Direct antwoord
Annex A-maatregel 7.7 eist gedefinieerde en gehandhaafde regels voor clear desk en clear screen: geen vertrouwelijke documenten of dragers onbeheerd op bureaus, schermen vergrendeld bij het verlaten van de werkplek, prints direct opgehaald en whiteboards gewist na gebruik. Technisch afdwingen wat kan (automatische schermvergrendeling, follow-me-printing) maakt de gedragsregels licht.
Annex A-maatregel 7.7 van ISO 27001, “Clear desk and clear screen”, is de zichtbaarste beveiligingsmaatregel die er is: één blik over de werkvloer om half zeven ‘s avonds vertelt precies hoe doorleefd het ISMS is.
Wat eist de maatregel?
Regels voor een opgeruimd bureau (papieren en verwijderbare opslagmedia) en een leeg scherm, gedefinieerd én gehandhaafd. De strekking: vertrouwelijke informatie is niet toegankelijk of leesbaar wanneer de werkplek onbeheerd is: documenten opgeborgen, schermen vergrendeld, prints niet in de printerbak, whiteboards gewist.
Zo vul je hem in
- Dwing technisch af wat kan: automatische schermvergrendeling na maximaal enkele minuten (via centraal beleid), follow-me-printing zodat prints alleen verschijnen als je ernaast staat.
- Maak opruimen praktisch: afsluitbare lades of lockers per medewerker, zo min mogelijk papier in de processen, en vertrouwelijk afval in afgesloten containers (aansluiting op 7.14 en 7.10 voor dragers).
- Benoem de regels kort: enkele regels in het gebruiksreglement (5.10): vergrendel bij weglopen, berg vertrouwelijk papier op, wis het whiteboard, haal je print direct op.
- Controleer licht en regelmatig: een periodieke avondronde met teamgewijze terugkoppeling; neem het mee in de zelfcontroles van 5.36.
Waar let de auditor op?
De auditor kijkt gewoon rond tijdens de audit: onvergrendelde schermen bij lege bureaus, wachtwoorden op post-its, prints in de bak en personeelsdossiers op een bureau. Elk ervan is een kleine bevinding, maar drie ervan samen kleuren het beeld van de hele audit. De automatische schermvergrendeling is de goedkoopste bevinding-voorkomer van heel Annex A.
Zo werkt dit in Control One
In de portal zie je per normeis welke maatregelen, documenten en bewijsstukken eraan gekoppeld zijn, met de status erbij.
Veelgestelde vragen
Wat houden clear desk en clear screen precies in?
Clear desk: geen vertrouwelijke documenten, notities of gegevensdragers onbeheerd op de werkplek; aan het einde van de dag opgeborgen in een afsluitbare kast. Clear screen: het scherm vergrendelen bij elk verlaten van de werkplek, afgedwongen met een automatische vergrendeling na enkele minuten.
Hoe handhaaf je dit zonder politiecultuur?
Maak het makkelijk (afsluitbare lades, weinig papier, automatische vergrendeling na 5 minuten via beleid), doe periodieke luchtige avondrondes met terugkoppeling per team in plaats van per persoon, en geef het goede voorbeeld vanuit de leiding. De technische afdwinging doet het zware werk.