ISO 27001:2022 Bylae A 5.12 – Klassifikasie van inligting

Doel van ISO 27001:2022 Bylae A 5.12

Bylae A Beheer 5.12 is 'n voorkomende beheer wat stel organisasies in staat om risiko's te identifiseer deur die toepaslike vlak van beskerming vir elke inligtingbate te bepaal op grond van die belangrikheid en sensitiwiteit daarvan.

In die Aanvullende Rigting waarsku Aanhangsel A Beheer 5.12 uitdruklik teen die oor- of onderklassifikasie van inligting. Organisasies moet die vertroulikheid, beskikbaarheid en integriteitsvereistes oorweeg wanneer bates aan hul onderskeie kategorieë toegewys word. Dit help om te verseker dat die klassifikasieskema die besigheidsbehoeftes vir inligting en die sekuriteitsvereistes vir elke kategorie inligting balanseer.

Eienaarskap van Bylae A 5.12

Alhoewel dit noodsaaklik is om 'n klassifikasieskema vir inligtingsbates regdeur die hele organisasie daar te stel, is dit uiteindelik die verantwoordelikheid van die bate-eienaars om te verseker dat dit korrek geïmplementeer word.

Deur ISO 27001:2022 Bylae A 5.12 moet diegene met toepaslike inligtingsbates aanspreeklik gehou word. Byvoorbeeld, die rekeningkundige departement moet inligting klassifiseer op grond van die organisasiewye klassifikasieskema wanneer toegang tot dopgehou word wat betaalstaatverslae en bankstate bevat.

Wanneer inligting geklassifiseer word, is dit van kardinale belang vir bate-eienaars om die besigheidsbehoeftes en die potensiële impak wat 'n kompromie van inligting op die organisasie kan hê. Daarbenewens moet hulle rekening hou met die inligting se belangrikheid en sensitiwiteitsvlakke.

Algemene riglyne oor ISO 27001:2022 Bylae A 5.12

Om 'n robuuste inligtingklassifikasieskema suksesvol te implementeer, behoort organisasies 'n aktuele benadering te volg, elke besigheidseenheid se spesifieke inligtingsbehoeftes in ag te neem en die vlak van sensitiwiteit en kritiekheid van die inligting te evalueer.

Soos per Bylae A Beheer 5.12, moet organisasies die volgende sewe kriteria evalueer wanneer hulle 'n klassifikasieskema implementeer:

Stel 'n onderwerpspesifieke beleid vas en spreek spesifieke besigheidsbehoeftes aan

Bylae A Beheer 5.12 van die inligtingsekuriteitbestuurstelsel verwys na Bylae A Beheer 5.1, wat betrekking het op toegangsbeheer. Dit vereis dat organisasies voldoen aan onderwerpspesifieke beleide soos uiteengesit in Bylae A Beheer 5.1. Daarbenewens moet die klassifikasieskema en vlakke spesifieke besigheidsbehoeftes in ag neem wanneer inligtingsbates geklassifiseer word.

Organisasies moet hul besigheidsbehoeftes vir die deel en gebruik van inligting in ag neem, asook die behoefte aan die beskikbaarheid van sulke inligting. Die klassifikasie van 'n inligtingsbate kan egter kritieke besigheidsfunksies ontwrig deur toegang tot en gebruik van inligting te beperk.

Daarom moet organisasies hul spesifieke besigheidsbehoeftes vir die beskikbaarheid en gebruik van data en die vereiste vir die handhawing van die vertroulikheid en integriteit van daardie inligting balanseer.

Oorweeg wetlike verpligtinge

Spesifieke wette kan organisasies vereis om klem te lê op die beveiliging van die vertroulikheid, integriteit en beskikbaarheid van inligting. Daarom moet wetlike verpligtinge bo die organisasie se interne klassifikasie geprioritiseer word wanneer inligtingsbates gekategoriseer word.

Die aanvaarding van 'n risiko-gebaseerde benadering en die evaluering van die potensiële impak van 'n sekuriteitskending of kompromie op inligtingsbates is raadsaam. Dit sal help om toepaslike sekuriteitsmaatreëls te prioritiseer en te implementeer om die geïdentifiseerde risiko's te versag.

Elke vorm van inligting het 'n unieke betekenisvlak vir 'n organisasie se funksies en beskik oor verskillende grade van sensitiwiteit na gelang van die spesifieke omstandighede.

Wanneer 'n organisasie 'n inligtingsklassifikasieskema implementeer, moet dit die potensiële impak oorweeg wat die kompromie van die inligting se vertroulikheid, integriteit of beskikbaarheid op die organisasie kan hê.

Byvoorbeeld, die sensitiwiteit en potensiële impak van 'n databasis wat professionele e-posadresse van gekwalifiseerde leidrade bevat, sal hemelsbreed verskil van dié van werknemers se gesondheidsrekords. Daarom moet die organisasie die vlak van beskerming wat elke kategorie inligting vereis noukeurig oorweeg en hulpbronne dienooreenkomstig toewys.

Gereelde opdatering en hersiening van die klassifikasie

Bylae A Beheer 5.12 erken dat inligting se waarde, belangrikheid en vlak van sensitiwiteit met verloop van tyd kan verander soos die data deur sy lewensiklus gaan. Gevolglik moet organisasies gereeld hul klassifikasie van inligting hersien en enige nodige opdaterings maak.

ISO 27001 Bylae A Beheer 5.12 het betrekking op die vermindering van die waarde en sensitiwiteit van die inligting tot 'n beduidende mate.

Dit is noodsaaklik om met ander organisasies met jou te konsulteer om inligting te deel en enige ongelykhede op te los.

Elke organisasie het dalk eie terminologie, vlakke en standaarde vir hul inligtingsklassifikasiestelsels

Afwykings in inligtingklassifikasie tussen organisasies kan lei tot potensiële risiko's wanneer inligtingsbates uitgeruil word.

Organisasies moet met hul eweknieë saamwerk om 'n konsensus te bewerkstellig om eenvormigheid in inligtingklassifikasie en konsekwente interpretasie van klassifikasievlakke te verseker om sulke risiko's te versag.

Konsekwentheid op organisasievlak

Elke departement binne 'n organisasie moet 'n gedeelde begrip van klassifikasievlakke en protokolle hê om eenvormigheid in klassifikasies oor die hele organisasie te verseker.

Leiding oor hoe om die klassifikasie van inligtingskema te implementeer

Terwyl aanhangsel A 5.12 erken dat daar geen universeel toepaslike klassifikasiestelsel is nie en organisasies die buigsaamheid het om hul klassifikasievlakke vas te stel en te definieer, illustreer dit 'n inligtingklassifikasieskema:

• Openbaarmaking veroorsaak geen skade nie.
• Openbaarmaking veroorsaak geringe reputasieskade of geringe operasionele impak.
• Openbaarmaking het 'n beduidende korttermyn-impak op bedrywighede of besigheidsdoelwitte.
• Openbaarmaking het 'n ernstige impak op langtermyn besigheidsdoelwitte of stel die organisasie se voortbestaan ​​in gevaar.

Veranderinge en verskille vanaf ISO 27002:2013

Bylae A 8.2.1 in die vorige weergawe het gehandel oor die Klassifikasie van Inligting.

Alhoewel die twee weergawes redelik soortgelyk is, is daar twee hoofverskille:

1. Eerstens het die vorige weergawe nie die behoefte aan konsekwentheid in klassifikasievlakke genoem wanneer inligting tussen organisasies gedeel word nie. ISO 27001:2022 vereis egter dat organisasies met hul eweknieë saamwerk om eenvormigheid in inligtingklassifikasie en begrip te verseker.
2. Tweedens vereis die opgedateerde weergawe uitdruklik van organisasies om beleide te ontwikkel wat aangepas is vir spesifieke onderwerpe. Slegs 'n kort verwysing na toegangsbeheer is in die ouer weergawe gemaak.

Tabel van alle ISO 27001:2022 Bylae A-kontroles

In die tabel hieronder sal jy meer inligting oor elke individuele ISO 27001:2022 vind Aanhangsel A Beheer.

Hoe ISMS.online Help

ons platform is ontwerp om gebruikersvriendelik en eenvoudig te wees, wat voorsiening maak vir hoogs tegniese individue en alle personeellede in jou organisasie.

Ons bepleit dat werknemers op alle vlakke van die besigheid by die konstruksie van u ISMS betrek word, aangesien dit help om 'n volhoubare stelsel te vestig.

Vind meer uit deur bespreek 'n demo.