ISO 27002:2022 – Kontrol 5.14 – Informationsoverførsel

Formål med kontrol 5.14

Kontrol 5.14 er en forebyggende form for kontrol, der kræver, at organisationer indfører passende regler, procedurer og/eller aftaler for at opretholde sikkerheden af ​​data, når de deles inden for en organisation, eller når de overføres til tredjeparter.

Kontrolattributter 5.14

Ejerskab af kontrol 5.14

Mens udvikling og implementering af regler, procedurer og aftaler kræver støtte og godkendelse fra ledelsen på højt niveau, er samarbejdet og ekspertisen mellem forskellige interessenter i en organisation, herunder det juridiske team, it-personale og den øverste ledelse, af afgørende betydning. .

For eksempel bør det juridiske team sikre, at organisationen indgår overførselsaftaler med tredjeparter, og at disse aftaler er i overensstemmelse med kravene specificeret i Kontrol 5.14. Ligeledes bør IT-teamet deltage aktivt i at definere og implementere kontroller for at opretholde datasikkerheden som beskrevet i 5.14.

Generel vejledning om kontrol 5.14

Overholdelse af 5.14 indebærer udvikling af regler, procedurer og aftaler, herunder en emnespecifik informationsoverførselspolitik, der giver data i transit et beskyttelsesniveau, der er passende for den klassifikation, der er tildelt disse oplysninger.

Med andre ord bør beskyttelsesniveauet svare til niveauet af kritikalitet og følsomhed af de transmitterede oplysninger.

Endvidere specificerer Kontrol 5.14, at organisationer skal underskrive overførselsaftaler med modtagende tredjeparter for at garantere sikker transmission af data.

Kontrol 5.14 grupperer overførselstyperne i tre kategorier:

• Elektronisk overførsel
• Fysisk lagringsmedieoverførsel
• Verbal overførsel

Før vi går videre til at beskrive de specifikke krav for hver type overførsel, opregner Kontrol 5.14 de elementer, der skal inkluderes i alle regler, procedurer og aftaler for alle tre typer overførsler generelt:

• Organisationer skal definere kontroller passende til klassificeringsniveauet af oplysningerne for at beskytte informationen under transit mod uautoriseret adgang, ændring, aflytning, kopiering, ødelæggelse og denial-of-service-angreb.
• En organisation skal have kontrol over kæden af ​​varetægt, mens den er i transit, og skal definere og implementere kontroller for at sikre sporbarhed af information.
• Relevante parter involveret i overførslen af ​​oplysninger bør defineres, og deres kontaktoplysninger bør angives. Dette kan omfatte informationsejere og sikkerhedsansvarlige.
• Tildeling af ansvar i tilfælde af databrud opstår.
• Brug af et mærkningssystem.
• Sikring af tilgængeligheden af ​​overførselstjenesten.
• Udarbejdelse af emnespecifikke retningslinjer for metoderne til informationsoverførsel.
• Retningslinjer for opbevaring og sletning af alle forretningsoplysninger, herunder meddelelser.
• Analyse af den indvirkning, eventuelle gældende love, regler eller andre forpligtelser kan have på overførslen.

Supplerende vejledning om elektronisk overførsel

Efter at have angivet minimumsindholdskravene for regler, procedurer og aftaler, der er fælles for alle tre typer overførsel, opstiller Control 5.14 specifikke indholdskrav for hver type overførsel.

Regler, aftaler og procedurer bør behandle følgende problemer, når oplysninger overføres elektronisk:

• Registrering og forebyggelse af malware-angreb.
• Beskyttelse af følsomme oplysninger indeholdt i de vedhæftede filer.
• Sikre, at al kommunikation sendes til de korrekte modtagere og risiko for at sende kommunikation til forkerte e-mailadresser, adresser eller telefonnumre er elimineret.
• Indhentning af forhåndstilladelse, før du begynder at bruge offentlige kommunikationstjenester.
• Implementering af strengere autentificeringsmetoder, når data transmitteres via offentlige netværk.
• Indførelse af restriktioner for brugen af ​​e-kommunikationstjenester såsom forbud mod automatisk videresendelse.
• Rådgive personalet om ikke at bruge SMS- eller onlinemeddelelsestjenester til at dele følsomme data, fordi dette indhold kan ses af uautoriserede personer i offentlige rum.
• Rådgivning af personale og andre relevante parter vedr sikkerhedsrisici præsenteret af faxmaskiner såsom risikoen for uautoriseret adgang eller omdirigering af beskeder til bestemte numre.

Supplerende vejledning om fysisk lagringsmedieoverførsel

Når oplysninger deles via fysiske midler såsom papirer, bør reglerne, procedurerne og aftalerne dække følgende:

• Tildeling af ansvar for anmeldelse af transmission, afsendelse og modtagelse.
• Sikring af korrekt adressering og transport af meddelelsen.
• Emballage eliminerer risikoen for skader på indholdet, der kan opstå, når indholdet er under transport. For eksempel skal emballagen være god nok til ikke at blive påvirket af varme eller fugt.
• En liste over pålidelige kurerer godkendt og godkendt af ledelsen.
• Beskrivelse af kureridentifikationsstandarder.
• Brug af manipulationssikre kontrolelementer såsom poser, hvis niveauet af følsomhed og kritiske oplysninger kræver det.
• Procedurer til at verificere ID'er for kurerer.
• Godkendt liste over tredjeparter, der leverer transport- eller kurertjenester afhængigt af klassificeringsniveauet.
• Fører logbog over leveringstidspunktet, liste over autoriserede modtagere, anvendte beskyttelser og kvittering på destinationen.

Supplerende vejledning om verbal overførsel

Kontrol 5.14 angiver, at når personale udveksler oplysninger inden for organisationen, eller når de overfører data til eksterne parter, skal de informeres om følgende risici:

• De bør undgå at have fortrolige samtaler over usikre offentlige kanaler eller i offentlige rum.
• De bør ikke efterlade talebeskeder, der indeholder fortrolige oplysninger i betragtning af risikoen for genafspilning af uautoriserede personer og risikoen for omdirigering af beskeden til tredje partier.
• Hver enkelt person, uanset om det er medarbejdere eller andre relevante tredjeparter, bør screenes, før de får lov til at lytte til samtaler.
• Lokaler, hvor fortrolige samtaler finder sted, bør være udstyret med passende betjeningselementer såsom lydisolering.
• De bør give en ansvarsfraskrivelse, før de har nogen følsom samtale.

Ændringer og forskelle fra ISO 27002:2013

27002:2022/5.14 erstatter 27002:2013/(13.2.1, 13.2.2. 13.2.3).

Mens de to kontroller til en vis grad ligner hinanden, gør to vigtige forskelle 2022-versionens krav mere besværlige.

Specifikke krav til elektriske, fysiske og verbale overførsler

I 2013-versionen, afsnit 13.2.3 behandlet de specifikke krav til overførsel af oplysninger via elektroniske beskeder.

Den behandlede dog ikke særskilt overførsel af oplysninger via verbal eller fysisk måde.

I modsætning hertil identificerer 2022-versionen klart tre typer informationsoverførsel og angiver derefter indholdskravene for hver af dem separat.

2022-versionen stiller strengere krav til elektronisk overførsel

Mens afsnit 13.2.3 indeholdt specifikke krav til indholdet af aftaler om elektroniske beskeder, pålægger 2022-versionen strengere forpligtelser for organisationer.

2022-versionen kræver, at organisationer beskriver og implementerer nye kontroller i regler, procedurer og aftaler for elektroniske overførsler.

For eksempel bør organisationer råde deres ansatte til ikke at bruge SMS-tjenester, når de indeholder følsomme oplysninger.

Mere detaljerede krav til fysiske overførsler

2022-versionen stiller strengere krav til den fysiske lagermedieoverførsel. For eksempel er dets krav mere omfattende med hensyn til autentificering af kurerer og de typer skader, der bør forhindres.

Strukturelle ændringer

I 2013-versionen var der en eksplicit henvisning til specifikke krav til aftaler om informationsoverførsel. Men "Reglerne" og "Procedurerne" blev ikke behandlet specifikt.

I modsætning hertil angiver 2022-versionen de specifikke krav til hver af disse tre mekanismer.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

ISO 27002 implementering er enklere med vores trin-for-trin tjekliste, der guider dig gennem hele processen, fra at definere omfanget af dit ISMS til risikoidentifikation og kontrolimplementering.

Kontakt i dag for book en demo.