ISO 27002:2022 – Beheer 5.33 – Beskerming van rekords

ISO 27002:2022 Beheer 5.33 – Beste praktyke vir rekordbeskerming

Rekords is 'n vaag konsep wat sommige organisasies sukkel om te klassifiseer en te bestuur, vir voldoeningsdoeleindes.

Rekords, binne die bestek van IKT, is 'n ander term vir die data en inligting wat 'n organisasie behou en/of gebruik om sy daaglikse besigheidsaktiwiteite uit te voer, insluitend (maar nie beperk nie tot):

1. Individuele gebeurtenisse
2. Transaksies
3. Werksprosesse
4. aktiwiteite
5. Funksies

ISO definieer rekords in die omvang van hul standaarde as "enige stel inligting, ongeag die struktuur of vorm daarvan", insluitend "'n dokument, 'n versameling data of ander tipes inligting wat in die loop van besigheid geskep, vasgelê en bestuur word ”, insluitend 'n rekord se metadata.

Doel van beheer 5.33

Enige organisasie het 'n verpligting om te verseker dat die data wat dit hou - insluitend maar nie beperk nie tot enige persone - finansieel inligting of bedryfsareas – word veilig gehou, en interne prosedures bly voldoen aan alle heersende vereistes.

Beheer 5.33 handel oor die beskerming van besigheidsrekords teen 5 groot gebeurtenisse:

1. Verlies
2. Vernietiging
3. Vervalsing
4. Ongemagtigde toegang
5. Ongemagtigde vrystelling of publikasie

Eienskappe tabel

Beheer 5.33 is a voorkomende beheer Wat risiko handhaaf deur riglyne en prosedures te skep – insluitend retensieskedules – wat voldoen aan 'n organisasie se wetlike, statutêre, regulatoriese en kontraktuele vereistes met betrekking tot die beskerming en beskikbaarheid van enige rekords wat dit hou.

Algemene riglyne oor beheer 5.33

Beheer 5.33 erken dat 'n organisasie se behoeftes is vloeibaar wanneer dit kom by die hoeveelheid en tipe rekords wat nodig is om van een dag na die volgende sake te doen.

As sodanig kategoriseer Control 5.33 rekordbestuur in 4 hoofkenmerke:

1. Egtheid
2. betroubaarheid
3. integriteit
4. Bruikbaarheid

Binne die bestek van hierdie eienskappe vra Beheer 5.33 organisasies om:

1. Stel en publiseer riglyne wat handel oor vier hooffunksies, saam met onderwerpspesifieke beleide wat voorsiening maak vir die onderliggende aard van die betrokke rekords:

   a) Rekord stoor
   b) Rekord hantering ketting van bewaring
   c) Rekord wegdoening
   d) Voorkom manipulasie

2. Handhaaf 'n funksionele rekordbehoudskedule wat die tydsduur duidelik uiteensit wat rekords van verskillende tipes behou moet word, met betrekking tot hul individuele besigheidsfunksie.
3. Skep stoor- en hanteringsprosedures wat in ag neem:

   a) enige heersende wette wat handel oor kommersiële rekordhouding
   b) "gemeenskaps- en maatskaplike" verwagtinge van hoe 'n organisasie sy rekords moet hanteer

4. Implementeer prosedures wat rekords op 'n veilige en toepaslike wyse vernietig die oomblik dat dit nie nodig is nie (nadat die retensietydperk verlaat is).
5. Klassifiseer rekords vir beskerming (insluitend toepaslike retensieperiodes en bergingsmedia wat gebruik word) gebaseer op hul veiligheidsrisiko, en verskeie tipes, insluitend (maar nie beperk nie tot):

   a) Rekeningkundige rekords
   b) Besigheidstransaksies
   c) Personeel rekords
   d) Regsrekords

6. Verseker dat enige bergingsprosedures voorsiening maak vir 'n aanvaarbare tydsraamwerk vir herwinning, sou die organisasie gevra word om dit deur 'n derde party te produseer, of vir interne gebruik.
7. Waar elektroniese media gebruik word om rekords te stoor, oorweeg en verminder die moontlikheid dat toegang tot of herwinning van rekords deur tegnologiese wysigings belemmer word, insluitend die behoud van kriptografiese inligting (sien Beheer 8.24).
8. Hou by die vervaardiger se riglyne wanneer rekords op of via elektroniese media gestoor of hanteer word, insluitend voldoende oorweging vir die natuurlike agteruitgang van genoemde media.

Veranderinge en verskille vanaf ISO 27002:2013

27002:2022-5.33 vervang 27002:2013-18.1.3 (Beskerming van rekords), met verskeie toevoegings in die vorm van individuele riglyne en algemene prosesse wat nagekom moet word.

In die 2022-beheer erken ISO die belangrikheid daarvan om te definieer wat 'n besigheidsrekord uitmaak. 27002:2022-5.33 bevat talle voorbeelde van wat ISO as 'n rekord beskou (sien hierbo), wat afwesig is vanaf 27002:2013-18.1.3.

Beheer 5.33 fokus ook 'n organisasie se aandag op twee hoofriglyne wat nie in sy eweknie van 2013 vervat is nie (riglyne 1 en 2 hierbo), wat op hul beurt die basis vorm van 'n organisasie se rekordbeleid – veral 'n retensieskedule wat bepaal hoe lang rekords moet gehou word vir, en enige media-spesifieke vereistes.

Metadata het ook vir die eerste keer 'n verskyning in rekordbestuur gemaak. 27002:2013-18.1.3 bevat geen melding daarvan nie, terwyl 27002:2022-5.33 dit as 'n "essensiële komponent" beskou.

Nuwe ISO 27002-kontroles

Hoe ISMS.online help

Gebruik ISMS.online kan jy:

• Implementeer vinnig 'n Inligtingsekuriteitbestuurstelsel (ISMS).
• Maklik bestuur die dokumentasie van jou ISMS.
• Stroomlyn voldoening aan alle relevante standaarde.
• Bestuur alle aspekte van inligtingsekuriteit, van risikobestuur tot sekuriteitsbewusmakingsopleiding.
• Kommunikeer effektief regdeur jou organisasie deur ons ingeboude kommunikasiefunksies te gebruik.

Kontak vandag nog om bespreek 'n demo.