ISO 27001:2022 Vedlegg A Kontroll 5.12

Generell veiledning for ISO 27001:2022 vedlegg A 5.12

For å lykkes med å implementere et robust informasjonsklassifiseringssystem, bør organisasjoner ta en aktuell tilnærming, vurdere hver forretningsenhets spesifikke informasjonsbehov, og evaluere nivået av sensitivitet og kritiskhet til informasjonen.

I henhold til vedlegg A, kontroll 5.12, må organisasjoner evaluere følgende syv kriterier når de implementerer et klassifiseringsskjema:

Etabler en emnespesifikk policy og adresser spesifikke forretningsbehov

Vedlegg A kontroll 5.12 i styringssystem for informasjonssikkerhet viser til vedlegg A Kontroll 5.1, som gjelder tilgangskontroll. Den pålegger at organisasjoner overholder emnespesifikke retningslinjer fastsatt i vedlegg A Kontroll 5.1. I tillegg bør klassifiseringsordningen og nivåene ta hensyn til spesifikke forretningsbehov ved klassifisering av informasjonsmidler.

Organisasjoner må vurdere sine forretningsbehov for deling og bruk av informasjon, samt behovet for tilgjengelighet av slik informasjon. Klassifisering av et informasjonselement kan imidlertid forstyrre kritiske forretningsfunksjoner ved å begrense tilgang til og bruk av informasjon.

Derfor bør organisasjoner balansere sine spesifikke forretningsbehov for tilgjengelighet og bruk av data og kravet om å opprettholde konfidensialiteten og integriteten til denne informasjonen.

Vurder juridiske forpliktelser

Spesifikke lover kan kreve at organisasjoner legger vekt på å ivareta konfidensialitet, integritet og tilgjengelighet til informasjon. Derfor bør juridiske forpliktelser prioriteres fremfor organisasjonens interne klassifisering ved kategorisering av informasjonsmidler.

Vedta en risikobasert tilnærming og vurdere den potensielle effekten av et sikkerhetsbrudd eller kompromiss informasjonskapasitet er tilrådelig. Dette vil bidra til å prioritere og implementere passende sikkerhetstiltak for å redusere identifiserte risikoer.

Hver form for informasjon har et unikt betydningsnivå for en organisasjons funksjoner og har varierende grad av sensitivitet avhengig av de spesielle omstendighetene.

Når en organisasjon implementerer en informasjonsklassifiseringsordning, bør den vurdere den potensielle innvirkningen det kan ha på organisasjonen å kompromittere informasjonens konfidensialitet, integritet eller tilgjengelighet.

For eksempel vil sensitiviteten og potensielle virkningen av en database som inneholder profesjonelle e-postadresser til kvalifiserte potensielle kunder være svært forskjellig fra ansattes helsejournaler. Derfor bør organisasjonen nøye vurdere beskyttelsesnivået som hver informasjonskategori krever og allokere ressurser deretter.

Regelmessig oppdatering og gjennomgang av klassifiseringen

Vedlegg A Kontroll 5.12 anerkjenner at informasjonens verdi, viktighet og sensitivitetsnivå kan endres over tid etter hvert som dataene går gjennom livssyklusen. Som et resultat må organisasjoner jevnlig gjennomgå klassifiseringen av informasjon og foreta nødvendige oppdateringer.

ISO 27001 vedlegg A Kontroll 5.12 gjelder å redusere verdien og sensitiviteten til informasjonen i betydelig grad.

Det er viktig å rådføre seg med andre organisasjoner med deg for å dele informasjon og løse eventuelle ulikheter.

Hver organisasjon kan ha distinkt terminologi, nivåer og standarder for sine informasjonsklassifiseringssystemer

Avvik i informasjonsklassifisering mellom organisasjoner kan føre til potensielle risikoer ved utveksling av informasjonsmidler.

Organisasjoner må samarbeide med sine motparter for å etablere en konsensus for å sikre enhetlighet i informasjonsklassifisering og konsistent tolkning av klassifiseringsnivåer for å redusere slike risikoer.

Konsistens på organisasjonsnivå

Hver avdeling i en organisasjon må ha en felles forståelse av klassifiseringsnivåer og protokoller for å sikre enhetlighet i klassifiseringer på tvers av hele organisasjonen.

Veiledning om hvordan man implementerer ordningen for klassifisering av informasjon

Mens vedlegg A 5.12 erkjenner at det ikke er noe universelt anvendelig klassifiseringssystem og organisasjoner har fleksibiliteten til å etablere og definere sine klassifiseringsnivåer, illustrerer det et informasjonsklassifiseringssystem:

• Avsløring forårsaker ingen skade.
• Avsløring forårsaker mindre omdømmeskade eller mindre driftsmessig påvirkning.
• Offentliggjøring har en betydelig kortsiktig innvirkning på drift eller forretningsmål.
• Avsløring har alvorlig innvirkning på langsiktige forretningsmål eller risikerer organisasjonens overlevelse.

Endringer og forskjeller fra ISO 27002:2013

Vedlegg A 8.2.1 i forrige versjon omhandlet klassifisering av informasjon.

Mens de to versjonene er ganske like, er det to hovedforskjeller:

1. For det første nevnte ikke forrige versjon behovet for konsistens i klassifiseringsnivåer når informasjon deles mellom organisasjoner. ISO 27001:2022 krever imidlertid at organisasjoner samarbeider med sine kolleger for å sikre enhetlighet i informasjonsklassifisering og forståelse.
2. For det andre krever den oppdaterte versjonen eksplisitt at organisasjoner utvikler retningslinjer skreddersydd for spesifikke emner. Bare en kort henvisning til tilgangskontroll ble gjort i den eldre versjonen.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 Vedlegg A Kontroll.

Hvordan ISMS.online Hjelp

Vår plattformen er designet for å være brukervennlig og grei, henvender seg til svært tekniske personer og alle ansatte i organisasjonen din.

Vi tar til orde for å involvere ansatte på alle nivåer i virksomheten i å konstruere ditt ISMS, da det hjelper til med å etablere et bærekraftig system.

Finn ut mer av bestille en demo.