Formål med kontroll 5.14
Kontroll 5.14 er en forebyggende type kontroll som krever at organisasjoner innfører passende regler, prosedyrer og/eller avtaler for å opprettholde sikkerheten til data når de deles i en organisasjon eller når de overføres til tredjeparter.
Kontrollattributter 5.14
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | # Asset Management | #Beskyttelse |
| #Integritet | #Informasjonsbeskyttelse | |||
| #Tilgjengelighet |
Eierskap til kontroll 5.14
Mens utvikling og implementering av regler, prosedyrer og avtaler krever støtte og godkjenning fra ledelsen på høyt nivå, er samarbeidet og ekspertisen til ulike interessenter i en organisasjon, inkludert det juridiske teamet, IT-personalet og den øverste ledelsen, av avgjørende betydning. .
For eksempel bør det juridiske teamet sikre at organisasjonen inngår overføringsavtaler med tredjeparter og at disse avtalene er i tråd med kravene spesifisert i Kontroll 5.14. På samme måte bør IT-teamet ta en aktiv del i å definere og implementere kontroller for å opprettholde datasikkerheten som beskrevet i 5.14.
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Generell veiledning om kontroll 5.14
Overholdelse av 5.14 innebærer utvikling av regler, prosedyrer og avtaler, inkludert en emnespesifikk informasjonsoverføringspolicy, som gir data under transport et beskyttelsesnivå som er passende for klassifiseringen som er tildelt den informasjonen.
Med andre ord bør beskyttelsesnivået samsvare med nivået av kritikkverdighet og sensitivitet for informasjon som overføres.
Videre spesifiserer Control 5.14 at organisasjoner må signere overføringsavtaler med mottakende tredjeparter for å garantere sikker overføring av data.
Kontroll 5.14 grupperer overføringstypene i tre kategorier:
- Elektronisk overføring
- Overføring av fysiske lagringsmedier
- Verbal overføring
Før vi går videre til å beskrive de spesifikke kravene for hver type overføring, viser Control 5.14 elementene som må inkluderes i alle regler, prosedyrer og avtaler for alle tre typer overføringer generelt:
- Organisasjoner må definere kontroller passende for klassifiseringsnivået av informasjonen for å beskytte informasjonen under transport mot uautorisert tilgang, modifikasjon, avskjæring, kopiering, ødeleggelse og tjenestenektangrep.
- En organisasjon må ha kontroll over varetektskjeden mens den er i transitt og må definere og implementere kontroller for å sikre sporbarhet av informasjon.
- Relevante parter som er involvert i overføringen av informasjon bør defineres og kontaktinformasjonen deres skal oppgis. Dette kan omfatte informasjonseiere og sikkerhetsansvarlige.
- Tildeling av ansvar i tilfelle databrudd inntreffer.
- Bruke et merkesystem.
- Sikre tilgjengeligheten av overføringstjenesten.
- Lage emnespesifikke retningslinjer for informasjonsoverføringsmetodene.
- Retningslinjer for lagring og sletting av alle forretningsposter, inkludert meldinger.
- Analyse av hvilken innvirkning eventuelle gjeldende lover, forskrifter eller andre forpliktelser kan ha på overføringen.
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Supplerende veiledning om elektronisk overføring
Etter å ha listet opp minimumskravene til innhold for regler, prosedyrer og avtaler som er felles for alle tre typer overføringer, viser Control 5.14 spesifikke innholdskrav for hver type overføring.
Regler, avtaler og prosedyrer bør håndtere følgende problemer når informasjon overføres elektronisk:
- Oppdaging og forebygging av malware-angrep.
- Beskyttelse av sensitiv informasjon i de overførte vedleggene.
- Sikre at all kommunikasjon sendes til riktige mottakere og risiko for å sende kommunikasjon til feil e-postadresser, adresser eller telefonnumre er eliminert.
- Innhenting av forhåndsgodkjenning før du begynner å bruke offentlige kommunikasjonstjenester.
- Implementering av strengere autentiseringsmetoder når data overføres via offentlige nettverk.
- Pålegge restriksjoner på bruken av e-kommunikasjonstjenester som å forby automatisk videresending.
- Gi personalet råd om å ikke bruke SMS- eller direktemeldingstjenester for å dele sensitive data fordi dette innholdet kan bli sett av uautoriserte personer i offentlige rom.
- Rådgivning til ansatte og andre relevante parter om sikkerhetsrisiko presentert av faksmaskiner, for eksempel risikoen for uautorisert tilgang eller omdirigering av meldinger til bestemte numre.
Supplerende veiledning om overføring av fysisk lagringsmedier
Når informasjon deles via fysiske midler som papirer, bør reglene, prosedyrene og avtalene dekke følgende:
- Tildeling av ansvar for melding om sending, utsendelse og mottak.
- Sikre korrekt adressering og transport av meldingen.
- Emballasje eliminerer risikoen for skade på innholdet som kan oppstå når innholdet er under transport. For eksempel bør emballasje være god nok til ikke å bli påvirket av varme eller fuktighet.
- En liste over pålitelige kurerer avtalt og autorisert av ledelsen.
- Beskrivelse av kureridentifikasjonsstandarder.
- Bruk av manipulasjonssikre kontroller som vesker hvis nivået av sensitivitet og kritisk informasjon krever det.
- Prosedyrer for å bekrefte ID-er til kurerer.
- Godkjent liste over tredjeparter som tilbyr transport- eller budtjenester avhengig av klassifiseringsnivået.
- Holde loggoppføringer over leveringstidspunktet, liste over autoriserte mottakere, beskyttelse som er brukt og kvittering på destinasjonen.
Supplerende veiledning om verbal overføring
Kontroll 5.14 sier at når personell utveksler informasjon i organisasjonen eller når de overfører data til eksterne parter, skal de informeres om følgende risikoer:
- De bør unngå å ha konfidensielle samtaler over usikre offentlige kanaler eller i offentlige rom.
- De bør ikke legge igjen talemeldinger som inneholder konfidensiell informasjon med tanke på risikoen for gjentakelse av uautoriserte personer og risikoen for omdirigering av meldingen til tredjeparter.
- Hver enkelt, enten det er ansatte eller andre relevante tredjeparter, bør screenes før de får lov til å lytte til samtaler.
- Rom, der konfidensielle samtaler finner sted, bør være utstyrt med passende kontroller som lydisolering.
- De bør gi en ansvarsfraskrivelse før de har noen sensitiv samtale.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer og forskjeller fra ISO 27002:2013
27002:2022/5.14 erstatter 27002:2013/(13.2.1, 13.2.2. 13.2.3).
Mens de to kontrollene til en viss grad ligner, gjør to viktige forskjeller kravene til 2022-versjonen mer krevende.
Spesifikke krav for elektriske, fysiske og verbale overføringer
I 2013-versjonen, avsnitt 13.2.3 tatt opp de spesifikke kravene for overføring av informasjon via elektroniske meldinger.
Imidlertid behandlet den ikke separat overføring av informasjon via verbal eller fysisk måte.
I motsetning til dette identifiserer 2022-versjonen tydelig tre typer informasjonsoverføring og angir deretter innholdskravene for hver av dem separat.
2022-versjonen setter strengere krav for elektronisk overføring
Mens punkt 13.2.3 inneholdt spesifikke krav til innholdet i avtaler for elektronisk meldingsutveksling, pålegger 2022-versjonen strengere forpliktelser for organisasjoner.
2022-versjonen krever at organisasjoner beskriver og implementerer nye kontroller i reglene, prosedyrene og avtalene for elektroniske overføringer.
Organisasjoner bør for eksempel råde sine ansatte til ikke å bruke SMS-tjenester når de inneholder sensitiv informasjon.
Mer detaljerte krav til fysiske overføringer
2022-versjonen stiller strengere krav til fysisk lagringsmedieoverføring. For eksempel er kravene mer omfattende med hensyn til autentisering av kurerer og hvilke typer skader som bør forhindres.
Strukturelle endringer
I 2013-versjonen var det en eksplisitt henvisning til spesifikke krav til avtaler om informasjonsoverføringer. Imidlertid ble ikke "Regler" og "Prosedyrer" behandlet spesifikt.
I motsetning til dette angir 2022-versjonen de spesifikke kravene for hver av disse tre mekanismene.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISO 27002 implementeringen er enklere med vår trinnvise sjekkliste som guider deg gjennom hele prosessen, fra å definere omfanget av ISMS-en din til risikoidentifikasjon og kontrollimplementering.
Ta kontakt i dag for å bestill en demo.
