ISO 27002-Kontrolle 7.7: Stärkung der Sicherheit durch aufgeräumte Schreibtische und Bildschirme
Wenn ein Mitarbeiter seinen Arbeitsplatz unbeaufsichtigt verlässt, sind vertrauliche Informationen, die in digitalen und physischen Materialien an seinem Arbeitsplatz enthalten sind, einem erhöhten Risiko eines unbefugten Zugriffs, eines Verlusts der Vertraulichkeit und einer Beschädigung ausgesetzt.
Wenn ein Mitarbeiter beispielsweise ein Tool zur Kundenbeziehungsverwaltung verwendet, das Gesundheitsakten verarbeitet, und seinen Computer während der Mittagspause unbeaufsichtigt lässt, können böswillige Parteien diese Gelegenheit ausnutzen, um vertrauliche Gesundheitsdaten zu stehlen und zu missbrauchen.
In Control 7.7 geht es darum, wie Organisationen klare Schreibtisch- und klare Bildschirmregeln entwerfen und durchsetzen können, um die Vertraulichkeit sensibler Informationen auf digitalen Bildschirmen und auf Papieren zu schützen und aufrechtzuerhalten.
Zweck der Kontrolle 7.7
Control 7.7 ermöglicht es Unternehmen, zu eliminieren und/oder die Risiken eines unbefugten Zugriffs mindern, Nutzung, Beschädigung oder Verlust sensibler Informationen auf Bildschirmen und Papieren an den Arbeitsplätzen der Mitarbeiter, wenn Mitarbeiter nicht anwesend sind.
Attributtabelle der Steuerung 7.7
Kontrolle 7.7 ist eine präventive Art der Kontrolle, die von Organisationen verlangt, die Vertraulichkeit von Informationsbeständen zu wahren, indem sie klare Schreibtisch- und klare Bildschirmregeln beschreiben und durchsetzen.
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #Physische Sicherheit | #Schutz |
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Eigentum an der Kontrolle 7.7
In Anbetracht der Tatsache, dass Control 7.7 von Organisationen verlangt, eine organisationsweite Richtlinie für freie Schreibtische und freie Bildschirme einzuführen und umzusetzen, sollten Informationssicherheitsbeauftragte für die Erstellung, Aufrechterhaltung und Durchsetzung von Regeln für freie Schreibtische und freie Bildschirme verantwortlich sein, die für die gesamte Organisation gelten.
Allgemeine Richtlinien zur Compliance
Control 7.7 betont, dass Organisationen eine themenspezifische Richtlinie erstellen und durchsetzen sollten, die klare Schreibtisch- und klare Bildschirmregeln festlegt.
Darüber hinaus listet Control 7.7 sieben spezifische Anforderungen auf, die Unternehmen bei der Festlegung und Durchsetzung von Regeln für klare Schreibtische und klare Bildschirme berücksichtigen sollten:
- Sensibel oder kritisch Auf digitalen oder physischen Gegenständen gespeicherte Informationsbestände sollten sicher verschlossen werden wenn sie nicht verwendet werden oder wenn die Workstation, auf der sich diese Materialien befinden, geräumt wird. Beispielsweise sollten Gegenstände wie Papierakten, Computer und Drucker in sicheren Möbeln wie einem verschlossenen oder passwortgeschützten Schrank oder einer Schublade aufbewahrt werden.
- Von Mitarbeitern verwendete Geräte wie Computer, Scanner, Drucker und Notebooks sollten durch Sicherheitsmechanismen wie Tastensperren geschützt werden, wenn sie nicht verwendet oder unbeaufsichtigt gelassen werden.
- Wenn Mitarbeiter ihren Arbeitsplatz verlassen und ihre Geräte unbeaufsichtigt lassen, sollten sie ihre Geräte abgemeldet lassen und die Reaktivierung des Geräts sollte nur über einen Benutzerauthentifizierungsmechanismus erfolgen. Darüber hinaus sollten automatische Timeout- und Abmeldefunktionen auf allen Endpunktgeräten der Mitarbeiter, wie z. B. Computern, installiert sein.
- Drucker sollten so konzipiert sein, dass Ausdrucke sofort von der Person (Ersteller) abgeholt werden, die das Dokument gedruckt hat. Darüber hinaus sollte ein starker Authentifizierungsmechanismus vorhanden sein, sodass nur der Absender den Ausdruck abholen darf.
- Physische Materialien und Wechselspeichermedien, die vertrauliche Informationen enthalten, sollten jederzeit sicher aufbewahrt werden. Wenn sie nicht mehr benötigt werden, sollten sie über einen sicheren Mechanismus entsorgt werden.
- Organisationen sollten Regeln für die Anzeige von Pop-ups auf Bildschirmen erstellen und diese Regeln allen relevanten Mitarbeitern mitteilen. E-Mail- und Messaging-Popups können beispielsweise vertrauliche Informationen enthalten und wenn sie während einer Präsentation oder in einem öffentlichen Raum auf dem Bildschirm angezeigt werden, kann dies die Vertraulichkeit vertraulicher Informationen gefährden.
- Auf Whiteboards angezeigte sensible oder kritische Informationen sollten gelöscht werden, wenn sie nicht mehr benötigt werden.
Ergänzende Anleitung – Kontrolle 7.7
Control 7.7 warnt Organisationen vor Risiken, die sich aus geräumten Einrichtungen ergeben. Wenn eine Organisation eine Einrichtung verlässt, sollten die zuvor in dieser Einrichtung aufbewahrten physischen und digitalen Materialien zurückgelassen werden sicher entfernt, so dass vertrauliche Informationen bleibt nicht unsicher.
Daher verlangt Kontrolle 7.7 von Organisationen, Verfahren für die Schließung von Einrichtungen festzulegen, damit alle sensible Informationswerte Die in dieser Einrichtung untergebrachten Personen werden sicher entsorgt. Zu diesen Verfahren kann die Durchführung einer abschließenden Durchsuchung gehören, damit keine sensiblen Informationen ungeschützt bleiben.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27002:2013
27002:2022/7.7 replaces 27002:2013/(11.2.9)
Es gibt zwei wesentliche Unterschiede zwischen der Version 2022 und der Version 2013.
- Die Version 2022 enthält keine Hinweise auf Kriterien, die bei der Festlegung und Umsetzung von Regeln für klare Schreibtische und klare Bildschirme zu berücksichtigen sind.
Im Gegensatz zur Version 2022 wurde in der Version 2013 ausdrücklich darauf hingewiesen, dass Organisationen organisationsweite Informationsklassifizierungsstufen, rechtliche und vertragliche Anforderungen sowie die Arten von Risiken, denen die Organisation ausgesetzt ist, bei der Festlegung einer Clear Desk- und Clear Screen-Richtlinie berücksichtigen sollten.
Die ISO 27002:2022-Versionbezieht sich jedoch nicht auf diese Elemente.
- Die Version 2022 führt neue und umfassendere Anforderungen für die Regeln für klare Schreibtische und klare Bildschirme ein.
Im Gegensatz zur Version 2013 legt die Version 2022 die folgenden Anforderungen fest, die Organisationen bei der Festlegung klarer Schreibtisch- und klarer Bildschirmregeln berücksichtigen sollten.
- Organisationen sollten spezifische Regeln für Popup-Bildschirme erstellen, um die Vertraulichkeit sensibler Informationen zu wahren.
- Auf Whiteboards geschriebene vertrauliche Informationen sollten entfernt werden, wenn sie nicht mehr benötigt werden.
- Mitarbeiter-Endpunktgeräte wie Computer sollten mit Tastensperren geschützt werden, wenn sie nicht verwendet oder unbeaufsichtigt gelassen werden.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
ISO 27002 Mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, wird die Implementierung einfacher. Ihr komplett Compliance-Lösung für ISO/IEC 27002:2022.
- Bis zu 81 % Fortschritt ab dem Zeitpunkt der Anmeldung
- Einfache und vollständige Compliance-Lösung
Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.
