ISO 27002:2022, valvonta 5.13 – Tietojen merkitseminen

Määräysvallan omistus 5.13

Ottaen huomioon, että metatietojen lisääminen digitaalisiin resursseihin on ensisijainen tapa merkitä tietovarat, metatietojen valvojien tulee olla vastuussa merkintämenettelyn asianmukaisesta toteuttamisesta.

Metatietojen valvojien ohella omaisuuden omistajat, joilla on käyttö- ja muokkausoikeudet, ovat vastuussa kaikkien tietoresurssien asianmukaisesta merkitsemisestä ja tekevät tarvittavat muutokset merkintöihin tarvittaessa.

Yleiset ohjeet noudattamiseen

Valvonta 5.13 määrittelee neljä erityistä vaihetta, jotka organisaatioiden tulee toteuttaa tietojen merkitsemiseksi kohdan 5.13 mukaisesti.

Tietojen merkitsemismenettelyn kehittäminen ja käyttöönotto

Organisaatioiden tulee kehittää koko organisaation laajuinen tiedon merkintämenettely, joka noudattaa Valvonta 5.12 mukaisesti luotua tietojen luokittelujärjestelmää.

Lisäksi kohdassa 5.13 edellytetään, että tämä menettely ulotetaan kaikkiin tietoresursseihin riippumatta siitä, onko se digitaalisessa vai paperimuodossa, ja että etikettien on oltava helposti tunnistettavia.

Vaikka tämän menettelyn asiakirjan sisällölle ei ole rajoituksia, valvonnan kohdassa 5.13 todetaan, että menettelyjen tulee sisältää ainakin seuraavat:

• Kuvaus menetelmistä tarrojen kiinnittämiseksi tietoresursseihin riippuen tallennusvälineestä ja siitä, miten tietoja käytetään.
• Missä tarrat on kiinnitettävä jokaiselle tietosisällölle.
• Mitä tietosisältöjä ei merkitä, jos sellaisia ​​on. Organisaatio voi esimerkiksi jättää merkitsemättä julkisia tietoja yksinkertaistaakseen tietojen merkitsemisprosessia.
• Kuvaus toimenpiteistä tapauksissa, joissa tietyntyyppisten tietojen merkitseminen ei ole mahdollista teknisten, oikeudellisten tai sopimusperusteisten rajoitusten vuoksi.
• Säännöt siitä, miten sisäisille tai ulkopuolisille osapuolille toimitettujen tietojen merkitsemistä tulee käsitellä.
• Digitaalisten resurssien osalta menettelyssä on selitettävä, kuinka metatiedot tulee lisätä.
• Kaikille sisällöille käytettävien tunnisteiden nimet.

Anna henkilöstölle riittävä koulutus merkintämenettelyn noudattamisesta

Tietojen merkitsemismenettely voi olla tehokas vain siinä määrin, että henkilöstö ja muut asiaankuuluvat sidosryhmät ovat hyvin perillä siitä, kuinka tiedot merkitään oikein ja miten merkittyjä tietovaroja käsitellään.

Siksi organisaatioiden tulisi tarjota henkilöstölle ja muille asianosaisille koulutusta menettelystä.

Käytä metatietoja digitaalisten tietovarojen merkitsemiseen

5.13 edellyttää metatietojen käyttöä digitaalisten tietovarojen merkitsemiseen.

Lisäksi se toteaa, että metatiedot tulisi käyttää tavalla, joka tekee tiedon tunnistamisesta ja etsimisestä helppoa ja tehokasta, ja myös tavalla, joka virtaviivaistaa merkittyihin tietoihin liittyvien järjestelmien välistä päätöksentekoprosessia.

Suorita lisätoimenpiteitä arkaluontoisten tietojen merkitsemiseksi, jotka saattavat vuotaa järjestelmästä ulos

Ottaen huomioon riskit, joita liittyy arkaluonteisten tietojen siirtämiseen järjestelmistä, 5.13 suosittelee, että organisaatiot merkitsevät nämä tietovarat asianomaisten tietojen kriittisyyden ja arkaluonteisuuden kannalta sopivimmilla.

Valvontaa koskevat lisäohjeet 5.13

Kohdassa 5.13 korostetaan, että turvaluokiteltujen tietojen tunnistaminen ja tarkka merkitseminen on elintärkeää tiedonjakamistoimintojen turvallisuuden kannalta.

Edellä kuvattujen neljän vaiheen lisäksi 5.13 suosittelee, että organisaatiot lisäävät metatietopisteitä, kuten tietoresurssin luoneen prosessin nimen ja luomisajankohdan.

Lisäksi kohdassa 5.13 viitataan yleisiin merkintätekniikoihin, joita organisaatiot voivat ottaa käyttöön:

• Fyysiset etiketit
• Yläosat ja alatunnisteet
• Metadata
• vesileimaus
• Kumileimasimet

Lopuksi kohdassa 5.13 korostetaan, että tietovarojen merkitsemisellä "luottamukselliseksi" ja "luokitelluksi" voi olla tahattomia seurauksia, koska se voi helpottaa haitallisten toimijoiden etsimistä ja löytämistä arkaluonteisista tiedoista.

Muutokset ja erot ISO 27002:2013:sta

27002:2022/5.13 korvaa 27002:2013/8.2.2 (tietojen merkitseminen).

Vaikka molemmat säätimet ovat jossain määrin samankaltaisia, niissä on kaksi keskeistä eroa, jotka tekevät vuoden 2022 versiosta kattavamman.

Uudet vaatimukset metatietojen käytölle

Vuoden 2013 versiossa viitattiin metatietoon merkintätekniikkana, mutta siinä ei asetettu erityisiä velvoitteita metatietojen käytön noudattamisesta.

Sitä vastoin vuoden 2022 versio tuo tiukat vaatimukset metatietotekniikan käytölle. Esimerkkinä vuoden 2022 versio edellyttää, että:

• Metadata lisätään tietoon tavalla, joka helpottaa tiedon tunnistamista, hallintaa ja löytämistä tehokkaasti.
• Metatiedot sen organisaatioprosessin nimestä, joka loi tietyn omaisuuden, ja sen ajankohdan tulee lisätä.

Tietojen merkintämenettelyn sisällön on oltava yksityiskohtaisempi

Toisin kuin vuoden 2022 versiossa, vuoden 2013 versiossa ei määritelty vähimmäissisältöä, joka pitäisi sisällyttää tietomerkintämenettelyyn.

Miten ISMS.online auttaa

ISO 27002 käyttöönotto on yksinkertaisempaa vaiheittaisella tarkistuslistallamme, joka opastaa sinut koko prosessin läpi ISMS:si laajuuden määrittämisestä riskien tunnistamiseen ja valvonnan toteutukseen.

Meidän alustamme on intuitiivinen ja helppokäyttöinen. Se ei ole vain erittäin teknisille ihmisille; se on kaikille organisaatiossasi. Suosittelemme ottamaan henkilöstöä yrityksesi kaikilla tasoilla mukaan rakentamisprosessiin ISMS, koska se auttaa sinua rakentamaan todella kestävän järjestelmän.

Ota yhteyttä jo tänään varaa esittely.