ISO 27001:2022 Vedlegg A Kontroll 5.13

Generelle retningslinjer for hvordan du overholder ISO 27001:2022 vedlegg A 5.13

Ved å bruke vedlegg A-kontroll 5.13 kan organisasjoner merke informasjon i samsvar med fire spesifikke trinn.

Etabler en prosedyre for merking av informasjon

Informasjonsklassifiseringsskjemaet opprettet i henhold til vedlegg A, kontroll 5.12, bør følges av organisasjonenes informasjonsmerkingsprosedyrer.

5.13 krever også at denne prosedyren gjelder for alle informasjonsressurser, enten digitale eller papir, og at etikettene må være lett gjenkjennelige.

Det er ingen grense for hva dette prosedyredokumentet kan inneholde, men vedlegg A Kontroll 5.13 krever at prosedyrene inkluderer følgende:

• En forklaring på metodene for å feste etiketter til informasjonsressurser basert på typen lagringsmedium og hvordan dataene aksesseres.
• For hver type informasjonselement, hvor etikettene skal festes.
• For eksempel kan en organisasjon utelate å publisere offentlige data som en del av informasjonsmerkingsprosessen.
• Tekniske, juridiske eller kontraktsmessige begrensninger forhindrer merking av visse typer informasjon.
• Regler styrer hvordan informasjon skal merkes når den overføres internt eller eksternt.
• Instruksjoner bør følge med digitale eiendeler om hvordan du setter inn metadata.
• Alle eiendeler skal merkes med samme navn.

Gi de ansatte tilstrekkelig opplæring i merkeprosedyrer

Personell og andre relevante interessenter må forstå hvordan merke informasjon riktig og administrere merket informasjonsressurser før prosedyren for merkingsinformasjon kan tre i kraft.

Som et resultat bør organisasjoner lære opp ansatte og andre relevante parter om prosedyren.

Digitale informasjonsressurser bør merkes med metadata

Digitale informasjonsressurser må merkes ved hjelp av metadata i henhold til 5.13.

Metadatadistribusjon bør også gjøre det lettere å identifisere og søke etter informasjon og effektivisere beslutningstaking mellom systemer knyttet til merket informasjon.

Ekstra forholdsregler bør tas for å merke sensitive data som kan forlate systemet

Vedlegg A 5.13-anbefalingen fokuserer på å identifisere den mest passende etiketten for utad overføringer av kritisk og sensitiv informasjon eiendeler, tatt i betraktning de involverte risikoene.

Vedlegg A 5.13 Supplerende veiledning

For at datadelingsoperasjoner skal være sikre, er det viktig å nøyaktig identifisere og merke klassifisert informasjon.

Vedlegg A 5.13 anbefaler også at organisasjoner legger inn flere metadatapunkter. Dette vil si navnet på prosessen som skapte informasjonselementet og tidspunktet da det ble opprettet.

I tillegg beskriver vedlegg A 5.13 standard merketeknikker som organisasjoner kan bruke:

• Fysiske merker
• Headers og footers
• metadata
• vannmerking
• Gummi-stempler

Til slutt understreker vedlegg A 5.13 at merking av informasjonsressurser som "konfidensiell" og "klassifisert" kan ha utilsiktede konsekvenser. Dette kan gjøre det lettere for ondsinnede aktører å oppdage og finne sensitive informasjonsressurser.

Hva er endringene og forskjellene fra ISO 27001:2013?

ISO 27001: 2022 Vedlegg A 5.13 erstatter ISO 27001:2013 vedlegg A 8.2.2 (Merking av informasjon).

Begge vedlegg A-kontrollene er til en viss grad like, men to viktige forskjeller gjør ISO 27001:2022-versjonen mer omfattende.

Bruk av metadata har vært nødvendig for å møte nye krav

Mens 2013-versjonen refererte til metadata som en merketeknikk, påla den ingen spesifikke forpliktelser for samsvar ved bruk av metadata.

I kontrast inneholder 2022-versjonen forskjeller og endringer fra ISO 27001:2013.

Bruk av metadata er nå et krav

I 2013 ble metadata omtalt som en merketeknikk, men det ble ikke pålagt spesifikke samsvarsforpliktelser.

I motsetning til dette har 2022-versjonen strenge krav til metadatateknikker. For eksempel krever 2022-versjonen følgende:

• Å legge til metadata til informasjon letter identifikasjon, administrasjon og oppdagelse.
• Det er nødvendig å sette inn metadata for navnet og datoen for prosessen som opprettet eiendelen.

Det er nødvendig å gi flere detaljer i prosedyren for informasjonsmerking

Informasjonsmerkingsprosedyrer i 2013-versjonen var ikke pålagt å inkludere minimumsinnholdet som i 2022-versjonen.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A Kontroll.

Hvordan ISMS.online hjelper

Implementerer ISO 27001 er enklere med vår trinnvise sjekkliste, som veileder deg fra å definere omfanget av ditt ISMS gjennom risikoidentifikasjon og vedlegg A kontrollimplementering.

Ved hjelp av plattformen vår er intuitivt og enkelt. Det er ikke bare for svært tekniske ansatte, men alle i bedriften din. Vi oppfordrer deg til å involvere hele arbeidsstyrken din i å bygge din ISMS, da det hjelper deg å bygge et virkelig bærekraftig system.

Ta kontakt i dag for å bestill en demo.