- nähdä ISO 27002:2022 Control 5.13 lisätietoja.
- nähdä ISO 27001:2013 Liite A 8.2.2 lisätietoja.
Merkintöjen rooli standardissa ISO 27001:2022 – liite A 5.13, selitys
Järjestöt hakevat luokitusmerkinnät asiaankuuluviin tietoihin omaisuutta tietojen luokittelujärjestelmän toteuttamiseksi.
Organisaation hyväksymän tiedon luokitusjärjestelmän mukaisesti ISO 27001:2022 Liite A 5.13 määrittelee joukon menettelyjä tietomerkintöjä varten.
Fyysisten ja elektronisten omaisuuserien tunnistamisen lisäksi on kehitettävä menetelmät tietojen tunnistamiseksi, jotka kuvastavat kohdassa 5.12 kuvattua luokitusjärjestelmää.
Tarrojen tunnistaminen ja hallinta on helppoa; muuten niitä ei seurata. Sen sijaan, että henkilökunta merkitsee jokaisen CRM-päivityksen kaupallisella luottamuksellisella lausunnolla, saattaa olla helpompi päättää tosiasiallisesti, että kaikki digitaalisissa järjestelmissä on luottamuksellista, ellei toisin nimenomaisesti ole merkitty!
Liitteen A valvonnan kohdassa 5.12 hyväksyttyä luokitusjärjestelmää käyttäen liitteessä A olevassa tarkastuksessa 5.13 kuvataan, kuinka organisaatioiden tulee kehittää, toteuttaa ja hallinnoida vankka tietomerkintämenettely.
Mikä on ISO 27001:2022 liitteen A 5.13 tarkoitus?
Liitteessä A 5.13 on kaksi tarkoitusta; tietovarallisuuden suojaamiseksi turvallisuusriskeiltä:
- Tietovarat voidaan luokitella yksinkertaisella tavalla, kun niitä viestitään sisäisesti ja ulkoisesti. Tällöin työntekijät ja kolmannet osapuolet voivat päästä käsiksi tietoihin ja käyttää niitä.
- Tietojen käsittelyä ja hallintaa voidaan tehostaa automatisoinnin avulla.
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
Kenellä on liitteen A 5.13 omistusoikeus?
Tietovarat voidaan merkitä lisäämällä metatietoja, joten metatietojen valvojien on oltava vastuussa merkintäprosessin asianmukaisesta toteuttamisesta.
Kaikki tietoresurssit on merkittävä asianmukaisesti, ja resurssien omistajien on tehtävä kaikki muutokset merkintöihin käyttö- ja muokkausluvalla.
Yleiset ohjeet standardin ISO 27001:2022 liitteen A 5.13 noudattamiseen
Käyttämällä liitteen A ohjausta 5.13 organisaatiot voivat merkitä tiedot neljän erityisen vaiheen mukaisesti.
Ota käyttöön menettely tietojen merkitsemistä varten
Organisaatioiden tietomerkintämenettelyissä tulee noudattaa liitteen A kohdan 5.12 mukaisesti luotua tietojen luokittelujärjestelmää.
5.13 edellyttää myös, että tätä menettelyä sovelletaan kaikkiin tietoresursseihin, olivatpa ne digitaalisia tai paperisia, ja että etikettien on oltava helposti tunnistettavissa.
Tässä menettelyasiakirjassa ei ole rajoituksia, mutta liitteen A valvonta 5.13 edellyttää, että menettelyt sisältävät seuraavat:
- Selitys menetelmistä tarrojen kiinnittämiseksi tietoresursseihin tallennusvälineen tyypin ja tietojen käyttötavan perusteella.
- Kunkin tietoaineistotyypin kohdalla tarrat on kiinnitettävä.
- Organisaatio voi esimerkiksi jättää julkaisematta julkisia tietoja osana tietomerkintäprosessiaan.
- Tekniset, lailliset tai sopimusperusteiset rajoitukset estävät tietyntyyppisten tietojen merkitsemisen.
- Säännöt säätelevät, kuinka tiedot tulee merkitä, kun ne lähetetään sisäisesti tai ulkoisesti.
- Digitaalisten resurssien mukana tulee olla ohjeet metatietojen lisäämisestä.
- Kaikki sisältökohteet tulee merkitä samoilla nimillä.
Tarjoa työntekijöille riittävä koulutus merkintämenettelyistä
Henkilöstön ja muiden asiaankuuluvien sidosryhmien on ymmärrettävä merkintä tiedot oikein ja hallinnoida merkittyjä tietoresursseja ennen kuin tietojen merkitsemismenettely voi olla tehokas.
Tämän seurauksena organisaatioiden tulisi kouluttaa henkilöstöä ja muita asiaankuuluvia osapuolia menettelystä.
Digitaaliset tietovarat tulisi merkitä metatiedoilla
Digitaaliset tietoresurssit on merkittävä metadatan avulla 5.13.
Metadatan käyttöönoton pitäisi myös helpottaa tietojen helppoa tunnistamista ja etsimistä ja virtaviivaistaa merkittyihin tietoihin liittyvien järjestelmien välistä päätöksentekoa.
Ylimääräisiä varotoimia on ryhdyttävä merkitsemään arkaluonteisia tietoja, jotka voivat poistua järjestelmästä
Liitteen A kohdan 5.13 suositus keskittyy sopivimman ulkoisen merkinnän tunnistamiseen kriittisten ja arkaluonteisten tietojen siirtoa riskit huomioon ottaen.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Liite A 5.13 Täydentävät ohjeet
Jotta tietojen jakaminen olisi turvallista, on tärkeää tunnistaa ja merkitä luokitellut tiedot tarkasti.
Liite A 5.13 suosittelee myös, että organisaatiot lisäävät metatietopisteitä. Tämä tarkoittaa tietoresurssin luoneen prosessin nimi ja ajankohta, jolloin se luotiin.
Lisäksi liitteessä A 5.13 kuvataan standardimerkintätekniikoita, joita organisaatiot voivat käyttää:
- Fyysiset etiketit
- Yläosat ja alatunnisteet
- Metadata
- vesileimaus
- Kumileimasimet
Lopuksi liitteen A kohdassa 5.13 korostetaan, että tietovarojen merkitsemisellä "luottamukselliseksi" ja "luokitelluksi" voi olla tahattomia seurauksia. Tämä saattaa helpottaa haitallisten toimijoiden arkaluonteisten tietovarojen löytämistä ja löytämistä.
Mitä muutoksia ja eroja on ISO 27001:2013:sta?
ISO 27001: 2022 Liite A 5.13 korvaa standardin ISO 27001:2013 liitteen A 8.2.2 (tietojen merkitseminen).
Molemmat liitteen A ohjaimet ovat jossain määrin samanlaisia, mutta kaksi keskeistä eroa tekevät ISO 27001:2022 -versiosta kattavamman.
Metatietojen käyttöä on vaadittu uusien vaatimusten täyttämiseksi
Vuoden 2013 versiossa viitattiin metatietoon merkintätekniikkana, mutta siinä ei asetettu erityisiä velvoitteita metatietojen käytön noudattamisesta.
Sitä vastoin vuoden 2022 versio sisältää eroja ja muutoksia standardista ISO 27001:2013.
Metatietojen käyttö on nyt vaatimus
Vuonna 2013 metatietoihin viitattiin merkintätekniikana, mutta erityisiä vaatimustenmukaisuusvelvoitteita ei asetettu.
Päinvastoin, vuoden 2022 versio sisältää tiukat vaatimukset metatietotekniikoille. Esimerkiksi vuoden 2022 versio vaatii seuraavat:
- Metatietojen lisääminen tietoihin helpottaa niiden tunnistamista, hallintaa ja löytämistä.
- On tarpeen lisätä metatiedot resurssin luoneen prosessin nimelle ja päivämäärälle.
Tietojen merkitsemismenettelyssä on annettava lisätietoja
Vuoden 2013 version tietomerkintämenettelyissä ei vaadittu vähimmäissisältöä, kuten 2022-versiossa.
Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista
Alla olevasta taulukosta löydät lisätietoja jokaisesta henkilöstä ISO 27001:2022 liite A Ohjaus.
| Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
|---|---|---|---|
| Organisaation valvonta | Liite A 5.1 |
Liite A 5.1.1 Liite A 5.1.2 |
Tietoturvakäytännöt |
| Organisaation valvonta | Liite A 5.2 | Liite A 6.1.1 | Tietoturvan roolit ja vastuut |
| Organisaation valvonta | Liite A 5.3 | Liite A 6.1.2 | Tehtävien erottelu |
| Organisaation valvonta | Liite A 5.4 | Liite A 7.2.1 | Johtamisvastuut |
| Organisaation valvonta | Liite A 5.5 | Liite A 6.1.3 | Ota yhteyttä viranomaisiin |
| Organisaation valvonta | Liite A 5.6 | Liite A 6.1.4 | Ota yhteyttä erityisiin eturyhmiin |
| Organisaation valvonta | Liite A 5.7 | UUSI | Threat Intelligence |
| Organisaation valvonta | Liite A 5.8 |
Liite A 6.1.5 Liite A 14.1.1 |
Tietoturva projektinhallinnassa |
| Organisaation valvonta | Liite A 5.9 |
Liite A 8.1.1 Liite A 8.1.2 |
Tietojen ja muiden niihin liittyvien omaisuuserien luettelo |
| Organisaation valvonta | Liite A 5.10 |
Liite A 8.1.3 Liite A 8.2.3 |
Tietojen ja muiden niihin liittyvien omaisuuserien hyväksyttävä käyttö |
| Organisaation valvonta | Liite A 5.11 | Liite A 8.1.4 | Omaisuuden palautus |
| Organisaation valvonta | Liite A 5.12 | Liite A 8.2.1 | Tietojen luokitus |
| Organisaation valvonta | Liite A 5.13 | Liite A 8.2.2 | Tietojen merkitseminen |
| Organisaation valvonta | Liite A 5.14 |
Liite A 13.2.1 Liite A 13.2.2 Liite A 13.2.3 |
Tietojen siirto |
| Organisaation valvonta | Liite A 5.15 |
Liite A 9.1.1 Liite A 9.1.2 |
Kulunvalvonta |
| Organisaation valvonta | Liite A 5.16 | Liite A 9.2.1 | Identity Management |
| Organisaation valvonta | Liite A 5.17 |
Liite A 9.2.4 Liite A 9.3.1 Liite A 9.4.3 |
Todennustiedot |
| Organisaation valvonta | Liite A 5.18 |
Liite A 9.2.2 Liite A 9.2.5 Liite A 9.2.6 |
Käyttöoikeudet |
| Organisaation valvonta | Liite A 5.19 | Liite A 15.1.1 | Tietoturva toimittajasuhteissa |
| Organisaation valvonta | Liite A 5.20 | Liite A 15.1.2 | Tietoturvasta huolehtiminen toimittajasopimusten puitteissa |
| Organisaation valvonta | Liite A 5.21 | Liite A 15.1.3 | Tietoturvan hallinta ICT:n toimitusketjussa |
| Organisaation valvonta | Liite A 5.22 |
Liite A 15.2.1 Liite A 15.2.2 |
Toimittajapalveluiden seuranta, tarkistus ja muutosten hallinta |
| Organisaation valvonta | Liite A 5.23 | UUSI | Tietoturva pilvipalveluiden käyttöön |
| Organisaation valvonta | Liite A 5.24 | Liite A 16.1.1 | Tietoturvahäiriöiden hallinnan suunnittelu ja valmistelu |
| Organisaation valvonta | Liite A 5.25 | Liite A 16.1.4 | Tietoturvatapahtumien arviointi ja päätös |
| Organisaation valvonta | Liite A 5.26 | Liite A 16.1.5 | Vastaus tietoturvaloukkauksiin |
| Organisaation valvonta | Liite A 5.27 | Liite A 16.1.6 | Tietoturvahäiriöistä oppimista |
| Organisaation valvonta | Liite A 5.28 | Liite A 16.1.7 | Todisteiden kerääminen |
| Organisaation valvonta | Liite A 5.29 |
Liite A 17.1.1 Liite A 17.1.2 Liite A 17.1.3 |
Tietoturva häiriön aikana |
| Organisaation valvonta | Liite A 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuutta varten |
| Organisaation valvonta | Liite A 5.31 |
Liite A 18.1.1 Liite A 18.1.5 |
Oikeudelliset, lakisääteiset, sääntely- ja sopimusvaatimukset |
| Organisaation valvonta | Liite A 5.32 | Liite A 18.1.2 | Immateriaalioikeudet |
| Organisaation valvonta | Liite A 5.33 | Liite A 18.1.3 | Tietueiden suojaus |
| Organisaation valvonta | Liite A 5.34 | Liite A 18.1.4 | Yksityisyys ja henkilötietojen suoja |
| Organisaation valvonta | Liite A 5.35 | Liite A 18.2.1 | Tietoturvan riippumaton katsaus |
| Organisaation valvonta | Liite A 5.36 |
Liite A 18.2.2 Liite A 18.2.3 |
Tietoturvakäytäntöjen, -sääntöjen ja -standardien noudattaminen |
| Organisaation valvonta | Liite A 5.37 | Liite A 12.1.1 | Dokumentoidut toimintaohjeet |
| Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
|---|---|---|---|
| Ihmisten ohjaukset | Liite A 6.1 | Liite A 7.1.1 | Seulonta |
| Ihmisten ohjaukset | Liite A 6.2 | Liite A 7.1.2 | Palvelussuhteen ehdot |
| Ihmisten ohjaukset | Liite A 6.3 | Liite A 7.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| Ihmisten ohjaukset | Liite A 6.4 | Liite A 7.2.3 | Kurinpitoprosessi |
| Ihmisten ohjaukset | Liite A 6.5 | Liite A 7.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| Ihmisten ohjaukset | Liite A 6.6 | Liite A 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| Ihmisten ohjaukset | Liite A 6.7 | Liite A 6.2.2 | Etätyö |
| Ihmisten ohjaukset | Liite A 6.8 |
Liite A 16.1.2 Liite A 16.1.3 |
Tietoturvatapahtumien raportointi |
| Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
|---|---|---|---|
| Fyysiset säätimet | Liite A 7.1 | Liite A 11.1.1 | Fyysisen turvallisuuden rajat |
| Fyysiset säätimet | Liite A 7.2 |
Liite A 11.1.2 Liite A 11.1.6 |
Fyysinen sisäänpääsy |
| Fyysiset säätimet | Liite A 7.3 | Liite A 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| Fyysiset säätimet | Liite A 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| Fyysiset säätimet | Liite A 7.5 | Liite A 11.1.4 | Fyysisiltä ja ympäristöuhkilta suojautuminen |
| Fyysiset säätimet | Liite A 7.6 | Liite A 11.1.5 | Työskentely turvallisilla alueilla |
| Fyysiset säätimet | Liite A 7.7 | Liite A 11.2.9 | Selkeä työpöytä ja selkeä näyttö |
| Fyysiset säätimet | Liite A 7.8 | Liite A 11.2.1 | Laitteiden sijoitus ja suojaus |
| Fyysiset säätimet | Liite A 7.9 | Liite A 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| Fyysiset säätimet | Liite A 7.10 |
Liite A 8.3.1 Liite A 8.3.2 Liite A 8.3.3 Liite A 11.2.5 |
Tallennusväline |
| Fyysiset säätimet | Liite A 7.11 | Liite A 11.2.2 | Apuohjelmat |
| Fyysiset säätimet | Liite A 7.12 | Liite A 11.2.3 | Kaapeloinnin turvallisuus |
| Fyysiset säätimet | Liite A 7.13 | Liite A 11.2.4 | Laitteiden huolto |
| Fyysiset säätimet | Liite A 7.14 | Liite A 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
| Liite A Ohjaustyyppi | ISO/IEC 27001:2022 liitteen A tunniste | ISO/IEC 27001:2013 liitteen A tunniste | Liite A Nimi |
|---|---|---|---|
| Tekniset säädöt | Liite A 8.1 |
Liite A 6.2.1 Liite A 11.2.8 |
Käyttäjän päätelaitteet |
| Tekniset säädöt | Liite A 8.2 | Liite A 9.2.3 | Etuoikeutetut käyttöoikeudet |
| Tekniset säädöt | Liite A 8.3 | Liite A 9.4.1 | Tietoihin pääsyn rajoitus |
| Tekniset säädöt | Liite A 8.4 | Liite A 9.4.5 | Pääsy lähdekoodiin |
| Tekniset säädöt | Liite A 8.5 | Liite A 9.4.2 | Suojattu todennus |
| Tekniset säädöt | Liite A 8.6 | Liite A 12.1.3 | Kapasiteetin hallinta |
| Tekniset säädöt | Liite A 8.7 | Liite A 12.2.1 | Suojaus haittaohjelmia vastaan |
| Tekniset säädöt | Liite A 8.8 |
Liite A 12.6.1 Liite A 18.2.3 |
Teknisten haavoittuvuuksien hallinta |
| Tekniset säädöt | Liite A 8.9 | UUSI | Configuration Management |
| Tekniset säädöt | Liite A 8.10 | UUSI | Tietojen poistaminen |
| Tekniset säädöt | Liite A 8.11 | UUSI | Tietojen peittäminen |
| Tekniset säädöt | Liite A 8.12 | UUSI | Tietovuotojen esto |
| Tekniset säädöt | Liite A 8.13 | Liite A 12.3.1 | Tietojen varmuuskopiointi |
| Tekniset säädöt | Liite A 8.14 | Liite A 17.2.1 | Tietojenkäsittelylaitteiden redundanssi |
| Tekniset säädöt | Liite A 8.15 |
Liite A 12.4.1 Liite A 12.4.2 Liite A 12.4.3 |
Hakkuu |
| Tekniset säädöt | Liite A 8.16 | UUSI | Seurantatoiminnot |
| Tekniset säädöt | Liite A 8.17 | Liite A 12.4.4 | Kellon synkronointi |
| Tekniset säädöt | Liite A 8.18 | Liite A 9.4.4 | Etuoikeutettujen apuohjelmien käyttöoikeudet |
| Tekniset säädöt | Liite A 8.19 |
Liite A 12.5.1 Liite A 12.6.2 |
Ohjelmistojen asennus käyttöjärjestelmiin |
| Tekniset säädöt | Liite A 8.20 | Liite A 13.1.1 | Verkkoturvallisuus |
| Tekniset säädöt | Liite A 8.21 | Liite A 13.1.2 | Verkkopalveluiden turvallisuus |
| Tekniset säädöt | Liite A 8.22 | Liite A 13.1.3 | Verkkojen erottelu |
| Tekniset säädöt | Liite A 8.23 | UUSI | Web-suodatus |
| Tekniset säädöt | Liite A 8.24 |
Liite A 10.1.1 Liite A 10.1.2 |
Kryptografian käyttö |
| Tekniset säädöt | Liite A 8.25 | Liite A 14.2.1 | Turvallisen kehityksen elinkaari |
| Tekniset säädöt | Liite A 8.26 |
Liite A 14.1.2 Liite A 14.1.3 |
Sovelluksen suojausvaatimukset |
| Tekniset säädöt | Liite A 8.27 | Liite A 14.2.5 | Turvallisen järjestelmän arkkitehtuuri ja suunnitteluperiaatteet Tietoturvapoikkeamista oppiminen |
| Tekniset säädöt | Liite A 8.28 | UUSI | Turvallinen koodaus |
| Tekniset säädöt | Liite A 8.29 |
Liite A 14.2.8 Liite A 14.2.9 |
Tietoturvatestaus kehitys- ja hyväksymisvaiheessa |
| Tekniset säädöt | Liite A 8.30 | Liite A 14.2.7 | Ulkoistettu kehitys |
| Tekniset säädöt | Liite A 8.31 |
Liite A 12.1.4 Liite A 14.2.6 |
Kehitys-, testaus- ja tuotantoympäristöjen erottaminen toisistaan |
| Tekniset säädöt | Liite A 8.32 |
Liite A 12.1.2 Liite A 14.2.2 Liite A 14.2.3 Liite A 14.2.4 |
Muutoksen hallinta |
| Tekniset säädöt | Liite A 8.33 | Liite A 14.3.1 | Testitiedot |
| Tekniset säädöt | Liite A 8.34 | Liite A 12.7.1 | Tietojärjestelmien suojaus tarkastustestauksen aikana |
[case_study_slider ids=”88859,101932,92016″ automaattinen toisto=”true” automaattisen toiston nopeus=”5000″]
Miten ISMS.online auttaa
ISO 27001:n käyttöönotto on helpompaa vaiheittaisella tarkistuslistallamme, joka opastaa sinua määrittelemään ISMS:si laajuuden riskien tunnistamisen ja liitteen A valvonnan toteuttamisen kautta.
Käyttäminen meidän alustamme on intuitiivinen ja helppo. Se ei ole tarkoitettu vain erittäin teknisille työntekijöille, vaan kaikille yrityksesi työntekijöille. Suosittelemme ottamaan koko työvoimasi mukaan rakentamiseen ISMS, koska se auttaa sinua rakentamaan todella kestävän järjestelmän.
Ota yhteyttä jo tänään varaa esittely.
