ISO 27002:2022 Control 5.33 – Tietueiden suojauksen parhaat käytännöt
Tietueet ovat hämärä käsite, jota joidenkin organisaatioiden on vaikea luokitella ja hallita vaatimustenmukaisuussyistä.
Tietueet ICT:n puitteissa ovat toinen termi tiedoille ja tiedoille, joita organisaatio säilyttää ja/tai käyttää päivittäiseen liiketoimintaansa, mukaan lukien (mutta ei rajoittuen):
- Yksittäiset tapahtumat
- Liiketoimet
- Työprosessit
- Toiminta
- Tehtävät
ISO määrittelee tietueet standardiensa puitteissa "mikä tahansa tietojoukko sen rakenteesta tai muodosta riippumatta", mukaan lukien "asiakirja, kokoelma dataa tai muun tyyppistä tietoa, joka luodaan, kerätään ja hallitaan liiketoiminnan aikana ”, mukaan lukien tietueen metatiedot.
Valvonnan tarkoitus 5.33
Jokaisella organisaatiolla on velvollisuus varmistaa, että sen hallussa olevat tiedot – mukaan lukien, mutta ei rajoittuen, taloudelliset henkilöt tiedot tai toiminta-alueet – pidetään turvassa, ja sisäiset menettelyt ovat kaikkien voimassa olevien vaatimusten mukaisia.
Ohjaus 5.33 käsittelee yritystietojen suojaamista viideltä suurelta tapahtumalta:
- Tappio
- tuho
- Väärentäminen
- Luvaton käyttö
- Luvaton julkaisu tai julkaisu
Ominaisuustaulukko
Ohjaus 5.33 on a ennaltaehkäisevä valvonta että ylläpitää riskiä luomalla ohjeita ja menettelyjä – mukaan lukien säilytysaikataulut – jotka täyttävät organisaation lakisääteiset, lakisääteiset, säännökset ja sopimusvaatimukset, jotka liittyvät suojaus ja saatavuus kaikista sen hallussa olevista tietueista.
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Tunnistaa | #Laki ja vaatimustenmukaisuus | #Puolustus |
| #Integrity | #Suojella | #Vahvuuksien hallinta | ||
| #Saatavuus | #Tiedon suojaus |
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
Yleiset valvontaohjeet 5.33
Ohjaus 5.33 tunnustaa, että an organisaation tarpeet ovat juoksevia kun kyse on tietueiden määrästä ja tyypistä, joita tarvitaan liiketoiminnassa päivästä toiseen.
Sellaisenaan Control 5.33 luokittelee tietueidenhallinnan neljään päämääritteeseen:
- Aitous
- Luotettavuus
- Eheys
- Käytettävyys
Näiden määritteiden puitteissa Control 5.33 pyytää organisaatioita:
- Laadi ja julkaise ohjeita, jotka käsittelevät neljää päätoimintoa sekä aihekohtaisia käytäntöjä, jotka huomioivat kyseisten tietueiden taustalla olevan luonteen:
a) Levyjen tallennus
b) Tietueen käsittelyn säilytysketju
c) Levyjen hävittäminen
d) Manipuloinnin estäminen - Ylläpidä toimivaa tietueiden säilytysaikataulua, jossa hahmotellaan selkeästi, kuinka kauan erityyppisiä tietueita tulee säilyttää niiden yksittäisten liiketoimintatoimintojen mukaisesti.
- Luo varastointi- ja käsittelymenettelyt, joissa otetaan huomioon:
a) kaikki kaupallista kirjanpitoa koskevat voimassa olevat lait
b) "yhteisön ja yhteiskunnan" odotukset siitä, kuinka organisaation tulee käsitellä arkistointiaan - Ota käyttöön menettelyt, jotka tuhoavat tietueet turvallisesti ja asianmukaisesti heti, kun niitä ei tarvita (säilytysajan päätyttyä).
- Luokittele tietueet suojausta varten (mukaan lukien asianmukaiset säilytysajat ja käytetyt tallennusvälineet) perusteella heidän turvallisuusriskinsä, ja eri tyypit, mukaan lukien (mutta ei rajoittuen):
a) Kirjanpitoasiakirjat
b) Yrityksen tilisiirrot
c) Henkilöstöasiakirjat
d) Lakiasiakirjat - Varmista, että kaikki säilytysmenettelyt kattavat hyväksyttävän aikakehyksen noutamiselle, mikäli organisaatiota pyydetään tuottamaan ne kolmannen osapuolen toimesta, tai sisäiseen käyttöön.
- Kun tietueiden tallentamiseen käytetään sähköisiä tietovälineitä, on harkittava ja vähennettävä mahdollisuutta päästä tietueisiin tai hakea niitä, jotka estyvät teknisten muutosten vuoksi, mukaan lukien salaustietojen säilyttäminen (katso valvonta 8.24).
- Noudata valmistajan ohjeita, kun tallennat tai käsittelet tietueita sähköisessä muodossa tai niiden välityksellä, mukaan lukien kyseisten tietovälineiden luonnollisen pilaantumisen riittävä huomioiminen.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Muutokset ja erot standardista ISO 27002:2013
27002:2022-5.33 korvaa 27002:2013-18.1.3 (tietueiden suojaus) erilaisilla lisäyksillä yksittäisten ohjeiden ja yleisten prosessien muodossa, joita on noudatettava.
Vuoden 2022 kontrollissa ISO tunnustaa, että on tärkeää määritellä, mikä on liiketietue. 27002:2022-5.33 sisältää lukuisia esimerkkejä siitä, mitä ISO pitää tietueena (katso edellä), jotka puuttuvat kohdista 27002:2013-18.1.3.
Ohjaus 5.33 keskittää organisaation huomion myös kahteen pääohjeistuskohtaan, jotka eivät sisälly sen vuoden 2013 vastineeseen (ohjeet 1 ja 2 yllä), jotka puolestaan muodostavat perustan organisaation tietuepolitiikalle – erityisesti säilytysaikataululle, joka määrää, miten pitkiä tallenteita tulee säilyttää ja mediakohtaisia vaatimuksia varten.
Metadata on myös tullut ensimmäistä kertaa esiin arkistonhallinnassa. 27002:2013-18.1.3 ei sisällä mainintaa siitä, kun taas 27002:2022-5.33 pitää sitä "olennaisena komponenttina".
Uudet ISO 27002 -säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | UUSI | Uhan älykkyys |
| 5.23 | UUSI | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 8.9 | UUSI | Kokoonpanonhallinta |
| 8.10 | UUSI | Tietojen poistaminen |
| 8.11 | UUSI | Tietojen peittäminen |
| 8.12 | UUSI | Tietovuotojen esto |
| 8.16 | UUSI | Toimien seuranta |
| 8.23 | UUSI | Web-suodatus |
| 8.28 | UUSI | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Miten ISMS.online auttaa
ISMS.onlinen käyttö voit:
- Ota nopeasti käyttöön an Tietoturvan hallintajärjestelmä (ISMS).
- Helposti hallita ISMS-tietojesi dokumentaatiota.
- Tehosta kaikkien asiaankuuluvien standardien noudattamista.
- Hallitse kaikkia tietoturvaan liittyviä näkökohtiariskienhallinnasta turvallisuustietoisuuskoulutukseen.
- Kommunikoi tehokkaasti koko organisaatiossasi sisäänrakennetun viestintätoiminnon avulla.
Ota yhteyttä jo tänään varaa esittely.
