ISO 27002:2022 – Ohjaus 5.14 – Tiedonsiirto

Valvonnan tarkoitus 5.14

Ohjaus 5.14 on ennaltaehkäisevä valvonta, joka edellyttää, että organisaatiot ottavat käyttöön asianmukaiset säännöt, menettelyt ja/tai sopimukset tietojen turvallisuuden ylläpitämiseksi, kun niitä jaetaan organisaation sisällä tai siirretään kolmansille osapuolille.

Ohjauksen ominaisuudet 5.14

Määräysvallan omistus 5.14

Sääntöjen, menettelytapojen ja sopimusten kehittäminen ja toteuttaminen vaatii korkean tason johdon tukea ja hyväksyntää, mutta organisaation eri sidosryhmien, mukaan lukien lakitiimin, IT-henkilöstön ja ylimmän johdon yhteistyö ja asiantuntemus on ratkaisevan tärkeää. .

Esimerkiksi lakitiimin tulee varmistaa, että organisaatio tekee siirtosopimuksia kolmansien osapuolten kanssa ja että nämä sopimukset ovat Valvonta 5.14:n vaatimusten mukaisia. Samoin IT-tiimin tulisi osallistua aktiivisesti valvonnan määrittämiseen ja toteuttamiseen tietojen turvallisuuden ylläpitämiseksi kohdassa 5.14 kuvatulla tavalla.

Yleiset valvontaohjeet 5.14

Kohdan 5.14 noudattaminen edellyttää sääntöjen, menettelyjen ja sopimusten kehittämistä, mukaan lukien aihekohtaiset tiedonsiirtokäytännöt, jotka tarjoavat siirrettävälle tiedolle suojaustasoa, joka vastaa niille annettua luokitusta.

Toisin sanoen suojan tason tulisi vastata lähetetyn tiedon kriittisyyttä ja herkkyyttä.

Lisäksi Control 5.14 määrittelee, että organisaatioiden on allekirjoitettava siirtosopimukset vastaanottavien kolmansien osapuolten kanssa tietojen turvallisen siirron takaamiseksi.

Control 5.14 ryhmittelee siirtotyypit kolmeen luokkaan:

• Sähköinen siirto
• Fyysisten tallennusvälineiden siirto
• Sanallinen siirto

Ennen kuin siirrytään kuvaamaan kunkin siirtotyypin erityisvaatimuksia, Control 5.14 luettelee elementit, jotka on sisällytettävä kaikkiin sääntöihin, menettelyihin ja sopimuksiin kaikkien kolmen siirtotyypin osalta:

• Organisaatioiden on määriteltävä kontrollit luokitustasolle sopiva tiedon siirtämisen suojaamiseksi luvattomalta käytöltä, muuttamiselta, sieppaamiselta, kopioimiselta, tuhoamiselta ja palvelunestohyökkäyksiltä.
• Organisaation on valvottava alkuperäketjua sen kuljetuksen aikana sekä määriteltävä ja toteutettava valvontatoimia tietojen jäljitettävyyden varmistamiseksi.
• Tietojen siirtoon osallistuvat osapuolet olisi määriteltävä ja heidän yhteystietonsa olisi ilmoitettava. Tämä voi sisältää tiedon omistajia ja turvapäälliköitä.
• jakaminen vastuut tietoturvaloukkauksen sattuessa tapahtuu.
• Merkintäjärjestelmän käyttö.
• Kuljetuspalvelun saatavuuden varmistaminen.
• Tiedonsiirtomenetelmien aihekohtaisten ohjeiden luominen.
• Ohjeet kaikkien yritystietojen, mukaan lukien viestien, tallentamiseen ja poistamiseen.
• Analyysi sovellettavien lakien, määräysten tai muiden velvoitteiden mahdollisista vaikutuksista siirtoon.

Sähköistä siirtoa koskevat lisäohjeet

Ohjaus 5.14 luettelee sisällön vähimmäisvaatimukset säännöille, menettelyille ja sopimuksille, jotka ovat yhteisiä kaikille kolmelle siirtotyypille.

Säännöissä, sopimuksissa ja menettelyissä tulee käsitellä seuraavia asioita, kun tietoja siirretään sähköisesti:

• Haittaohjelmahyökkäysten havaitseminen ja estäminen.
• Siirrettyjen liitteiden sisältämien arkaluonteisten tietojen suojaaminen.
• Varmistaa, että kaikki viestit lähetetään oikeille vastaanottajille ja riski siitä, että viestit lähetetään vääriin sähköpostiosoitteisiin, osoitteet tai puhelinnumerot poistetaan.
• Ennakkolupa hankitaan ennen yleisten viestintäpalvelujen käytön aloittamista.
• Tiukempien todennusmenetelmien käyttöönotto, kun tietoja siirretään julkisten verkkojen kautta.
• Sähköisten viestintäpalvelujen käytölle asetetaan rajoituksia, kuten automaattisen edelleenlähetyksen kieltäminen.
• Neuvo henkilöstöä olemaan käyttämättä lyhytsanoma- tai pikaviestipalveluita arkaluonteisten tietojen jakamiseen, koska luvattomat henkilöt voivat nähdä tämän sisällön julkisissa tiloissa.
• Neuvomme henkilöstöä ja muita asiaankuuluvia osapuolia turvallisuusriskit faksilaitteiden aiheuttama vaara, kuten luvaton pääsy tai viestien uudelleenreititys tiettyihin numeroihin.

Fyysisen tallennusvälineen siirtoa koskevat lisäohjeet

Kun tietoa jaetaan fyysisin keinoin, kuten paperein, sääntöjen, menettelyjen ja sopimusten tulee kattaa seuraavat asiat:

• Lähettämistä, lähettämistä ja vastaanottamista koskevien ilmoitusten jakaminen.
• Viestin oikean osoittamisen ja kuljetuksen varmistaminen.
• Pakkaaminen eliminoi sisällön vaurioitumisriskin, joka saattaa syntyä sisällön kuljetuksen aikana. Esimerkiksi pakkauksen tulee olla riittävän hyvä, jotta lämpö tai kosteus ei vaikuta siihen.
• Luettelo johdon hyväksymistä ja valtuuttamista luotettavista kuriireista.
• Kuriiritunnistusstandardien kuvaus.
• Käyttäkää turvatoimia, kuten laukkuja, jos tiedon herkkyys ja kriittisyys sitä vaativat.
• Menettelyt kuriirien henkilöllisyystodistusten tarkistamiseksi.
• Hyväksytty luettelo kuljetus- tai kuriiripalveluja tarjoavista kolmansista osapuolista luokitustasosta riippuen.
• Lokikirjan pitäminen toimitusajasta, valtuutettujen vastaanottajien luettelosta, sovelletuista suojauksista ja vastaanottamisesta määränpäässä.

Täydentävät ohjeet suulliseen siirtoon

Valvonta 5.14 sanoo, että kun henkilöstö vaihtaa tietoja organisaation sisällä tai kun he välittävät tietoja ulkopuolisille osapuolille, heille tulee tiedottaa seuraavista riskeistä:

• Heidän tulee välttää luottamuksellisia keskusteluja turvattomien julkisten kanavien kautta tai julkisissa tiloissa.
• He eivät saa jättää ääniviestejä, jotka sisältävät luottamuksellisia tietoja ottaen huomioon riskin, että asiattomat henkilöt voivat toistaa niitä ja viestin uudelleen reitityksen kolmannet osapuolet.
• Jokainen henkilö, olipa sitten työntekijä tai muut asiaankuuluvat kolmannet osapuolet, tulee seuloa ennen kuin hänet päästetään kuuntelemaan keskusteluja.
• Huoneet, joissa käydään luottamuksellisia keskusteluja, tulee varustaa asianmukaisilla säätimillä, kuten äänieristyksellä.
• Heidän tulee antaa vastuuvapauslauseke ennen arkaluonteista keskustelua.

Muutokset ja erot ISO 27002:2013:sta

27002:2022/5.14 korvaa 27002:2013/(13.2.1, 13.2.2. 13.2.3).

Vaikka molemmat säätimet ovat jossain määrin samanlaisia, kaksi keskeistä eroa tekevät vuoden 2022 version vaatimuksista raskaampia.

Sähköisiä, fyysisiä ja sanallisia siirtoja koskevat erityisvaatimukset

Vuoden 2013 versiossa kohta 13.2.3 vastannut erityisvaatimuksiin tietojen siirtoon sähköisen viestinnän kautta.

Siinä ei kuitenkaan käsitelty erikseen tiedon siirtoa suullisesti tai fyysisesti.

Vuoden 2022 versiossa sitä vastoin yksilöidään selkeästi kolme tiedonsiirtotyyppiä ja esitetään sitten kullekin erikseen sisältövaatimukset.

2022-versio asettaa tiukemmat vaatimukset sähköiselle tiedonsiirrolle

Kun kohta 13.2.3 sisälsi erityisiä vaatimuksia sähköisen viestinnän sopimusten sisällölle, vuoden 2022 versio asettaa organisaatioille tiukempia velvoitteita.

2022-versio edellyttää organisaatioiden kuvailevan ja ottavan käyttöön uusia valvontatoimenpiteitä sähköisen tiedonsiirron säännöissä, menettelyissä ja sopimuksissa.

Organisaatioiden tulisi esimerkiksi neuvoa työntekijöitään olemaan käyttämättä tekstiviestipalveluita, jos ne sisältävät arkaluontoisia tietoja.

Tarkemmat vaatimukset fyysisille siirroille

Vuoden 2022 versio asettaa tiukemmat vaatimukset fyysiselle tallennusvälineen siirrolle. Sen vaatimukset ovat kattavampia esimerkiksi kuriirien todentamisen ja ehkäistävissä olevien vahinkojen osalta.

Rakenteelliset muutokset

Vuoden 2013 versiossa oli selkeä viittaus tiedonsiirtosopimusten erityisvaatimuksiin. "Sääntöjä" ja "menettelyjä" ei kuitenkaan käsitelty erikseen.

Sitä vastoin vuoden 2022 versiossa asetetaan erityisvaatimukset kullekin näistä kolmesta mekanismista.

Uudet ISO 27002 -säätimet

Miten ISMS.online auttaa

ISO 27002 käyttöönotto on yksinkertaisempaa vaiheittaisella tarkistuslistallamme, joka opastaa sinut koko prosessin läpi ISMS:si laajuuden määrittämisestä riskien tunnistamiseen ja valvonnan toteutukseen.

Ota yhteyttä jo tänään varaa esittely.