ISO 27002:2022, Kontrol 5.13 – Mærkning af information

Ejerskab af kontrol 5.13

I betragtning af, at tilføjelse af metadata til digitale aktiver er den primære måde at mærke informationsaktiver på, skal metadataadministratorer være ansvarlige for korrekt implementering af mærkningsproceduren.

Udover metadataforvalterne skal aktivejere med adgangs- og ændringsautorisationer være ansvarlige for korrekt mærkning af alle dataaktiver og skal foretage nødvendige ændringer af mærkning, hvis det er nødvendigt.

Generel vejledning om, hvordan man overholder

Kontrol 5.13 identificerer fire specifikke trin, som organisationer bør implementere for at udføre mærkning af information i overensstemmelse med 5.13.

Udvikle og implementere en informationsmærkningsprocedure

Organisationer bør udvikle en organisationsdækkende informationsmærkningsprocedure, der overholder informationsklassifikationsskemaet, der er oprettet i overensstemmelse med kontrol 5.12.

Endvidere kræver 5.13, at denne procedure udvides til at omfatte alle informationsaktiver, uanset om de er i digitalt eller papirformat, og at etiketterne skal være lette at genkende.

Selvom der ikke er nogen grænse for, hvad dette Proceduredokument kan indeholde, angiver Kontrol 5.13, at Procedurerne mindst skal omfatte følgende:

• Beskrivelse af metoderne til at vedhæfte etiketter til informationsaktiver afhængigt af lagringsmediet og hvordan der tilgås data.
• Hvor etiketterne skal vedhæftes for hver type informationsaktiv.
• Hvilke informationsaktiver vil ikke blive mærket, hvis nogen. For eksempel kan en organisation undlade at mærke offentlige data for at strømline informationsmærkningsprocessen.
• Beskrivelse af foranstaltninger for tilfælde, hvor det ikke er muligt at mærke visse typer information på grund af tekniske, juridiske eller kontraktmæssige begrænsninger.
• Reglerne om, hvordan mærkning af oplysninger, der sendes til interne eller eksterne parter, skal håndteres.
• For digitale aktiver skal Proceduren forklare, hvordan metadataene skal indsættes.
• Navne på etiketter, der skal bruges til alle aktiver.

Giv personalet tilstrækkelig træning i, hvordan man overholder mærkningsproceduren

Proceduren for mærkning af information kan kun være effektiv i det omfang, personalet og andre relevante interessenter er velinformerede om, hvordan man korrekt mærker information, og hvordan man håndterer mærkede informationsaktiver.

Derfor bør organisationer give personale og andre relevante parter træning i proceduren.

Brug metadata til mærkning af digitale informationsaktiver

5.13 kræver brug af metadata til mærkning af digitale informationsaktiver.

Endvidere bemærkes det, at metadataene bør implementeres på en måde, der gør det nemt og effektivt at identificere og søge efter information og også på en måde, der strømliner beslutningsprocessen mellem systemer relateret til mærket information.

Træf ekstra foranstaltninger for at mærke følsomme data, der kan strømme ud af systemet

I betragtning af de risici, der er forbundet med udadgående overførsel af følsomme data fra systemer, anbefaler 5.13 organisationer at mærke disse informationsaktiver med dem, der er mest passende i forhold til niveauet af kritik og følsomhed af de pågældende oplysninger.

Supplerende vejledning om kontrol 5.13

5.13 fremhæver, at identifikation og nøjagtig mærkning af klassificerede oplysninger er afgørende for sikkerheden i forbindelse med datadelingsoperationer.

Ud over de fire specifikke trin beskrevet ovenfor, anbefaler 5.13 også, at organisationer indsætter yderligere metadatapunkter såsom navnet på den proces, der skabte informationsaktivet, og tidspunktet for en sådan oprettelse.

Desuden henviser 5.13 til de almindelige mærkningsteknikker, som organisationer kan implementere:

• Fysiske mærker
• Headers og footers
• Metadata
• vandmærkning
• Gummi-stempler

Endelig understreger 5.13, at mærkning af informationsaktiver som "fortrolige" og "klassificerede" kan have utilsigtede konsekvenser, fordi det kan gøre det lettere for ondsindede aktører at søge igennem og finde følsomme informationsaktiver.

Ændringer og forskelle fra ISO 27002:2013

27002:2022/5.13 erstatter 27002:2013/8.2.2 (Mærkning af oplysninger).

Mens de to kontroller til en vis grad ligner hinanden, er der to vigtige forskelle, som gør 2022-versionen mere omfattende.

Nye krav til brug af metadata

Mens 2013-versionen omtalte metadata som en mærkningsteknik, pålagde den ingen specifikke forpligtelser for overholdelse ved brug af metadata.

I modsætning hertil stiller 2022-versionen strenge krav til, hvordan man bruger metadatateknik. For at illustrere kræver 2022-versionen, at:

• Metadata føjes til information på en måde, der gør det nemt at identificere, administrere og opdage information på en effektiv måde.
• Metadata for navnet på den organisatoriske proces, der skabte et bestemt aktiv, og dets tidspunkt skal indsættes.

Indholdet af informationsmærkningsproceduren skal være mere detaljeret

I modsætning til 2022-versionen specificerede 2013-versionen ikke det minimumsindhold, der skulle inkluderes i en informationsmærkningsprocedure.

Hvordan ISMS.online hjælper

ISO 27002 implementering er enklere med vores trin-for-trin tjekliste, der guider dig gennem hele processen, fra at definere omfanget af dit ISMS til risikoidentifikation og kontrolimplementering.

Vores platform er intuitiv og nem at bruge. Det er ikke kun for meget tekniske mennesker; det er for alle i din organisation. Vi opfordrer dig til at involvere medarbejdere på alle niveauer af din virksomhed i processen med at opbygge din ismer, fordi det hjælper dig med at bygge et virkelig bæredygtigt system.

Kontakt i dag for book en demo.