Control 7.6 – Werken in beveiligde zones

Wat houdt deze control in?

Control 7.6 gaat over het gedrag van mensen die al binnen zijn in een beveiligd gebied, zoals een serverruimte, archiefruimte of gerubriceerde werkplek.

Waar 7.2 regelt wie er binnenkomt, regelt 7.6 wat iemand daar mag doen, onder welk toezicht en met welke apparatuur.

Denk aan: alleen werken als het nodig is, geen onbegeleid werk door externen, geen opnameapparatuur zonder toestemming en lege beveiligde ruimtes altijd afgesloten.

Waarom is dit verplicht?

Fysieke toegangsbeveiliging stopt onbevoegden bij de deur. Maar het grootste risico in een beveiligd gebied komt van personen met legitieme toegang: een monteur die onbegeleid rondloopt, een foto van een rack met netwerklabels, of een deur die openblijft na werkzaamheden. Aanvullende werkafspraken sluiten dat gat.

Voor 7.6 geldt geen overheidsmaatregel in de BIO2 (7.06.01). Dat betekent niet dat de control vrijblijvend is. De implementatierichtlijn uit ISO 27002 is dan het uitgangspunt. Pas je de control niet of anders toe, dan onderbouw je dat met een risicoanalyse en neem je dat op in de bijlage uitzonderingen van je Verklaring van Toepasselijkheid (VvT).

Praktische implementatie

• Need-to-know ook voor fysieke ruimtes: alleen wie er voor zijn werk moet zijn, heeft toegang. Het bestaan en de functie van gevoelige ruimtes worden niet breder gedeeld dan nodig.
• Geen onbegeleid werk door externen: onderhoudspersoneel en leveranciers werken onder begeleiding, of alleen op basis van een vooraf goedgekeurde werkorder met tijdvenster.
• Opnameapparatuur: foto-, video- en audio-opnames (ook met telefoons en smartglasses) zijn alleen toegestaan met expliciete toestemming, bijvoorbeeld voor documentatie door beheer.
• Lege ruimtes afsluiten: beveiligde ruimtes waar niemand werkt, zijn afgesloten en worden periodiek gecontroleerd.
• Registratie: leg vast wie wanneer welke werkzaamheden uitvoerde, via een logboek of het toegangssysteem (zie 7.4).
• Alleen werken: maak afspraken over alleen werken in serverruimtes, zoals aanmelden bij een collega of een tweede persoon bij risicovolle handelingen.
• Huisregels zichtbaar: hang de gedragsregels bij de ingang op en neem ze op in de gedragsregels voor bedrijfsmiddelen (5.10).

Aandachtspunten voor de overheid

• Uitbestede hosting: draaien je systemen in een extern datacenter? Dan ligt de uitvoering van 7.6 bij de leverancier, maar blijft de verantwoordelijkheid bij jou. Neem de eisen op in het contract (5.20) en laat de leverancier aantonen dat hij eraan voldoet via onafhankelijke onderzoeken, zoals een ISO 27001-certificaat met passende scope (overheidsmaatregel 5.20.03).
• Gerubriceerde omgevingen: werk je met gerubriceerde informatie, dan gelden aanvullende eisen, zoals het VIR-BI voor de Rijksdienst. Overheidsmaatregel 6.03.01 vraagt dat medewerkers daar waar relevant de speciale eisen voor gerubriceerde omgevingen kennen.
• Cbw-reikwijdte: 7.6 valt binnen de reikwijdte van de Cyberbeveiligingswet. Fysieke beveiliging van netwerk- en informatiesystemen hoort bij de zorgplicht.
• Toon werking aan: een vastgestelde procedure is niet genoeg. Laat met logboeken, toegangsregistraties en steekproeven zien dat de afspraken ook worden nageleefd.

Relatie met andere controls

• 7.1 – Fysieke beveiligingszones: bepaalt welke gebieden beveiligd zijn; 7.6 regelt het werken daarbinnen
• 7.2 – Fysieke toegang: wie mag binnenkomen en hoe bezoekers worden begeleid
• 7.3 – Beveiliging van kantoren en ruimtes
• 7.4 – Monitoring van fysieke beveiliging: registratie en detectie van werkzaamheden
• 7.7 – Clear desk en clear screen: geen informatie onbeheerd achterlaten
• 5.10 – Gebruik van bedrijfsmiddelen: huisregels en gedragsregels
• 5.19 – Leveranciersbeveiliging: eisen aan externe partijen die in beveiligde gebieden werken
• 6.3 – Bewustwording en training: medewerkers kennen de regels voor beveiligde gebieden
• 8.1 – Eindgebruikersapparatuur: telefoons en andere apparatuur die mee naar binnen gaan

← Terug naar alle BIO 2.0 controls