ISO 27001:2022 Liite A 5.12 – Tietojen luokitus

ISO 27001:2022 liitteen A tarkoitus 5.12

Liite A Valvonta 5.12 on ennaltaehkäisevä valvonta, joka mahdollistaa riskien tunnistamisen määrittämällä kullekin tietoomaisuudelle asianmukainen suojaustaso sen tärkeyden ja arkaluonteisuuden perusteella.

Täydentävän ohjeen liitteen A valvonta 5.12 varoittaa nimenomaisesti tietojen yli- tai aliluokittelusta. Organisaatioiden on otettava huomioon luottamuksellisuus-, käytettävyys- ja eheysvaatimukset määrittäessään omaisuutta vastaaviin luokkiinsa. Tämä auttaa varmistamaan, että luokitusjärjestelmä tasapainottaa liiketoiminnan tietotarpeet ja kunkin tietoluokan turvallisuusvaatimukset.

Liitteen A omistusoikeus 5.12

Vaikka tietovarojen luokittelujärjestelmän luominen koko organisaatioon on olennaista, on viime kädessä omaisuuden omistajien vastuulla varmistaa, että se toteutetaan oikein.

Standardin ISO 27001:2022 liitteen A 5.12 mukaisesti ne, joilla on asiaankuuluvaa tietovarallisuutta, on saatettava vastuuseen. Esimerkiksi kirjanpidon tulee luokitella tiedot organisaation laajuisen luokittelumallin perusteella, kun hän käyttää kansioita, jotka sisältävät palkka- ja tiliotteita.

Tietojen luokittelussa omaisuuden omistajien on tärkeää ottaa huomioon liiketoiminnan tarpeet ja mahdolliset vaikutukset, joita tiedon kompromissilla voi olla organisaatioon. Lisäksi niiden tulee ottaa huomioon tiedon tärkeys ja herkkyys.

Yleiset ohjeet standardista ISO 27001:2022 liite A 5.12

Voidakseen onnistuneesti toteuttaa vankan tiedon luokitusjärjestelmän, organisaatioiden tulee ottaa ajankohtaista lähestymistapaa, ottaa huomioon kunkin liiketoimintayksikön erityiset tietotarpeet ja arvioida tiedon herkkyys ja kriittisyys.

Liitteen A Valvonta 5.12 mukaisesti organisaatioiden on arvioitava seuraavat seitsemän kriteeriä luokitusjärjestelmää toteuttaessaan:

Luo aihekohtainen käytäntö ja vastaa liiketoiminnan tarpeisiin

Liite A Valvonta 5.12 tietoturvan hallintajärjestelmä viittaa liitteen A Ohjaus 5.1, joka koskee kulunvalvontaa. Se velvoittaa organisaatiot noudattamaan liitteen A Valvonta 5.1. Lisäksi luokitusjärjestelmässä ja -tasoissa tulee ottaa huomioon liiketoiminnan erityistarpeet tietovarallisuuden luokittelussa.

Organisaatioiden tulee ottaa huomioon liiketoiminnan tarpeet tiedon jakamiseen ja käyttöön sekä tällaisten tietojen saatavuuden tarve. Tietoomaisuuden luokittelu voi kuitenkin häiritä tärkeitä liiketoimintatoimintoja rajoittamalla tietojen saatavuutta ja käyttöä.

Siksi organisaatioiden tulisi tasapainottaa liiketoiminnan erityistarpeet tietojen saatavuuden ja käytön suhteen sekä vaatimus näiden tietojen luottamuksellisuuden ja eheyden säilyttämisestä.

Harkitse laillisia velvoitteita

Tietyt lait voivat vaatia organisaatioita painottamaan tietojen luottamuksellisuuden, eheyden ja saatavuuden turvaamista. Siksi tietovarallisuuden luokittelussa lakisääteiset velvoitteet tulisi asettaa etusijalle organisaation sisäiseen luokitukseen nähden.

Riskeihin perustuvan lähestymistavan omaksuminen ja tietoturvaloukkauksen tai -kompromissin mahdollisten vaikutusten arviointi tietovarat on suositeltavaa. Tämä auttaa priorisoimaan ja toteuttamaan asianmukaiset turvatoimenpiteet tunnistettujen riskien vähentämiseksi.

Jokaisella tiedolla on yksilöllinen merkitys organisaation toiminnalle ja sen herkkyys vaihtelee olosuhteista riippuen.

Kun organisaatio ottaa käyttöön tiedon luokitusjärjestelmää, sen tulee ottaa huomioon mahdolliset vaikutukset, joita tietojen luottamuksellisuuden, eheyden tai saatavuuden vaarantamisella voi olla organisaatioon.

Esimerkiksi pätevien liidien ammattisähköpostiosoitteita sisältävän tietokannan herkkyys ja mahdollinen vaikutus eroaisi huomattavasti työntekijöiden terveystietojen herkkyydestä ja mahdollisesta vaikutuksesta. Siksi organisaation tulee harkita huolellisesti kunkin tietoluokan vaatimaa suojaustasoa ja kohdentaa resurssit sen mukaisesti.

Luokituksen säännöllinen päivittäminen ja tarkistaminen

Liitteen A ohjauskohdassa 5.12 tunnustetaan, että tiedon arvo, tärkeys ja herkkyystaso voivat muuttua ajan myötä tietojen käydessä läpi elinkaarensa. Tämän seurauksena organisaatioiden on säännöllisesti tarkistettava tietojen luokittelunsa ja tehtävä tarvittavat päivitykset.

ISO 27001 Liite A Ohjaus 5.12 koskee tiedon arvon ja herkkyyden vähentämistä merkittävästi.

On välttämätöntä keskustella muiden organisaatioiden kanssa tietojen jakamiseksi ja mahdollisten erojen ratkaisemiseksi.

Jokaisella organisaatiolla voi olla oma tietoluokitusjärjestelmänsä terminologia, tasot ja standardit

Organisaatioiden väliset erot tiedon luokittelussa voivat johtaa mahdollisiin riskeihin tietovarojen vaihdossa.

Organisaatioiden on tehtävä yhteistyötä kollegojensa kanssa päästäkseen yhteisymmärrykseen tietojen luokituksen yhdenmukaisuuden varmistamiseksi ja luokitustasojen johdonmukaisen tulkinnan varmistamiseksi tällaisten riskien vähentämiseksi.

Organisaatiotason johdonmukaisuus

Jokaisella organisaation osastolla on oltava yhteinen käsitys luokitustasoista ja protokollista, jotta luokitukset ovat yhdenmukaisia ​​koko organisaatiossa.

Ohjeet tietojen luokitusjärjestelmän toteuttamiseen

Vaikka liitteessä A 5.12 tunnustetaan, että ei ole olemassa yleisesti sovellettavaa luokitusjärjestelmää ja että organisaatioilla on joustavuus määrittää ja määritellä luokitustasot, se havainnollistaa tietojen luokitusjärjestelmää:

• Paljastuminen ei aiheuta haittaa.
• Tietojen paljastaminen aiheuttaa vähäistä mainevauriota tai vähäistä toiminnallista vaikutusta.
• Tietojen julkistamisella on merkittävä lyhyen aikavälin vaikutus toimintaan tai liiketoiminnan tavoitteisiin.
• Tietojen paljastaminen vaikuttaa vakavasti pitkän aikavälin liiketoiminnan tavoitteisiin tai vaarantaa organisaation selviytymisen.

Muutokset ja erot ISO 27002:2013:sta

Edellisen version liite A 8.2.1 käsitteli tietojen luokittelua.

Vaikka nämä kaksi versiota ovat melko samankaltaisia, niissä on kaksi tärkeintä eroa:

1. Ensinnäkin edellisessä versiossa ei mainittu tarvetta luokitustasojen johdonmukaisuuteen, kun tietoa jaetaan organisaatioiden välillä. ISO 27001:2022 edellyttää kuitenkin, että organisaatiot tekevät yhteistyötä toistensa kanssa varmistaakseen tietojen luokittelun ja ymmärtämisen yhdenmukaisuuden.
2. Toiseksi päivitetty versio vaatii nimenomaisesti organisaatioita kehittämään tiettyihin aiheisiin räätälöityjä käytäntöjä. Vanhemmassa versiossa viitattiin vain lyhyesti kulunvalvontaan.

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta yksittäisestä ISO 27001:2022 -standardista Liite A Ohjaus.

Miten ISMS.online Ohje

Yhtiömme alusta on suunniteltu käyttäjäystävälliseksi ja suoraviivaiseksi, joka palvelee erittäin teknisiä henkilöitä ja kaikkia organisaatiosi henkilöstön jäseniä.

Suosittelemme työntekijöiden ottamista mukaan ISMS:n rakentamiseen kaikilla liiketoiminnan tasoilla, koska se auttaa kestävän järjestelmän luomisessa.

Lisätietoja: varata demo.