ISO 27701 – Lauseke 6.9.2 – Suojaus haittaohjelmilta

ISO 27701 -lauseke 6.9.2: Haittaohjelmien suojausstrategioiden vahvistaminen

Jopa järeimmissä ja vesitiiviimmissä verkoissa vikoja ja tunkeutumisia voi tapahtua ja tapahtuu.

Organisaatioiden on oletettava, että kriittisiä skenaarioita tapahtuu milloin tahansa, ja suojattava henkilökohtaisia ​​tunnistetietoja tunkeutumiselta sekä taattava liiketoiminnan jatkuvuus monipuolisilla ja selkeästi ymmärrettävillä BUDR-menettelyillä.

Mitä ISO 27701:n lauseke 6.9.2 kattaa

ISO 27701 -lauseke 6.9.2 sisältää kaksi alalauseketta, jotka tarjoavat ohjeita haittaohjelmien torjuntatekniikoista ja BUDR-toiminnoista.

Molemmat lausekkeet liittyvät ISO 27002:n sisältämät tiedot, jossa on ohjeita henkilökohtaisten tunnistetietojen ja yksityisyyden suojan puitteissa:

• ISO 27701 6.9.2.1 Haittaohjelmien torjunta (viitteet ISO 27002 ohjaus 8.7)
• ISO 27701 6.9.3.1 Tietojen varmuuskopiointi (viitteet ISO 27002 ohjaus 8.13)

ISO 27701 6.9.3.1 sisältää ohjeita, jotka liittyvät useisiin Yhdistyneen kuningaskunnan GDPR-lainsäädännön artikkeleihin – avuksesi on yhteenveto – ja kattavat lisäohjeet siitä, kuinka organisaatioiden tulee suhtautua sekä henkilökohtaisten tunnistetietojen varmuuskopiointiin että palauttamiseen.

Huomaa, että GDPR-viitteet ovat vain ohjeellisia. Organisaatioiden tulee tutkia lainsäädäntöä ja tehdä omat arvionsa siitä, mitä lain osia niihin sovelletaan.

ISO 27701, lauseke 6.9.2.1 – Haittaohjelmien torjunta

Viitteet ISO 27002 Control 8.7

Suojellakseen henkilökohtaisia ​​tunnistetietoja ja yksityisyyteen liittyvää omaisuutta organisaatioiden on otettava käyttöön erilaisia ​​haittaohjelmien torjuntatekniikoita ja alustoja, mukaan lukien:

• Rajoitettujen/kiellettyjen ohjelmistojen ja sovellusten luettelon ylläpitäminen (katso ISO 27002 -säätimet 8.19 ja 8.32).
• Sisällön suodatuksen käyttö estämään pääsy epäilyttäville verkkosivustoille.
• "teknisten haavoittuvuuksien hallinta" -toimenpiteiden käyttöönotto (katso ISO 27002 -säätimet 8.8 ja 8.19).
• Tarkastamme säännöllisesti ohjelmistojen ja tietojen käyttöä luvattoman tai epäilyttävän sovellusten ja järjestelmien havaitsemiseksi.
• Suojaus riskeiltä, ​​jotka liittyvät tietojen ja/tai sovellusten hankkimiseen ulkoisista ja kolmannen osapuolen lähteistä.
• Suorittaa säännöllisiä haittaohjelmien torjuntatarkistuksia, jotka kattavat koko verkon, mukaan lukien sähköpostit, verkkosivustot ja irrotettavat tietovälineet.
• Pohditaan, missä verkossa haittaohjelmien torjuntatyökaluja tulisi ottaa käyttöön (esim. yhdyskäytävän suojaus ja "syvällisen puolustuksen" edistäminen.
• Seuraa tapauksia ja kriittisiä toimenpiteitä sen varmistamiseksi, ettei haittaohjelmia joudu vahingossa verkkoon aikoina, jolloin standardeja ICT-sääntöjä kierretään.
• Käyttö prosesseilla, jotka mahdollistavat kriittisen puuttumisen epäiltyjä tunkeutumisia vastaan, kuten kriittisten järjestelmäprosessien väliaikaisen poistamisen käytöstä, mukaan lukien perusteellinen perustelu- ja tarkistusmenettely.
• Vankat BUDR- ja liiketoiminnan jatkuvuussuunnitelmat, jotka sisältävät toimintaympäristöjen poistamisen ja/tai eristämisen (katso ISO 27002 -ohjaus 8.13).
• Tietoisuuskoulutus kaikille käyttäjille (katso ISO 27002 -ohjaus 6.3).
• Säilytä aktiivinen läsnäolo haittaohjelmien torjuntayhteisössä ja pysyt ajan tasalla viimeisimmistä kyberturvallisuustrendeistä, mukaan lukien virustunnisteet, hyökkäysvektorit ja korjaavat toimet.
• Varmistaa, että kaikki ulkoisista lähteistä peräisin oleva haittaohjelmia koskeva toimintakelpoinen viestintä varmistetaan riippumattomasti ja että se tulee luotettavasta lähteestä.

Asiaankuuluvat ISO 27002 -säätimet

• ISO 27002 6.3
• ISO 27002 8.8
• ISO 27002 8.13
• ISO 27002 8.19
• ISO 27002 8.32

ISO 27701, lauseke 6.9.3.1 – Tietojen varmuuskopiointi

Viitteet ISO 27002 Control 8.13

Organisaatioiden tulee laatia aihekohtaisia ​​käytäntöjä, joissa käsitellään suoraan sitä, miten organisaatio varmuuskopioi verkostonsa asiaankuuluvia alueita henkilökohtaisten tunnistetietojen turvaamiseksi ja parantaakseen vastustuskykyä yksityisyyteen liittyvien tapausten varalta.

BUDR-menettelyt tulisi laatia ensisijaisen tavoitteen saavuttamiseksi kaikki liiketoimintakriittiset tiedot, ohjelmistot ja järjestelmät voidaan palauttaa seuraavaksi tietojen menetys, tunkeutumisen, liiketoiminnan keskeytys ja kriittisiä epäonnistumisia.

Ensisijaisesti BUDR-suunnitelmien tulee:

• Esittele palautusmenettelyt, jotka kattavat kaikki kriittiset järjestelmät ja palvelut.
• Pystyy tuottamaan toimivia kopioita kaikista järjestelmistä, tiedoista tai sovelluksista, jotka ovat osa varmuuskopiointityötä.
• palvelee organisaation kaupallisia ja toiminnallisia vaatimuksia (katso ISO 27002 -ohjaus 5.30).
• Säilytä varmuuskopiot ympäristösuojatussa paikassa, joka on fyysisesti erillään lähdetiedoista (katso ISO 27002 -ohjaus 8.1).
• Testaa ja arvioi varmuuskopiointityöt säännöllisesti organisaatioiden määräämiin palautusaikaan nähden, jotta tiedon saatavuus voidaan taata.
• Salaa kaikki henkilökohtaisiin tunnistetietoihin liittyvät varmuuskopiotiedot.
• Tarkista ennen varmuuskopiointityön suorittamista tietojen häviämisen varalta.
• Noudata raportointijärjestelmää, joka varoittaa henkilöstöä varmuuskopiointitöiden tilasta.
• Pyri sisällyttämään tietoja pilvipohjaisista alustoista, joita organisaatio ei hallinnoi suoraan, sisäisiin varmuuskopiointitöihin.
• Säilytä varmuuskopiot asianmukaisten henkilökohtaisten tunnistetietojen säilytyskäytännön mukaisesti (katso ISO 27002 -ohjaus 8.10).

Muita henkilökohtaisia ​​tunnistetietoja koskevia ohjeita

Organisaatioiden on kehitettävä erilliset menettelyt, jotka käsittelevät yksinomaan henkilökohtaisia ​​tunnistetietoja (vaikkakin sisältyvät niiden pääasialliseen BUDR-suunnitelmaan).

PII BUDR -standardien alueelliset erot (sopimusperusteiset, oikeudelliset ja säädökset) tulee ottaa huomioon aina kun uusi työpaikka luodaan, työpaikkoja muutetaan tai uusia PII-tietoja lisätään BUDR-rutiiniin.

Aina kun tulee tarve palauttaa henkilökohtaisia ​​tunnistetietoja BUDR-tapahtuman jälkeen, organisaatioiden tulee olla erittäin huolellisia palauttaakseen henkilökohtaisia ​​tunnistetietoja alkuperäiseen tilaan ja tarkastella palautustoimenpiteitä uusiin tietoihin liittyvien ongelmien ratkaisemiseksi.

Organisaatioiden tulee pitää kirjaa palautustoimista, mukaan lukien palauttamiseen osallistuneista henkilöistä, sekä kuvaus palautetuista henkilökohtaisista tunnisteista.

Organisaatioiden tulee ottaa yhteyttä lainsäädäntöön tai sääntelyviranomaisiin ja varmistaa, että niiden henkilökohtaisten tunnistetietojen palautusmenettelyt ovat linjassa sen kanssa, mitä niiltä odotetaan henkilötietojen käsittelijänä ja rekisterinpitäjänä.

Asiaankuuluvat ISO 27002 -säätimet

• ISO 27002 5.30
• ISO 27002 8.1
• ISO 27002 8.10

Sovellettavat GDPR-artikkelit

• 5 artikla – 1 kohdan f alakohta
• 32 artikla – 1 kohdan c alakohta

Tuetut säätimet ISO 27002:sta ja GDPR:stä

Miten ISMS.online auttaa

ISO 27701 -standardin saavuttamiseksi sinun on rakennettava tietosuojatietojen hallintajärjestelmä. Esikonfiguroidun PIMS:n avulla voit nopeasti ja helposti järjestellä ja hallita asiakas-, toimittaja- ja henkilöstötietoja täysin ISO 27701 -standardin mukaisiksi.

Voit myös mukautua kasvavaan määrään maailmanlaajuisia, alueellisia ja alakohtaisia ​​tietosuojasäännöksiä, joita tuemme ISMS.online-alustalla.

ISO 27701 (tietosuoja) -sertifikaatin saavuttamiseksi sinun on ensin saatava ISO 27001 (tietoturva) -sertifikaatti. Hyvä uutinen on, että alustamme voi auttaa sinua tekemään molemmat vaivattomasti!

Lisätietoja: varata demo.