- nähdä ISO 27002:2022 Control 5.12 lisätietoja.
- nähdä ISO 27001:2013 Liite A 8.2.1 lisätietoja.
Vahvemman ISMS:n rakentaminen tietoluokituksen avulla – ISO 27001:2022 Liite A 5.12
Tietojen luokittelu on perustavanlaatuinen prosessi, jonka avulla organisaatiot voivat ryhmitellä tietovaransa oleellisiin luokkiin vaaditun suojan tason perusteella.
Mukaan ISO 27001: 2022 Liite A 5.1.2, tiedot on luokiteltava useiden tekijöiden perusteella, mukaan lukien lakisääteiset vaatimukset, arvo, kriittisyys ja herkkyys luvattomalle paljastamiselle tai muuttamiselle. Tämä luokittelu on suunniteltava siten, että se kuvastaa organisaation ainutlaatuista liiketoimintaa sitä estämättä tai monimutkaistamatta.
Esimerkiksi julkiseen kulutukseen tarkoitetut tiedot on merkittävä asianmukaisesti, kun taas luottamukselliset tai kaupallisesti arkaluonteiset tiedot on annettava korkeampi turvallisuusaste. On erittäin tärkeää huomata, että tietojen luokittelu kuuluu tärkeimpiin liitteen A valvontatoimiin varmistaa, että organisaation omaisuus on suojattu.
ISO 27001:2022 liitteen A tarkoitus 5.12
Liite A Valvonta 5.12 on ennaltaehkäisevä valvonta, joka mahdollistaa riskien tunnistamisen määrittämällä kullekin tietoomaisuudelle asianmukainen suojaustaso sen tärkeyden ja arkaluonteisuuden perusteella.
Täydentävän ohjeen liitteen A valvonta 5.12 varoittaa nimenomaisesti tietojen yli- tai aliluokittelusta. Organisaatioiden on otettava huomioon luottamuksellisuus-, käytettävyys- ja eheysvaatimukset määrittäessään omaisuutta vastaaviin luokkiinsa. Tämä auttaa varmistamaan, että luokitusjärjestelmä tasapainottaa liiketoiminnan tietotarpeet ja kunkin tietoluokan turvallisuusvaatimukset.
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
Liitteen A omistusoikeus 5.12
Vaikka tietovarojen luokittelujärjestelmän luominen koko organisaatioon on olennaista, on viime kädessä omaisuuden omistajien vastuulla varmistaa, että se toteutetaan oikein.
Standardin ISO 27001:2022 liitteen A 5.12 mukaisesti ne, joilla on asiaankuuluvaa tietovarallisuutta, on saatettava vastuuseen. Esimerkiksi kirjanpidon tulee luokitella tiedot organisaation laajuisen luokittelumallin perusteella, kun hän käyttää kansioita, jotka sisältävät palkka- ja tiliotteita.
Tietojen luokittelussa omaisuuden omistajien on tärkeää ottaa huomioon liiketoiminnan tarpeet ja mahdolliset vaikutukset, joita tiedon kompromissilla voi olla organisaatioon. Lisäksi niiden tulee ottaa huomioon tiedon tärkeys ja herkkyys.
Yleiset ohjeet standardista ISO 27001:2022 liite A 5.12
Voidakseen onnistuneesti toteuttaa vankan tiedon luokitusjärjestelmän, organisaatioiden tulee ottaa ajankohtaista lähestymistapaa, ottaa huomioon kunkin liiketoimintayksikön erityiset tietotarpeet ja arvioida tiedon herkkyys ja kriittisyys.
Liitteen A Valvonta 5.12 mukaisesti organisaatioiden on arvioitava seuraavat seitsemän kriteeriä luokitusjärjestelmää toteuttaessaan:
Luo aihekohtainen käytäntö ja vastaa liiketoiminnan tarpeisiin
Liite A Valvonta 5.12 tietoturvan hallintajärjestelmä viittaa liitteen A Ohjaus 5.1, joka koskee kulunvalvontaa. Se velvoittaa organisaatiot noudattamaan liitteen A Valvonta 5.1. Lisäksi luokitusjärjestelmässä ja -tasoissa tulee ottaa huomioon liiketoiminnan erityistarpeet tietovarallisuuden luokittelussa.
Organisaatioiden tulee ottaa huomioon liiketoiminnan tarpeet tiedon jakamiseen ja käyttöön sekä tällaisten tietojen saatavuuden tarve. Tietoomaisuuden luokittelu voi kuitenkin häiritä tärkeitä liiketoimintatoimintoja rajoittamalla tietojen saatavuutta ja käyttöä.
Siksi organisaatioiden tulisi tasapainottaa liiketoiminnan erityistarpeet tietojen saatavuuden ja käytön suhteen sekä vaatimus näiden tietojen luottamuksellisuuden ja eheyden säilyttämisestä.
Harkitse laillisia velvoitteita
Tietyt lait voivat vaatia organisaatioita painottamaan tietojen luottamuksellisuuden, eheyden ja saatavuuden turvaamista. Siksi tietovarallisuuden luokittelussa lakisääteiset velvoitteet tulisi asettaa etusijalle organisaation sisäiseen luokitukseen nähden.
Riskeihin perustuvan lähestymistavan omaksuminen ja tietoturvaloukkauksen tai -kompromissin mahdollisten vaikutusten arviointi tietovarat on suositeltavaa. Tämä auttaa priorisoimaan ja toteuttamaan asianmukaiset turvatoimenpiteet tunnistettujen riskien vähentämiseksi.
Jokaisella tiedolla on yksilöllinen merkitys organisaation toiminnalle ja sen herkkyys vaihtelee olosuhteista riippuen.
Kun organisaatio ottaa käyttöön tiedon luokitusjärjestelmää, sen tulee ottaa huomioon mahdolliset vaikutukset, joita tietojen luottamuksellisuuden, eheyden tai saatavuuden vaarantamisella voi olla organisaatioon.
Esimerkiksi pätevien liidien ammattisähköpostiosoitteita sisältävän tietokannan herkkyys ja mahdollinen vaikutus eroaisi huomattavasti työntekijöiden terveystietojen herkkyydestä ja mahdollisesta vaikutuksesta. Siksi organisaation tulee harkita huolellisesti kunkin tietoluokan vaatimaa suojaustasoa ja kohdentaa resurssit sen mukaisesti.
Luokituksen säännöllinen päivittäminen ja tarkistaminen
Liitteen A ohjauskohdassa 5.12 tunnustetaan, että tiedon arvo, tärkeys ja herkkyystaso voivat muuttua ajan myötä tietojen käydessä läpi elinkaarensa. Tämän seurauksena organisaatioiden on säännöllisesti tarkistettava tietojen luokittelunsa ja tehtävä tarvittavat päivitykset.
ISO 27001 Liite A Ohjaus 5.12 koskee tiedon arvon ja herkkyyden vähentämistä merkittävästi.
On välttämätöntä keskustella muiden organisaatioiden kanssa tietojen jakamiseksi ja mahdollisten erojen ratkaisemiseksi.
Jokaisella organisaatiolla voi olla oma tietoluokitusjärjestelmänsä terminologia, tasot ja standardit
Organisaatioiden väliset erot tiedon luokittelussa voivat johtaa mahdollisiin riskeihin tietovarojen vaihdossa.
Organisaatioiden on tehtävä yhteistyötä kollegojensa kanssa päästäkseen yhteisymmärrykseen tietojen luokituksen yhdenmukaisuuden varmistamiseksi ja luokitustasojen johdonmukaisen tulkinnan varmistamiseksi tällaisten riskien vähentämiseksi.
Organisaatiotason johdonmukaisuus
Jokaisella organisaation osastolla on oltava yhteinen käsitys luokitustasoista ja protokollista, jotta luokitukset ovat yhdenmukaisia koko organisaatiossa.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Ohjeet tietojen luokitusjärjestelmän toteuttamiseen
Vaikka liitteessä A 5.12 tunnustetaan, että ei ole olemassa yleisesti sovellettavaa luokitusjärjestelmää ja että organisaatioilla on joustavuus määrittää ja määritellä luokitustasot, se havainnollistaa tietojen luokitusjärjestelmää:
- Paljastuminen ei aiheuta haittaa.
- Tietojen paljastaminen aiheuttaa vähäistä mainevauriota tai vähäistä toiminnallista vaikutusta.
- Tietojen julkistamisella on merkittävä lyhyen aikavälin vaikutus toimintaan tai liiketoiminnan tavoitteisiin.
- Tietojen paljastaminen vaikuttaa vakavasti pitkän aikavälin liiketoiminnan tavoitteisiin tai vaarantaa organisaation selviytymisen.
Muutokset ja erot ISO 27002:2013:sta
Edellisen version liite A 8.2.1 käsitteli tietojen luokittelua.
Vaikka nämä kaksi versiota ovat melko samankaltaisia, niissä on kaksi tärkeintä eroa:
- Ensinnäkin edellisessä versiossa ei mainittu tarvetta luokitustasojen johdonmukaisuuteen, kun tietoa jaetaan organisaatioiden välillä. ISO 27001:2022 edellyttää kuitenkin, että organisaatiot tekevät yhteistyötä toistensa kanssa varmistaakseen tietojen luokittelun ja ymmärtämisen yhdenmukaisuuden.
- Toiseksi päivitetty versio vaatii nimenomaisesti organisaatioita kehittämään tiettyihin aiheisiin räätälöityjä käytäntöjä. Vanhemmassa versiossa viitattiin vain lyhyesti kulunvalvontaan.
Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista
Alla olevasta taulukosta löydät lisätietoja jokaisesta yksittäisestä ISO 27001:2022 -standardista Liite A Ohjaus.
| Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
|---|---|---|---|
| Organisaation valvonta | Liite A 5.1 |
Liite A 5.1.1 Liite A 5.1.2 |
Tietoturvakäytännöt |
| Organisaation valvonta | Liite A 5.2 | Liite A 6.1.1 | Tietoturvan roolit ja vastuut |
| Organisaation valvonta | Liite A 5.3 | Liite A 6.1.2 | Tehtävien erottelu |
| Organisaation valvonta | Liite A 5.4 | Liite A 7.2.1 | Johtamisvastuut |
| Organisaation valvonta | Liite A 5.5 | Liite A 6.1.3 | Ota yhteyttä viranomaisiin |
| Organisaation valvonta | Liite A 5.6 | Liite A 6.1.4 | Ota yhteyttä erityisiin eturyhmiin |
| Organisaation valvonta | Liite A 5.7 | UUSI | Threat Intelligence |
| Organisaation valvonta | Liite A 5.8 |
Liite A 6.1.5 Liite A 14.1.1 |
Tietoturva projektinhallinnassa |
| Organisaation valvonta | Liite A 5.9 |
Liite A 8.1.1 Liite A 8.1.2 |
Tietojen ja muiden niihin liittyvien omaisuuserien luettelo |
| Organisaation valvonta | Liite A 5.10 |
Liite A 8.1.3 Liite A 8.2.3 |
Tietojen ja muiden niihin liittyvien omaisuuserien hyväksyttävä käyttö |
| Organisaation valvonta | Liite A 5.11 | Liite A 8.1.4 | Omaisuuden palautus |
| Organisaation valvonta | Liite A 5.12 | Liite A 8.2.1 | Tietojen luokitus |
| Organisaation valvonta | Liite A 5.13 | Liite A 8.2.2 | Tietojen merkitseminen |
| Organisaation valvonta | Liite A 5.14 |
Liite A 13.2.1 Liite A 13.2.2 Liite A 13.2.3 |
Tietojen siirto |
| Organisaation valvonta | Liite A 5.15 |
Liite A 9.1.1 Liite A 9.1.2 |
Kulunvalvonta |
| Organisaation valvonta | Liite A 5.16 | Liite A 9.2.1 | Identity Management |
| Organisaation valvonta | Liite A 5.17 |
Liite A 9.2.4 Liite A 9.3.1 Liite A 9.4.3 |
Todennustiedot |
| Organisaation valvonta | Liite A 5.18 |
Liite A 9.2.2 Liite A 9.2.5 Liite A 9.2.6 |
Käyttöoikeudet |
| Organisaation valvonta | Liite A 5.19 | Liite A 15.1.1 | Tietoturva toimittajasuhteissa |
| Organisaation valvonta | Liite A 5.20 | Liite A 15.1.2 | Tietoturvasta huolehtiminen toimittajasopimusten puitteissa |
| Organisaation valvonta | Liite A 5.21 | Liite A 15.1.3 | Tietoturvan hallinta ICT:n toimitusketjussa |
| Organisaation valvonta | Liite A 5.22 |
Liite A 15.2.1 Liite A 15.2.2 |
Toimittajapalveluiden seuranta, tarkistus ja muutosten hallinta |
| Organisaation valvonta | Liite A 5.23 | UUSI | Tietoturva pilvipalveluiden käyttöön |
| Organisaation valvonta | Liite A 5.24 | Liite A 16.1.1 | Tietoturvahäiriöiden hallinnan suunnittelu ja valmistelu |
| Organisaation valvonta | Liite A 5.25 | Liite A 16.1.4 | Tietoturvatapahtumien arviointi ja päätös |
| Organisaation valvonta | Liite A 5.26 | Liite A 16.1.5 | Vastaus tietoturvaloukkauksiin |
| Organisaation valvonta | Liite A 5.27 | Liite A 16.1.6 | Tietoturvahäiriöistä oppimista |
| Organisaation valvonta | Liite A 5.28 | Liite A 16.1.7 | Todisteiden kerääminen |
| Organisaation valvonta | Liite A 5.29 |
Liite A 17.1.1 Liite A 17.1.2 Liite A 17.1.3 |
Tietoturva häiriön aikana |
| Organisaation valvonta | Liite A 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuutta varten |
| Organisaation valvonta | Liite A 5.31 |
Liite A 18.1.1 Liite A 18.1.5 |
Oikeudelliset, lakisääteiset, sääntely- ja sopimusvaatimukset |
| Organisaation valvonta | Liite A 5.32 | Liite A 18.1.2 | Immateriaalioikeudet |
| Organisaation valvonta | Liite A 5.33 | Liite A 18.1.3 | Tietueiden suojaus |
| Organisaation valvonta | Liite A 5.34 | Liite A 18.1.4 | Yksityisyys ja henkilötietojen suoja |
| Organisaation valvonta | Liite A 5.35 | Liite A 18.2.1 | Tietoturvan riippumaton katsaus |
| Organisaation valvonta | Liite A 5.36 |
Liite A 18.2.2 Liite A 18.2.3 |
Tietoturvakäytäntöjen, -sääntöjen ja -standardien noudattaminen |
| Organisaation valvonta | Liite A 5.37 | Liite A 12.1.1 | Dokumentoidut toimintaohjeet |
| Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
|---|---|---|---|
| Ihmisten ohjaukset | Liite A 6.1 | Liite A 7.1.1 | Seulonta |
| Ihmisten ohjaukset | Liite A 6.2 | Liite A 7.1.2 | Palvelussuhteen ehdot |
| Ihmisten ohjaukset | Liite A 6.3 | Liite A 7.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| Ihmisten ohjaukset | Liite A 6.4 | Liite A 7.2.3 | Kurinpitoprosessi |
| Ihmisten ohjaukset | Liite A 6.5 | Liite A 7.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| Ihmisten ohjaukset | Liite A 6.6 | Liite A 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| Ihmisten ohjaukset | Liite A 6.7 | Liite A 6.2.2 | Etätyö |
| Ihmisten ohjaukset | Liite A 6.8 |
Liite A 16.1.2 Liite A 16.1.3 |
Tietoturvatapahtumien raportointi |
| Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
|---|---|---|---|
| Fyysiset säätimet | Liite A 7.1 | Liite A 11.1.1 | Fyysisen turvallisuuden rajat |
| Fyysiset säätimet | Liite A 7.2 |
Liite A 11.1.2 Liite A 11.1.6 |
Fyysinen sisäänpääsy |
| Fyysiset säätimet | Liite A 7.3 | Liite A 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| Fyysiset säätimet | Liite A 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| Fyysiset säätimet | Liite A 7.5 | Liite A 11.1.4 | Fyysisiltä ja ympäristöuhkilta suojautuminen |
| Fyysiset säätimet | Liite A 7.6 | Liite A 11.1.5 | Työskentely turvallisilla alueilla |
| Fyysiset säätimet | Liite A 7.7 | Liite A 11.2.9 | Selkeä työpöytä ja selkeä näyttö |
| Fyysiset säätimet | Liite A 7.8 | Liite A 11.2.1 | Laitteiden sijoitus ja suojaus |
| Fyysiset säätimet | Liite A 7.9 | Liite A 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| Fyysiset säätimet | Liite A 7.10 |
Liite A 8.3.1 Liite A 8.3.2 Liite A 8.3.3 Liite A 11.2.5 |
Tallennusväline |
| Fyysiset säätimet | Liite A 7.11 | Liite A 11.2.2 | Apuohjelmat |
| Fyysiset säätimet | Liite A 7.12 | Liite A 11.2.3 | Kaapeloinnin turvallisuus |
| Fyysiset säätimet | Liite A 7.13 | Liite A 11.2.4 | Laitteiden huolto |
| Fyysiset säätimet | Liite A 7.14 | Liite A 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
| Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
|---|---|---|---|
| Tekniset säädöt | Liite A 8.1 |
Liite A 6.2.1 Liite A 11.2.8 |
Käyttäjän päätelaitteet |
| Tekniset säädöt | Liite A 8.2 | Liite A 9.2.3 | Etuoikeutetut käyttöoikeudet |
| Tekniset säädöt | Liite A 8.3 | Liite A 9.4.1 | Tietoihin pääsyn rajoitus |
| Tekniset säädöt | Liite A 8.4 | Liite A 9.4.5 | Pääsy lähdekoodiin |
| Tekniset säädöt | Liite A 8.5 | Liite A 9.4.2 | Suojattu todennus |
| Tekniset säädöt | Liite A 8.6 | Liite A 12.1.3 | Kapasiteetin hallinta |
| Tekniset säädöt | Liite A 8.7 | Liite A 12.2.1 | Suojaus haittaohjelmia vastaan |
| Tekniset säädöt | Liite A 8.8 |
Liite A 12.6.1 Liite A 18.2.3 |
Teknisten haavoittuvuuksien hallinta |
| Tekniset säädöt | Liite A 8.9 | UUSI | Configuration Management |
| Tekniset säädöt | Liite A 8.10 | UUSI | Tietojen poistaminen |
| Tekniset säädöt | Liite A 8.11 | UUSI | Tietojen peittäminen |
| Tekniset säädöt | Liite A 8.12 | UUSI | Tietovuotojen esto |
| Tekniset säädöt | Liite A 8.13 | Liite A 12.3.1 | Tietojen varmuuskopiointi |
| Tekniset säädöt | Liite A 8.14 | Liite A 17.2.1 | Tietojenkäsittelylaitteiden redundanssi |
| Tekniset säädöt | Liite A 8.15 |
Liite A 12.4.1 Liite A 12.4.2 Liite A 12.4.3 |
Hakkuu |
| Tekniset säädöt | Liite A 8.16 | UUSI | Seurantatoiminnot |
| Tekniset säädöt | Liite A 8.17 | Liite A 12.4.4 | Kellon synkronointi |
| Tekniset säädöt | Liite A 8.18 | Liite A 9.4.4 | Etuoikeutettujen apuohjelmien käyttöoikeudet |
| Tekniset säädöt | Liite A 8.19 |
Liite A 12.5.1 Liite A 12.6.2 |
Ohjelmistojen asennus käyttöjärjestelmiin |
| Tekniset säädöt | Liite A 8.20 | Liite A 13.1.1 | Verkkoturvallisuus |
| Tekniset säädöt | Liite A 8.21 | Liite A 13.1.2 | Verkkopalveluiden turvallisuus |
| Tekniset säädöt | Liite A 8.22 | Liite A 13.1.3 | Verkkojen erottelu |
| Tekniset säädöt | Liite A 8.23 | UUSI | Web-suodatus |
| Tekniset säädöt | Liite A 8.24 |
Liite A 10.1.1 Liite A 10.1.2 |
Kryptografian käyttö |
| Tekniset säädöt | Liite A 8.25 | Liite A 14.2.1 | Turvallisen kehityksen elinkaari |
| Tekniset säädöt | Liite A 8.26 |
Liite A 14.1.2 Liite A 14.1.3 |
Sovelluksen suojausvaatimukset |
| Tekniset säädöt | Liite A 8.27 | Liite A 14.2.5 | Turvallisen järjestelmän arkkitehtuuri ja suunnitteluperiaatteet Tietoturvapoikkeamista oppiminen |
| Tekniset säädöt | Liite A 8.28 | UUSI | Turvallinen koodaus |
| Tekniset säädöt | Liite A 8.29 |
Liite A 14.2.8 Liite A 14.2.9 |
Tietoturvatestaus kehitys- ja hyväksymisvaiheessa |
| Tekniset säädöt | Liite A 8.30 | Liite A 14.2.7 | Ulkoistettu kehitys |
| Tekniset säädöt | Liite A 8.31 |
Liite A 12.1.4 Liite A 14.2.6 |
Kehitys-, testaus- ja tuotantoympäristöjen erottaminen toisistaan |
| Tekniset säädöt | Liite A 8.32 |
Liite A 12.1.2 Liite A 14.2.2 Liite A 14.2.3 Liite A 14.2.4 |
Muutoksen hallinta |
| Tekniset säädöt | Liite A 8.33 | Liite A 14.3.1 | Testitiedot |
| Tekniset säädöt | Liite A 8.34 | Liite A 12.7.1 | Tietojärjestelmien suojaus tarkastustestauksen aikana |
[case_study_slider ids=”88859,101932,92016″ automaattinen toisto=”true” automaattisen toiston nopeus=”5000″]
Miten ISMS.online Ohje
Yhtiömme alusta on suunniteltu käyttäjäystävälliseksi ja suoraviivaiseksi, joka palvelee erittäin teknisiä henkilöitä ja kaikkia organisaatiosi henkilöstön jäseniä.
Suosittelemme työntekijöiden ottamista mukaan ISMS:n rakentamiseen kaikilla liiketoiminnan tasoilla, koska se auttaa kestävän järjestelmän luomisessa.
Lisätietoja: varata demo.
