ISO 27002:2022 – Beheer 5.14 – Inligtingoordrag

Doel van beheer 5.14

Beheer 5.14 is 'n voorkomende tipe beheer wat van organisasies vereis om toepaslike reëls, prosedures en/of ooreenkomste in te stel om die sekuriteit van data te handhaaf wanneer dit binne 'n organisasie gedeel word of wanneer dit aan derde partye oorgedra word.

Eienskappe van beheer 5.14

Eienaarskap van beheer 5.14

Terwyl die ontwikkeling en implementering van reëls, prosedures en ooreenkomste die ondersteuning en goedkeuring van hoëvlakbestuur vereis, is die samewerking en kundigheid van verskillende belanghebbendes binne 'n organisasie, insluitend die regspan, IT-personeel en hoër bestuur, van kritieke belang .

Die regspan moet byvoorbeeld verseker dat die organisasie oordragooreenkomste met derde partye aangaan en dat hierdie ooreenkomste in lyn is met die vereistes gespesifiseer in Beheer 5.14. Net so moet die IT-span aktief deelneem aan die definisie en implementering van kontroles om die sekuriteit van data te handhaaf soos uiteengesit in 5.14.

Algemene riglyne oor beheer 5.14

Voldoening aan 5.14 behels die ontwikkeling van reëls, prosedures en ooreenkomste, insluitend 'n onderwerpspesifieke inligtingoordragbeleid, wat data in transito voorsien met 'n vlak van beskerming wat geskik is vir die klassifikasie wat aan daardie inligting toegeken is.

Met ander woorde, die vlak van beskerming moet ooreenstem met die vlak van kritiek en sensitiwiteit van inligting wat oorgedra word.

Verder spesifiseer Beheer 5.14 dat organisasies oordragooreenkomste met ontvanger derde partye moet onderteken om veilige oordrag van data te waarborg.

Kontrole 5.14 groepeer die tipes oordrag in drie kategorieë:

• Elektroniese oordrag
• Fisiese stoormedia-oordrag
• Verbale oordrag

Voordat ons verder gaan om die spesifieke vereistes vir elke tipe oordrag te beskryf, lys Beheer 5.14 die elemente wat ingesluit moet word in alle reëls, prosedures en ooreenkomste vir al drie tipes oordragte in die algemeen:

• Organisasies moet beheermaatreëls definieer geskik is vir die vlak van klassifikasie van die inligting om die inligting in transito te beskerm teen ongemagtigde toegang, wysiging, onderskepping, kopiëring, vernietiging en ontkenning-van-diens-aanvalle.
• 'n Organisasie moet beheer hou oor die ketting van bewaring terwyl dit in transito is en moet beheermaatreëls definieer en implementeer om naspeurbaarheid van inligting te verseker.
• Relevante partye betrokke by die oordrag van inligting moet gedefinieer word en hul kontakbesonderhede moet verskaf word. Dit kan inligtingseienaars en sekuriteitsbeamptes insluit.
• Toekenning van aanspreeklikhede in geval 'n data-oortreding voorkom.
• Gebruik 'n etiketteringstelsel.
• Verseker die beskikbaarheid van die oordragdiens.
• Die skep van onderwerpspesifieke riglyne oor die inligtingsoordragmetodes.
• Riglyne vir die berging en verwydering van alle besigheidsrekords, insluitend boodskappe.
• Ontleding van die impak wat enige toepaslike wette, regulasies of ander verpligtinge op die oordrag mag hê.

Aanvullende leiding oor elektroniese oordrag

Nadat die minimum inhoudsvereistes vir reëls, prosedures en ooreenkomste algemeen oor al drie tipes oordrag gelys is, lys Beheer 5.14 spesifieke inhoudvereistes vir elke tipe oordrag.

Reëls, ooreenkomste en prosedures moet die volgende kwessies aanspreek wanneer inligting elektronies oorgedra word:

• Opsporing en voorkoming van malware-aanvalle.
• Beskerming van sensitiewe inligting vervat in die aanhangsels wat oorgedra is.
• Om te verseker dat alle kommunikasie aan die korrekte ontvangers gestuur word en die risiko om kommunikasie na verkeerde e-posadresse te stuur, adresse of telefoonnommers word uitgeskakel.
• Verkry voorafmagtiging voordat u enige openbare kommunikasiedienste begin gebruik.
• Die implementering van strenger verifikasiemetodes wanneer data via publieke netwerke versend word.
• Die oplegging van beperkings op die gebruik van e-kommunikasiedienste soos die verbod op outomatiese aanstuur.
• Adviseer personeel om nie kortboodskap- of kitsboodskapdienste te gebruik om sensitiewe data te deel nie, want hierdie inhoud kan deur ongemagtigde individue in openbare ruimtes gesien word.
• Advisering van personeel en ander relevante partye oor die sekuriteitsrisiko's aangebied deur faksmasjiene soos die risiko van ongemagtigde toegang of herroetering van boodskappe na spesifieke nommers.

Aanvullende leiding oor oordrag van fisiese bergingsmedia

Wanneer inligting op fisiese wyse soos papiere gedeel word, moet die reëls, prosedures en ooreenkomste die volgende dek:

• Toewysing van verantwoordelikhede vir kennisgewing van versending, versending en ontvangs.
• Verseker korrekte adressering en vervoer van die boodskap.
• Verpakking elimineer die risiko van skade aan die inhoud wat mag ontstaan ​​wanneer die inhoud in vervoer is. Verpakking moet byvoorbeeld goed genoeg wees om nie deur hitte of vog geraak te word nie.
• 'n Lys van betroubare koeriers wat deur die bestuur ooreengekom en gemagtig is.
• Beskrywing van koerier identifikasie standaarde.
• Gebruik van peuterbestande kontroles soos sakke indien die vlak van sensitiwiteit en kritiekheid van inligting dit vereis.
• Prosedures om ID's van koeriers te verifieer.
• Goedgekeurde lys van derde partye wat vervoer- of koerierdienste verskaf, afhangende van die vlak van klassifikasie.
• Hou log rekords van die tyd van aflewering, lys van gemagtigde ontvangers, beskerming toegepas, en ontvangs by die bestemming.

Aanvullende leiding oor verbale oordrag

Beheer 5.14 bepaal dat wanneer personeel inligting binne die organisasie uitruil of wanneer hulle data aan eksterne partye oordra, hulle van die volgende risiko's ingelig moet word:

• Hulle moet vermy om vertroulike gesprekke oor onseker openbare kanale of in openbare ruimtes te voer.
• Hulle moet nie stemboodskappe laat wat vertroulike inligting bevat nie, met inagneming van die risiko van herspeel deur ongemagtigde persone en die risiko van herroetering van die boodskap na derde partye.
• Elke individu, hetsy werknemers of ander relevante derde partye, moet gekeur word voordat hulle toegelaat word om na gesprekke te luister.
• Kamers, waar vertroulike gesprekke plaasvind, moet toegerus wees met toepaslike kontroles soos klankdigting.
• Hulle moet 'n vrywaring gee voordat hulle enige sensitiewe gesprek voer.

Veranderinge en verskille vanaf ISO 27002:2013

27002:2022/5.14 vervang 27002:2013/(13.2.1, 13.2.2. 13.2.3).

Alhoewel die twee kontroles tot 'n mate soortgelyk is, maak twee sleutelverskille die 2022-weergawe se vereistes meer.

Spesifieke vereistes vir elektriese, fisiese en verbale oordragte

In die 2013-weergawe, afdeling 13.2.3 die spesifieke vereistes aangespreek vir die oordrag van inligting via elektroniese boodskappe.

Dit het egter nie afsonderlik die oordrag van inligting via verbale of fisiese wyse aangespreek nie.

Daarteenoor identifiseer die 2022-weergawe duidelik drie tipes inligtingoordrag en stel dan die inhoudsvereistes vir elkeen afsonderlik uiteen.

2022-weergawe stel strenger vereistes vir elektroniese oordrag

Terwyl afdeling 13.2.3 spesifieke vereistes vir die inhoud van ooreenkomste vir elektroniese boodskappe bevat het, lê die 2022-weergawe strenger verpligtinge op organisasies.

Die 2022-weergawe vereis van organisasies om nuwe beheermaatreëls in die reëls, prosedures en ooreenkomste vir elektroniese oordragte te beskryf en te implementeer.

Organisasies moet byvoorbeeld hul werknemers aanraai om nie SMS-dienste te gebruik wanneer hulle sensitiewe inligting insluit nie.

Meer gedetailleerde vereistes vir fisiese oordragte

Die 2022-weergawe stel strenger vereistes vir die oordrag van fisiese bergingsmedia. Die vereistes daarvan is byvoorbeeld meer omvattend ten opsigte van verifikasie van koeriers en die tipe skade wat voorkom moet word.

Strukturele veranderinge

In die 2013-weergawe was daar 'n uitdruklike verwysing na spesifieke vereistes vir ooreenkomste vir inligtingsoordrag. Die 'Reëls' en 'Prosedures' is egter nie spesifiek aangespreek nie.

Daarteenoor stel die 2022-weergawe die spesifieke vereistes vir elk van hierdie drie meganismes uiteen.

Nuwe ISO 27002-kontroles

Hoe ISMS.online help

ISO 27002 implementering is eenvoudiger met ons stap-vir-stap kontrolelys wat jou deur die hele proses lei, van die definisie van die omvang van jou ISMS tot risiko-identifikasie en beheer-implementering.

Kontak vandag nog om bespreek 'n demo.