ISO 27002:2022 – Ohjaus 7.10 – Tallennusvälineet

Suojattu tallennusvälineen hallinta: arkaluonteisten tietojen suojaaminen

Tallennusvälinelaitteiden, kuten SSD-levyjen, USB-tikkujen, ulkoisten asemien ja matkapuhelimien käyttö on elintärkeää monissa kriittisissä tiedonkäsittelytoiminnoissa, kuten tietojen varmuuskopioinnissa, tallentamisessa ja tiedonsiirrossa.

Kuitenkin varastointi herkkä ja kriittinen näiden laitteiden tiedot aiheuttavat riskejä eheydelle, luottamuksellisuus ja tietoresurssien saatavuus. Tällaisia ​​riskejä voivat olla arkaluontoisia tietoja sisältävien tallennusvälineiden katoaminen tai varkaus, haittaohjelmien leviäminen kaikkiin yritysten tietoverkkoihin tallennusvälineiden kautta sekä tietojen varmuuskopiointiin käytettyjen tallennusvälinelaitteiden vika ja heikkeneminen.

Ohjaus 7.10 käsittelee sitä, kuinka organisaatiot voivat luoda asianmukaiset menettelyt, käytännöt ja hallintakeinot säilyttääkseen tallennusvälineiden turvallisuuden koko sen elinkaaren ajan sen hankinnasta sen hävittämiseen.

Valvonnan tarkoitus 7.10

Control 7.10:n avulla organisaatiot voivat eliminoida ja lieventää riskejä luvattomasta pääsystä, käytöstä, poistamisesta, muuttamisesta ja siirtämisestä tallennusvälinelaitteissa oleviin arkaluontoisiin tietoihin asettamalla menettelyt tallennusvälineiden käsittelylle sen koko elinkaaren ajan.

Attribuuttien ohjaustaulukko 7.10

Valvonta 7.10 on ennaltaehkäisevä valvonta, joka edellyttää organisaatioiden luovan, toteuttavan ja ylläpitävän menettelyjä ja toimenpiteitä, joilla varmistetaan tallennusvälinelaitteiden turvallisuus niiden hankinnasta niiden hävittämiseen.

Mitä tallennusvälineitä Control 7.10 kattaa?

Ohjaus 7.10 koskee sekä digitaalisia että fyysisiä tallennusvälineitä. Esimerkiksi tietojen tallennus fyysisiin tiedostoihin myös Control 7.10 kattaa.

Lisäksi irrotettavan tallennusvälineen ohella myös kiinteät tallennusvälineet, kuten kiintolevyt, ovat Control 7.10:n alaisia.

Määräysvallan omistus 7.10

Valvonta 7.10 edellyttää, että organisaatiot luovat ja ottavat käyttöön asianmukaiset menettelyt, tekniset tarkastukset ja organisaation laajuiset käytännöt tallennusvälineiden käytölle, jotka perustuvat organisaation omaan luokitusjärjestelmään ja sen tiedonkäsittelyvaatimuksiin, kuten laillisiin ja sopimusvelvoitteisiin.

Tietoturvapäälliköiden tulisi tämän huomioon ottaen olla vastuussa koko vaatimustenmukaisuusprosessista.

Yleiset noudattamisohjeet

Irrotettava tallennusväline

Vaikka siirrettävät tallennusvälineet ovat välttämättömiä monille liiketoiminnoille ja useimmat henkilöstöstä käyttävät niitä yleisesti, ne muodostavat suurimman riskin arkaluontoisille tiedoille.

Ohjaus 7.10 luettelee kymmenen vaatimusta, joita organisaatioiden tulee noudattaa siirrettävien tallennusvälineiden hallinnassa koko sen elinkaaren ajan:

1. Organisaatioiden tulisi laatia aihekohtainen politiikka irrotettavien tallennusvälineiden hankinnasta, valtuuttamista, käyttöä ja hävittämistä varten. Tämä käytäntö on ilmoitettava koko henkilöstölle ja kaikille asianomaisille osapuolille.
2. Jos se on käytännöllistä ja tarpeellista, organisaatioiden tulee ottaa käyttöön valtuutusmenettelyt siitä, miten irrotettavat tallennusvälineet voidaan ottaa pois yrityksen tiloista. Lisäksi organisaatioiden tulee pitää kirjaa tallennusvälineiden poistamisesta kirjausketjua varten.
3. Kaikki irrotettavat tallennusvälineet tulee säilyttää turvallisessa paikassa, kuten kassakaapissa, ottaen huomioon tiedoille määritetty tiedon luokitustaso sekä tallennusvälineisiin kohdistuvat ympäristö- ja fyysiset uhat.
4. Jos siirrettävien tallennusvälineiden sisältämien tietojen luottamuksellisuus ja eheys ovat ratkaisevan tärkeitä, on käytettävä salaustekniikoita tallennusvälineiden suojaamiseksi luvattomalta käytöltä.
5. Irrotettavan tallennusvälineen huononemisen ja tietovälineille tallennettujen tietojen katoamisen riskin varalta tiedot on siirrettävä uuteen tallennusvälinelaitteeseen ennen tällaisen riskin syntymistä.
6. Kriittiset ja arkaluontoiset tiedot tulee kopioida ja tallentaa useille tallennusvälineille kriittisten tietojen menetyksen riskin minimoimiseksi.
7. Tietojen täydellisen menettämisen riskin vähentämiseksi voidaan harkita irrotettavien tallennusvälineiden rekisteröintiä.
8. Ellei ole liiketoimintaan liittyvää syytä käyttää irrotettavia tallennusvälineportteja, kuten USB-portteja tai SD-korttipaikkoja, niitä ei pitäisi sallia.
9. Tietojen siirtämiseksi siirrettäviin tallennusvälineisiin on oltava valvontamekanismi.
10. Kun fyysisten välineiden, kuten papereiden, sisältämiä tietoja siirretään kuriirin tai postin välityksellä, on olemassa suuri riski luvattomasta pääsystä näihin tietoihin. Sen vuoksi olisi sovellettava asianmukaisia ​​toimenpiteitä.

Ohjeet tallennusvälineiden turvalliseen uudelleenkäyttöön ja hävittämiseen

Ohjaus 7.10 sisältää erilliset ohjeet tallennusvälineiden turvallisesta uudelleenkäytöstä ja hävittämisestä, jotta organisaatiot voivat vähentää ja poistaa riskejä tietojen luottamuksellisuuden vaarantumisesta.

Valvonta 7.10 korostaa, että organisaatioiden tulisi määritellä ja soveltaa menettelyjä tallennusvälineiden uudelleenkäyttöä ja hävittämistä varten ottaen huomioon tallennusvälineiden sisältämien tietojen herkkyys.

Näitä menettelyjä laatiessaan organisaatioiden tulee ottaa huomioon seuraavat seikat:

1. Jos organisaation sisäinen osapuoli käyttää tallennusvälinettä uudelleen, kyseisellä tallennusvälineellä isännöidyt arkaluontoiset tiedot tulee peruuttamattomasti poistaa tai muotoilla uudelleen ennen kuin ne hyväksytään uudelleenkäyttöön.
2. Arkaluonteisia tietoja sisältävät tallennusvälineet tulee tuhota turvallisesti, kun niitä ei enää tarvita. Esimerkiksi paperiasiakirjoja voidaan silputa ja digitaaliset laitteet tuhota fyysisesti.
3. Hävittävien tallennusvälineiden tunnistamiseksi tulee olla menettely.
4. Kun organisaatiot päättävät työskennellä ulkopuolisen osapuolen kanssa tallennusvälineiden keräämisessä ja hävittämisessä, niiden tulee toimia asianmukaisesti huolellisuutta varmistaakseen, että valittu myyjä on pätevä ja se toteuttaa asianmukaisia ​​valvontatoimia.
5. Pidä kirjaa kaikista hävitetyistä tuotteista Kirjausketju.
6. Kun useita tallennusvälineitä hävitetään yhdessä, kerääntymisvaikutus on otettava huomioon: Eri tietokappaleiden yhdistäminen kustakin tallennusvälineestä voi muuttaa ei-arkaluonteiset tiedot arkaluontoisiksi tiedoiksi.

Viimeisenä mutta ei vähäisimpänä, Control 7.10 vaatii organisaatioita suorittamaan a vaurioituneiden laitteiden riskinarviointi, jossa on luottamuksellisia tietoja päättää, pitäisikö laite tuhota korjauksen sijaan.

Muutokset ja erot standardista ISO 27002:2013

27002:2022/7.10 korvaa 27002:2013/(08.3.1, 08.3.2, 08.3.3, 11.2.5)

On neljä keskeistä eroa, jotka on korostettava:

• Rakenteelliset muutokset

Vuoden 2013 versio sisälsi kolme erillistä hallinnan valvontaa tietovälineiden, materiaalien hävittämisen ja fyysisen median siirron osalta 2022-versio yhdistää nämä kolme ohjausta Control 7.10:ssä.

• 2022-versio sisältää vaatimukset tallennusvälineiden uudelleenkäytölle

Toisin kuin vuoden 2013 versio, jossa käsiteltiin vain tallennusvälineiden turvallista hävittämistä, vuoden 2022 versio käsittelee myös tallennusvälineiden turvallista uudelleenkäyttöä.

• 2013-versio sisältää kattavammat vaatimukset tallennusvälineiden fyysiselle siirrolle

2013-versio sisälsi kattavammat vaatimukset tallennusvälineiden fyysiselle siirrolle. Esimerkiksi vuoden 2013 versio sisälsi kuriirien henkilöllisyyden todentamista koskevat säännöt ja pakkausstandardit.

Control 7.10 2022-versiossa sen sijaan totesi vain, että organisaatioiden tulee toimia huolellisesti valitessaan palveluntarjoajia, kuten kuriireita.

• 2022-versio edellyttää aihekohtaista käytäntöä irrotettaville tallennusvälineille

Vaikka versiot 2022 ja 2013 ovat suurelta osin samankaltaisia ​​irrotettaville tallennusvälineille asetettujen vaatimusten suhteen, vuoden 2022 versio sisältää vaatimuksen aihekohtaisen käytännön luomisesta irrotettaville tallennusvälineille. Vuoden 2013 versio ei sen sijaan kattanut tätä vaatimusta.

Uudet ISO 27002 -säätimet

Miten ISMS.online auttaa

- ISMS.online-alusta käyttää riskiin perustuvaa lähestymistapaa yhdistettynä alan johtaviin parhaisiin käytäntöihin ja malleihin auttaakseen sinua tunnistamaan organisaatiosi kohtaamat riskit ja hallintakeinot, joita tarvitaan näiden riskien hallitsemiseksi. Näin voit systemaattisesti vähentää sekä riskiäsi että noudattamisesta aiheutuvia kustannuksia.

Ota yhteyttä jo tänään varaa esittely.