ISO 27002:2022 – Valvonta 5.33 – Tietueiden suojaus

ISO 27002:2022 Control 5.33 – Tietueiden suojauksen parhaat käytännöt

Tietueet ovat hämärä käsite, jota joidenkin organisaatioiden on vaikea luokitella ja hallita vaatimustenmukaisuussyistä.

Tietueet ICT:n puitteissa ovat toinen termi tiedoille ja tiedoille, joita organisaatio säilyttää ja/tai käyttää päivittäiseen liiketoimintaansa, mukaan lukien (mutta ei rajoittuen):

1. Yksittäiset tapahtumat
2. Liiketoimet
3. Työprosessit
4. Toiminta
5. Tehtävät

ISO määrittelee tietueet standardiensa puitteissa "mikä tahansa tietojoukko sen rakenteesta tai muodosta riippumatta", mukaan lukien "asiakirja, kokoelma dataa tai muun tyyppistä tietoa, joka luodaan, kerätään ja hallitaan liiketoiminnan aikana ”, mukaan lukien tietueen metatiedot.

Valvonnan tarkoitus 5.33

Jokaisella organisaatiolla on velvollisuus varmistaa, että sen hallussa olevat tiedot – mukaan lukien, mutta ei rajoittuen, taloudelliset henkilöt tiedot tai toiminta-alueet – pidetään turvassa, ja sisäiset menettelyt ovat kaikkien voimassa olevien vaatimusten mukaisia.

Ohjaus 5.33 käsittelee yritystietojen suojaamista viideltä suurelta tapahtumalta:

1. Tappio
2. tuho
3. Väärentäminen
4. Luvaton käyttö
5. Luvaton julkaisu tai julkaisu

Ominaisuustaulukko

Ohjaus 5.33 on a ennaltaehkäisevä valvonta että ylläpitää riskiä luomalla ohjeita ja menettelyjä – mukaan lukien säilytysaikataulut – jotka täyttävät organisaation lakisääteiset, lakisääteiset, säännökset ja sopimusvaatimukset, jotka liittyvät suojaus ja saatavuus kaikista sen hallussa olevista tietueista.

Yleiset valvontaohjeet 5.33

Ohjaus 5.33 tunnustaa, että an organisaation tarpeet ovat juoksevia kun kyse on tietueiden määrästä ja tyypistä, joita tarvitaan liiketoiminnassa päivästä toiseen.

Sellaisenaan Control 5.33 luokittelee tietueidenhallinnan neljään päämääritteeseen:

1. Aitous
2. Luotettavuus
3. Eheys
4. Käytettävyys

Näiden määritteiden puitteissa Control 5.33 pyytää organisaatioita:

1. Laadi ja julkaise ohjeita, jotka käsittelevät neljää päätoimintoa sekä aihekohtaisia ​​käytäntöjä, jotka huomioivat kyseisten tietueiden taustalla olevan luonteen:

   a) Levyjen tallennus
   b) Tietueen käsittelyn säilytysketju
   c) Levyjen hävittäminen
   d) Manipuloinnin estäminen

2. Ylläpidä toimivaa tietueiden säilytysaikataulua, jossa hahmotellaan selkeästi, kuinka kauan erityyppisiä tietueita tulee säilyttää niiden yksittäisten liiketoimintatoimintojen mukaisesti.
3. Luo varastointi- ja käsittelymenettelyt, joissa otetaan huomioon:

   a) kaikki kaupallista kirjanpitoa koskevat voimassa olevat lait
   b) "yhteisön ja yhteiskunnan" odotukset siitä, kuinka organisaation tulee käsitellä arkistointiaan

4. Ota käyttöön menettelyt, jotka tuhoavat tietueet turvallisesti ja asianmukaisesti heti, kun niitä ei tarvita (säilytysajan päätyttyä).
5. Luokittele tietueet suojausta varten (mukaan lukien asianmukaiset säilytysajat ja käytetyt tallennusvälineet) perusteella heidän turvallisuusriskinsä, ja eri tyypit, mukaan lukien (mutta ei rajoittuen):

   a) Kirjanpitoasiakirjat
   b) Yrityksen tilisiirrot
   c) Henkilöstöasiakirjat
   d) Lakiasiakirjat

6. Varmista, että kaikki säilytysmenettelyt kattavat hyväksyttävän aikakehyksen noutamiselle, mikäli organisaatiota pyydetään tuottamaan ne kolmannen osapuolen toimesta, tai sisäiseen käyttöön.
7. Kun tietueiden tallentamiseen käytetään sähköisiä tietovälineitä, on harkittava ja vähennettävä mahdollisuutta päästä tietueisiin tai hakea niitä, jotka estyvät teknisten muutosten vuoksi, mukaan lukien salaustietojen säilyttäminen (katso valvonta 8.24).
8. Noudata valmistajan ohjeita, kun tallennat tai käsittelet tietueita sähköisessä muodossa tai niiden välityksellä, mukaan lukien kyseisten tietovälineiden luonnollisen pilaantumisen riittävä huomioiminen.

Muutokset ja erot standardista ISO 27002:2013

27002:2022-5.33 korvaa 27002:2013-18.1.3 (tietueiden suojaus) erilaisilla lisäyksillä yksittäisten ohjeiden ja yleisten prosessien muodossa, joita on noudatettava.

Vuoden 2022 kontrollissa ISO tunnustaa, että on tärkeää määritellä, mikä on liiketietue. 27002:2022-5.33 sisältää lukuisia esimerkkejä siitä, mitä ISO pitää tietueena (katso edellä), jotka puuttuvat kohdista 27002:2013-18.1.3.

Ohjaus 5.33 keskittää organisaation huomion myös kahteen pääohjeistuskohtaan, jotka eivät sisälly sen vuoden 2013 vastineeseen (ohjeet 1 ja 2 yllä), jotka puolestaan ​​muodostavat perustan organisaation tietuepolitiikalle – erityisesti säilytysaikataululle, joka määrää, miten pitkiä tallenteita tulee säilyttää ja mediakohtaisia ​​vaatimuksia varten.

Metadata on myös tullut ensimmäistä kertaa esiin arkistonhallinnassa. 27002:2013-18.1.3 ei sisällä mainintaa siitä, kun taas 27002:2022-5.33 pitää sitä "olennaisena komponenttina".

Uudet ISO 27002 -säätimet

Miten ISMS.online auttaa

ISMS.onlinen käyttö voit:

• Ota nopeasti käyttöön an Tietoturvan hallintajärjestelmä (ISMS).
• Helposti hallita ISMS-tietojesi dokumentaatiota.
• Tehosta kaikkien asiaankuuluvien standardien noudattamista.
• Hallitse kaikkia tietoturvaan liittyviä näkökohtiariskienhallinnasta turvallisuustietoisuuskoulutukseen.
• Kommunikoi tehokkaasti koko organisaatiossasi sisäänrakennetun viestintätoiminnon avulla.

Ota yhteyttä jo tänään varaa esittely.