Valvonnan tarkoitus 5.13
5.13 on ennaltaehkäisevä valvonta suojaa tietovarallisuutta turvallisuusriskejä vastaan auttamalla organisaatioita saavuttamaan kaksi erillistä tarkoitusta:
- Luokituksen tason osoittamisen helpottamiseksi jokainen tietoaineisto annetaan, kun tiedot välitetään sisäisesti ja ulkoisesti ja kun työntekijät ja kolmannet osapuolet pääsevät käsiksi ja käyttävät niitä.
- Tietojenhallinnan ja -käsittelyn automatisointiprosessin virtaviivaistaminen.
Ohjauksen ominaisuudet 5.13
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Suojella | #Tiedon suojaus | #Puolustus |
| #Integrity | #Suojaus | |||
| #Saatavuus |
Määräysvallan omistus 5.13
Ottaen huomioon, että metatietojen lisääminen digitaalisiin resursseihin on ensisijainen tapa merkitä tietovarat, metatietojen valvojien tulee olla vastuussa merkintämenettelyn asianmukaisesta toteuttamisesta.
Metatietojen valvojien ohella omaisuuden omistajat, joilla on käyttö- ja muokkausoikeudet, ovat vastuussa kaikkien tietoresurssien asianmukaisesta merkitsemisestä ja tekevät tarvittavat muutokset merkintöihin tarvittaessa.
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
Yleiset ohjeet noudattamiseen
Valvonta 5.13 määrittelee neljä erityistä vaihetta, jotka organisaatioiden tulee toteuttaa tietojen merkitsemiseksi kohdan 5.13 mukaisesti.
Tietojen merkitsemismenettelyn kehittäminen ja käyttöönotto
Organisaatioiden tulee kehittää koko organisaation laajuinen tiedon merkintämenettely, joka noudattaa Valvonta 5.12 mukaisesti luotua tietojen luokittelujärjestelmää.
Lisäksi kohdassa 5.13 edellytetään, että tämä menettely ulotetaan kaikkiin tietoresursseihin riippumatta siitä, onko se digitaalisessa vai paperimuodossa, ja että etikettien on oltava helposti tunnistettavia.
Vaikka tämän menettelyn asiakirjan sisällölle ei ole rajoituksia, valvonnan kohdassa 5.13 todetaan, että menettelyjen tulee sisältää ainakin seuraavat:
- Kuvaus menetelmistä tarrojen kiinnittämiseksi tietoresursseihin riippuen tallennusvälineestä ja siitä, miten tietoja käytetään.
- Missä tarrat on kiinnitettävä jokaiselle tietosisällölle.
- Mitä tietosisältöjä ei merkitä, jos sellaisia on. Organisaatio voi esimerkiksi jättää merkitsemättä julkisia tietoja yksinkertaistaakseen tietojen merkitsemisprosessia.
- Kuvaus toimenpiteistä tapauksissa, joissa tietyntyyppisten tietojen merkitseminen ei ole mahdollista teknisten, oikeudellisten tai sopimusperusteisten rajoitusten vuoksi.
- Säännöt siitä, miten sisäisille tai ulkopuolisille osapuolille toimitettujen tietojen merkitsemistä tulee käsitellä.
- Digitaalisten resurssien osalta menettelyssä on selitettävä, kuinka metatiedot tulee lisätä.
- Kaikille sisällöille käytettävien tunnisteiden nimet.
Anna henkilöstölle riittävä koulutus merkintämenettelyn noudattamisesta
Tietojen merkitsemismenettely voi olla tehokas vain siinä määrin, että henkilöstö ja muut asiaankuuluvat sidosryhmät ovat hyvin perillä siitä, kuinka tiedot merkitään oikein ja miten merkittyjä tietovaroja käsitellään.
Siksi organisaatioiden tulisi tarjota henkilöstölle ja muille asianosaisille koulutusta menettelystä.
Käytä metatietoja digitaalisten tietovarojen merkitsemiseen
5.13 edellyttää metatietojen käyttöä digitaalisten tietovarojen merkitsemiseen.
Lisäksi se toteaa, että metatiedot tulisi käyttää tavalla, joka tekee tiedon tunnistamisesta ja etsimisestä helppoa ja tehokasta, ja myös tavalla, joka virtaviivaistaa merkittyihin tietoihin liittyvien järjestelmien välistä päätöksentekoprosessia.
Suorita lisätoimenpiteitä arkaluontoisten tietojen merkitsemiseksi, jotka saattavat vuotaa järjestelmästä ulos
Ottaen huomioon riskit, joita liittyy arkaluonteisten tietojen siirtämiseen järjestelmistä, 5.13 suosittelee, että organisaatiot merkitsevät nämä tietovarat asianomaisten tietojen kriittisyyden ja arkaluonteisuuden kannalta sopivimmilla.
Valvontaa koskevat lisäohjeet 5.13
Kohdassa 5.13 korostetaan, että turvaluokiteltujen tietojen tunnistaminen ja tarkka merkitseminen on elintärkeää tiedonjakamistoimintojen turvallisuuden kannalta.
Edellä kuvattujen neljän vaiheen lisäksi 5.13 suosittelee, että organisaatiot lisäävät metatietopisteitä, kuten tietoresurssin luoneen prosessin nimen ja luomisajankohdan.
Lisäksi kohdassa 5.13 viitataan yleisiin merkintätekniikoihin, joita organisaatiot voivat ottaa käyttöön:
- Fyysiset etiketit
- Yläosat ja alatunnisteet
- Metadata
- vesileimaus
- Kumileimasimet
Lopuksi kohdassa 5.13 korostetaan, että tietovarojen merkitsemisellä "luottamukselliseksi" ja "luokitelluksi" voi olla tahattomia seurauksia, koska se voi helpottaa haitallisten toimijoiden etsimistä ja löytämistä arkaluonteisista tiedoista.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Muutokset ja erot ISO 27002:2013:sta
27002:2022/5.13 korvaa 27002:2013/8.2.2 (tietojen merkitseminen).
Vaikka molemmat säätimet ovat jossain määrin samankaltaisia, niissä on kaksi keskeistä eroa, jotka tekevät vuoden 2022 versiosta kattavamman.
Uudet vaatimukset metatietojen käytölle
Vuoden 2013 versiossa viitattiin metatietoon merkintätekniikkana, mutta siinä ei asetettu erityisiä velvoitteita metatietojen käytön noudattamisesta.
Sitä vastoin vuoden 2022 versio tuo tiukat vaatimukset metatietotekniikan käytölle. Esimerkkinä vuoden 2022 versio edellyttää, että:
- Metadata lisätään tietoon tavalla, joka helpottaa tiedon tunnistamista, hallintaa ja löytämistä tehokkaasti.
- Metatiedot sen organisaatioprosessin nimestä, joka loi tietyn omaisuuden, ja sen ajankohdan tulee lisätä.
Tietojen merkintämenettelyn sisällön on oltava yksityiskohtaisempi
Toisin kuin vuoden 2022 versiossa, vuoden 2013 versiossa ei määritelty vähimmäissisältöä, joka pitäisi sisällyttää tietomerkintämenettelyyn.
Uudet ISO 27002 -säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | UUSI | Uhan älykkyys |
| 5.23 | UUSI | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 8.9 | UUSI | Kokoonpanonhallinta |
| 8.10 | UUSI | Tietojen poistaminen |
| 8.11 | UUSI | Tietojen peittäminen |
| 8.12 | UUSI | Tietovuotojen esto |
| 8.16 | UUSI | Toimien seuranta |
| 8.23 | UUSI | Web-suodatus |
| 8.28 | UUSI | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Miten ISMS.online auttaa
ISO 27002 käyttöönotto on yksinkertaisempaa vaiheittaisella tarkistuslistallamme, joka opastaa sinut koko prosessin läpi ISMS:si laajuuden määrittämisestä riskien tunnistamiseen ja valvonnan toteutukseen.
Meidän alustamme on intuitiivinen ja helppokäyttöinen. Se ei ole vain erittäin teknisille ihmisille; se on kaikille organisaatiossasi. Suosittelemme ottamaan henkilöstöä yrityksesi kaikilla tasoilla mukaan rakentamisprosessiin ISMS, koska se auttaa sinua rakentamaan todella kestävän järjestelmän.
Ota yhteyttä jo tänään varaa esittely.
