ISO 27002:2022, Kontrol 5.12 – Klassificering af oplysninger

Ejerskab af kontrol 5.12

Mens der bør være en organisationsdækkende klassificering af informationsordninger med klassifikationsniveauer og kriterier for, hvordan klassificere informationsaktiver, er ejere af informationsaktiver i sidste ende ansvarlige for implementeringen af ​​en klassifikationsordning.

5.12 anerkender udtrykkeligt, at ejere af de relevante informationsaktiv skal stå til ansvar.

Hvis fx regnskabsafdelingen har adgang til mapperne med lønindberetninger og kontoudtog, bør de klassificere oplysninger ud fra den organisationsdækkende klassifikationsordning.

Ved klassificering af oplysninger bør aktivejeren tage hensyn til tage højde for virksomhedens behov, påvirkningsniveauet, hvis information kompromitteres, vil have på organisationen og informationsniveauet og følsomheden.

Generel vejledning om kontrol 5.12

For at implementere en robust klassificering af informationsskema bør organisationer anvende en emnespecifik tilgang, forstå hver forretningsenheds behov for information og bestemme niveauet af følsomhed og kritiskhed af information.

5.12 kræver, at organisationer tager hensyn til følgende syv kriterier, når de implementerer en klassifikationsordning:

• Etabler en emnespecifik politik og adresserer de specifikke forretningsbehov

5.12 henviser eksplicit til 5.1, Adgangskontrol og kræver, at organisationer overholder emnespecifikke politikker som beskrevet i 5.1. Derudover bør klassifikationsordningen og niveauerne tage højde for specifikke forretningsbehov.

• Tag hensyn til virksomhedens behov for deling og brug af information og behovet for tilgængelighed

Hvis du tildeler et informationsaktiv til en klassificeringskategori, der er unødvendigt højere, kan dette medføre risiko for forstyrrelse af dine kritiske forretningsfunktioner ved at begrænse adgangen til og brugen af ​​information.

Derfor bør du stræbe efter at finde en balance mellem dine specifikke forretningsbehov for tilgængelighed og brug af information og kravene til fortrolighed og integritet af disse oplysninger.

• Overvej juridiske forpligtelser

Nogle love kan pålægge dig strengere forpligtelser for at sikre fortrolighed, integritet og tilgængelighed af oplysninger. Når du tildeler informationsaktiver til kategorier, bør juridiske forpligtelser have prioritet over din egen klassificering.

• Tag en risikobaseret tilgang og overvej den potentielle virkning af et kompromis

Hver type information har et forskelligt niveau af kritik af hver virksomheds drift og har et forskelligt niveau af følsomhed afhængigt af konteksten.

Ved implementering af klassificering af informationsordning bør organisationer spørge:

Hvilken indvirkning ville kompromitteringen af ​​integritet, tilgængelighed og fortrolighed af disse oplysninger have på organisationen?

For eksempel er databaser med professionelle e-mail-adresser på kvalificerede kundeemner og medarbejdernes helbredsjournaler meget forskellige med hensyn til følsomhedsniveauet og den potentielle påvirkning.

• Gennemgå og opdater regelmæssigt klassifikationen

5.12 bemærker, at værdien, kritikaliteten og følsomheden af ​​information ikke er statisk og kan ændre sig gennem informationens livscyklus. Derfor skal du regelmæssigt gennemgå hver klassifikation og foretage de nødvendige opdateringer.

Som et eksempel på en sådan ændring henviser 5.12 til videregivelse af oplysninger til offentligheden, hvilket i høj grad reducerer oplysningernes værdi og følsomhed.

• Rådfør dig med andre organisationer, du deler oplysninger med, og afgør eventuelle forskelle

Der er ikke én måde at klassificere oplysninger på, og hver organisation kan have forskellige navne, niveauer og kriterier, når det kommer til klassificering af informationsordninger.

Disse forskelle kan føre til risici, når de to organisationer udveksler informationsaktiver med hinanden. Derfor skal du lave en aftale med din modpart for at sikre, at der er sammenhæng i klassificering af oplysninger og fortolkning af klassifikationsniveauer.

• Konsistens på organisationsniveau

Hver afdeling i organisationen bør have en fælles forståelse af klassifikationsniveauer og procedurer, så klassifikationerne er konsistente på tværs af hele organisationen.

Vejledning om, hvordan man implementerer klassificering af informationsordning

Mens 5.12 anerkender, at der ikke findes en klassifikationsordning, der passer til alle, og organisationer har spillerum til at beslutte og beskrive individuelle klassifikationsniveauer, giver den følgende eksempel som en informationsklassifikationsordning:

a) Offentliggørelse forårsager ingen skade;

b) Offentliggørelse forårsager mindre omdømmeskade eller mindre driftsmæssig indvirkning;

c) Offentliggørelse har en væsentlig kortsigtet indvirkning på driften eller forretningsmålene;

d) Offentliggørelse har en alvorlig indvirkning på langsigtede forretningsmål eller sætter organisationens overlevelse i fare.

Ændringer og forskelle fra ISO 27002:2013

Klassifikationen af ​​oplysninger blev behandlet i afsnit 8.2.1 i den tidligere version.

Selvom de to versioner er meget ens, er der to vigtige forskelle:

I den gamle version var der ingen eksplicit henvisning til kravet om konsistens af klassifikationsniveauer, når oplysninger overføres mellem organisationer.

I 2022-versionen skal du dog lave en aftale med din modpart for at sikre, at der er sammenhæng i klassificering af oplysninger og fortolkning af klassifikationsniveauer.

For det andet kræver den nye version eksplicit, at organisationer indfører emnespecifikke politikker. I den ældre version var der derimod kun en kort henvisning til adgangskontrollen.

Hvordan ISMS.online hjælper

Vores platform er intuitiv og nem at bruge. Det er ikke kun for meget tekniske mennesker; det er for alle i din organisation. Vi opfordrer dig til at involvere medarbejdere på alle niveauer af din virksomhed i processen med at opbygge din ismer, fordi det hjælper dig med at bygge et virkelig bæredygtigt system.

Kontakt i dag for book en demo.