Valvonnan tarkoitus 5.14
Ohjaus 5.14 on ennaltaehkäisevä valvonta, joka edellyttää, että organisaatiot ottavat käyttöön asianmukaiset säännöt, menettelyt ja/tai sopimukset tietojen turvallisuuden ylläpitämiseksi, kun niitä jaetaan organisaation sisällä tai siirretään kolmansille osapuolille.
Ohjauksen ominaisuudet 5.14
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Suojella | #Vahvuuksien hallinta | #Suojaus |
| #Integrity | #Tiedon suojaus | |||
| #Saatavuus |
Määräysvallan omistus 5.14
Sääntöjen, menettelytapojen ja sopimusten kehittäminen ja toteuttaminen vaatii korkean tason johdon tukea ja hyväksyntää, mutta organisaation eri sidosryhmien, mukaan lukien lakitiimin, IT-henkilöstön ja ylimmän johdon yhteistyö ja asiantuntemus on ratkaisevan tärkeää. .
Esimerkiksi lakitiimin tulee varmistaa, että organisaatio tekee siirtosopimuksia kolmansien osapuolten kanssa ja että nämä sopimukset ovat Valvonta 5.14:n vaatimusten mukaisia. Samoin IT-tiimin tulisi osallistua aktiivisesti valvonnan määrittämiseen ja toteuttamiseen tietojen turvallisuuden ylläpitämiseksi kohdassa 5.14 kuvatulla tavalla.
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
Yleiset valvontaohjeet 5.14
Kohdan 5.14 noudattaminen edellyttää sääntöjen, menettelyjen ja sopimusten kehittämistä, mukaan lukien aihekohtaiset tiedonsiirtokäytännöt, jotka tarjoavat siirrettävälle tiedolle suojaustasoa, joka vastaa niille annettua luokitusta.
Toisin sanoen suojan tason tulisi vastata lähetetyn tiedon kriittisyyttä ja herkkyyttä.
Lisäksi Control 5.14 määrittelee, että organisaatioiden on allekirjoitettava siirtosopimukset vastaanottavien kolmansien osapuolten kanssa tietojen turvallisen siirron takaamiseksi.
Control 5.14 ryhmittelee siirtotyypit kolmeen luokkaan:
- Sähköinen siirto
- Fyysisten tallennusvälineiden siirto
- Sanallinen siirto
Ennen kuin siirrytään kuvaamaan kunkin siirtotyypin erityisvaatimuksia, Control 5.14 luettelee elementit, jotka on sisällytettävä kaikkiin sääntöihin, menettelyihin ja sopimuksiin kaikkien kolmen siirtotyypin osalta:
- Organisaatioiden on määriteltävä kontrollit luokitustasolle sopiva tiedon siirtämisen suojaamiseksi luvattomalta käytöltä, muuttamiselta, sieppaamiselta, kopioimiselta, tuhoamiselta ja palvelunestohyökkäyksiltä.
- Organisaation on valvottava alkuperäketjua sen kuljetuksen aikana sekä määriteltävä ja toteutettava valvontatoimia tietojen jäljitettävyyden varmistamiseksi.
- Tietojen siirtoon osallistuvat osapuolet olisi määriteltävä ja heidän yhteystietonsa olisi ilmoitettava. Tämä voi sisältää tiedon omistajia ja turvapäälliköitä.
- jakaminen vastuut tietoturvaloukkauksen sattuessa tapahtuu.
- Merkintäjärjestelmän käyttö.
- Kuljetuspalvelun saatavuuden varmistaminen.
- Tiedonsiirtomenetelmien aihekohtaisten ohjeiden luominen.
- Ohjeet kaikkien yritystietojen, mukaan lukien viestien, tallentamiseen ja poistamiseen.
- Analyysi sovellettavien lakien, määräysten tai muiden velvoitteiden mahdollisista vaikutuksista siirtoon.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Sähköistä siirtoa koskevat lisäohjeet
Ohjaus 5.14 luettelee sisällön vähimmäisvaatimukset säännöille, menettelyille ja sopimuksille, jotka ovat yhteisiä kaikille kolmelle siirtotyypille.
Säännöissä, sopimuksissa ja menettelyissä tulee käsitellä seuraavia asioita, kun tietoja siirretään sähköisesti:
- Haittaohjelmahyökkäysten havaitseminen ja estäminen.
- Siirrettyjen liitteiden sisältämien arkaluonteisten tietojen suojaaminen.
- Varmistaa, että kaikki viestit lähetetään oikeille vastaanottajille ja riski siitä, että viestit lähetetään vääriin sähköpostiosoitteisiin, osoitteet tai puhelinnumerot poistetaan.
- Ennakkolupa hankitaan ennen yleisten viestintäpalvelujen käytön aloittamista.
- Tiukempien todennusmenetelmien käyttöönotto, kun tietoja siirretään julkisten verkkojen kautta.
- Sähköisten viestintäpalvelujen käytölle asetetaan rajoituksia, kuten automaattisen edelleenlähetyksen kieltäminen.
- Neuvo henkilöstöä olemaan käyttämättä lyhytsanoma- tai pikaviestipalveluita arkaluonteisten tietojen jakamiseen, koska luvattomat henkilöt voivat nähdä tämän sisällön julkisissa tiloissa.
- Neuvomme henkilöstöä ja muita asiaankuuluvia osapuolia turvallisuusriskit faksilaitteiden aiheuttama vaara, kuten luvaton pääsy tai viestien uudelleenreititys tiettyihin numeroihin.
Fyysisen tallennusvälineen siirtoa koskevat lisäohjeet
Kun tietoa jaetaan fyysisin keinoin, kuten paperein, sääntöjen, menettelyjen ja sopimusten tulee kattaa seuraavat asiat:
- Lähettämistä, lähettämistä ja vastaanottamista koskevien ilmoitusten jakaminen.
- Viestin oikean osoittamisen ja kuljetuksen varmistaminen.
- Pakkaaminen eliminoi sisällön vaurioitumisriskin, joka saattaa syntyä sisällön kuljetuksen aikana. Esimerkiksi pakkauksen tulee olla riittävän hyvä, jotta lämpö tai kosteus ei vaikuta siihen.
- Luettelo johdon hyväksymistä ja valtuuttamista luotettavista kuriireista.
- Kuriiritunnistusstandardien kuvaus.
- Käyttäkää turvatoimia, kuten laukkuja, jos tiedon herkkyys ja kriittisyys sitä vaativat.
- Menettelyt kuriirien henkilöllisyystodistusten tarkistamiseksi.
- Hyväksytty luettelo kuljetus- tai kuriiripalveluja tarjoavista kolmansista osapuolista luokitustasosta riippuen.
- Lokikirjan pitäminen toimitusajasta, valtuutettujen vastaanottajien luettelosta, sovelletuista suojauksista ja vastaanottamisesta määränpäässä.
Täydentävät ohjeet suulliseen siirtoon
Valvonta 5.14 sanoo, että kun henkilöstö vaihtaa tietoja organisaation sisällä tai kun he välittävät tietoja ulkopuolisille osapuolille, heille tulee tiedottaa seuraavista riskeistä:
- Heidän tulee välttää luottamuksellisia keskusteluja turvattomien julkisten kanavien kautta tai julkisissa tiloissa.
- He eivät saa jättää ääniviestejä, jotka sisältävät luottamuksellisia tietoja ottaen huomioon riskin, että asiattomat henkilöt voivat toistaa niitä ja viestin uudelleen reitityksen kolmannet osapuolet.
- Jokainen henkilö, olipa sitten työntekijä tai muut asiaankuuluvat kolmannet osapuolet, tulee seuloa ennen kuin hänet päästetään kuuntelemaan keskusteluja.
- Huoneet, joissa käydään luottamuksellisia keskusteluja, tulee varustaa asianmukaisilla säätimillä, kuten äänieristyksellä.
- Heidän tulee antaa vastuuvapauslauseke ennen arkaluonteista keskustelua.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Muutokset ja erot ISO 27002:2013:sta
27002:2022/5.14 korvaa 27002:2013/(13.2.1, 13.2.2. 13.2.3).
Vaikka molemmat säätimet ovat jossain määrin samanlaisia, kaksi keskeistä eroa tekevät vuoden 2022 version vaatimuksista raskaampia.
Sähköisiä, fyysisiä ja sanallisia siirtoja koskevat erityisvaatimukset
Vuoden 2013 versiossa kohta 13.2.3 vastannut erityisvaatimuksiin tietojen siirtoon sähköisen viestinnän kautta.
Siinä ei kuitenkaan käsitelty erikseen tiedon siirtoa suullisesti tai fyysisesti.
Vuoden 2022 versiossa sitä vastoin yksilöidään selkeästi kolme tiedonsiirtotyyppiä ja esitetään sitten kullekin erikseen sisältövaatimukset.
2022-versio asettaa tiukemmat vaatimukset sähköiselle tiedonsiirrolle
Kun kohta 13.2.3 sisälsi erityisiä vaatimuksia sähköisen viestinnän sopimusten sisällölle, vuoden 2022 versio asettaa organisaatioille tiukempia velvoitteita.
2022-versio edellyttää organisaatioiden kuvailevan ja ottavan käyttöön uusia valvontatoimenpiteitä sähköisen tiedonsiirron säännöissä, menettelyissä ja sopimuksissa.
Organisaatioiden tulisi esimerkiksi neuvoa työntekijöitään olemaan käyttämättä tekstiviestipalveluita, jos ne sisältävät arkaluontoisia tietoja.
Tarkemmat vaatimukset fyysisille siirroille
Vuoden 2022 versio asettaa tiukemmat vaatimukset fyysiselle tallennusvälineen siirrolle. Sen vaatimukset ovat kattavampia esimerkiksi kuriirien todentamisen ja ehkäistävissä olevien vahinkojen osalta.
Rakenteelliset muutokset
Vuoden 2013 versiossa oli selkeä viittaus tiedonsiirtosopimusten erityisvaatimuksiin. "Sääntöjä" ja "menettelyjä" ei kuitenkaan käsitelty erikseen.
Sitä vastoin vuoden 2022 versiossa asetetaan erityisvaatimukset kullekin näistä kolmesta mekanismista.
Uudet ISO 27002 -säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | UUSI | Uhan älykkyys |
| 5.23 | UUSI | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 8.9 | UUSI | Kokoonpanonhallinta |
| 8.10 | UUSI | Tietojen poistaminen |
| 8.11 | UUSI | Tietojen peittäminen |
| 8.12 | UUSI | Tietovuotojen esto |
| 8.16 | UUSI | Toimien seuranta |
| 8.23 | UUSI | Web-suodatus |
| 8.28 | UUSI | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Miten ISMS.online auttaa
ISO 27002 käyttöönotto on yksinkertaisempaa vaiheittaisella tarkistuslistallamme, joka opastaa sinut koko prosessin läpi ISMS:si laajuuden määrittämisestä riskien tunnistamiseen ja valvonnan toteutukseen.
Ota yhteyttä jo tänään varaa esittely.
