ISO 27001: 2022 Annex A 7.1 - physische Sicherheitsumfang

• Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 7.1 .
• Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 11.1.1 .

Was ist ISO 27001:2022 Anhang A 7.1?

ISO 27001:2022 Anhang A 7.1 verlangt von Organisationen, Sicherheitsperimeter einzurichten und diese zum Schutz von Informationen und zugehörigen Vermögenswerten zu nutzen.

Informationen und Informationssicherheitsressourcen erklärt

Informationen können als alle Daten, Kenntnisse oder Erkenntnisse beschrieben werden, die für eine Organisation oder ein Unternehmen von Wert sind. Dazu gehören alle Informationen über Einzelpersonen, Kunden, Partner, Mitarbeiter und andere Interessengruppen.

Informationssicherheitsressourcen können grob in folgende Kategorien eingeteilt werden:

Daten-Management

Daten und Informationen werden oft miteinander verwechselt, es gibt jedoch einen deutlichen Unterschied. Daten sind roh, unverarbeitet und in ihrer jetzigen Form im Allgemeinen nutzlos. Andererseits handelt es sich bei Informationen um Daten, die in einem nutzbaren Format arrangiert wurden, beispielsweise eine E-Mail-Adresse oder eine Telefonnummer.

Infrastruktur

Die Infrastruktur umfasst alle Komponenten eines Netzwerks – Server, Drucker, Router und mehr – um ein zusammenhängendes System zu schaffen.

Software-Infrastruktur, wie z Betriebssysteme und Anwendungen müssen ebenso wie Hardware vor Cyber-Bedrohungen geschützt werden. Um eine Ausnutzung durch böswillige Hacker zu verhindern, die Zugriff auf sensible Daten suchen, müssen beide regelmäßig mit Patches und Korrekturen für alle von Hackern aufgedeckten Schwachstellen aktualisiert werden.

Physische Sicherheitsbereiche erklärt

Physische Sicherheit bezieht sich auf die physischen Maßnahmen, die die Ressourcen und Räumlichkeiten einer Organisation schützen. Es ist ein grundlegender und unverzichtbarer Bestandteil der Informationssicherheit. Dabei geht es um mehr als nur das Abschließen der Tür; Dazu gehört auch, dass man sich darüber im Klaren ist, wer wann, wo und wie Zugriff auf was hat.

Physische Sicherheitsperimeter identifizieren die physischen Grenzen eines Gebäudes oder Bereichs und kontrollieren den Zugang dazu. Zäune, Mauern, Tore und andere Absperrungen können eingesetzt werden, um das unbefugte Eindringen von Personen oder Fahrzeugen zu verhindern. Darüber hinaus können elektronische Überwachungsgeräte wie CCTV-Kameras zur Überwachung der Aktivitäten außerhalb der Einrichtung eingesetzt werden.

Physische Sicherheitsbereiche bieten den ersten Schutz vor Außenstehenden, die versuchen, über eine kabelgebundene oder kabellose Verbindung auf Ihr Computersystem in einem Unternehmen zuzugreifen. Sie werden häufig mit zusätzlichen Informationssicherheitskontrollen kombiniert, wie z. B. Identitätsmanagement, Zugangskontrolle und Einbruchmeldesystemen.

Leitfaden zu ISO 27001:2022 Anhang A 7.1

ISO 27001:2022 Anhang A 7.1 garantiert, dass eine Organisation nachweisen kann, dass sie über geeignete physische Sicherheitsgrenzen verfügt, um den unbefugten physischen Zugriff auf Informationen und andere damit verbundene Vermögenswerte zu verhindern.

Dazu müssen Maßnahmen ergriffen werden, um Folgendes auszuschließen:

• Das unbefugte Betreten von Gebäuden, Räumen oder Bereichen mit Informationswerten ist verboten.
• Das Entfernen von Vermögenswerten ohne Genehmigung aus dem Betriebsgelände ist unzulässig.
• Die unbefugte Nutzung von Räumlichkeiten, wie z. B. Computern und zugehörigen Geräten, ist nicht gestattet.
• Unbefugte Manipulationen an elektronischen Kommunikationsgeräten wie Telefonen, Faxgeräten und Computerterminals sind nicht gestattet.

Es gibt zwei Möglichkeiten, physische Sicherheitsperimeter zu implementieren:

Physische Zugangskontrolle – sichert den Zugang zu Einrichtungen und Gebäuden sowie die Bewegung darin. Dazu gehört das Verriegeln von Türen, Alarmanlagen, Zäunen und Absperrungen.

Hardware-Sicherheit – ermöglicht die Kontrolle über physische Geräte wie Computer, Drucker und Scanner, die Daten verarbeiten, die vertrauliche Informationen enthalten.

Diese Kontrolle hilft Informationen und andere damit verbundene Vermögenswerte schützenB. vertrauliche Dokumente, Aufzeichnungen und Geräte, indem die unbefugte Nutzung von Räumlichkeiten, Geräten und Materialien der Einrichtung verhindert wird.

Was dazugehört und wie man die Anforderungen erfüllt

Wo möglich, sollten Richtlinien übernommen werden, die für physische Sicherheitsbereiche zu berücksichtigen sind:

• Errichtung von Sicherheitsbarrieren und Bestimmung der genauen Lage und Stärke jeder Barriere im Einklang mit den Informationssicherheitsvorschriften für die Ressourcen innerhalb der Grenze.
• Die Gewährleistung der physischen Sicherheit eines Gebäudes oder Standorts, an dem sich Informationsverarbeitungssysteme befinden, ist von entscheidender Bedeutung. Es dürfen keine Lücken oder Schwachstellen im Umkreis vorhanden sein, an denen ein Einbruch begünstigt werden könnte.
• Die Außenflächen des Geländes, einschließlich Dächer, Wände, Decken und Fußböden, müssen stabil gebaut sein und alle Außentüren sollten mit Kontrollmechanismen wie Riegeln, Alarmanlagen und Schlössern ausgestattet sein, um unbefugten Zutritt zu verhindern.
• Stellen Sie sicher, dass Fenster und Türen verschlossen sind, wenn sie nicht genutzt werden, und berücksichtigen Sie die äußere Sicherung der Fenster, insbesondere im Erdgeschoss. Auch die Belüftung muss berücksichtigt werden.

Weitere Informationen darüber, was von der Einhaltung der Norm ISO 27001:2022 erwartet wird, finden Sie in der zugehörigen Dokumentation.

Änderungen und Unterschiede zu ISO 27001:2013

ISO 27001:2022 Anhang A 7.1 ersetzt ISO 27001:2013 Anhang A 11.1.1; Der Kontext und die Bedeutung bleiben weitgehend ähnlich, wenn auch unterschiedlich formuliert.

In der Version 2022 wurden die Implementierungsanforderungen im Vergleich zur vorherigen Kontrolle reduziert.

In Anhang A 7.1 fehlen die in Anhang A 11.1.1 aufgeführten Anforderungen, die wie folgt lauten:

• Es sollte einen besetzten Empfangsbereich oder eine andere Verwaltungsmöglichkeit geben physischer Eintritt zum Standort oder Gebäude.
• Nur autorisiertem Personal sollte der Zutritt zu Standorten und Gebäuden gestattet werden.
• Errichten Sie gegebenenfalls physische Barrieren, um unbefugten physischen Zugang zu verhindern und eine Kontamination der Umwelt zu verhindern.
• Um alle Außentüren und zugänglichen Fenster zu sichern, müssen Einbruchmeldesysteme installiert werden, die nationalen, regionalen oder internationalen Standards entsprechen, und diese regelmäßig getestet werden.
• Alle unbewohnten Bereiche sollten jederzeit mit einer Alarmanlage ausgestattet sein.
• Wir sollten die Abdeckung anderer Bereiche sicherstellen, beispielsweise von Computer- und Kommunikationsräumen.
• Die Organisation sollte ihre Informationsverarbeitungseinrichtungen physisch von denen trennen, die von externen Quellen verwaltet werden.

Keine Auslassung verringert die Wirksamkeit der neuen Norm ISO 27001:2022; Stattdessen wurden sie entfernt, um die Steuerung einfacher zu verwenden und zu verstehen.

Tabelle aller ISO 27001:2022 Anhang A-Kontrollen

In der Tabelle unten finden Sie weitere Informationen zu den einzelnen Personen ISO 27001:2022 Anhang A Steuern.

Wer ist für diesen Prozess verantwortlich?

Das Chief Information Officer (CIO) ist federführend für den Schutz von Unternehmensdaten und -systemen verantwortlich. Sie arbeiten mit anderen Führungskräften zusammen, um die Sicherheit bei Geschäftsentscheidungen zu berücksichtigen, beispielsweise mit dem Finanzvorstand und dem Vorstandsvorsitzenden. Die Implementierung von Richtlinien und Verfahren zum Schutz der Unternehmensinformationen ist ein wichtiger Teil der Rolle des CIO.

Der Finanzvorstand spielt eine Rolle bei der Entscheidung über physische Sicherheitsbereiche. In Zusammenarbeit mit anderen Führungskräften der obersten Führungsebene, einschließlich des CIO, entscheiden sie, wie viel in physische Sicherheitsmaßnahmen wie Überwachungskameras, Zugangskontrollen und Alarme investiert werden soll.

Was bedeuten diese Veränderungen für Sie?

Bei ISO 27001:2022 handelt es sich nicht um eine umfassende Überarbeitung, daher sind für die Konformität keine wesentlichen Änderungen erforderlich.

Es lohnt sich, Ihre aktuelle Implementierung zu prüfen, um sicherzustellen, dass sie den neuen Anforderungen entspricht. Insbesondere wenn seit der Version von 2013 Änderungen vorgenommen wurden. Es lohnt sich, diese Änderungen erneut zu bewerten, um festzustellen, ob sie weiterhin gültig sind oder geändert werden müssen.

Wie ISMS.Online hilft

ISMS.online kann beim Nachweis der ISO 27001-Konformität helfen, indem es ein Online-System bereitstellt, das die Speicherung von Dokumenten an einem einzigen, zugänglichen Ort ermöglicht. Es erleichtert auch die Entwicklung von Checklisten für jedes Dokument und erleichtert so die Überprüfung und Änderung von Dokumenten.

Möchten Sie erleben, wie es funktioniert?

Kontaktieren Sie uns noch heute zu Reservieren Sie eine Vorführung.