9 Kiểm soát truy cập
9.8.2 Công tác từ xa
Làm việc từ xa sử dụng công nghệ truyền tin cho phép cá nhân viên có thể làm việc từ một vị trí bên ngồi tổ chức. Biện pháp bảo vệ phù hợp cho vị trí làm việc từ xa nên được thực thi để chống lại ví dụ ăn cắp thiết bị và thông tin, tiết lộ thông tin trái phép, truy cập từ xa trái phép tới các hệ thống nội bộ của tổ chức hoặc lạm dụng các phương tiện. Quan trọng là làm việc từ xa phải được phép và kiểm soát bởi ban quản lý và thực hiện các sắp xếp phù hợp cho cách làm điều này.
Các tổ chức nên xem xét việc phát triển một chính sách, các thủ tục và tiêu chuẩn kiểm soát các hoạt động của làm việc từ xa. Các tổ chức chỉ nên cho phép các hoạt động làm việc từ xa nếu chúng thoả mãn các sắp xếp an ninh thích hợp và các kiểm sốt được thực hiện và phù hợp với chính sách an ninh của tổ chức. Nên xem xét những điều sau:
a) duy trì an ninh về mặt vật lý vị trí làm việc từ xa, có tính đến an ninh vật lý của tồ nhà và mơi trường vùng;
b) môi trường làm vịệc từ xa được đề xuất;
c) các yêu cầu an ninh truyền tin tính tới nhu cầu truy cập từ xa tới các hệ thống nội bộ của tổ chức, tính nhạy cảm của thơng tin sẽ bị truy cập và vượt qua liên kết truyền thơng và tính nhạy cảm của hệ thống nội bộ;
d) mối đe dọa của truy cập trái phép tới thông tin hoặc các nguồn từ những người khác đang ở cùng, ví dụ gia đình và bạn bè.
Các kiểm soát và sắp xếp nên được xem xét gồm:
a) cung cấp các thiết bị phù hợp và đồ dùng lưu trữ cho các hoạt động làm việc từ xa;
b) xác định công việc được phép, thời gian làm việc, phân loại thông tin được lưu giữ và các hệ thống và dịch vụ nội bộ mà người làm việc từ xa được phép truy cập;
c) cung cấp các thiết bị truyền tin phù hợp, bao gồm cả các phương pháp đảm bảo an toàn truy cập từ xa;
d) an ninh vật lý;
e) các quy tắc và hướng dẫn về việc xâm phạm của gia đình và khách tới thiết bị và thông tin; f) cung cấp việc hỗ trợ và bảo dưỡng phần mềm và phần cứng;
g) các thủ tục sao chép dự phòng và liên tục trong kinh doanh; h) giám sát kiểm toán và an ninh;
i) huỷ bỏ quyền, quyền truy cập và lấy lại cá thiết bị khi ngừng các hoạt động làm việc từ xa.