Formål med kontrol 5.12
5.12 er en forebyggende kontrol, der identificerer risici ved at gøre det muligt for organisationer at bestemme beskyttelsesniveauet for hvert informationsaktiv baseret på informationens niveau af vigtighed og følsomhed.
5.12 advarer eksplicit organisationer mod over- eller underklassificering af oplysninger i den supplerende vejledning. Det fastslår, at organisationer bør tage hensyn til kravene til fortrolighed, tilgængelighed og integritet, når de tildeler aktiver til relevante kategorier.
Dette sikrer, at klassifikationsordningen skaber en passende balance mellem virksomhedens behov for oplysninger og sikkerhedskravene for hver informationskategori.
Kontrolattributter 5.12
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed | #Identificere | #Informationsbeskyttelse | #Beskyttelse |
| #Integritet | #Forsvar | |||
| #Tilgængelighed |
Ejerskab af kontrol 5.12
Mens der bør være en organisationsdækkende klassificering af informationsordninger med klassifikationsniveauer og kriterier for, hvordan klassificere informationsaktiver, er ejere af informationsaktiver i sidste ende ansvarlige for implementeringen af en klassifikationsordning.
5.12 anerkender udtrykkeligt, at ejere af de relevante informationsaktiv skal stå til ansvar.
Hvis fx regnskabsafdelingen har adgang til mapperne med lønindberetninger og kontoudtog, bør de klassificere oplysninger ud fra den organisationsdækkende klassifikationsordning.
Ved klassificering af oplysninger bør aktivejeren tage hensyn til tage højde for virksomhedens behov, påvirkningsniveauet, hvis information kompromitteres, vil have på organisationen og informationsniveauet og følsomheden.
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Generel vejledning om kontrol 5.12
For at implementere en robust klassificering af informationsskema bør organisationer anvende en emnespecifik tilgang, forstå hver forretningsenheds behov for information og bestemme niveauet af følsomhed og kritiskhed af information.
5.12 kræver, at organisationer tager hensyn til følgende syv kriterier, når de implementerer en klassifikationsordning:
- Etabler en emnespecifik politik og adresserer de specifikke forretningsbehov
5.12 henviser eksplicit til 5.1, Adgangskontrol og kræver, at organisationer overholder emnespecifikke politikker som beskrevet i 5.1. Derudover bør klassifikationsordningen og niveauerne tage højde for specifikke forretningsbehov.
- Tag hensyn til virksomhedens behov for deling og brug af information og behovet for tilgængelighed
Hvis du tildeler et informationsaktiv til en klassificeringskategori, der er unødvendigt højere, kan dette medføre risiko for forstyrrelse af dine kritiske forretningsfunktioner ved at begrænse adgangen til og brugen af information.
Derfor bør du stræbe efter at finde en balance mellem dine specifikke forretningsbehov for tilgængelighed og brug af information og kravene til fortrolighed og integritet af disse oplysninger.
- Overvej juridiske forpligtelser
Nogle love kan pålægge dig strengere forpligtelser for at sikre fortrolighed, integritet og tilgængelighed af oplysninger. Når du tildeler informationsaktiver til kategorier, bør juridiske forpligtelser have prioritet over din egen klassificering.
- Tag en risikobaseret tilgang og overvej den potentielle virkning af et kompromis
Hver type information har et forskelligt niveau af kritik af hver virksomheds drift og har et forskelligt niveau af følsomhed afhængigt af konteksten.
Ved implementering af klassificering af informationsordning bør organisationer spørge:
Hvilken indvirkning ville kompromitteringen af integritet, tilgængelighed og fortrolighed af disse oplysninger have på organisationen?
For eksempel er databaser med professionelle e-mail-adresser på kvalificerede kundeemner og medarbejdernes helbredsjournaler meget forskellige med hensyn til følsomhedsniveauet og den potentielle påvirkning.
- Gennemgå og opdater regelmæssigt klassifikationen
5.12 bemærker, at værdien, kritikaliteten og følsomheden af information ikke er statisk og kan ændre sig gennem informationens livscyklus. Derfor skal du regelmæssigt gennemgå hver klassifikation og foretage de nødvendige opdateringer.
Som et eksempel på en sådan ændring henviser 5.12 til videregivelse af oplysninger til offentligheden, hvilket i høj grad reducerer oplysningernes værdi og følsomhed.
- Rådfør dig med andre organisationer, du deler oplysninger med, og afgør eventuelle forskelle
Der er ikke én måde at klassificere oplysninger på, og hver organisation kan have forskellige navne, niveauer og kriterier, når det kommer til klassificering af informationsordninger.
Disse forskelle kan føre til risici, når de to organisationer udveksler informationsaktiver med hinanden. Derfor skal du lave en aftale med din modpart for at sikre, at der er sammenhæng i klassificering af oplysninger og fortolkning af klassifikationsniveauer.
- Konsistens på organisationsniveau
Hver afdeling i organisationen bør have en fælles forståelse af klassifikationsniveauer og procedurer, så klassifikationerne er konsistente på tværs af hele organisationen.
Frigør dig selv fra et bjerg af regneark
Integrer, udvid og skaler din compliance uden besvær. IO giver dig robustheden og selvtilliden til at vokse sikkert.
Vejledning om, hvordan man implementerer klassificering af informationsordning
Mens 5.12 anerkender, at der ikke findes en klassifikationsordning, der passer til alle, og organisationer har spillerum til at beslutte og beskrive individuelle klassifikationsniveauer, giver den følgende eksempel som en informationsklassifikationsordning:
a) Offentliggørelse forårsager ingen skade;
b) Offentliggørelse forårsager mindre omdømmeskade eller mindre driftsmæssig indvirkning;
c) Offentliggørelse har en væsentlig kortsigtet indvirkning på driften eller forretningsmålene;
d) Offentliggørelse har en alvorlig indvirkning på langsigtede forretningsmål eller sætter organisationens overlevelse i fare.
Ændringer og forskelle fra ISO 27002:2013
Klassifikationen af oplysninger blev behandlet i afsnit 8.2.1 i den tidligere version.
Selvom de to versioner er meget ens, er der to vigtige forskelle:
I den gamle version var der ingen eksplicit henvisning til kravet om konsistens af klassifikationsniveauer, når oplysninger overføres mellem organisationer.
I 2022-versionen skal du dog lave en aftale med din modpart for at sikre, at der er sammenhæng i klassificering af oplysninger og fortolkning af klassifikationsniveauer.
For det andet kræver den nye version eksplicit, at organisationer indfører emnespecifikke politikker. I den ældre version var der derimod kun en kort henvisning til adgangskontrollen.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
Vores platform er intuitiv og nem at bruge. Det er ikke kun for meget tekniske mennesker; det er for alle i din organisation. Vi opfordrer dig til at involvere medarbejdere på alle niveauer af din virksomhed i processen med at opbygge din ismer, fordi det hjælper dig med at bygge et virkelig bæredygtigt system.
Kontakt i dag for book en demo.
