu bảo trì, thiết lập các quy trình bảo trì thiết bị có tính đến thông số kỹ thuật của từng thiết bị và áp dụng các biện pháp kiểm soát thích hợp để bảo vệ các tài sản thông tin được lưu trữ trên thiết bị này khỏi bị xâm phạm.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật #Toàn vẹn #Khả dụng | #Bảo vệ | #An ninh vật lý #Quản lý tài sản | #Bảo vệ #Khả năng phục hồi |
Quyền sở hữu kiểm soát 7.13
Việc tuân thủ Kiểm soát 7.13 bao gồm việc lập danh sách thiết bị, tiến hành đánh giá rủi ro dựa trên các yếu tố môi trường và thông số kỹ thuật sản phẩm, đồng thời thiết lập và triển khai các quy trình và biện pháp phù hợp để bảo trì đúng cách.
Mặc dù vai trò của những cá nhân xử lý thiết bị này hàng ngày rất quan trọng, nhưng người quản lý an ninh thông tin phải chịu trách nhiệm tuân thủ Kiểm soát 7.13.
Hướng dẫn chung về tuân thủ
Kiểm soát 7.13 liệt kê 11 khuyến nghị cụ thể mà các tổ chức cần xem xét:
- Quy trình bảo trì phải tuân thủ theo thông số kỹ thuật của nhà sản xuất thiết bị như tần suất bảo dưỡng được khuyến nghị.
- Các tổ chức nên thiết lập và áp dụng chương trình bảo trì cho tất cả các thiết bị.
- Chỉ những nhân viên được ủy quyền hoặc bên thứ ba mới được phép thực hiện các hoạt động bảo trì hoặc sửa chữa thiết bị.
- Các tổ chức nên tạo và duy trì hồ sơ về tất cả các thiết bị trục trặc và lỗi. Hơn nữa, hồ sơ này cũng nên bao gồm tất cả các hoạt động bảo trì được thực hiện trên thiết bị.
- Các tổ chức nên áp dụng các biện pháp phù hợp trong quá trình thực hiện bảo trì, cân nhắc xem việc bảo trì được thực hiện bởi nhân viên hay nhà cung cấp dịch vụ bên thứ ba. Ngoài ra, nhân viên có liên quan nên ký thỏa thuận bảo mật.
- Nhân viên thực hiện công việc bảo trì phải được giám sát mọi lúc.
- Công việc bảo trì từ xa phải tuân theo các thủ tục truy cập và ủy quyền nghiêm ngặt.
- Nếu thiết bị được mang ra khỏi cơ sở để bảo trì, các tổ chức phải áp dụng các biện pháp an ninh phù hợp theo Kiểm soát 7.9.
- Các tổ chức phải tuân thủ mọi yêu cầu do nhà cung cấp bảo hiểm đưa ra về cách thực hiện bảo trì.
- Các tổ chức nên kiểm tra thiết bị đã được bảo trì để đảm bảo thiết bị không bị can thiệp và hoạt động bình thường.
- Nếu thiết bị sẽ bị thải bỏ hoặc tái sử dụng, các tổ chức phải thiết lập và thực hiện các biện pháp và quy trình phù hợp có tính đến các yêu cầu nêu trong Kiểm soát 7.14.
Hướng dẫn bổ sung về Kiểm soát 7.14
Tiêu chuẩn 7.13 quy định rằng những điều sau đây được coi là thiết bị và nằm trong phạm vi của Tiêu chuẩn 7.13:
- Các thành phần kỹ thuật của cơ sở xử lý thông tin
- Pin
- Bình chữa cháy
- Thang máy
- Bộ chuyển đổi điện
- Máy điều hòa không khí
- Tài sản tương tự
Những thay đổi và khác biệt so với ISO 27002:2013
27002:2022/7.13 thay thế 27002:2013/(11.2.4)
Phiên bản 2022 có các yêu cầu toàn diện hơn
So với phiên bản 2013, Control 7.13 trong Phiên bản 2022 đặt ra các yêu cầu toàn diện hơn. Trong khi phiên bản 2013 chỉ liệt kê sáu yêu cầu cụ thể, thì Control 7.13 có 11 yêu cầu.
Điều 7.13 giới thiệu năm yêu cầu sau đây, không được đề cập trong Phiên bản 2013:
- Các tổ chức nên thiết lập và áp dụng chương trình bảo trì cho tất cả các thiết bị.
- Nhân viên thực hiện công việc bảo trì phải được giám sát mọi lúc.
- Công việc bảo trì từ xa phải tuân theo các thủ tục truy cập và ủy quyền nghiêm ngặt.
- Nếu thiết bị sẽ bị thải bỏ hoặc tái sử dụng, các tổ chức phải thiết lập và thực hiện các biện pháp và quy trình phù hợp theo Kiểm soát 7.14.
- Nếu thiết bị được mang ra khỏi cơ sở để bảo trì, các tổ chức phải áp dụng các biện pháp an ninh phù hợp theo Kiểm soát 7.9.
Phiên bản 2022 định nghĩa ‘Thiết bị’
Trong Hướng dẫn bổ sung, điều khiển 7.13 xác định những gì nằm trong phạm vi của ‘Thiết bị’. Ngược lại, Phiên bản 2013 không đề cập đến ý nghĩa của ‘Thiết bị’.
