7.13 Konserwacja sprzętu
W skrócie: sprzęt jest serwisowany zgodnie z zaleceniami producenta przez uprawnione osoby, a serwis sam nie staje się drogą do wycieku informacji.
Cel: zapobieganie utracie, uszkodzeniu, kradzieży lub kompromitacji informacji i aktywów oraz przerwom w działalności spowodowanym brakiem konserwacji.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona) |
| Zdolności operacyjne | #Asset_management (zarządzanie aktywami), #Physical_security (bezpieczeństwo fizyczne) |
| Domeny bezpieczeństwa | #Protection (ochrona), #Resilience (odporność) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Konserwację wykonuje się zgodnie z zalecaną przez dostawcę częstotliwością i specyfikacją. Organizacja wdraża i monitoruje program konserwacji.
- Naprawy i serwis wykonuje tylko upoważniony personel.
- Prowadzi się rejestr wszystkich podejrzewanych i rzeczywistych usterek oraz konserwacji zapobiegawczej i naprawczej.
- Przy planowanej konserwacji stosuje się zabezpieczenia zależne od tego, kto ją wykonuje (personel własny czy zewnętrzny), w tym umowy o poufności. Serwisanci na miejscu są nadzorowani.
- Zdalna konserwacja wymaga autoryzacji i kontroli dostępu.
- Gdy sprzęt z informacjami trafia do serwisu poza siedzibą, stosuje się środki z 7.9. Przed oddaniem rozważa się usunięcie informacji.
- Spełnia się wymagania ubezpieczyciela dotyczące konserwacji.
- Przed ponownym uruchomieniem po serwisie sprawdza się, czy sprzęt nie był modyfikowany i działa poprawnie. Sprzęt przeznaczony do utylizacji obsługuje się według 7.14.
- Konserwacja dotyczy też infrastruktury: UPS i baterii, agregatów, alarmów, czujek dymu, gaśnic, klimatyzacji, wind.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Kalendarz przeglądów z przypomnieniami w systemie ITSM, powiązany z CMDB.
- Umowa serwisowa z opcją „dysk zostaje u klienta” (keep your drive) dla sprzętu z danymi.
- Zdalny dostęp serwisu przez bramę z nagrywaniem sesji i dostępem włączanym na czas zgłoszenia.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.7.13 — wykaz zabezpieczeń fizycznych.
- Pokrewne zabezpieczenia: 7.9 Bezpieczeństwo aktywów poza siedzibą, 7.14 Bezpieczna utylizacja lub ponowne użycie sprzętu, 7.11 Media i instalacje wspierające, 8.2 Uprawnienia uprzywilejowane.
- ISO/IEC 27002:2013: 11.2.4.