ISO 27001:2022 Vedlegg A Kontroll 5.14

Generell veiledning for ISO 27001:2022 vedlegg A 5.14

Å sikre samsvar med 5.14 krever opprettelse av regler, prosedyrer og avtaler, inkludert en dataoverføringspolicy som er spesifikk for emnet, og gir data under transport et passende beskyttelsesnivå i henhold til klassifiseringen de er tildelt.

Sikkerhetsnivået bør være proporsjonalt med viktigheten og sensitiviteten til dataene som sendes. ISO 27001:2022 vedlegg A 5.14 krever også at organisasjoner inngår overføringsavtaler med mottakende tredjeparter for å sikre sikker overføring av data.

ISO 27001:2022 vedlegg A Kontroll 5.14 kategoriserer overføringstyper i tre grupper:

• Elektronisk overføring.
• Fysisk lagringsmedium overføre.
• Verbal overføring.

Før du går videre med å detaljere de spesifikke kravene til hver type overføring, ISO 27001: 2022 Vedlegg A Kontroll 5.14 skisserer elementene som må være til stede i alle forskrifter, prosedyrer og kontrakter som gjelder alle tre overføringene generelt:

• Organisasjoner må bestemme passende kontroller basert på klassifiseringsnivået til informasjon for å beskytte den under transport fra uautorisert tilgang, endring, avskjæring, duplisering, ødeleggelse og tjenestenekt-angrep.
• Organisasjoner må holde oversikt over varetektskjeden under transport og etablere og utføre kontroller for å garantere sporbarhet av data.
• Spesifiser hvem som er involvert i dataoverføringen og oppgi kontaktinformasjonen deres, for eksempel dataeierne og sikkerhetspersonellet.
• Ved datainnbrudd skal ansvar fordeles.
• Implementer et merkesystem for å holde styr på varer.
• Sikre at overføringstjenesten er tilgjengelig.
• Retningslinjer angående metodene for informasjonsoverføring bør utvikles i henhold til spesifikke emner.
• Retningslinjer for lagring og kassering av alle forretningsdokumenter, inkludert meldinger, må følges.
• Undersøk hvilken innvirkning eventuelle gjeldende lover, forskrifter eller andre forpliktelser kan ha på overføringen.

Supplerende veiledning om elektronisk overføring

ISO 27001:2022 Vedlegg A Kontroll 5.14 beskriver de spesifikke innholdskravene for regler, prosedyrer og avtaler knyttet til de tre typene overføringer. Minimumskravene til innhold må overholdes på tvers av alle tre.

Regler, avtaler og prosedyrer bør ta hensyn til følgende hensyn ved overføring av informasjon elektronisk:

• Identifisering og forpurring av skadelig programvare er avgjørende. Det er viktig at du bruker den nyeste teknologien for å oppdage og forhindre angrep fra skadelig programvare.
• Sikre sikkerhet for konfidensiell informasjon funnet i de sendte vedleggene.
• Sørg for at kommunikasjon sendes til de riktige mottakerne ved å unngå risikoen for å sende til feil e-postadresse, adresse eller telefonnummer.
• Få tillatelse før du begynner å bruke offentlige kommunikasjonstjenester.
• Strengere autentiseringsmetoder bør brukes ved sending av data via offentlige nettverk.
• Pålegge begrensninger på bruken av e-kommunikasjonstjenester, f.eks. forbud mot automatisert videresending.
• Råd personell til å unngå å bruke SMS- eller direktemeldingstjenester for å dele sensitive data, siden innholdet kan sees av uautoriserte personer i offentlige områder.
• Gi råd til ansatte og andre interesserte parter om beskyttelsesrisikoen som faksmaskiner kan utgjøre, for eksempel uautorisert tilgang eller feilledende meldinger til visse numre.

Supplerende veiledning om overføring av fysisk lagringsmedier

Når informasjon deles fysisk, bør regler, prosedyrer og avtaler inkludere:

• Partene er ansvarlige for å varsle hverandre om overføring, utsendelse og mottak av informasjon.
• Sørge for at meldingen adresseres riktig og sendes riktig.
• God emballasje eliminerer sjansen for skade på innholdet under transport. For eksempel skal emballasjen være motstandsdyktig mot varme og fuktighet.
• Ledelsen har avtalt en pålitelig, autorisert budliste.
• En oversikt over kureridentifikasjonsstandarder.
• For sensitiv og kritisk informasjon bør det brukes manipulasjonssikre poser.
• Det er viktig å bekrefte identiteten til kurerer.
• Denne listen over tredjeparter, klassifisert i henhold til deres servicenivå, tilbyr transport- eller budtjenester og er godkjent.
• Registrer leveringstidspunkt, autorisert mottaker, sikkerhetstiltak og bekreftelse på mottak på destinasjonen i en logg.

Supplerende veiledning om verbal overføring

Personalet må gjøres oppmerksom på risikoen knyttet til utveksling av informasjon i organisasjonen eller overføring av data til eksterne parter, i samsvar med ISO 27001:2022 Vedlegg A Kontroll 5.14. Disse risikoene inkluderer:

• De bør avstå fra å diskutere konfidensielle saker i usikre offentlige kanaler eller i offentlige områder.
• Man bør ikke legge igjen taleposter med konfidensiell informasjon på grunn av faren for avspilling av de som ikke er autorisert, samt risikoen for omdirigering til tredjeparter.
• Enkeltpersoner, både ansatte og andre aktuelle tredjeparter, bør screenes før de gis adgang til samtaler.
• Rom som brukes til konfidensielle samtaler bør utstyres med nødvendig lydisolering.
• Før du deltar i en sensitiv dialog, bør det utstedes en ansvarsfraskrivelse.

Endringer og forskjeller fra ISO 27001:2013?

ISO 27001:2022 vedlegg A 5.14 erstatter ISO 27001:2013 Vedlegg A 13.2.1, 13.2.2 og 13.2.3.

De to kontrollene har en viss likhet, men to store forskjeller gjør kravene i 2022 mer tyngende.

Spesifikke krav for elektriske, fysiske og verbale overføringer

Avsnitt 13.2.3 i 2013-versjonen dekket de spesielle kravene til overføring av data via elektroniske meldinger.

Imidlertid tok den ikke spesifikt for seg overføring av informasjon gjennom verbale eller fysiske midler.

Til sammenligning er 2022-versjonen presis i sin identifikasjon av tre typer informasjonsoverføring, og skisserer nødvendig innhold for hver av dem individuelt.

ISO 27001:2022 setter strengere krav for elektronisk overføring

Avsnitt 13.2.3 i 2022-versjonen stiller strengere krav til innholdet i avtaler om elektroniske meldinger.

Organisasjoner må detaljere og utføre nye forskrifter for digitale overføringer i form av regler, prosedyrer og kontrakter for ISO 27001:2022.

Organisasjoner bør for eksempel advare sine ansatte mot å bruke SMS-tjenester når de overfører sensitiv informasjon.

Detaljerte krav til fysiske overføringer

2022-versjonen pålegger strengere regler for fysisk overføring av lagringsmedier. For eksempel er den mer grundig i sin autentisering av kurerer og sikrer mot ulike former for skade.

Strukturelle endringer

I 2013-versjonen ble det eksplisitt henvist til nødvendige krav til avtaler om informasjonsoverføring. "Regler" og "prosedyrer" ble imidlertid ikke beskrevet i detalj.

For ISO 27001:2022 er det skissert spesifikke kriterier for hver av de tre tilnærmingene.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A-kontroll.

Hvordan ISMS.online hjelper

Implementering av ISO 27001:2022 kan gjøres enklere med vår trinnvise sjekkliste. Den vil veilede deg gjennom hele prosessen fra å definere omfanget av ISMS til identifisere risikoer og implementere kontroller.

Bestill demonstrasjonen din i dag. Avtaler er tilgjengelige syv dager i uken, så avtal din kl en tid som fungerer for deg.