ISO 27002-Kontrolle 7.6: Schutz sicherer Bereiche
Die Unterbringung sensibler Informationsbestände in gesicherten Bereichen wie Serverräumen und die Implementierung strenger Zugriffskontrollen reichen nicht aus, um die Sicherheit dieser Bestände zu gewährleisten:
- Mitarbeiter mit Zugang zu sicheren Räumen können vorsätzlich oder fahrlässig Schäden an der Hardwareausrüstung und den in sicheren Bereichen gespeicherten digitalen Vermögenswerten verursachen oder ohne Genehmigung auf diese Informationsressourcen und Einrichtungen zugreifen, diese nutzen oder zerstören.
Abschnitt 7.6 befasst sich damit, wie Organisationen Informationswerte, die in gesicherten Bereichen gespeichert sind, vor den verschiedenen Risiken schützen können, die von den in diesen Bereichen arbeitenden Personen ausgehen.
Zweck der Kontrolle 7.6
Mit Control 7.6 können Organisationen geeignete Sicherheitsmaßnahmen ergreifen , die für alle Mitarbeiter in Sicherheitsbereichen gelten, sodass diese ohne Genehmigung keinen Zugriff auf Informationsbestände oder Informationseinrichtungen haben, diese nicht nutzen, verändern, zerstören, beschädigen oder beeinträchtigen können.
Attributtabelle der Steuerung 7.6
Kontrollmaßnahme 7.6 ist präventiver Natur, da sie von Organisationen verlangt, die Sicherheit , Vertraulichkeit, Integrität und Verfügbarkeit von in gesicherten Bereichen aufbewahrten Informationsbeständen aufrechtzuerhalten , indem Risiken beseitigt werden, die durch Fehlverhalten von Mitarbeitern entstehen können.
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #Physische Sicherheit | #Schutz |
| #Integrität | ||||
| #Verfügbarkeit |
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Eigentum an der Kontrolle 7.6
Da Kontrollpunkt 7.6 von Organisationen verlangt, Sicherheitsmaßnahmen zu entwerfen und einzuführen, die für alle in gesicherten Bereichen durchgeführten Vorgänge gelten, sollte der Informationssicherheitsbeauftragte (ISO) dafür verantwortlich sein, geeignete Sicherheitsmaßnahmen zu erstellen, umzusetzen und aufrechtzuerhalten, wobei das Risikoniveau für jeden ausgewiesenen gesicherten Bereich zu berücksichtigen ist.
Bei der Gestaltung und Anwendung geeigneter Sicherheitskontrollen in sicheren Bereichen kann der Informationssicherheitsbeauftragte mit dem Facility-Management-Team und den Eigentümern von Informationsressourcen zusammenarbeiten, um die geplanten Maßnahmen effektiv in die Praxis umzusetzen.
Allgemeine Richtlinien zur Compliance
Kontrolle 7.6 betont, dass Sicherheitsmaßnahmen das gesamte in Sicherheitsbereichen tätige Personal abdecken und für alle in diesen Bereichen durchgeführten Aktivitäten gelten sollten.
Während Art und Umfang der implementierten Sicherheitsmaßnahmen je nach Risikograd für spezifische Informationswerte variieren können , listet Kontrollpunkt 7.6 sechs spezifische Anforderungen auf, die Organisationen einhalten sollten:
- Organisationen sollten ihre Mitarbeiter informieren Informationen über die Existenz von Sicherheitsgebieten und über die spezifischen Operationen, die in diesen Gebieten durchgeführt werden, sofern erforderlich.
- Keinem Personal sollte gestattet werden, in den ausgewiesenen Sicherheitsbereichen unbeaufsichtigte Tätigkeiten auszuführen.
- Unbesetzte Sicherheitsbereiche sollten verschlossen sein und regelmäßigen Inspektionen unterzogen werden.
- Die Nutzung von Aufnahmegeräten, einschließlich solcher zur Aufnahme von Audio-, Video- und Fotoaufnahmen, sollte strengen Genehmigungsverfahren unterliegen.
- Die Mitnahme und Nutzung von Endbenutzergeräten wie Laptops und Smartphones in sicheren Bereichen sollte strengen Kontrollen unterliegen.
- Notfallmaßnahmen sollten an einem Ort angezeigt werden, der für alle Mitarbeiter, die in sicheren Bereichen arbeiten, leicht zugänglich ist.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27002:2013
27002:2022/7.6 replaces 27002:2013/(11.1.5)
Obwohl beide Versionen bis zu einem gewissen Grad ähnlich sind, ist die Version von 2022 hinsichtlich der Anforderungen an die umzusetzenden Sicherheitsmaßnahmen umfassender .
Mit der Version 2022 werden insbesondere zwei neue Anforderungen eingeführt, die Organisationen bei der Umsetzung von Sicherheitsmaßnahmen für sichere Bereiche berücksichtigen sollten:
- Die Mitnahme und Nutzung von Endpoint-Personalgeräten wie Laptops und Smartphones in sicheren Bereichen sollte nur unter strengen Kontrollen gestattet sein.
- Notfallmaßnahmen sollten an einer gut sichtbaren Stelle angebracht werden, die für das gesamte Personal, das in sicheren Bereichen arbeitet, leicht zugänglich ist.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
Die Implementierung von ISO 27002 wird durch unsere Schritt-für-Schritt-Checkliste vereinfacht, die Sie durch den gesamten Prozess führt – von der Definition des Geltungsbereichs Ihres ISMS über die Risikoidentifizierung bis hin zur Implementierung von Kontrollmaßnahmen.
- Bis zu 81 % Fortschritt ab der Minute, in der Sie sich anmelden
- Einfach und vollständig Compliance-Lösung
- Fachkundige Unterstützung
Nehmen Sie noch heute Kontakt mit uns auf, um eine Demo zu buchen.
