ISO 27002:2022, Kontroll 8.12 – Forebygging av datalekkasje

Eierskap til kontroll 8.12

Kontroll 8.12 omhandler IKT-operasjoner som utføres ved bruk av systemadministratortilgang, og faller inn under paraplyen nettverksadministrasjon og vedlikehold. Som sådan bør eierskapet til Kontroll 8.12 ligge hos IT-sjefen, eller tilsvarende organisatorisk.

Generell veiledning om samsvar

Datalekkasje er vanskelig å eliminere helt. Når det er sagt, for å minimere risikoene som er unike for deres drift, bør organisasjoner:

1. Klassifiser data i tråd med anerkjente industristandarder (PII, kommersielle data, produktinformasjon), for å tilordne varierende risikonivåer over hele linjen.
2. Overvåk nøye kjente datakanaler som er mye brukt og utsatt for lekkasje (f.eks. e-post, interne og eksterne filoverføringer, USB-enheter).
3. Ta proaktive tiltak for å forhindre at data lekker (f.eks. robuste filtillatelser og tilstrekkelige autorisasjonsteknikker).
4. Begrens en brukers mulighet til å kopiere og lime inn data (der det er aktuelt) til og fra bestemte plattformer og systemer.
5. Krev autorisasjon fra dataeieren før noen masseeksport utføres.
6. Vurder å administrere eller hindre brukere i å ta skjermbilder eller fotografere skjermer som viser beskyttede datatyper.
7. Krypter sikkerhetskopier som inneholder sensitiv informasjon.
8. Formuler gatewaysikkerhetstiltak og lekkasjeforebyggende tiltak som sikrer mot eksterne faktorer som (men ikke begrenset til) industrispionasje, sabotasje, kommersiell interferens og/eller IP-tyveri.

Forebygging av datalekkasje er knyttet til en rekke andre ISO-sikkerhetsretningslinjer som søker å beskytte informasjon og data på tvers av en organisasjons nettverk, inkludert tilgangskontrolltiltak (se kontroll 5.12) og sikker dokumenthåndtering (se kontroll 5.15).

Veiledning – Datalekkasjeverktøy

Organisasjoner bør vurdere å bruke dedikerte datalekkasjeverktøy og hjelpeprogrammer som:

1. Arbeid i takt med organisasjonens tilnærming til dataklassifisering, og identifiser potensialet for lekkasje innenfor høyrisikodatatyper.
2. Oppdage og proaktivt varsle ved overføring og/eller avsløring av data, spesielt til uautoriserte systemer, fildelingsplattformer eller applikasjoner.
3. Gjenkjenne risikoen som ligger i visse dataoverføringsmetoder (f.eks. kopiering av finansiell informasjon fra en database til et regneark).

Verktøy for forebygging av datalekkasje er påtrengende i sin natur, og bør implementeres og administreres i samsvar med alle regulatoriske krav eller lovgivning som omhandler brukernes personvern.

Støttekontroller

• 5.12
• 5.15

Endringer og forskjeller fra ISO 27002:2013

Ingen. ISO 27002:2022-8.12 er en ny kontroll uten motstykke i ISO 27002:2003.

Hvordan ISMS.online hjelper

Vår skybaserte plattform lar deg raskt og enkelt administrere alle aspektene ved ISMS-en din, inkludert risikostyring, retningslinjer, planer, prosedyrer og mer, på ett sentralt sted. Plattformen er enkel å bruke og har et intuitivt grensesnitt som gjør det enkelt å lære å bruke.

ISMS.Online lar deg:

• Dokumenter prosessene dine ved hjelp av et intuitivt nettgrensesnitt uten å måtte installere programvare på datamaskinen eller nettverket.
• Automatiser risikovurderingsprosessen.
• Vis overholdelse enkelt med online rapporter og sjekklister.
• Hold oversikt over fremgangen mens du jobber mot sertifisering.

Kontakt oss i dag for bestill en demo.