Doel van beheer 5.13
5.13 is 'n voorkomende beheer wat beskerm inligtingbates teen sekuriteitsrisiko's deur organisasies te help om twee afsonderlike doelwitte te bereik:
- Om dit makliker te maak om die vlak van klassifikasie te demonstreer, word elke inligtingbate gegee wanneer die inligting intern en ekstern gekommunikeer word en wanneer dit deur werknemers en derde partye verkry word en dit gebruik word.
- Vereenvoudiging van die proses van outomatisering van inligtingbestuur en -verwerking.
Eienskappe van beheer 5.13
| beheer Tipe | Eienskappe vir inligtingsekuriteit | Kuberveiligheidskonsepte | Operasionele vermoëns | Sekuriteitsdomeine |
|---|---|---|---|---|
| #Voorkomende | #Vertroulikheid | #Beskerm | #Inligtingbeskerming | #Verdediging |
| #Integriteit | #Beskerming | |||
| #Beskikbaarheid |
Eienaarskap van beheer 5.13
Aangesien die byvoeging van metadata by digitale bates die primêre manier is om inligtingsbates te etiketteer, sal metadata-rentmeesters verantwoordelik wees vir die behoorlike implementering van etiketteringprosedure.
Benewens die metadata-rentmeesters, sal bate-eienaars met toegangs- en wysigingsmagtigings verantwoordelik wees vir die behoorlike etikettering van alle databates en sal die nodige wysigings aan etikettering aanbring indien nodig.
Kry 'n voorsprong van 81%.
Ons het die harde werk vir jou gedoen, wat jou 'n voorsprong van 81% gee vanaf die oomblik dat jy aanmeld.
Al wat jy hoef te doen is om die spasies in te vul.
Algemene riglyne oor hoe om te voldoen
Beheer 5.13 identifiseer vier spesifieke stappe wat organisasies moet implementeer om etikettering van inligting in ooreenstemming met 5.13 uit te voer.
Ontwikkel en implementeer 'n Inligtingsetiketteringsprosedure
Organisasies moet 'n organisasiewye Inligtingsetiketteringsprosedure ontwikkel wat voldoen aan die inligtingklassifikasieskema wat in ooreenstemming met Beheer 5.12 geskep is.
Verder vereis 5.13 dat hierdie prosedure uitgebrei word na alle inligtingsbates, ongeag of dit in digitale of papierformaat is en dat die etikette maklik herkenbaar moet wees.
Alhoewel daar geen beperking is op wat hierdie Proseduredokument kan bevat nie, bepaal die Beheer 5.13 dat die Prosedures ten minste die volgende moet insluit:
- Beskrywing van die metodes om etikette aan inligtingbates te heg, afhangende van die stoormedium en hoe toegang tot die data verkry word.
- Waar die etikette vir elke tipe inligtingsbate aangeheg moet word.
- Watter inligtingbates sal nie gemerk word nie, indien enige. Byvoorbeeld, 'n organisasie kan die etikettering van publieke data weglaat om die inligtingetiketteringsproses te stroomlyn.
- Beskrywing van maatreëls vir gevalle waar dit nie moontlik is om sekere tipes inligting te etiketteer nie weens tegniese, wetlike of kontraktuele beperkings.
- Die reëls oor hoe die etikettering van inligting wat aan interne of eksterne partye oorgedra word, hanteer moet word.
- Vir digitale bates moet die Prosedure verduidelik hoe die metadata ingevoeg moet word.
- Name van etikette wat vir alle bates gebruik moet word.
Gee voldoende opleiding aan personeel oor hoe om by die etiketteringprosedure te hou
Die prosedure vir etikettering van inligting kan slegs effektief wees in die mate dat personeel en ander relevante belanghebbendes goed ingelig is oor hoe om inligting korrek te etiketteer en hoe om gemerkte inligtingbates te hanteer.
Daarom moet organisasies personeel en ander relevante partye van opleiding oor die prosedure voorsien.
Gebruik metadata vir etikettering van digitale inligtingbates
5.13 vereis die gebruik van metadata vir etikettering van digitale inligtingbates.
Verder wys dit daarop dat die metadata ontplooi moet word op 'n manier wat dit maklik en doeltreffend maak om inligting te identifiseer en te soek en ook op 'n manier wat die besluitnemingsproses tussen stelsels wat met gemerkte inligting verband hou, stroomlyn.
Neem ekstra maatreëls om sensitiewe data te benoem wat moontlik uit die stelsel kan vloei
Met inagneming van die risiko's verbonde aan uitwaartse oordrag van sensitiewe data vanaf stelsels, beveel 5.13 organisasies aan om hierdie inligtingbates te benoem met dié wat die mees geskikte is vir die vlak van kritiek en sensitiwiteit van die betrokke inligting.
Aanvullende leiding oor beheer 5.13
Die 5.13 beklemtoon dat identifikasie en akkurate etikettering van geklassifiseerde inligting noodsaaklik is vir die sekuriteit van datadeelbedrywighede.
Benewens die vier spesifieke stappe wat hierbo beskryf word, beveel 5.13 ook aan dat organisasies bykomende metadatapunte invoeg soos die naam van die proses wat die inligtingsbate geskep het en die tyd van sodanige skepping.
Verder verwys die 5.13 na die algemene etiketteringtegnieke wat organisasies kan implementeer:
- Fisiese etikette
- Kop- en voettekste
- Metadata
- watermarking
- Rubberstempels
Laastens beklemtoon die 5.13 dat die etikettering van inligtingsbates as 'vertroulik' en 'geklassifiseer' onbedoelde gevolge kan hê omdat dit dit vir kwaadwillige akteurs makliker kan maak om sensitiewe inligtingbates deur te soek en te vind.
Bestuur al jou nakoming op een plek
ISMS.online ondersteun meer as 100 standaarde
en regulasies, gee jou 'n enkele
platform vir al jou voldoeningsbehoeftes.
Veranderinge en verskille vanaf ISO 27002:2013
27002:2022/5.13 vervang 27002:2013/8.2.2 (Etikettering van inligting).
Alhoewel die twee kontroles tot 'n mate soortgelyk is, is daar twee sleutelverskille wat die 2022-weergawe meer omvattend maak.
Nuwe vereistes vir die gebruik van metadata
Terwyl die 2013-weergawe na metadata as 'n etiketteringtegniek verwys het, het dit geen spesifieke verpligtinge vir nakoming opgelê wanneer metadata gebruik word nie.
In teenstelling hiermee bring die 2022-weergawe streng vereistes oor hoe om metadata-tegniek te gebruik. Ter illustrasie vereis die 2022-weergawe dat:
- Metadata word by inligting gevoeg op 'n manier wat dit maklik maak om inligting op 'n doeltreffende manier te identifiseer, bestuur en ontdek.
- Metadata vir die naam van die organisatoriese proses wat 'n spesifieke bate geskep het en die tyd daarvan moet ingevoeg word.
Inhoud van die Inligtingsetiketteringsprosedure moet meer gedetailleerd wees
In teenstelling met die 2022-weergawe, het die 2013-weergawe nie die minimum inhoud gespesifiseer wat in 'n Inligtingsetiketteringsprosedure ingesluit moet word nie.
Nuwe ISO 27002-kontroles
Nuwe kontroles
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 5.7 | Nuut | Bedreigingsintelligensie |
| 5.23 | Nuut | Inligtingsekuriteit vir die gebruik van wolkdienste |
| 5.30 | Nuut | IKT-gereedheid vir besigheidskontinuïteit |
| 7.4 | Nuut | Fisiese sekuriteitsmonitering |
| 8.9 | Nuut | Konfigurasiebestuur |
| 8.10 | Nuut | Inligting verwydering |
| 8.11 | Nuut | Datamaskering |
| 8.12 | Nuut | Voorkoming van datalekkasies |
| 8.16 | Nuut | Moniteringsaktiwiteite |
| 8.23 | Nuut | Webfiltrering |
| 8.28 | Nuut | Veilige kodering |
Organisatoriese kontroles
Mense beheer
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Terme en diensvoorwaardes |
| 6.3 | 07.2.2 | Bewustheid, onderwys en opleiding van inligtingsekuriteit |
| 6.4 | 07.2.3 | Dissiplinêre proses |
| 6.5 | 07.3.1 | Verantwoordelikhede na beëindiging of verandering van diens |
| 6.6 | 13.2.4 | Vertroulikheids- of nie-openbaarmakingsooreenkomste |
| 6.7 | 06.2.2 | Afstand werk |
| 6.8 | 16.1.2, 16.1.3 | Rapportering van inligtingsekuriteitsgebeurtenisse |
Fisiese beheer
| ISO/IEC 27002:2022 Beheeridentifiseerder | ISO/IEC 27002:2013 Beheeridentifiseerder | Beheer naam |
|---|---|---|
| 7.1 | 11.1.1 | Fisiese sekuriteit omtrek |
| 7.2 | 11.1.2, 11.1.6 | Fisiese toegang |
| 7.3 | 11.1.3 | Beveiliging van kantore, kamers en fasiliteite |
| 7.4 | Nuut | Fisiese sekuriteitsmonitering |
| 7.5 | 11.1.4 | Beskerming teen fisiese en omgewingsbedreigings |
| 7.6 | 11.1.5 | Werk in veilige areas |
| 7.7 | 11.2.9 | Duidelike lessenaar en duidelike skerm |
| 7.8 | 11.2.1 | Toerusting plaas en beskerming |
| 7.9 | 11.2.6 | Sekuriteit van bates buite die perseel |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Berging media |
| 7.11 | 11.2.2 | Ondersteunende nutsprogramme |
| 7.12 | 11.2.3 | Bekabeling sekuriteit |
| 7.13 | 11.2.4 | Onderhoud van toerusting |
| 7.14 | 11.2.7 | Veilige wegdoening of hergebruik van toerusting |
Tegnologiese kontroles
Hoe ISMS.online help
ISO 27002 implementering is eenvoudiger met ons stap-vir-stap kontrolelys wat jou deur die hele proses lei, van die definisie van die omvang van jou ISMS tot risiko-identifikasie en beheer-implementering.
Ons platform is intuïtief en maklik om te gebruik. Dit is nie net vir hoogs tegniese mense nie; dis vir almal in jou organisasie. Ons moedig jou aan om personeel op alle vlakke van jou besigheid te betrek by die bou van jou ISMS, want dit help jou om 'n werklik volhoubare stelsel te bou.
Kontak vandag nog om bespreek 'n demo.
Spring na onderwerp
