7.2 Fizyczne wejście
W skrócie: do stref chronionych wchodzą tylko uprawnione osoby, goście są rejestrowani i nadzorowani, a dostawy nie otwierają drogi do reszty budynku.
Cel: zapewnienie, że fizyczny dostęp do informacji i innych powiązanych aktywów organizacji mają tylko uprawnione osoby.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona) |
| Zdolności operacyjne | #Physical_security (bezpieczeństwo fizyczne), #Identity_and_access_management (zarządzanie tożsamością i dostępem) |
| Domeny bezpieczeństwa | #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Punkty wejścia — w tym strefy dostaw i załadunku — kontroluje się i w miarę możliwości oddziela od obiektów przetwarzania informacji.
- Uprawnienia fizyczne nadaje się, przegląda, aktualizuje i odbiera według procesu podobnego do praw logicznych (5.18).
- Rejestr wejść (papierowy lub elektroniczny) jest prowadzony, monitorowany i chroniony.
- Do uwierzytelniania przy wejściu stosuje się karty, biometrię lub dwa składniki (np. karta i PIN). Dla obszarów wrażliwych rozważa się śluzy.
- Wszyscy noszą widoczne identyfikatory, a osoby bez identyfikatora lub bez eskorty zgłasza się ochronie. Personel dostawców ma dostęp do stref chronionych tylko wtedy, gdy jest potrzebny, autoryzowany i nadzorowany.
- Goście: weryfikacja tożsamości, rejestracja wejścia i wyjścia, dostęp tylko w określonym celu, instrukcja o zasadach bezpieczeństwa i procedurach awaryjnych, nadzór.
- Strefy dostaw: dostęp tylko dla zidentyfikowanych osób, projekt uniemożliwiający przejście dalej, kontrola przesyłek pod kątem niebezpiecznych materiałów i śladów manipulacji, rejestracja przychodzących aktywów.
- Klucze fizyczne i kody zamków są zarządzane — z rejestrem i okresowym audytem.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- System kontroli dostępu zintegrowany z systemem kadrowym — odejście pracownika blokuje kartę automatycznie.
- Przeszukiwanie rzeczy osobistych wymaga podstawy prawnej — lokalne przepisy mogą to ograniczać.
- Okresowe porównanie listy aktywnych kart z listą zatrudnionych.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.7.2 — wykaz zabezpieczeń fizycznych.
- Pokrewne zabezpieczenia: 7.1 Fizyczne granice bezpieczeństwa, 7.3 Zabezpieczenie biur, pomieszczeń i obiektów, 7.4 Monitorowanie bezpieczeństwa fizycznego, 5.18 Prawa dostępu.
- ISO/IEC 27002:2013: 11.1.2, 11.1.6.