ISO 27001:2022 Liite A Valvonta 5.14

Yleiset ohjeet standardista ISO 27001:2022 liite A 5.14

Kohdan 5.14 noudattamisen varmistaminen edellyttää sääntöjen, menettelyjen ja sopimusten luomista, mukaan lukien aihekohtaisen tiedonsiirtokäytännön, joka antaa siirrettävälle tiedolle asianmukaisen suojaustason sille määritetyn luokituksen mukaan.

Tietoturvatason tulee olla suhteessa lähetettävän tiedon tärkeyteen ja arkaluonteisuuteen. ISO 27001:2022 Liite A 5.14 edellyttää myös, että organisaatiot tekevät siirtosopimuksia vastaanottavien kolmansien osapuolten kanssa tietojen turvallisen siirron varmistamiseksi.

ISO 27001:2022 liitteen A ohjaus 5.14 luokittelee siirtotyypit kolmeen ryhmään:

• Sähköinen siirto.
• fyysinen tallennusväline siirtää.
• Sanallinen siirto.

Ennen kuin siirryt yksityiskohtaisesti kunkin siirtotyypin erityisvaatimuksiin, ISO 27001: 2022 Liitteen A Valvonta 5.14 hahmotellaan elementit, joiden on oltava kaikissa kaikkia kolmea siirtoa koskevissa määräyksissä, menettelyissä ja sopimuksissa yleisesti:

• Organisaatioiden on määritettävä asianmukaiset valvontatoimenpiteet tietojen luokitustason perusteella, jotta ne voidaan suojata siirron aikana luvattomalta käytöltä, muuttamiselta, sieppaukselta, kopioimiselta, tuhoamiselta ja palvelunestohyökkäykseltä.
• Organisaatioiden on seurattava alkuperäketjua kuljetuksen aikana sekä otettava käyttöön ja toteutettava valvontatoimia tietojen jäljitettävyyden takaamiseksi.
• Ilmoita, ketkä ovat mukana tiedonsiirrossa ja anna heidän yhteystietonsa, kuten tietojen omistajat ja turvallisuushenkilöstö.
• Tietoturvaloukkauksen sattuessa vastuut jaetaan.
• Ota käyttöön merkintäjärjestelmä tavaroiden seuraamiseksi.
• Kuljetuspalvelun saatavuuden varmistaminen.
• Ohjeita menetelmistä tiedonsiirto tulee kehittää tiettyjen aiheiden mukaan.
• Kaikkien yritysasiakirjojen, mukaan lukien viestit, säilytystä ja hävittämistä koskevia ohjeita on noudatettava.
• Tutki sovellettavien lakien, asetusten tai muiden velvoitteiden vaikutusta siirtoon.

Sähköistä siirtoa koskevat lisäohjeet

ISO 27001:2022 Liite A Ohjaus 5.14 esittää erityiset sisältövaatimukset säännöille, menettelyille ja sopimuksille, jotka liittyvät kolmeen siirtotyyppiin. Sisällön vähimmäisvaatimuksia on noudatettava kaikissa kolmessa.

Säännöissä, sopimuksissa ja menettelyissä tulee ottaa huomioon seuraavat seikat siirrettäessä tietoja sähköisesti:

• Haittaohjelmahyökkäysten tunnistaminen ja estäminen on ensiarvoisen tärkeää. On tärkeää, että käytät viimeisintä teknologiaa haittaohjelmien hyökkäysten havaitsemiseen ja estämiseen.
• Varmistetaan luottamuksellisten tietojen turvallisuus löytyy lähetetyistä liitteistä.
• Varmista, että viestit lähetetään oikeille vastaanottajille välttämällä riskiä lähettää väärään sähköpostiosoitteeseen, osoitteeseen tai puhelinnumeroon.
• Hanki lupa ennen kuin alat käyttää julkisia viestintäpalveluita.
• Tietojen lähettämisessä julkisten verkkojen kautta tulisi käyttää tiukempia todennusmenetelmiä.
• Rajoitetaan sähköisten viestintäpalvelujen käyttöä, esim. kielletään automaattinen edelleenlähetys.
• Kehota henkilökuntaa välttämään lyhytsanoma- tai pikaviestipalvelujen käyttöä arkaluonteisten tietojen jakamiseen, koska asiattomat henkilöt voivat katsella sisältöä julkisilla alueilla.
• Neuvo henkilökuntaa ja muita kiinnostuneita osapuolia suojausriskeistä, joita faksilaitteet voivat aiheuttaa, kuten luvaton pääsyn tai viestien väärän ohjaamisen tiettyihin numeroihin.

Fyysisen tallennusvälineen siirtoa koskevat lisäohjeet

Kun tietoa jaetaan fyysisesti, sääntöjen, menettelyjen ja sopimusten tulee sisältää:

• Osapuolet ovat velvollisia ilmoittamaan toisilleen tiedon välittämisestä, lähettämisestä ja vastaanottamisesta.
• Varmista, että viesti on osoitettu oikein ja lähetetty oikein.
• Hyvä pakkaus estää sisällön vahingoittumisen kuljetuksen aikana. Esimerkiksi pakkauksen tulee kestää lämpöä ja kosteutta.
• Johto on sopinut luotettavasta, valtuutetusta kuriiriluettelosta.
• Yleiskatsaus kuriirien tunnistusstandardeihin.
• Arkaluontoisten ja kriittisten tietojen saamiseksi tulee käyttää peukaloinnin kestäviä pusseja.
• Kuriirien henkilöllisyyden varmistaminen on tärkeää.
• Tämä luettelo kolmansista osapuolista, jotka on luokiteltu niiden palvelutason mukaan, tarjoaa kuljetus- tai kuriiripalveluja ja on hyväksytty.
• Kirjaa lokiin toimitusaika, valtuutettu vastaanottaja, toteutetut turvatoimenpiteet ja vastaanottovahvistus määräpaikassa.

Täydentävät ohjeet suulliseen siirtoon

Henkilöstölle on tiedotettava riskeistä, jotka liittyvät organisaation sisäiseen tiedonvaihtoon tai tiedon välittämiseen ulkopuolisille osapuolille ISO 27001:2022 liitteen A Valvonta 5.14 mukaisesti. Näitä riskejä ovat mm.

• Heidän tulee pidättäytyä keskustelemasta luottamuksellisista asioista epävarmoissa julkisissa kanavissa tai julkisilla alueilla.
• Luottamuksellisia tietoja sisältäviä vastaajaviestejä ei pidä jättää valtuutettujen henkilöiden toistamisen vaaran sekä kolmansille osapuolille uudelleenreitittämisen vaaran vuoksi.
• Henkilöt, sekä henkilökunta että muut asiaankuuluvat kolmannet osapuolet, tulee seuloa ennen kuin heille myönnetään pääsy keskusteluihin.
• Luottamuksellisiin keskusteluihin käytetyt huoneet tulee varustaa tarvittavalla äänieristyksellä.
• Ennen kuin aloitat arkaluontoisen vuoropuhelun, on annettava vastuuvapauslauseke.

Muutoksia ja eroja ISO 27001:2013:sta?

ISO 27001:2022 Liite A 5.14 korvaa standardin ISO 27001:2013 Liite A 13.2.1, 13.2.2 ja 13.2.3.

Näillä kahdella kontrollilla on jonkin verran samankaltaisuutta, mutta kaksi suurta eroa tekevät vuoden 2022 vaatimuksista raskaampia.

Sähköisiä, fyysisiä ja sanallisia siirtoja koskevat erityisvaatimukset

Kohdassa 13.2.3 vuoden 2013 versiossa käsiteltiin sähköisen viestinnän avulla tapahtuvan tiedonsiirron erityisvaatimukset.

Siinä ei kuitenkaan erityisesti käsitelty tiedon välittämistä suullisesti tai fyysisesti.

Vertailun vuoksi vuoden 2022 versio tunnistaa tarkasti kolme tiedonsiirtotyyppiä ja linjaa tarvittavan sisällön kullekin erikseen.

ISO 27001:2022 asettaa tiukemmat vaatimukset sähköiselle tiedonsiirrolle

Vuoden 13.2.3 version kohdassa 2022 asetetaan tiukemmat vaatimukset sähköisten viestintäsopimusten sisällölle.

Organisaatioiden on täsmennettävä ja toteutettava uusia digitaalisia siirtoja koskevia määräyksiä ISO 27001:2022 -standardin sääntöjen, menettelyjen ja sopimusten muodossa.

Organisaatioiden tulee esimerkiksi varoittaa henkilöstöään käyttämästä tekstiviestipalveluita arkaluonteisten tietojen välittämisessä.

Yksityiskohtaiset vaatimukset fyysisille siirtoille

Vuoden 2022 versio asettaa tiukemmat säännökset tallennusvälineiden fyysiselle siirrolle. Se on esimerkiksi perusteellisempi kuriirien todentamisessa ja suojauksessa erilaisia ​​vahinkoja vastaan.

Rakenteelliset muutokset

Vuoden 2013 versiossa viitattiin nimenomaisesti tiedonsiirtosopimusten tarpeellisiin vaatimuksiin. "Sääntöjä" ja "menettelyjä" ei kuitenkaan hahmoteltu yksityiskohtaisesti.

ISO 27001:2022:ta varten kullekin kolmelle lähestymistavalle on määritelty erityiset kriteerit.

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta yksittäisestä ISO 27001:2022 liitteen A valvonnasta.

Miten ISMS.online auttaa

ISO 27001:2022:n käyttöönotto voidaan tehdä yksinkertaisemmiksi vaiheittaisen tarkistusluettelomme avulla. Se opastaa sinut koko prosessin läpi ISMS:n laajuuden määrittämisestä riskien tunnistaminen ja valvontatoimien toteuttaminen.

Varaa esittelysi jo tänään. Aikoja on saatavilla seitsemänä päivänä viikossa, joten varaa omasi klo aika, joka toimii sinulle.