ISO 27002-Kontrolle 7.9: Sicherung von Vermögenswerten außerhalb des Büros
Wenn Geräte mit Informationsressourcen aus den Räumlichkeiten einer Organisation entfernt werden, sind sie einem höheren Risiko der Beschädigung, des Verlusts, der Zerstörung, des Diebstahls oder der Kompromittierung ausgesetzt.
Das ist weil physische Sicherheitskontrollen Maßnahmen, die in den Einrichtungen einer Organisation implementiert werden, werden nicht wirksam sein und die Vermögenswerte, die außerhalb des Standorts verbracht werden, anfällig für Bedrohungen wie physische Risiken und unbefugten Zugriff durch böswillige Parteien machen.
Beispielsweise können Mitarbeiter, die außerhalb des Unternehmens arbeiten, Unternehmenscomputer mit sensiblen Informationen aus Geschäftsräumen mitnehmen, in einem Kaffeehaus oder in der Lobby eines Hotels arbeiten, eine Verbindung zu einem unsicheren öffentlichen WLAN herstellen und ihre Geräte unbeaufsichtigt lassen. Alle diese vorhanden Risiken für die Sicherheit, Vertraulichkeit, Integrität und Verfügbarkeit der auf diesen Geräten gehosteten Informationen.
Daher sollten Organisationen sicherstellen, dass Geräte, die außerhalb des Standorts mitgenommen werden, sicher aufbewahrt werden.
Steuern Sie 7.9-Adressen Wie Unternehmen die Sicherheit externer Geräte gewährleisten können, auf denen Informationsressourcen gehostet werden durch die Einrichtung und Umsetzung geeigneter Kontrollen und Verfahren.
Zweck der Kontrolle 7.9
Control 7.9 ermöglicht Unternehmen dies Aufrechterhaltung der Sicherheit von Geräten, die Informationsressourcen enthalten indem wir zwei spezifische Risiken verhindern:
- Beseitigung und/oder Minimierung des Risikos des Verlusts, der Beschädigung, der Zerstörung oder der Gefährdung von Geräten, auf denen sich Informationsressourcen befinden, wenn diese außerhalb des Betriebsgeländes entfernt werden.
- Verhinderung der Risiko einer Unterbrechung der Informationsverarbeitung der Organisation Aktivitäten aufgrund der Kompromittierung externer Geräte.
Attributtabelle der Steuerung 7.9
Die Kontrolle 7.9 hat präventiven Charakter. Es ermöglicht Organisationen, präventiv geeignete Kontrollen und Verfahren zu implementieren, sodass Geräte, die von den Räumlichkeiten einer Organisation entfernt werden, das gleiche Maß an Schutz genießen wie Geräte, die vor Ort untergebracht sind.
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #Physische Sicherheit | #Schutz |
| #Integrität | #Vermögensverwaltung | |||
| #Verfügbarkeit |
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Eigentum an der Kontrolle 7.9
Kontrolle 7.9 verlangt von Organisationen, Verfahren und Kontrollen einzurichten und anzuwenden, die alle Geräte abdecken, die sich im Besitz der Organisation befinden oder in ihrem Namen verwendet werden. Darüber hinaus ist die Erstellung eines Bestandsverzeichnisses und die Genehmigung der Verwendung persönlicher Geräte durch das obere Management von wesentlicher Bedeutung für den wirksamen Schutz externer Geräte.
Daher sollte sich der Informationssicherheitsmanager mit dem Management und den jeweiligen Eigentümern von Vermögenswerten beraten und für die Erstellung, Umsetzung und Aufrechterhaltung von Verfahren und Maßnahmen zur Aufrechterhaltung der Sicherheit von Geräten, die außerhalb des Unternehmensgeländes entfernt werden, verantwortlich sein.
Allgemeine Richtlinien zur Compliance
Control 7.9 listet sechs Anforderungen auf, die Organisationen bei der Gestaltung und Umsetzung von Maßnahmen und Richtlinien zum Schutz von Vermögenswerten, die außerhalb des Standorts verbracht werden, einhalten sollten:
- Außerhalb des Standorts mitgenommene Computergeräte und Speichermedien wie Unternehmenscomputer, USB-Sticks, Festplatten und Monitore sollten nicht unbeaufsichtigt in öffentlichen Räumen wie Kaffeehäusern oder in unsicheren Bereichen gelassen werden.
- Die Richtlinien und Spezifikationen des Geräteherstellers zum physischen Schutz des betreffenden Geräts sollten jederzeit eingehalten werden. In den Anweisungen des Geräteherstellers kann beispielsweise enthalten sein, wie das Gerät/die Ausrüstung vor Wasser, Hitze, elektromagnetischen Feldern und Staub geschützt werden soll.
- Mitarbeiter und/oder andere Organisationen, die Computerausrüstung außerhalb des Firmengeländes mitnehmen, dürfen diese Ausrüstung an andere Mitarbeiter oder Dritte weitergeben. Um die Sicherheit dieser Geräte zu gewährleisten, sollten Organisationen ein Protokoll führen, das die Produktkette festlegt. Dieser Protokolleintrag sollte mindestens die Namen von Personen enthalten Verantwortlich für das Gerät und deren Organisation.
- Wenn eine Organisation der Meinung ist, dass ein Genehmigungsverfahren für die Entfernung von Geräten aus dem Unternehmensgelände notwendig und praktikabel ist, sollte sie ein Genehmigungsverfahren für die Mitnahme bestimmter Geräte außerhalb des Unternehmens einführen und anwenden. Dieses Autorisierungsverfahren sollte auch die Aufzeichnung aller Geräteentfernungsaktionen umfassen, damit die Die Organisation verfügt über einen Prüfpfad.
- Es sollten geeignete Maßnahmen ergriffen werden, um das Risiko einer unbefugten Anzeige von Informationen auf dem Bildschirm in öffentlichen Verkehrsmitteln auszuschließen.
- Standortverfolgungstools und Fernzugriff sollten vorhanden sein, damit das Gerät verfolgt und die im Gerät enthaltenen Informationen bei Bedarf aus der Ferne gelöscht werden können.
Ergänzende Leitlinien zur Kontrolle 7.9
Control 7.9 schreibt auch Anforderungen zum Schutz von Geräten vor, die dauerhaft außerhalb des Firmengeländes installiert sind.
Zu dieser Ausrüstung können Antennen und Geldautomaten gehören.
In Anbetracht der Tatsache, dass diese Ausrüstung einem erhöhten Schadens- und Verlustrisiko ausgesetzt sein kann, verlangt Control 7.9 von Organisationen, beim Schutz dieser externen Ausrüstung Folgendes zu berücksichtigen:
- Kontrolle 7.4, nämlich die Überwachung der physischen Sicherheit, sollte berücksichtigt werden.
- Kontrolle 7.5, nämlich der Schutz vor Umwelt- und physischen Bedrohungen, sollte berücksichtigt werden
- Zugangskontrollen Es sollten Maßnahmen zur Verhinderung von Manipulationen eingerichtet und geeignete Maßnahmen ergriffen werden.
- Es sollten logische Zugriffskontrollen erstellt und angewendet werden.
Darüber hinaus empfiehlt Kontrolle 7.9 Organisationen, die Kontrollen 6.7 und 8.1 zu berücksichtigen, wenn sie Maßnahmen zum Schutz von Geräten und Ausrüstung definieren und umsetzen.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27002:2013
27002:2022/ 7.9 ersetzt 27002:2013/(11.2.6)
Es gibt drei wesentliche Unterschiede, die hervorgehoben werden müssen:
- Control 7.9 schreibt umfassendere Anforderungen vor
Im Vergleich zur Version 2013 Control 7.9 in der Version 2022 führt die folgenden zwei Anforderungen ein:
- Es sollten geeignete Maßnahmen ergriffen werden, um das Risiko einer unbefugten Anzeige von Informationen auf dem Bildschirm in öffentlichen Verkehrsmitteln auszuschließen.
- Standortverfolgungstools und Fernzugriff sollten vorhanden sein, damit das Gerät verfolgt und die im Gerät enthaltenen Informationen bei Bedarf aus der Ferne gelöscht werden können.
- Control 7.9 führt neue Anforderungen für fest installierte externe Geräte ein
Im Gegensatz zur Version 2013 enthält Control 7.9 in der Version 2022 separate Hinweise zum Schutz von Geräten, die dauerhaft an einem externen Ort installiert sind.
Dazu können Antennen und Geldautomaten gehören.
- Verbot der Fernarbeit zur Risikoeliminierung
In der Version von 2013 wurde ausdrücklich darauf hingewiesen, dass Organisationen Mitarbeitern die Arbeit aus der Ferne verbieten können, wenn dies dem festgestellten Risiko angemessen ist. Die Version 2022 erwähnt eine solche Maßnahme jedoch nicht.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
Dazu können Sie ISMS.online nutzen Verwalten Sie Ihre ISO 27002-Implementierung, da es speziell entwickelt wurde, um ein Unternehmen bei der Implementierung seines Informationssicherheits-Managementsystems (ISMS) zu unterstützen, um die Anforderungen von ISO 27002 zu erfüllen.
Die Plattform verwendet einen risikobasierten Ansatz in Kombination mit branchenführenden Best Practices und Vorlagen, um Ihnen dabei zu helfen, die Risiken zu identifizieren, denen Ihr Unternehmen ausgesetzt ist, und die Kontrollen, die zur Bewältigung dieser Risiken erforderlich sind. Dadurch können Sie sowohl Ihre Risikoexposition als auch Ihren Compliance-Aufwand systematisch reduzieren.
Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.
