7.4 Monitorowanie bezpieczeństwa fizycznego ★
W skrócie: obiekty są stale monitorowane — przez ochronę, alarmy i kamery — tak, by nieuprawnione wejście zostało wykryte i odstraszone.
Cel: wykrywanie i odstraszanie nieuprawnionego dostępu fizycznego.
★ Zabezpieczenie nowe w wydaniu 2022 — nie ma odpowiednika w ISO/IEC 27002:2013.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne), #Detective (wykrywające) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona), #Detect (wykrywanie) |
| Zdolności operacyjne | #Physical_security (bezpieczeństwo fizyczne) |
| Domeny bezpieczeństwa | #Protection (ochrona), #Defence (obrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Obiekty monitoruje się za pomocą systemów nadzoru: ochrony fizycznej, alarmów, monitoringu wizyjnego i oprogramowania do zarządzania bezpieczeństwem fizycznym — prowadzonych wewnętrznie lub przez dostawcę.
- Dostęp do budynków z krytycznymi systemami monitoruje się w sposób ciągły.
- Instaluje się i regularnie testuje czujniki zgodne z normami: kontaktowe (drzwi, okna), ruchu, zbicia szyby. Alarmami obejmuje się wszystkie drzwi zewnętrzne i dostępne okna; obszary nieużywane są pod alarmem stale.
- Projekt systemów monitoringu jest poufny — jego ujawnienie ułatwia obejście.
- Systemy monitoringu chroni się przed nieuprawnionym dostępem, np. do nagrań lub zdalnego wyłączenia. Panele alarmowe umieszcza się w strefie objętej alarmem, chroni przed manipulacją i regularnie testuje, także baterie.
- Monitorowanie i nagrywanie musi być zgodne z przepisami o ochronie danych osobowych, zwłaszcza w zakresie monitorowania pracowników i okresu przechowywania nagrań.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Monitoring wizyjny w miejscu pracy w Polsce regulują art. 22² Kodeksu pracy (m.in. cel, informowanie pracowników, przechowywanie nagrań co do zasady do 3 miesięcy) i RODO.
- Kamery IP w osobnej sieci (zob. 8.22), ze zmienionymi hasłami domyślnymi i aktualnym oprogramowaniem.
- Integracja alarmów z całodobowym centrum monitorowania i ustalony czas reakcji grupy interwencyjnej.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.7.4 — wykaz zabezpieczeń fizycznych.
- Pokrewne zabezpieczenia: 7.1 Fizyczne granice bezpieczeństwa, 7.2 Fizyczne wejście, 7.5 Ochrona przed zagrożeniami fizycznymi i środowiskowymi, 8.22 Podział sieci.
- ISO/IEC 27002:2013: brak odpowiednika — zabezpieczenie nowe.