ISO 27002:2022 – Kontrol 5.33 – Beskyttelse af optegnelser

ISO 27002:2022 Kontrol 5.33 – Best Practices for Record Protection

Optegnelser er et tåget begreb, som nogle organisationer kæmper for at klassificere og administrere med henblik på overholdelse.

Optegnelser inden for IKT-området er en anden betegnelse for de data og informationer, som en organisation beholder og/eller bruger til at udføre sine daglige forretningsaktiviteter, herunder (men ikke begrænset til):

1. Individuelle arrangementer
2. Transaktioner
3. Arbejdsprocesser
4. Aktiviteter
5. Funktioner

ISO definerer registreringer inden for rammerne af deres standarder som "enhver form for information, uanset dens struktur eller form", herunder "et dokument, en samling af data eller andre typer information, der oprettes, fanges og administreres i løbet af virksomheden ”, inklusive en posts metadata.

Formål med kontrol 5.33

Enhver organisation har en forpligtelse til at sikre, at de data, den opbevarer – herunder men ikke begrænset til nogen personer, er økonomisk information eller driftsområder – opbevares sikkert og sikkert, og interne procedurer forbliver i overensstemmelse med alle gældende krav.

Kontrol 5.33 omhandler beskyttelse af virksomhedsregistre mod 5 større begivenheder:

1. Loss
2. Ødelæggelse
3. Falsifikation
4. Uautoriseret adgang
5. Uautoriseret udgivelse eller offentliggørelse

Attributter tabel

Kontrol 5.33 er en forebyggende kontrol at fastholder risiko ved at skabe retningslinjer og procedurer – herunder opbevaringsplaner – der opfylder en organisations lovmæssige, lovbestemte, regulatoriske og kontraktmæssige krav vedrørende beskyttelse og tilgængelighed af eventuelle optegnelser, den har.

Generel vejledning om kontrol 5.33

Kontrol 5.33 anerkender, at en organisationens behov er flydende når det kommer til mængden og typen af ​​poster, der kræves for at drive forretning fra den ene dag til den anden.

Som sådan kategoriserer Control 5.33 poststyring i 4 hovedattributter:

1. Autenticitet
2. Pålidelighed
3. Integritet
4. Brugbarhed

Inden for rammerne af disse attributter beder Control 5.33 organisationer om at:

1. Udarbejd og publicer retningslinjer, der omhandler fire hovedfunktioner, sammen med emnespecifikke politikker, der tager højde for den underliggende karakter af de pågældende poster:

   a) Optagelager
   b) Record håndtering chain of custody
   c) Record bortskaffelse
   d) Forebyggelse af manipulation

2. Oprethold en funktionel journalopbevaringsplan, der klart angiver, hvor lang tid registre af forskellige typer skal opbevares i forhold til deres individuelle forretningsfunktion.
3. Opret opbevarings- og håndteringsprocedurer, der tager højde for:

   a) enhver gældende lovgivning, der omhandler kommerciel journalføring
   b) "fællesskab og samfundsmæssige" forventninger til, hvordan en organisation skal håndtere sine optegnelser

4. Implementer procedurer, der ødelægger optegnelser på en sikker og passende måde i det øjeblik, de ikke er nødvendige (efter at have forladt opbevaringsperioden).
5. Klassificer optegnelser til beskyttelse (herunder passende opbevaringsperioder og anvendte lagringsmedier) baseret på deres sikkerhedsrisiko, og forskellige typer, herunder (men ikke begrænset til):

   a) Regnskabsoptegnelser
   b) Forretningstransaktioner
   c) Personalejournaler
   d) Juridiske optegnelser

6. Sørg for, at eventuelle opbevaringsprocedurer tager højde for en acceptabel tidsramme for hentning, hvis organisationen bliver bedt om at producere dem af en tredjepart, eller til intern brug.
7. Hvor elektroniske medier bruges til at gemme optegnelser, skal du overveje og mindske muligheden for, at adgang til eller hentning af optegnelser hæmmes af teknologiske ændringer, herunder opbevaring af kryptografisk information (se kontrol 8.24).
8. Overhold producentens retningslinjer, når du opbevarer eller håndterer optegnelser på eller via elektroniske medier, herunder passende hensyn til den naturlige forringelse af nævnte medier.

Ændringer og forskelle fra ISO 27002:2013

27002:2022-5.33 erstatter 27002:2013-18.1.3 (Beskyttelse af journaler), med forskellige tilføjelser i form af individuelle vejledningspunkter og generelle processer, der skal overholdes.

I 2022-kontrollen anerkender ISO vigtigheden af ​​at definere, hvad der udgør en forretningsrekord. 27002:2022-5.33 indeholder adskillige eksempler på, hvad ISO anser en rekord for at være (se ovenfor), som er fraværende fra 27002:2013-18.1.3.

Kontrol 5.33 fokuserer også en organisations opmærksomhed på to hovedvejledningspunkter, som ikke er indeholdt i dens modstykke fra 2013 (vejledning 1 og 2 ovenfor), som igen danner grundlaget for en organisations journalpolitik – især en opbevaringsplan, der dikterer, hvordan lange optegnelser bør opbevares for, og eventuelle mediespecifikke krav.

Metadata har også for første gang dukket op i arkivhåndteringen. 27002:2013-18.1.3 indeholder ingen omtale af det, hvorimod 27002:2022-5.33 anser det for at være en "essentiel komponent".

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

Brug af ISMS.online kan du:

• Implementer hurtigt en Information Security Management System (ISMS).
• Let administrere dokumentationen af ​​dit ISMS.
• Strømline overholdelse af alle relevante standarder.
• Administrer alle aspekter af informationssikkerhed, fra risikostyring til træning i sikkerhedsbevidsthed.
• Kommuniker effektivt i hele din organisation ved hjælp af vores indbyggede kommunikationsfunktionalitet.

Kontakt i dag for book en demo.