ISO 27002:2022, Kontroll 5.12 – Klassifisering av informasjon

Eierskap til kontroll 5.12

Mens det bør være en organisasjonsomfattende klassifisering av informasjonsordninger med klassifiseringsnivåer og kriterier for hvordan klassifisere informasjonsmidler, eiere av informasjonsmidler er til syvende og sist ansvarlige for gjennomføringen av en klassifiseringsordning.

5.12 anerkjenner eksplisitt at eiere av de relevante informasjonsmiddel bør stå til ansvar.

Hvis for eksempel regnskapsavdelingen har tilgang til mappene med lønnsrapporter og kontoutskrifter, bør de klassifisere informasjon ut fra den organisasjonsdekkende klassifiseringsordningen.

Ved klassifisering av opplysninger bør eiendelseieren ta hensyn til ta hensyn til virksomhetens behov, nivå av innvirkning kompromiss av informasjon vil ha på organisasjonen og nivået av viktighet og sensitivitet av informasjon.

Generell veiledning om kontroll 5.12

For å implementere et robust system for klassifisering av informasjon, bør organisasjoner ta i bruk en emnespesifikk tilnærming, forstå hver forretningsenhets behov for informasjon og bestemme nivået av sensitivitet og kritisk informasjon.

5.12 krever at organisasjoner tar hensyn til følgende syv kriterier når de implementerer en klassifiseringsordning:

• Etabler en emnespesifikk policy og adresser de spesifikke forretningsbehovene

5.12 refererer eksplisitt til 5.1, Tilgangskontroll og krever at organisasjoner overholder emnespesifikke retningslinjer som beskrevet i 5.1. I tillegg bør klassifiseringsordningen og nivåene ta hensyn til spesifikke forretningsbehov.

• Ta hensyn til virksomhetens behov for deling og bruk av informasjon og behovet for tilgjengelighet

Hvis du tilordner en informasjonsressurs til en klassifiseringskategori som er unødvendig høyere, kan dette føre til risiko for forstyrrelse av dine kritiske forretningsfunksjoner ved å begrense tilgang til og bruk av informasjon.

Derfor bør du strebe etter å finne en balanse mellom dine spesifikke forretningsbehov for tilgjengelighet og bruk av informasjon og kravene til konfidensialitet og integritet til denne informasjonen.

• Vurder juridiske forpliktelser

Noen lover kan pålegge deg strengere forpliktelser for å sikre konfidensialitet, integritet og tilgjengelighet av informasjon. Når du tildeler informasjonsressurser til kategorier, bør juridiske forpliktelser prioriteres over din egen klassifisering.

• Ta en risikobasert tilnærming og vurder den potensielle effekten av et kompromiss

Hver type informasjon har et ulikt nivå av kritikkverdighet for hver virksomhets virksomhet og har et ulikt nivå av sensitivitet avhengig av konteksten.

Ved implementering av klassifisering av informasjonsordningen, bør organisasjoner spørre:

Hvilken innvirkning vil kompromitteringen av integritet, tilgjengelighet og konfidensialitet til denne informasjonen ha på organisasjonen?

For eksempel er databaser med profesjonelle e-postadresser til kvalifiserte potensielle kunder og helsejournaler til ansatte svært forskjellige når det gjelder følsomhetsnivå og potensiell påvirkning.

• Gjennomgå og oppdater klassifiseringen regelmessig

5.12 bemerker at verdien, kritikaliteten og sensitiviteten til informasjon ikke er statisk og kan endres gjennom informasjonens livssyklus. Derfor må du regelmessig gjennomgå hver klassifisering og gjøre nødvendige oppdateringer.

Som et eksempel på en slik endring viser 5.12 til offentliggjøring av informasjon til offentligheten, noe som i stor grad reduserer verdien og sensitiviteten til informasjon.

• Rådfør deg med andre organisasjoner du deler informasjon med og ta opp eventuelle forskjeller

Det er ikke én måte å klassifisere informasjon og hver organisasjon kan ha ulike navn, nivåer og kriterier når det gjelder klassifisering av informasjonsordninger.

Disse forskjellene kan føre til risiko når de to organisasjonene utveksler informasjonsmidler med hverandre. Derfor må du få på plass en avtale med motparten din for å sikre at det er konsistens i klassifisering av informasjon og tolkning av klassifikasjonsnivåer.

• Konsistens på organisasjonsnivå

Hver avdeling i organisasjonen bør ha en felles forståelse av klassifiseringsnivåer og prosedyrer slik at klassifiseringer er konsistente på tvers av hele organisasjonen.

Veiledning om hvordan man implementerer klassifisering av informasjonsordningen

Mens 5.12 anerkjenner at det ikke finnes en klassifiseringsordning som passer for alle, og organisasjoner har spillerom til å bestemme og beskrive individuelle klassifiseringsnivåer, gir den følgende eksempel som et informasjonsklassifiseringsskjema:

a) Avsløring forårsaker ingen skade;

b) Avsløring forårsaker mindre omdømmeskade eller mindre operasjonell innvirkning;

c) Offentliggjøring har en betydelig kortsiktig innvirkning på driften eller forretningsmålene;

d) Offentliggjøring har en alvorlig innvirkning på langsiktige forretningsmål eller setter organisasjonens overlevelse i fare.

Endringer og forskjeller fra ISO 27002:2013

Klassifiseringen av informasjon ble behandlet i avsnitt 8.2.1 i forrige versjon.

Selv om de to versjonene er svært like, er det to viktige forskjeller:

I den gamle versjonen var det ingen eksplisitt henvisning til kravet om konsistens av klassifikasjonsnivåer når informasjon overføres mellom organisasjoner.

I 2022-versjonen må du imidlertid få på plass en avtale med motparten din for å sikre at det er konsistens i klassifisering av informasjon og tolkning av klassifikasjonsnivåer.

For det andre krever den nye versjonen eksplisitt at organisasjoner innfører emnespesifikke retningslinjer. I den eldre versjonen var det derimot bare en kort referanse til tilgangskontrollen.

Hvordan ISMS.online hjelper

Vår plattform er intuitiv og enkel å bruke. Det er ikke bare for svært tekniske mennesker; det er for alle i organisasjonen din. Vi oppfordrer deg til å involvere ansatte på alle nivåer i virksomheten din i prosessen med å bygge din ISMS, fordi det hjelper deg å bygge et virkelig bærekraftig system.

Ta kontakt i dag for å bestill en demo.