Formål med kontroll 8.11
Datamaskering er en teknikk som brukes for å beskytte sensitive data – vanligvis alle data som kan anses som personlig identifiserbar informasjon (PII) – utover en organisasjons standard informasjonssikkerhetsprotokoller som tilgangskontroll osv.
Datamaskering er ofte nevnt i juridiske, lovpålagte og forskriftsmessige retningslinjer og lover som regulerer lagring og tilgang til ansatte-, kunde-, bruker- og leverandørinformasjon.
Attributttabell for kontroll 8.11
Kontroll 8.11 er en forebyggende kontrollere det endrer risiko ved å foreslå en rekke datamaskeringsteknikker som ivaretar PII, og hjelper organisasjonen til å forbli i samsvar med det som blir bedt om av den av juridiske myndigheter og reguleringsbyråer.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | #Informasjonsbeskyttelse | #Beskyttelse |
Eierskap til kontroll 8.11
Datamaskering er en kompleks teknisk prosess som involverer endring av sensitiv informasjon, og hindrer brukere i å identifisere registrerte gjennom en rekke tiltak.
Selv om dette i seg selv er en administrativ oppgave, er karakteren av datamaskering direkte relatert til en organisasjons evne til å forbli i samsvar med lover, forskrifter og lovpålagte retningslinjer angående lagring, tilgang og behandling av data. Som sådan bør eierskapet ligge hos Sjef for informasjonssikkerhet, eller tilsvarende organisatorisk.
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Generell veiledning om samsvar
Kontroll 8.11 ber organisasjoner vurdere datamaskering gjennom omfanget av to hovedteknikker – pseudonymisering og / eller anonymisering. Begge disse metodene er utformet for å skjule den sanne hensikten med PII gjennom disassosiasjon – dvs. skjule koblingen mellom rådataene og emnet (vanligvis en person).
Organisasjoner bør passe på å sikre at ingen enkelt data kompromitterer personens identitet.
Når du bruker en av disse teknikkene, bør organisasjoner vurdere:
- Nivået av pseudonymisering og/eller anonymisering som kreves, i forhold til dataenes natur.
- Hvordan de maskerte dataene får tilgang.
- Eventuelle bindende avtaler som begrenser bruken av dataene som skal maskeres.
- Holde de maskerte dataene atskilt fra andre datatyper, for å forhindre at den registrerte enkelt identifiseres.
- Logging når dataene ble mottatt, og hvordan de har blitt gitt til eventuelle interne eller eksterne kilder.
Veiledning – tilleggsteknikker
Pseudonymisering og anonymisering er ikke de eneste metodene som er tilgjengelige for organisasjoner som ønsker å maskere PII eller sensitive data. Kontroll 8.11 skisserer 5 andre metoder som kan brukes for å styrke datasikkerheten:
- Nøkkelbasert kryptering.
- Slette eller slette tegn i datasettet.
- Varierende tall og datoer.
- Erstatter verdier på tvers av dataene.
- Hash-basert verdimaskering.
Veiledning – Datamaskeringsprinsipper
Datamaskering er en viktig del av en organisasjons policy for å beskytte PII og ivareta identiteten til personene den har data om.
I tillegg til teknikkene ovenfor, bør organisasjoner vurdere forslagene nedenfor når de planlegger sin tilnærming til datamaskering:
- Implementer maskeringsteknikker som bare avslører minimumsmengde data til alle som bruker det.
- Å «obfuskere» (skjule) visse deler av data på forespørsel fra subjektet, og bare tillate visse ansatte å få tilgang til delene som er relevante for dem.
- Bygger datamaskeringsoperasjonen rundt spesifikke juridiske og regulatoriske retningslinjer.
- Der pseudonymisering er implementert, holdes algoritmen som brukes til å "demaskere" dataene trygt og sikkert.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer og forskjeller fra ISO 27002:2013
Ingen. Kontroll 8.11 har ingen presedens i ISO 27002:2013 da den er ny.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
Vår skybaserte plattform gir deg et robust rammeverk av informasjonssikkerhetskontroller slik at du kan sjekke ISMS-prosessen din mens du går for å sikre at den oppfyller kravene til ISO 27002:2022.
Ta kontakt i dag for å bestill en demo.
