Direct antwoord
Annex A-maatregel 7.4, nieuw in de 2022-versie, eist dat gebouwen en terreinen doorlopend worden gemonitord op ongeautoriseerde fysieke toegang: een inbraakalarm op de buitenschil en gevoelige ruimten, eventueel camerabewaking op toegangspunten, en detectie die ook buiten kantoortijden werkt. Cameragebruik moet voldoen aan de AVG: gerechtvaardigd belang, bebording, beperkte bewaartermijn.
Annex A-maatregel 7.4 van ISO 27001, “Physical security monitoring”, is nieuw in de 2022-versie: sloten en zones (7.1, 7.2) houden tegen, maar je wilt ook wéten wanneer iemand het toch probeert, zeker buiten kantoortijden.
Wat eist de maatregel?
Gebouwen en terreinen worden doorlopend gemonitord op ongeautoriseerde fysieke toegang, met middelen die passen bij het risico: bewaking, inbraakdetectie, camerabewaking of een combinatie. De monitoringsystemen zelf zijn beschermd tegen uitschakeling en manipulatie, en meldingen worden opgevolgd.
Zo vul je hem in
- Basis: een inbraakalarm: detectie op de buitenschil en de beperkte zone, doorgemeld naar een meldkamer of aangewezen medewerkers, met een afgesproken opvolgroutine.
- Overweeg camera’s op toegangspunten: bij hogere risico’s, onbemande uren of eerdere incidenten; regel de AVG-kant (belangafweging, bebording, bewaartermijn, toegangsbeperking tot beelden).
- Bescherm het systeem zelf: alarm- en camerasystemen aan de eigen beveiligde voeding en het beheerde netwerk, wachtwoorden gewijzigd van fabrieksinstellingen, firmware onderhouden (8.8 geldt ook hier).
- Test en registreer: periodieke alarmtest, en incidentmeldingen uit de monitoring gaan het gewone incidentproces in (6.8, 5.25).
Waar let de auditor op?
De auditor vraagt hoe een inbraak buiten kantoortijden wordt opgemerkt en wie er dan wat doet. Bekende bevindingen: een alarm dat al maanden in storing staat, camera’s waarvan niemand de beelden kan uitlezen, bewaartermijnen die de AVG ruim overschrijden, en de alarmcode die al jaren dezelfde is en bij oud-medewerkers bekend.
Zo werkt dit in Control One
In de portal zie je per normeis welke maatregelen, documenten en bewijsstukken eraan gekoppeld zijn, met de status erbij.
Veelgestelde vragen
Zijn camera's verplicht voor deze maatregel?
Nee. De eis is monitoring die past bij het risico; voor veel MKB-kantoren volstaat een inbraakalarm met melding naar een meldkamer of de eigenaar, plus deurcontacten op gevoelige ruimten. Camera's zijn een aanvulling voor hogere risico's of onbemande locaties.
Welke AVG-regels gelden bij camerabewaking?
Een gerechtvaardigd belang en noodzakelijkheidsafweging (leg die vast), duidelijke bebording, geen camera's op plekken met verhoogde privacyverwachting, beelden maximaal 4 weken bewaren (langer alleen bij incidenten) en beperkte toegang tot de beelden. Heimelijk cameratoezicht op personeel is aan zeer strenge eisen gebonden.