ISO 27001:2022 Liite A 5.13 – Tietojen merkitseminen

Mikä on ISO 27001:2022 liitteen A 5.13 tarkoitus?

Liitteessä A 5.13 on kaksi tarkoitusta; tietovarallisuuden suojaamiseksi turvallisuusriskeiltä:

• Tietovarat voidaan luokitella yksinkertaisella tavalla, kun niitä viestitään sisäisesti ja ulkoisesti. Tällöin työntekijät ja kolmannet osapuolet voivat päästä käsiksi tietoihin ja käyttää niitä.
• Tietojen käsittelyä ja hallintaa voidaan tehostaa automatisoinnin avulla.

Kenellä on liitteen A 5.13 omistusoikeus?

Tietovarat voidaan merkitä lisäämällä metatietoja, joten metatietojen valvojien on oltava vastuussa merkintäprosessin asianmukaisesta toteuttamisesta.

Kaikki tietoresurssit on merkittävä asianmukaisesti, ja resurssien omistajien on tehtävä kaikki muutokset merkintöihin käyttö- ja muokkausluvalla.

Yleiset ohjeet standardin ISO 27001:2022 liitteen A 5.13 noudattamiseen

Käyttämällä liitteen A ohjausta 5.13 organisaatiot voivat merkitä tiedot neljän erityisen vaiheen mukaisesti.

Ota käyttöön menettely tietojen merkitsemistä varten

Organisaatioiden tietomerkintämenettelyissä tulee noudattaa liitteen A kohdan 5.12 mukaisesti luotua tietojen luokittelujärjestelmää.

5.13 edellyttää myös, että tätä menettelyä sovelletaan kaikkiin tietoresursseihin, olivatpa ne digitaalisia tai paperisia, ja että etikettien on oltava helposti tunnistettavissa.

Tässä menettelyasiakirjassa ei ole rajoituksia, mutta liitteen A valvonta 5.13 edellyttää, että menettelyt sisältävät seuraavat:

• Selitys menetelmistä tarrojen kiinnittämiseksi tietoresursseihin tallennusvälineen tyypin ja tietojen käyttötavan perusteella.
• Kunkin tietoaineistotyypin kohdalla tarrat on kiinnitettävä.
• Organisaatio voi esimerkiksi jättää julkaisematta julkisia tietoja osana tietomerkintäprosessiaan.
• Tekniset, lailliset tai sopimusperusteiset rajoitukset estävät tietyntyyppisten tietojen merkitsemisen.
• Säännöt säätelevät, kuinka tiedot tulee merkitä, kun ne lähetetään sisäisesti tai ulkoisesti.
• Digitaalisten resurssien mukana tulee olla ohjeet metatietojen lisäämisestä.
• Kaikki sisältökohteet tulee merkitä samoilla nimillä.

Tarjoa työntekijöille riittävä koulutus merkintämenettelyistä

Henkilöstön ja muiden asiaankuuluvien sidosryhmien on ymmärrettävä merkintä tiedot oikein ja hallinnoida merkittyjä tietoresursseja ennen kuin tietojen merkitsemismenettely voi olla tehokas.

Tämän seurauksena organisaatioiden tulisi kouluttaa henkilöstöä ja muita asiaankuuluvia osapuolia menettelystä.

Digitaaliset tietovarat tulisi merkitä metatiedoilla

Digitaaliset tietoresurssit on merkittävä metadatan avulla 5.13.

Metadatan käyttöönoton pitäisi myös helpottaa tietojen helppoa tunnistamista ja etsimistä ja virtaviivaistaa merkittyihin tietoihin liittyvien järjestelmien välistä päätöksentekoa.

Ylimääräisiä varotoimia on ryhdyttävä merkitsemään arkaluonteisia tietoja, jotka voivat poistua järjestelmästä

Liitteen A kohdan 5.13 suositus keskittyy sopivimman ulkoisen merkinnän tunnistamiseen kriittisten ja arkaluonteisten tietojen siirtoa riskit huomioon ottaen.

Liite A 5.13 Täydentävät ohjeet

Jotta tietojen jakaminen olisi turvallista, on tärkeää tunnistaa ja merkitä luokitellut tiedot tarkasti.

Liite A 5.13 suosittelee myös, että organisaatiot lisäävät metatietopisteitä. Tämä tarkoittaa tietoresurssin luoneen prosessin nimi ja ajankohta, jolloin se luotiin.

Lisäksi liitteessä A 5.13 kuvataan standardimerkintätekniikoita, joita organisaatiot voivat käyttää:

• Fyysiset etiketit
• Yläosat ja alatunnisteet
• Metadata
• vesileimaus
• Kumileimasimet

Lopuksi liitteen A kohdassa 5.13 korostetaan, että tietovarojen merkitsemisellä "luottamukselliseksi" ja "luokitelluksi" voi olla tahattomia seurauksia. Tämä saattaa helpottaa haitallisten toimijoiden arkaluonteisten tietovarojen löytämistä ja löytämistä.

Mitä muutoksia ja eroja on ISO 27001:2013:sta?

ISO 27001: 2022 Liite A 5.13 korvaa standardin ISO 27001:2013 liitteen A 8.2.2 (tietojen merkitseminen).

Molemmat liitteen A ohjaimet ovat jossain määrin samanlaisia, mutta kaksi keskeistä eroa tekevät ISO 27001:2022 -versiosta kattavamman.

Metatietojen käyttöä on vaadittu uusien vaatimusten täyttämiseksi

Vuoden 2013 versiossa viitattiin metatietoon merkintätekniikkana, mutta siinä ei asetettu erityisiä velvoitteita metatietojen käytön noudattamisesta.

Sitä vastoin vuoden 2022 versio sisältää eroja ja muutoksia standardista ISO 27001:2013.

Metatietojen käyttö on nyt vaatimus

Vuonna 2013 metatietoihin viitattiin merkintätekniikana, mutta erityisiä vaatimustenmukaisuusvelvoitteita ei asetettu.

Päinvastoin, vuoden 2022 versio sisältää tiukat vaatimukset metatietotekniikoille. Esimerkiksi vuoden 2022 versio vaatii seuraavat:

• Metatietojen lisääminen tietoihin helpottaa niiden tunnistamista, hallintaa ja löytämistä.
• On tarpeen lisätä metatiedot resurssin luoneen prosessin nimelle ja päivämäärälle.

Tietojen merkitsemismenettelyssä on annettava lisätietoja

Vuoden 2013 version tietomerkintämenettelyissä ei vaadittu vähimmäissisältöä, kuten 2022-versiossa.

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta henkilöstä ISO 27001:2022 liite A Ohjaus.

Miten ISMS.online auttaa

ISO 27001:n käyttöönotto on helpompaa vaiheittaisella tarkistuslistallamme, joka opastaa sinua määrittelemään ISMS:si laajuuden riskien tunnistamisen ja liitteen A valvonnan toteuttamisen kautta.

Käyttäminen meidän alustamme on intuitiivinen ja helppo. Se ei ole tarkoitettu vain erittäin teknisille työntekijöille, vaan kaikille yrityksesi työntekijöille. Suosittelemme ottamaan koko työvoimasi mukaan rakentamiseen ISMS, koska se auttaa sinua rakentamaan todella kestävän järjestelmän.

Ota yhteyttä jo tänään varaa esittely.