ISO 27002:2022, valvonta 5.12 – Tietojen luokitus

Määräysvallan omistus 5.12

Tietojärjestelmien pitäisi olla koko organisaation laajuinen luokittelu luokittelutasoineen ja kriteereineen luokitella tietovarat, tietovarojen omistajat ovat viime kädessä vastuussa luokitusjärjestelmän toteuttamisesta.

5.12 tunnustaa nimenomaisesti, että omistajat asiaan tietovarat pitäisi olla vastuussa.

Jos esimerkiksi kirjanpidolla on pääsy kansioihin, joissa on palkkalaskelmat ja tiliotteet, heidän tulee luokitella tiedot organisaation laajuisen luokitusjärjestelmän mukaan.

Tietojen luokittelussa omaisuuden omistajan tulee ottaa huomioon ottaa huomioon liiketoiminnan tarpeet, mikä vaikutus tiedon kompromissilla olisi organisaatioon sekä tiedon tärkeys- ja herkkyystasoon.

Yleiset valvontaohjeet 5.12

Tietojen vankan luokittelujärjestelmän toteuttamiseksi organisaatioiden tulee omaksua aihekohtainen lähestymistapa, ymmärtää kunkin liiketoimintayksikön tiedontarpeet ja määrittää tiedon herkkyys ja kriittisyys.

5.12 edellyttää, että organisaatiot ottavat huomioon seuraavat seitsemän kriteeriä luokitusjärjestelmää toteuttaessaan:

• Luo aihekohtainen politiikka ja vastaa liiketoiminnan erityistarpeisiin

5.12 viittaa nimenomaisesti kohtaan 5.1, Kulunvalvonta ja vaatii organisaatioita noudattamaan aihekohtaisia ​​käytäntöjä kohdassa 5.1 kuvatulla tavalla. Lisäksi luokitusjärjestelmässä ja -tasoissa tulee ottaa huomioon liiketoiminnan erityistarpeet.

• Ota huomioon liiketoiminnan tarpeet tiedon jakamiseen ja käyttöön sekä saatavuuden tarve

Jos määrität tietoresurssin tarpeettoman korkeampaan luokitusluokkaan, se voi aiheuttaa keskeisten liiketoimintatoimintojesi häiriöriskin rajoittamalla tietojen saatavuutta ja käyttöä.

Siksi sinun tulee pyrkiä löytämään tasapaino yrityksesi erityisten tietojen saatavuutta ja käyttöä koskevien tarpeidesi sekä näiden tietojen luottamuksellisuutta ja eheyttä koskevien vaatimusten välillä.

• Harkitse lakisääteisiä velvoitteita

Jotkut lait voivat asettaa sinulle tiukempia velvoitteita tietojen luottamuksellisuuden, eheyden ja saatavuuden varmistamiseksi. Kun määrität tietoresursseja luokkiin, lakisääteisten velvoitteiden tulee olla etusijalla omaan luokitteluasi nähden.

• Ota riskiperusteinen lähestymistapa ja harkitse kompromissin mahdollisia vaikutuksia

Jokaisella tiedolla on erilainen kriittisyyden taso kunkin liiketoiminnan kannalta ja erilainen herkkyys kontekstista riippuen.

Tietojärjestelmän luokittelua toteuttaessaan organisaatioiden tulee kysyä:

Miten näiden tietojen eheyden, saatavuuden ja luottamuksellisuuden vaarantuminen vaikuttaisi organisaatioon?

Esimerkiksi tietokannat, jotka sisältävät pätevien liidien ammattisähköpostiosoitteita ja työntekijöiden terveystietoja, vaihtelevat suuresti herkkyystason ja mahdollisen vaikutuksen suhteen.

• Tarkista ja päivitä luokitus säännöllisesti

5.12 toteaa, että tiedon arvo, kriittisyys ja herkkyys eivät ole staattisia ja voivat muuttua tiedon koko elinkaaren ajan. Siksi sinun on tarkistettava säännöllisesti jokainen luokitus ja tehtävä tarvittavat päivitykset.

Esimerkkinä tällaisesta muutoksesta 5.12 viittaa tiedon julkistamiseen, mikä vähentää suuresti tiedon arvoa ja arkaluonteisuutta.

• Keskustele muiden organisaatioiden kanssa, joiden kanssa jaat tietoja, ja korjaa mahdolliset erot

Tietojen luokittelussa ei ole yhtä tapaa ja jokaisella organisaatiolla voi olla eri nimet, tasot ja kriteerit tietojärjestelmien luokittelussa.

Nämä erot voivat johtaa riskeihin, kun organisaatiot vaihtavat tietoja keskenään. Siksi sinun on tehtävä sopimus kumppanisi kanssa varmistaaksesi, että tietojen luokittelu ja luokitustasojen tulkinta ovat johdonmukaisia.

• Organisaatiotason johdonmukaisuus

Jokaisella organisaation osastolla tulee olla yhteinen käsitys luokitustasoista ja -menettelyistä, jotta luokitukset ovat yhdenmukaisia ​​koko organisaatiossa.

Ohjeet tietojen luokittelujärjestelmän toteuttamiseen

Vaikka 5.12 tunnustaa, että ei ole olemassa yhtä kaikille sopivaa luokitusjärjestelmää ja organisaatioilla on liikkumavaraa päättää ja kuvailla yksittäisiä luokitustasoja, se antaa seuraavan esimerkin tietojen luokitusjärjestelmäksi:

a) paljastaminen ei aiheuta haittaa;

b) paljastaminen aiheuttaa vähäistä mainevauriota tai vähäistä toiminnallista vaikutusta;

c) julkistamisella on merkittävä lyhyen aikavälin vaikutus toimintaan tai liiketoiminnan tavoitteisiin;

d) Tietojen paljastaminen vaikuttaa vakavasti pitkän aikavälin liiketoimintatavoitteisiin tai vaarantaa organisaation selviytymisen.

Muutokset ja erot ISO 27002:2013:sta

Tietojen luokitusta käsiteltiin edellisen version kohdassa 8.2.1.

Vaikka nämä kaksi versiota ovat hyvin samankaltaisia, niissä on kaksi keskeistä eroa:

Vanhassa versiossa ei nimenomaisesti viitattu vaatimukseen luokitustasojen johdonmukaisuudesta, kun tietoa siirretään organisaatioiden välillä.

2022-versiossa sinun on kuitenkin tehtävä sopimus kumppanisi kanssa varmistaaksesi, että tietojen luokittelu ja luokitustasojen tulkinta ovat johdonmukaisia.

Toiseksi uusi versio vaatii nimenomaisesti organisaatioita ottamaan käyttöön aihekohtaisia ​​käytäntöjä. Vanhemmassa versiossa sitä vastoin kulunvalvontaan viitattiin vain lyhyesti.

Miten ISMS.online auttaa

Meidän alustamme on intuitiivinen ja helppokäyttöinen. Se ei ole vain erittäin teknisille ihmisille; se on kaikille organisaatiossasi. Suosittelemme ottamaan henkilöstöä yrityksesi kaikilla tasoilla mukaan rakentamisprosessiin ISMS, koska se auttaa sinua rakentamaan todella kestävän järjestelmän.

Ota yhteyttä jo tänään varaa esittely.