7.7 Czyste biurko i czysty ekran
W skrócie: dokumenty i nośniki nie leżą na biurkach bez nadzoru, a ekrany są blokowane, gdy nikt przy nich nie siedzi.
Cel: ograniczenie ryzyka nieuprawnionego dostępu, utraty i uszkodzenia informacji na biurkach, ekranach i w innych dostępnych miejscach, w godzinach pracy i poza nimi.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona) |
| Zdolności operacyjne | #Physical_security (bezpieczeństwo fizyczne) |
| Domeny bezpieczeństwa | #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Organizacja ustanawia politykę tematyczną czystego biurka i ekranu i przekazuje ją zainteresowanym stronom.
- Wrażliwe informacje papierowe i na nośnikach zamyka się, gdy nie są potrzebne, zwłaszcza gdy biuro jest puste.
- Urządzenia końcowe zabezpiecza się zamkami lub innymi środkami, gdy są bez nadzoru. Użytkownik wylogowuje się lub blokuje ekran przy odejściu; systemy blokują się automatycznie po czasie bezczynności.
- Wydruki odbiera się od razu z drukarek. Pomocne są drukarki wymagające uwierzytelnienia przy odbiorze.
- Organizacja ustala zasady wyświetlania powiadomień (np. wyłączanie podglądu wiadomości przy prezentacjach i udostępnianiu ekranu).
- Wrażliwe informacje z tablic i innych form wyświetlania usuwa się, gdy przestają być potrzebne. Niepotrzebne dokumenty niszczy się bezpiecznie.
- Przy opuszczaniu obiektów (np. po zakończeniu najmu) przeprowadza się ostateczny przegląd, by nie zostawić aktywów — także np. dokumentów, które spadły za meble.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Blokada ekranu po kilku minutach bezczynności wymuszona centralnie (GPO, MDM).
- Druk podążający (follow-me printing) z odbiorem na karcie.
- Niszczarki lub zamykane pojemniki na dokumenty do zniszczenia przy każdej strefie biurowej.
- Wirtualne tła i zasady udostępniania ekranu przy wideokonferencjach.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.7.7 — wykaz zabezpieczeń fizycznych.
- Pokrewne zabezpieczenia: 7.3 Zabezpieczenie biur, pomieszczeń i obiektów, 7.14 Bezpieczna utylizacja lub ponowne użycie sprzętu, 8.1 Urządzenia końcowe użytkowników, 6.3 Świadomość, edukacja i szkolenia w zakresie bezpieczeństwa informacji.
- ISO/IEC 27002:2013: 11.2.9.