ISO 27002-Kontrolle 7.8: Best Practices für die Standortwahl und den Schutz von Geräten
Während Cyberbedrohungen wie Malware-Angriffe, SQL-Injection und das Abfangen von Datenverkehr immer ausgefeilter werden und ein großes Risiko für die Sicherheit von Informationsbeständen darstellen.
Die Risikolandschaft beschränkt sich nicht nur auf softwarebasierte Cyberangriffe:
- Physische und umweltbedingte Bedrohungen für IT-Geräte wie Server, Computer, Festplatten und Wechselspeichermedien können ebenfalls gefährdet sein Verfügbarkeit, Vertraulichkeit und Integrität von Informationsressourcen.
Beispielsweise sind das Verschütten eines Getränks auf einen Server, das Abschalten eines Computersystems aufgrund hoher Temperaturen und der unbefugte Zugriff auf ein Computersystem, das sich nicht in einem gesicherten Bereich befindet, allesamt Beispiele für physische Bedrohungen von Geräten, die Informationsbestände enthalten.
Abschnitt 7.8 befasst sich damit, wie Organisationen Risiken, die von physischen und umweltbedingten Bedrohungen für Geräte, auf denen Informationsbestände gehostet werden, ausgehen, beseitigen und mindern können.
Zweck der Kontrolle 7.8
Control 7.8 ermöglicht es Organisationen, zwei Arten von Risiken für Geräte, die Informationsbestände enthalten, zu beseitigen und/oder zu mindern :
- Physische und umweltbedingte Bedrohungen für Geräte wie Beleuchtung, Stromausfälle, Diebstahl, Kommunikationsstörungen und elektrische Störungen. Zu diesen Bedrohungen gehören auch Änderungen der Umgebungsbedingungen wie Luftfeuchtigkeit und Temperatur, die die Informationsverarbeitungsaktivitäten stören können.
- Unbefugter Zugriff auf, unbefugte Nutzung, Beschädigung und Zerstörung von Geräten, die nicht in sicheren Bereichen gelagert werden.
Attributtabelle der Steuerung 7.8
Kontrolle 7.8 ist eine vorbeugende Art der Kontrolle, die von Organisationen verlangt, die Integrität, Verfügbarkeit und Vertraulichkeit von Informationsressourcen aufrechtzuerhalten, indem sie Geräte, die Informationsressourcen enthalten, vor physischen und umweltbedingten Bedrohungen schützen.
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #Physische Sicherheit | #Schutz |
| #Integrität | #Vermögensverwaltung | |||
| #Verfügbarkeit |
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Eigentum an der Kontrolle 7.8
Die Einhaltung von Control 7.8 erfordert die Erstellung eines Inventars der Geräte, auf denen Informationsbestände gespeichert sind, die Aufstellung aller Geräte in sicheren Bereichen und die Umsetzung geeigneter Maßnahmen zur Verhinderung physischer und umweltbedingter Bedrohungen.
Daher sollten Informationssicherheitsmanager für die Festlegung, Umsetzung und Aufrechterhaltung der notwendigen Maßnahmen und Richtlinien für die sichere Aufstellung und den Schutz von Geräten verantwortlich sein.
Allgemeine Richtlinien zur Compliance
Control 7.8 schreibt neun spezifische Anforderungen vor, die für die Einhaltung berücksichtigt werden sollten:
- Die Ausrüstung sollte in sicheren Bereichen aufgestellt werden, damit Unbefugte keinen Zugriff auf die Ausrüstung erhalten.
- Werkzeuge, die zur Verarbeitung sensibler Informationen verwendet werden, wie Computer, Monitore und Drucker, sollten so aufgestellt werden, dass Unbefugte nicht darauf zugreifen können Personen können die auf Bildschirmen angezeigten Informationen ohne Erlaubnis nicht sehen.
- Es sollten geeignete Maßnahmen ergriffen werden, um Risiken zu beseitigen und/oder zu mindern, die sich aus physischen und umweltbedingten Bedrohungen wie Sprengstoffen, Kommunikationsstörungen, Feuer, Staub und elektromagnetischer Strahlung ergeben.
- Beispielsweise kann ein Blitzableiter ein wirksamer Schutz gegen Blitzeinschläge sein.
- Es sollten Richtlinien zum Essen und Trinken in der Nähe von Geräten erstellt und allen relevanten Parteien mitgeteilt werden.
- Umgebungsbedingungen, die die Informationsverarbeitungsvorgänge stören können, sollten kontinuierlich überwacht werden. Dazu können Temperatur- und Luftfeuchtigkeitswerte gehören.
- In allen Gebäuden und Büros sollten Blitzschutzmechanismen implementiert werden. Darüber hinaus sollten Blitzschutzfilter in alle eingehenden Stromleitungen, einschließlich Kommunikationsleitungen, eingebaut werden.
- Wenn sich Geräte in einer industriellen Umgebung befinden, sollten bei Bedarf spezielle Schutzvorrichtungen wie Tastaturfolien verwendet werden.
- Elektromagnetische Ausstrahlung kann zum Verlust vertraulicher Informationen führen. Daher sind Gerätegehäuse empfindlich bzw. kritisch Informationsbestände sollten gesichert werden, um einem solchen Risiko vorzubeugen.
- IT-Geräte, die einer Organisation gehören und von ihr kontrolliert werden, sollten klar von denen getrennt werden, die nicht Eigentum der Organisation sind und von ihr kontrolliert werden.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27002:2013
27002:2022/7.8 replaces 27002:2013/(11.2.1)
Obwohl sich die Versionen 2022 und 2013 weitgehend ähneln, gibt es einen wesentlichen Unterschied, der hervorgehoben werden muss:
Im Gegensatz zur Version 2013 führt Control 7.8 in der Version 2022 die folgende Anforderung ein:
- IT-Geräte, die einer Organisation gehören und von ihr kontrolliert werden, sollten klar von denen getrennt werden, die nicht Eigentum der Organisation sind und von ihr kontrolliert werden.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
Unsere Plattform ist intuitiv und benutzerfreundlich. Sie richtet sich nicht nur an technisch versierte Anwender, sondern an alle Mitarbeitenden Ihres Unternehmens. Wir empfehlen Ihnen, Mitarbeitende aller Ebenen in den Aufbau Ihres ISMS einzubeziehen, denn nur so schaffen Sie ein wirklich nachhaltiges System.
Zu den wichtigsten Vorteilen der Nutzung von ISMS.online gehören:
- Du kannst deine bauen ISO 27001-konformes ISMS innerhalb der Plattform.
- Benutzer können Aufgaben erledigen und Nachweise einreichen, um die Einhaltung des Standards nachzuweisen.
- Es ist einfach, Verantwortlichkeiten zu delegieren und den Fortschritt in Richtung Compliance zu überwachen.
- Das umfangreiche Risikobewertung toolset spart während des gesamten Prozesses Zeit und Aufwand.
- Wir haben eine engagierte Ein Team von Beratern steht Ihnen zur Seite begleitet Sie auf Ihrem Weg zur Compliance.
Nehmen Sie noch heute Kontakt mit uns auf, um eine Demo zu buchen.
