Kontroll 5.10, Akseptabel bruk av informasjon og andre tilknyttede eiendeler

Attributttabell

Den nye ISO 27002:2022 standard leveres med attributttabeller som ikke finnes i 2013-versjonen. Attributter er en måte å klassifisere kontroller på.

De lar deg også matche kontrollutvalget ditt med ofte brukte bransjetermer og spesifikasjoner. Følgende kontroller er tilgjengelige i kontroll 5:10.

Hva er hensikten med kontroll 5.10?

Det overordnede målet med dette kontroll er å sikre informasjon og andre tilhørende eiendeler er hensiktsmessig beskyttet, brukt og håndtert.

Kontroll 5.10 ble utformet for å sikre at retningslinjer, prosedyrer og tekniske kontroller er på plass for å forhindre at brukere får upassende tilgang til, bruker eller avslører informasjonsressurser.

Denne kontrollen har som mål å gi et rammeverk for organisasjoner for å sikre dette informasjon og andre eiendeler er hensiktsmessig beskyttet, brukt og håndtert. Dette inkluderer å sikre at retningslinjene og prosedyrene eksisterer på alle nivåer i organisasjonen, samt å sikre at disse retningslinjene og prosedyrene håndheves konsekvent.

Implementering av kontroll 5.10 som en del av din ISMS betyr at du har satt på plass de ulike kravene knyttet til hvordan bedriften din beskytter IT-ressurser, inkludert:

• Beskyttelse av informasjon ved lagring, behandling og transitt.
• Beskyttelse og hensiktsmessig bruk av IT-utstyr.
• Bruk av passende autentiseringstjenester for å kontrollere tilgang til informasjonssystemer.
• Behandling av informasjon i en organisasjon kun av brukere med passende autorisasjon.
• Tildelingen av informasjonsrelatert ansvar overfor bestemte personer eller roller.
• Utdannelse og opplæring av brukere angående deres sikkerhetsansvar.

Hva er involvert og hvordan du oppfyller kravene

For å oppfylle kravene til kontroll 5.10 i ISO 27002:2022, er det viktig at ansatte og eksterne som bruker eller har tilgang til organisasjonens informasjon og andre tilhørende eiendeler er kjent med organisasjonens krav til informasjonssikkerhet.

Disse menneskene bør holdes ansvarlige for alle informasjonsbehandlingsfasiliteter de bruker.

Alle som er involvert i bruk eller håndtering av informasjon og andre tilhørende eiendeler bør gjøres kjent med organisasjonens retningslinjer for akseptabel bruk av informasjon og andre relaterte eiendeler.

Alle som er involvert i bruk eller håndtering av informasjon og andre tilhørende eiendeler bør gjøres kjent med organisasjonens policy om tillatt bruk av informasjon og andre tilhørende eiendeler. Som en del av en emnespesifikk akseptabel brukspolicy, bør personell vite nøyaktig hva de forventes å gjøre med informasjon og andre eiendeler.

Spesielt bør emnespesifikk politikk angi at:

a) forventet og uakseptabel atferd fra enkeltpersoner fra et informasjonssikkerhetsperspektiv;

b) tillatt og forbudt bruk av informasjon og andre tilhørende eiendeler;

c) overvåke aktiviteter som utføres av organisasjonen.

Akseptable bruksprosedyrer bør utarbeides for hele informasjonens livssyklus i samsvar med klassifiseringen og bestemte risikoer. Følgende elementer bør vurderes:

a) tilgangsbegrensninger som støtter beskyttelseskravene for hvert klassifiseringsnivå;

b) vedlikehold av en oversikt over autoriserte brukere av informasjon og andre tilhørende eiendeler;

c) beskyttelse av midlertidige eller permanente kopier av informasjon til et nivå som samsvarer med
beskyttelse av den opprinnelige informasjonen;

d) lagring av eiendeler knyttet til informasjon i samsvar med produsentens spesifikasjoner;

e) tydelig merking av alle kopier av lagringsmedier (elektroniske eller fysiske) for oppmerksomheten til
autorisert mottaker;

f) autorisasjon for avhending av informasjon og andre tilhørende eiendeler og støttede slettemetode(r).

Forskjeller mellom ISO 27002:2013 og ISO 27002:2022

Den nye 2022-revisjonen av ISO 27002 ble publisert 15. februar 2022, og er en oppgradering av ISO 27002:2013.

Kontroll 5.10 i ISO 27002:2022 er ikke en ny kontroll, snarere er det en kombinasjon av kontroller 8.1.3 – akseptabel bruk av eiendeler og 8.2.3 – håndtering av eiendeler i ISO 27002:2013.

Mens essensen og implementeringsretningslinjene for kontroll 5.10 er relativt de samme med kontrollene 8.1.3 og 8.2.3, slo kontroll 5.10 sammen både akseptabel bruk av eiendeler og håndtering av eiendeler til én kontroll for å gi økt brukervennlighet.

Kontroll 5.10 la imidlertid også til et ekstra punkt til kontroll 8.2.3. Dette dekker autorisasjon for avhending av informasjon og andre tilknyttede eiendeler og den(e) støttede slettemetoden(e).

Hvem er ansvarlig for denne prosessen?

Akseptabel bruk av informasjon og andre tilknyttede eiendeler er en policy som fastsetter regler for å sikre riktig bruk av selskapets informasjon og andre tilknyttede eiendeler, inkludert datamaskiner, nettverk og systemer, e-post, filer og lagringsmedier. Denne policyen er bindende for alle ansatte og kontraktører.

Formålet med denne policyen er å:

• Sørg for at selskapets informasjon og andre tilhørende eiendeler kun brukes til legitime forretningsformål.
• Sikre at ansatte overholder alle lover og regler knyttet til informasjonssikkerhet.
• Beskytte selskapets informasjon og andre tilknyttede eiendeler mot trusler som stammer fra i eller utenfor selskapet.

Informasjonssikkerhetsansvarlig (ISO) er ansvarlig for å utvikle, implementere og vedlikeholde akseptabel bruk av informasjonsressurser.

ISO skal være ansvarlig for å administrere bruken av informasjonsressurser i hele organisasjonen for å sikre at informasjon brukes på en måte som beskytter sikkerheten og integriteten til data, bevarer konfidensialiteten til proprietær eller sensitiv informasjon, beskytter mot misbruk og uautorisert tilgang til databehandling. ressurser, og eliminerer unødvendig eksponering eller ansvar for organisasjonen.

Hva betyr disse endringene for deg?

Den nye ISO 27002:2022-standarden er ikke en vesentlig oppgradering. Som et resultat av dette trenger du kanskje ikke gjøre noen vesentlige endringer med hensyn til samsvar med den nyeste versjonen av ISO 27002.

Se imidlertid veiledningen vår til ISO 27002:2022, der du kan finne ut mer om hvordan disse endringene for kontroll 5.10 vil påvirke virksomheten din.

Hvordan ISMS.online hjelper

Som du vet er ISO 27002 en allment vedtatt og godt anerkjent standard for informasjonssikkerhet.

Den gir en modell for å etablere, implementere, drifte, overvåke, gjennomgå, vedlikeholde og forbedre en Informasjonssikkerhetsstyringssystem (ISMS).

Fordi ISO 27002-standarden er så omfattende og detaljert, kan implementeringen av den være en tidkrevende prosess. Men med ISMS.online, har du en one-stop-løsning som gjør ting mye enklere.

Vår verdensklasse informasjonssikkerhet programvareplattform for styringssystem gjør det superenkelt å forstå hva som må gjøres og hvordan du gjør det.

Vi tar smerten ut av å administrere samsvarskravene dine.

Med ISMS.online er implementeringen av ISO 27002 enklere med vår trinnvise sjekkliste som guider deg gjennom hele prosessen, fra å definere omfanget av ditt ISMS til risikoidentifikasjon og kontrollimplementering.

Ta kontakt i dag for å bestill en demo.