ISO 27002:2022, Kontrolle 7.9 – Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes

Eigentum an der Kontrolle 7.9

Kontrolle 7.9 verlangt von Organisationen, Verfahren und Kontrollen einzurichten und anzuwenden, die alle Geräte abdecken, die sich im Besitz der Organisation befinden oder in ihrem Namen verwendet werden. Darüber hinaus ist die Erstellung eines Bestandsverzeichnisses und die Genehmigung der Verwendung persönlicher Geräte durch das obere Management von wesentlicher Bedeutung für den wirksamen Schutz externer Geräte.

Daher sollte sich der Informationssicherheitsmanager mit dem Management und den jeweiligen Eigentümern von Vermögenswerten beraten und für die Erstellung, Umsetzung und Aufrechterhaltung von Verfahren und Maßnahmen zur Aufrechterhaltung der Sicherheit von Geräten, die außerhalb des Unternehmensgeländes entfernt werden, verantwortlich sein.

Allgemeine Richtlinien zur Compliance

Control 7.9 listet sechs Anforderungen auf, die Organisationen bei der Gestaltung und Umsetzung von Maßnahmen und Richtlinien zum Schutz von Vermögenswerten, die außerhalb des Standorts verbracht werden, einhalten sollten:

1. Außerhalb des Standorts mitgenommene Computergeräte und Speichermedien wie Unternehmenscomputer, USB-Sticks, Festplatten und Monitore sollten nicht unbeaufsichtigt in öffentlichen Räumen wie Kaffeehäusern oder in unsicheren Bereichen gelassen werden.
2. Die Richtlinien und Spezifikationen des Geräteherstellers zum physischen Schutz des betreffenden Geräts sollten jederzeit eingehalten werden. In den Anweisungen des Geräteherstellers kann beispielsweise enthalten sein, wie das Gerät/die Ausrüstung vor Wasser, Hitze, elektromagnetischen Feldern und Staub geschützt werden soll.
3. Mitarbeiter und/oder andere Organisationen, die Computerausrüstung außerhalb des Firmengeländes mitnehmen, dürfen diese Ausrüstung an andere Mitarbeiter oder Dritte weitergeben. Um die Sicherheit dieser Geräte zu gewährleisten, sollten Organisationen ein Protokoll führen, das die Produktkette festlegt. Dieser Protokolleintrag sollte mindestens die Namen von Personen enthalten Verantwortlich für das Gerät und deren Organisation.
4. Wenn eine Organisation der Meinung ist, dass ein Genehmigungsverfahren für die Entfernung von Geräten aus dem Unternehmensgelände notwendig und praktikabel ist, sollte sie ein Genehmigungsverfahren für die Mitnahme bestimmter Geräte außerhalb des Unternehmens einführen und anwenden. Dieses Autorisierungsverfahren sollte auch die Aufzeichnung aller Geräteentfernungsaktionen umfassen, damit die Die Organisation verfügt über einen Prüfpfad.
5. Es sollten geeignete Maßnahmen ergriffen werden, um das Risiko einer unbefugten Anzeige von Informationen auf dem Bildschirm in öffentlichen Verkehrsmitteln auszuschließen.
6. Standortverfolgungstools und Fernzugriff sollten vorhanden sein, damit das Gerät verfolgt und die im Gerät enthaltenen Informationen bei Bedarf aus der Ferne gelöscht werden können.

Ergänzende Leitlinien zur Kontrolle 7.9

Control 7.9 schreibt auch Anforderungen zum Schutz von Geräten vor, die dauerhaft außerhalb des Firmengeländes installiert sind.

Zu dieser Ausrüstung können Antennen und Geldautomaten gehören.

In Anbetracht der Tatsache, dass diese Ausrüstung einem erhöhten Schadens- und Verlustrisiko ausgesetzt sein kann, verlangt Control 7.9 von Organisationen, beim Schutz dieser externen Ausrüstung Folgendes zu berücksichtigen:

1. Kontrolle 7.4, nämlich die Überwachung der physischen Sicherheit, sollte berücksichtigt werden.
2. Kontrolle 7.5, nämlich der Schutz vor Umwelt- und physischen Bedrohungen, sollte berücksichtigt werden
3. Zugangskontrollen Es sollten Maßnahmen zur Verhinderung von Manipulationen eingerichtet und geeignete Maßnahmen ergriffen werden.
4. Es sollten logische Zugriffskontrollen erstellt und angewendet werden.

Darüber hinaus empfiehlt Kontrolle 7.9 Organisationen, die Kontrollen 6.7 und 8.1 zu berücksichtigen, wenn sie Maßnahmen zum Schutz von Geräten und Ausrüstung definieren und umsetzen.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/ 7.9 ersetzt 27002:2013/(11.2.6)

Es gibt drei wesentliche Unterschiede, die hervorgehoben werden müssen:

• Control 7.9 schreibt umfassendere Anforderungen vor

Im Vergleich zur Version 2013 Control 7.9 in der Version 2022 führt die folgenden zwei Anforderungen ein:

1. Es sollten geeignete Maßnahmen ergriffen werden, um das Risiko einer unbefugten Anzeige von Informationen auf dem Bildschirm in öffentlichen Verkehrsmitteln auszuschließen.
2. Standortverfolgungstools und Fernzugriff sollten vorhanden sein, damit das Gerät verfolgt und die im Gerät enthaltenen Informationen bei Bedarf aus der Ferne gelöscht werden können.

• Control 7.9 führt neue Anforderungen für fest installierte externe Geräte ein

Im Gegensatz zur Version 2013 enthält Control 7.9 in der Version 2022 separate Hinweise zum Schutz von Geräten, die dauerhaft an einem externen Ort installiert sind.

Dazu können Antennen und Geldautomaten gehören.

• Verbot der Fernarbeit zur Risikoeliminierung

In der Version von 2013 wurde ausdrücklich darauf hingewiesen, dass Organisationen Mitarbeitern die Arbeit aus der Ferne verbieten können, wenn dies dem festgestellten Risiko angemessen ist. Die Version 2022 erwähnt eine solche Maßnahme jedoch nicht.

Wie ISMS.online hilft

Dazu können Sie ISMS.online nutzen Verwalten Sie Ihre ISO 27002-Implementierung, da es speziell entwickelt wurde, um ein Unternehmen bei der Implementierung seines Informationssicherheits-Managementsystems (ISMS) zu unterstützen, um die Anforderungen von ISO 27002 zu erfüllen.

Die Plattform verwendet einen risikobasierten Ansatz in Kombination mit branchenführenden Best Practices und Vorlagen, um Ihnen dabei zu helfen, die Risiken zu identifizieren, denen Ihr Unternehmen ausgesetzt ist, und die Kontrollen, die zur Bewältigung dieser Risiken erforderlich sind. Dadurch können Sie sowohl Ihre Risikoexposition als auch Ihren Compliance-Aufwand systematisch reduzieren.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.