ISO 27701 – Klousule 6.5.2 – Inligtingsklassifikasie

ISO 27701 Klousule 6.5.2: Die sleutel tot doeltreffende inligtingsklassifikasie

Die wêreld van globale handel is gevul met allerhande inligtingtipes – van alledaagse, publiek beskikbare datastelle tot hoogs sensitiewe PII-rekords wat finansiële inligting en afskrifte van staats-ID bevat.

Organisasies moet 'n stewige begrip hê van die verskillende kategorieë data wat hulle stoor, verwerk en oordra, en hul werking aanpas om inligting te akkommodeer op grond van die doel en risikotipe daarvan.

Sodra die organisasie in staat is om tussen verskillende datatipes te onderskei – veral in die geval van PII – behoort hulle in staat te wees om sulke inligting duidelik te benoem op 'n manier wat verskillende kategorieë van mekaar onderskei, en rekening hou met verskillende risikovlakke in hoe privaatheid -verwante bates is prosesse en word regdeur die organisasie hanteer.

Wat word gedek in ISO 27701 Klousule 6.5.2

ISO 27701 Klousule 6.5.2 bevat drie subklousules wat alles bevat wat 'n organisasie moet weet oor hoe om PII te klassifiseer, etiketteer en hanteer.

Al drie subklousules bevat inligting verkry uit ISO 27002, maar met 'n spesifieke fokus op PII en privaatheidbeskerming:

• ISO 27701 6.5.2.1 – Klassifikasie van inligting (Verwysings ISO 27002 Beheer 5.12)
• ISO 27701 6.5.2.2 – Etikettering van inligting (Verwysings ISO 27002 Beheer 5.13)
• ISO 27701 6.5.2.3 – Hantering van bates (Verwysings ISO 27002 Beheer 5.10)

Subklousules 6.5.2.1 en 6.5.2.2 bevat albei riglyne wat relevant is tot VK GDPR-wetgewing, en die relevante artikels is vir jou gerief gelys.

Neem asseblief kennis dat GDPR-aanhalings slegs vir aanduidingsdoeleindes is. Organisasies moet die wetgewing onder die loep neem en hul eie oordeel maak oor watter dele van die wet op hulle van toepassing is.

ISO 27701 Klousule 6.5.2.1 – Klassifikasie van inligting

Verwysings ISO 27002 Beheer 5.12

Eerder as om alle inligting op gelyke voet te plaas, moet organisasies inligting op 'n onderwerpspesifieke basis klassifiseer.

Inligtingseienaars moet vier sleutelfaktore oorweeg wanneer hulle data klassifiseer (veral met betrekking tot PII), wat periodiek hersien moet word, of wanneer sulke faktore verander:

1. Die vertroulikheid van die data.
2. Die integriteit van die data.
3. data beskikbaarheid vlakke.
4. Die organisasie se wetlike verpligtinge na PII.

Om 'n duidelike operasionele raamwerk te verskaf, moet inligtingkategorieë benoem word in ooreenstemming met die inherente risikovlak, sou enige voorvalle plaasvind wat enige van die bogenoemde faktore in gevaar stel.

Om kruisplatform-versoenbaarheid te verseker, moet organisasies hul inligtingkategorieë beskikbaar stel aan enige eksterne personeel met wie hulle inligting deel, en verseker dat die organisasie se eie klassifikasieskema wyd deur alle relevante partye verstaan ​​word.

Organisasies moet versigtig wees om data te onderklassifiseer of omgekeerd te oorklassifiseer. Eersgenoemde kan lei tot foute met die groepering van PII met minder sensitiewe datatipes, terwyl eersgenoemde dikwels lei tot ekstra koste, 'n groter kans op menslike foute en verwerkingsafwykings.

Toepaslike GDPR-artikels

• Artikel 5 – (1)(f), (32)(2)

ISO 27701 Klousule 6.5.2.2 – Etikettering van inligting

Verwysings ISO 27002 Beheer 5.13

Etikette is 'n sleuteldeel om te verseker dat die organisasie se PII-klassifikasiebeleid (sien hierbo) nagekom word, en dat data duidelik geïdentifiseer kan word in ooreenstemming met die sensitiwiteit daarvan (bv. PII word gemerk as onderskei van minder vertroulike datatipes).

PII-etiketteringsprosedures moet definieer:

• Enige scenario waar etikettering nie vereis word nie (publiek beskikbare data).
• Instruksies oor hoe personeel albei moet etiketteer digitale en fisiese bates en bergingsplekke.
• Gebeurlikheidsplanne vir enige scenario waar etikettering nie fisies moontlik is nie.

ISO bied baie ruimte vir organisasies om hul eie etiketteringtegnieke te kies, insluitend:

1. Fisiese etikettering.
2. Elektroniese etikette in kop- en voettekste.
3. Die byvoeging of wysiging van metadata, insluitend soekbare terme en interaktiewe funksionaliteit met ander inligtingbestuurplatforms (bv. die organisasie se PIBS).
4. watermarking wat 'n duidelike aanduiding gee van die dataklassifikasie op 'n dokument-vir-dokument basis.
5. Stempel merke op fisiese kopieë van inligting.

Toepaslike GDPR-artikels

• Artikel 5 – (1)(f)

ISO 27701 Klousule 6.5.2.3 – Hantering van bates

Verwysings ISO 27002 Beheer 5.10

Organisasies moet 'n bank van onderwerpspesifieke aanvaarbare gebruiksbeleide ontwikkel wat die hantering van PII-verwante bates en inligting dek.

Enige groep of individu – hetsy intern of ekstern – wat die vermoë het om PII namens die organisasie te hanteer, of as deel van 'n inligtingsdelingooreenkoms, moet hul verantwoordelikhede verstaan ​​en wat van hulle verwag word.

Onderwerpspesifieke beleide moet duidelik definieer:

1. Aanvaarbare en onaanvaarbare gedrag, in die konteks van privaatheidsbeskerming.
2. Hoe en waar PII toegelaat word om gebruik te word.
3. Die besonderhede van die organisasie se PII-moniteringsoperasie.

Prosesse en prosedures moet geïmplementeer word wat in ag neem:

• RBAC-vereistes (of enige vorm van digitale en/of fisiese toegangsbeheer) wat toegang tot PII beskerm.
• 'n Deeglike rekord van wie toegelaat word om toegang tot PII en privaatheidverwante bates en inligting te verkry.
• Hoe om beide tydelike en permanente kopieë van privaatheidsverwante inligting te beskerm.
• Vervaardigersriglyne wanneer privaatheidsverwante bates gestoor word (sien ISO 27002 7.8).
• Hoe stoormedia gemerk word vir die aandag van die ontvanger (sien ISO 27002 7.10).
• Hoe PII en privaatheidverwante bates óf uitgevee óf permanent vernietig moet word (sien ISO 27002 8.10).

Relevante ISO 27002-kontroles

• ISO 27002 7.8
• ISO 27002 7.10
• ISO 27002 8.10

Ondersteunende kontroles vanaf ISO 27002 en GDPR

Hoe ISMS.online help

Die ISMS.online platform het ingeboude leiding in elke stadium, bykomend tot ons 'Aanvaar, pas aan, voeg by' implementeringsbenadering, om jou te help om ISO 27701 met minder moeite te bereik.

Boonop sal u voordeel trek uit 'n verskeidenheid tydbesparende funksies.

Vind meer uit deur bespreek 'n demo.