Valvonnan tarkoitus 8.11
Tietojen peittäminen on tekniikka, jota käytetään suojaamaan arkaluonteisia tietoja – yleensä kaikkia tietoja, joita voidaan pitää henkilökohtaisesti tunnistettavissa olevina tiedoina (PII) – organisaation standardien tietoturvaprotokollien, kuten kulunvalvonta jne., lisäksi.
Tietojen peittäminen mainitaan usein lakisääteisissä, lakisääteisissä ja säädöksissä sekä työntekijöiden, asiakkaiden, käyttäjien ja toimittajatietojen tallentamista ja käyttöä koskevissa laeissa.
Attribuuttien ohjaustaulukko 8.11
Ohjaus 8.11 on a ehkäisevä hallitse sitä muuttaa riskiä ehdottamalla sarjaa tietojen peittämistekniikoita, jotka suojaavat henkilökohtaisia tunnistetietoja ja auttavat organisaatiota noudattamaan sitä, mitä lakiviranomaiset ja sääntelyvirastot siltä vaativat.
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Suojella | #Tiedon suojaus | #Suojaus |
Määräysvallan omistus 8.11
Tietojen peittäminen on monimutkainen tekninen prosessi, jossa arkaluontoisia tietoja muutetaan ja käyttäjiä estetään tunnistamasta rekisteröityjä useilla eri toimenpiteillä.
Vaikka tämä itsessään on hallinnollinen tehtävä, tietojen peittämisen luonne liittyy suoraan organisaation kykyyn noudattaa lakeja, määräyksiä ja lakisääteisiä ohjeita, jotka koskevat tietojen tallentamista, käyttöä ja käsittelyä. Sellaisenaan omistusoikeuden tulisi sijaita Tietoturvajohtajatai vastaava organisaatio.
Vaatimustenmukaisuuden ei tarvitse olla monimutkaista.
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään.
Sinun tarvitsee vain täyttää tyhjät kohdat.
Yleiset noudattamisohjeet
Control 8.11 pyytää organisaatioita harkitsemaan tietojen peittämistä kahden päätekniikan avulla: pseudonymisointi ja / tai nimettömyys. Molemmat menetelmät on suunniteltu naamioimaan PII:n todellinen tarkoitus erottamalla toisistaan – eli piilottamalla yhteys raakatietojen ja kohteen (yleensä henkilön) välillä.
Organisaatioiden on huolehdittava siitä, että mikään yksittäinen tieto ei vaaranna kohteen identiteettiä.
Käyttäessään jompaakumpaa näistä tekniikoista organisaatioiden tulee harkita:
- Vaadittu pseudonymisoinnin ja/tai anonymisoinnin taso suhteessa tietojen luonteeseen.
- Miten peitettyjä tietoja käytetään.
- Kaikki sitovat sopimukset, jotka rajoittavat piilotettavien tietojen käyttöä.
- Pidä peitetyt tiedot erillään muista tietotyypeistä, jotta rekisteröidyn helppo tunnistaa.
- Kirjaa, milloin tiedot on vastaanotettu ja kuinka ne on toimitettu sisäisiin tai ulkoisiin lähteisiin.
Ohjaus – lisätekniikat
Pseudonymisointi ja anonymisointi eivät ole ainoita menetelmiä, jotka ovat käytettävissä organisaatioille, jotka haluavat peittää henkilökohtaisia tunnistetietoja tai arkaluonteisia tietoja. Ohjaus 8.11 hahmottelee viisi muuta menetelmää, joita voidaan käyttää tietoturvan vahvistamiseen:
- Avainpohjainen salaus.
- Tietojoukon merkkien mitätöiminen tai poistaminen.
- Vaihtelevat numerot ja päivämäärät.
- Arvot korvataan tiedoissa.
- Hash-pohjainen arvon maskaus.
Ohjeet – Tietojen peittämisperiaatteet
Tietojen peittäminen on tärkeä osa organisaation politiikkaa henkilökohtaisten tunnistetietojen suojaamisessa ja niiden henkilöiden henkilöllisyyden turvaamisessa, joista se säilyttää tietoja.
Yllä olevien tekniikoiden lisäksi organisaatioiden tulee ottaa huomioon seuraavat ehdotukset laatiessaan lähestymistapaansa tietojen peittämiseen:
- Ota käyttöön maskaustekniikoita, jotka paljastavat vain vähimmäismäärä dataa kenelle tahansa, joka sitä käyttää.
- Tiettyjen tietojen "hämärtäminen" (piilottaminen) tutkittavan pyynnöstä ja vain tietyille henkilöstön jäsenille sallitaan pääsy heille oleellisiin osioihin.
- Tietojen peittämisen rakentaminen tiettyjen laki- ja sääntelyohjeiden ympärille.
- Jos pseudonymisointi on toteutettu, tietojen "naamioimiseen" käytetty algoritmi pidetään turvassa.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia
ja määräykset, mikä antaa sinulle yhden
alusta kaikkiin vaatimustenmukaisuustarpeisiisi.
Muutokset ja erot standardista ISO 27002:2013
Ei mitään. Control 8.11:llä ei ole ennakkotapausta ISO 27002:2013:ssa, koska se on uusi.
Uudet ISO 27002 -säätimet
Uudet hallintalaitteet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | Uusi | Uhan älykkyys |
| 5.23 | Uusi | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | Uusi | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | Uusi | Fyysisen turvallisuuden valvonta |
| 8.9 | Uusi | Kokoonpanonhallinta |
| 8.10 | Uusi | Tietojen poistaminen |
| 8.11 | Uusi | Tietojen peittäminen |
| 8.12 | Uusi | Tietovuotojen esto |
| 8.16 | Uusi | Toimien seuranta |
| 8.23 | Uusi | Web-suodatus |
| 8.28 | Uusi | Turvallinen koodaus |
Organisaation valvonta
Ihmisten ohjaukset
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
Fyysiset säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | Uusi | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Tekniset säädöt
Miten ISMS.online auttaa
Pilvipohjainen alustamme tarjoaa sinulle vankan tietoturvan hallintakehyksen, jotta voit tarkistaa ISMS-prosessisi edetessäsi varmistaaksesi, että se täyttää ISO 27002:2022:n vaatimukset.
Ota yhteyttä jo tänään varaa esittely.
Hyppää aiheeseen
