Formål med kontrol 5.14
Kontrol 5.14 er en forebyggende form for kontrol, der kræver, at organisationer indfører passende regler, procedurer og/eller aftaler for at opretholde sikkerheden af data, når de deles inden for en organisation, eller når de overføres til tredjeparter.
Kontrolattributter 5.14
| Kontrol type | Informationssikkerhedsegenskaber | Cybersikkerhedskoncepter | Operationelle evner | Sikkerhedsdomæner |
|---|---|---|---|---|
| #Forebyggende | #Fortrolighed | #Beskytte | # Asset Management | #Beskyttelse |
| #Integritet | #Informationsbeskyttelse | |||
| #Tilgængelighed |
Ejerskab af kontrol 5.14
Mens udvikling og implementering af regler, procedurer og aftaler kræver støtte og godkendelse fra ledelsen på højt niveau, er samarbejdet og ekspertisen mellem forskellige interessenter i en organisation, herunder det juridiske team, it-personale og den øverste ledelse, af afgørende betydning. .
For eksempel bør det juridiske team sikre, at organisationen indgår overførselsaftaler med tredjeparter, og at disse aftaler er i overensstemmelse med kravene specificeret i Kontrol 5.14. Ligeledes bør IT-teamet deltage aktivt i at definere og implementere kontroller for at opretholde datasikkerheden som beskrevet i 5.14.
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Generel vejledning om kontrol 5.14
Overholdelse af 5.14 indebærer udvikling af regler, procedurer og aftaler, herunder en emnespecifik informationsoverførselspolitik, der giver data i transit et beskyttelsesniveau, der er passende for den klassifikation, der er tildelt disse oplysninger.
Med andre ord bør beskyttelsesniveauet svare til niveauet af kritikalitet og følsomhed af de transmitterede oplysninger.
Endvidere specificerer Kontrol 5.14, at organisationer skal underskrive overførselsaftaler med modtagende tredjeparter for at garantere sikker transmission af data.
Kontrol 5.14 grupperer overførselstyperne i tre kategorier:
- Elektronisk overførsel
- Fysisk lagringsmedieoverførsel
- Verbal overførsel
Før vi går videre til at beskrive de specifikke krav for hver type overførsel, opregner Kontrol 5.14 de elementer, der skal inkluderes i alle regler, procedurer og aftaler for alle tre typer overførsler generelt:
- Organisationer skal definere kontroller passende til klassificeringsniveauet af oplysningerne for at beskytte informationen under transit mod uautoriseret adgang, ændring, aflytning, kopiering, ødelæggelse og denial-of-service-angreb.
- En organisation skal have kontrol over kæden af varetægt, mens den er i transit, og skal definere og implementere kontroller for at sikre sporbarhed af information.
- Relevante parter involveret i overførslen af oplysninger bør defineres, og deres kontaktoplysninger bør angives. Dette kan omfatte informationsejere og sikkerhedsansvarlige.
- Tildeling af ansvar i tilfælde af databrud opstår.
- Brug af et mærkningssystem.
- Sikring af tilgængeligheden af overførselstjenesten.
- Udarbejdelse af emnespecifikke retningslinjer for metoderne til informationsoverførsel.
- Retningslinjer for opbevaring og sletning af alle forretningsoplysninger, herunder meddelelser.
- Analyse af den indvirkning, eventuelle gældende love, regler eller andre forpligtelser kan have på overførslen.
Frigør dig selv fra et bjerg af regneark
Integrer, udvid og skaler din compliance uden besvær. IO giver dig robustheden og selvtilliden til at vokse sikkert.
Supplerende vejledning om elektronisk overførsel
Efter at have angivet minimumsindholdskravene for regler, procedurer og aftaler, der er fælles for alle tre typer overførsel, opstiller Control 5.14 specifikke indholdskrav for hver type overførsel.
Regler, aftaler og procedurer bør behandle følgende problemer, når oplysninger overføres elektronisk:
- Registrering og forebyggelse af malware-angreb.
- Beskyttelse af følsomme oplysninger indeholdt i de vedhæftede filer.
- Sikre, at al kommunikation sendes til de korrekte modtagere og risiko for at sende kommunikation til forkerte e-mailadresser, adresser eller telefonnumre er elimineret.
- Indhentning af forhåndstilladelse, før du begynder at bruge offentlige kommunikationstjenester.
- Implementering af strengere autentificeringsmetoder, når data transmitteres via offentlige netværk.
- Indførelse af restriktioner for brugen af e-kommunikationstjenester såsom forbud mod automatisk videresendelse.
- Rådgive personalet om ikke at bruge SMS- eller onlinemeddelelsestjenester til at dele følsomme data, fordi dette indhold kan ses af uautoriserede personer i offentlige rum.
- Rådgivning af personale og andre relevante parter vedr sikkerhedsrisici præsenteret af faxmaskiner såsom risikoen for uautoriseret adgang eller omdirigering af beskeder til bestemte numre.
Supplerende vejledning om fysisk lagringsmedieoverførsel
Når oplysninger deles via fysiske midler såsom papirer, bør reglerne, procedurerne og aftalerne dække følgende:
- Tildeling af ansvar for anmeldelse af transmission, afsendelse og modtagelse.
- Sikring af korrekt adressering og transport af meddelelsen.
- Emballage eliminerer risikoen for skader på indholdet, der kan opstå, når indholdet er under transport. For eksempel skal emballagen være god nok til ikke at blive påvirket af varme eller fugt.
- En liste over pålidelige kurerer godkendt og godkendt af ledelsen.
- Beskrivelse af kureridentifikationsstandarder.
- Brug af manipulationssikre kontrolelementer såsom poser, hvis niveauet af følsomhed og kritiske oplysninger kræver det.
- Procedurer til at verificere ID'er for kurerer.
- Godkendt liste over tredjeparter, der leverer transport- eller kurertjenester afhængigt af klassificeringsniveauet.
- Fører logbog over leveringstidspunktet, liste over autoriserede modtagere, anvendte beskyttelser og kvittering på destinationen.
Supplerende vejledning om verbal overførsel
Kontrol 5.14 angiver, at når personale udveksler oplysninger inden for organisationen, eller når de overfører data til eksterne parter, skal de informeres om følgende risici:
- De bør undgå at have fortrolige samtaler over usikre offentlige kanaler eller i offentlige rum.
- De bør ikke efterlade talebeskeder, der indeholder fortrolige oplysninger i betragtning af risikoen for genafspilning af uautoriserede personer og risikoen for omdirigering af beskeden til tredje partier.
- Hver enkelt person, uanset om det er medarbejdere eller andre relevante tredjeparter, bør screenes, før de får lov til at lytte til samtaler.
- Lokaler, hvor fortrolige samtaler finder sted, bør være udstyret med passende betjeningselementer såsom lydisolering.
- De bør give en ansvarsfraskrivelse, før de har nogen følsom samtale.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Ændringer og forskelle fra ISO 27002:2013
27002:2022/5.14 erstatter 27002:2013/(13.2.1, 13.2.2. 13.2.3).
Mens de to kontroller til en vis grad ligner hinanden, gør to vigtige forskelle 2022-versionens krav mere besværlige.
Specifikke krav til elektriske, fysiske og verbale overførsler
I 2013-versionen, afsnit 13.2.3 behandlet de specifikke krav til overførsel af oplysninger via elektroniske beskeder.
Den behandlede dog ikke særskilt overførsel af oplysninger via verbal eller fysisk måde.
I modsætning hertil identificerer 2022-versionen klart tre typer informationsoverførsel og angiver derefter indholdskravene for hver af dem separat.
2022-versionen stiller strengere krav til elektronisk overførsel
Mens afsnit 13.2.3 indeholdt specifikke krav til indholdet af aftaler om elektroniske beskeder, pålægger 2022-versionen strengere forpligtelser for organisationer.
2022-versionen kræver, at organisationer beskriver og implementerer nye kontroller i regler, procedurer og aftaler for elektroniske overførsler.
For eksempel bør organisationer råde deres ansatte til ikke at bruge SMS-tjenester, når de indeholder følsomme oplysninger.
Mere detaljerede krav til fysiske overførsler
2022-versionen stiller strengere krav til den fysiske lagermedieoverførsel. For eksempel er dets krav mere omfattende med hensyn til autentificering af kurerer og de typer skader, der bør forhindres.
Strukturelle ændringer
I 2013-versionen var der en eksplicit henvisning til specifikke krav til aftaler om informationsoverførsel. Men "Reglerne" og "Procedurerne" blev ikke behandlet specifikt.
I modsætning hertil angiver 2022-versionen de specifikke krav til hver af disse tre mekanismer.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 5.7 | NY | Trusselsintelligens |
| 5.23 | NY | Informationssikkerhed til brug af cloud-tjenester |
| 5.30 | NY | IKT-parathed til forretningskontinuitet |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 8.9 | NY | Konfigurationsstyring |
| 8.10 | NY | Sletning af oplysninger |
| 8.11 | NY | Datamaskering |
| 8.12 | NY | Forebyggelse af datalækage |
| 8.16 | NY | Overvågning af aktiviteter |
| 8.23 | NY | Webfiltrering |
| 8.28 | NY | Sikker kodning |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansættelse |
| 6.3 | 07.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| 6.4 | 07.2.3 | Disciplinær proces |
| 6.5 | 07.3.1 | Ansvar efter opsigelse eller ændring af ansættelsesforhold |
| 6.6 | 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| 6.7 | 06.2.2 | Fjernbetjening |
| 6.8 | 16.1.2, 16.1.3 | Informationssikkerhedshændelsesrapportering |
| ISO/IEC 27002:2022 kontrolidentifikator | ISO/IEC 27002:2013 kontrolidentifikator | Kontrolnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhedsomkredse |
| 7.2 | 11.1.2, 11.1.6 | Fysisk adgang |
| 7.3 | 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| 7.4 | NY | Fysisk sikkerhedsovervågning |
| 7.5 | 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| 7.6 | 11.1.5 | Arbejde i sikre områder |
| 7.7 | 11.2.9 | Overskueligt skrivebord og klar skærm |
| 7.8 | 11.2.1 | Udstyrsplacering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagermedier |
| 7.11 | 11.2.2 | Understøttende hjælpeprogrammer |
| 7.12 | 11.2.3 | Kabler sikkerhed |
| 7.13 | 11.2.4 | Vedligeholdelse af udstyr |
| 7.14 | 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
Hvordan ISMS.online hjælper
ISO 27002 implementering er enklere med vores trin-for-trin tjekliste, der guider dig gennem hele processen, fra at definere omfanget af dit ISMS til risikoidentifikation og kontrolimplementering.
Kontakt i dag for book en demo.
