ISO 27001:2022 Bilaga A 5.12 – Klassificering av information

Syftet med ISO 27001:2022 bilaga A 5.12

Bilaga A Kontroll 5.12 är en förebyggande kontroll som gör det möjligt för organisationer att identifiera risker genom att bestämma lämplig skyddsnivå för varje informationstillgång baserat på dess betydelse och känslighet.

I den kompletterande vägledningen varnar bilaga A Kontroll 5.12 uttryckligen för över- eller underklassificering av information. Organisationer måste beakta kraven på konfidentialitet, tillgänglighet och integritet när de tilldelar tillgångar till sina respektive kategorier. Detta hjälper till att säkerställa att klassificeringssystemet balanserar verksamhetens behov av information och säkerhetskraven för varje kategori av information.

Äganderätt till bilaga A 5.12

Även om det är viktigt att upprätta ett klassificeringssystem för informationstillgångar i hela organisationen, är det ytterst tillgångsägarnas ansvar att se till att det implementeras korrekt.

Enligt ISO 27001:2022 bilaga A 5.12 måste de med relevanta informationstillgångar hållas ansvariga. Till exempel bör redovisningsavdelningen klassificera information baserat på det organisationsövergripande klassificeringsschemat vid åtkomst till mappar som innehåller lönerapporter och kontoutdrag.

Vid klassificering av information är det avgörande för tillgångsägare att ta hänsyn till affärsbehoven och potentiell påverkan som en kompromiss av information kan ha på organisationen. Dessutom bör de ta hänsyn till informationens betydelse och känslighetsnivåer.

Allmän vägledning om ISO 27001:2022 bilaga A 5.12

För att framgångsrikt implementera ett robust informationsklassificeringssystem bör organisationer ta ett aktuellt tillvägagångssätt, överväga varje affärsenhets specifika informationsbehov och utvärdera informationens känslighet och kritiska nivå.

Enligt bilaga A Kontroll 5.12 måste organisationer utvärdera följande sju kriterier när de implementerar ett klassificeringssystem:

Upprätta en ämnesspecifik policy och åtgärda specifika affärsbehov

Bilaga A Kontroll 5.12 i ledningssystem för informationssäkerhet hänvisar till bilaga A Kontroll 5.1, som avser passerkontroll. Den kräver att organisationer följer ämnesspecifika policyer som anges i bilaga A Kontroll 5.1. Dessutom bör klassificeringsschemat och nivåerna beakta specifika affärsbehov när informationstillgångar klassificeras.

Organisationer måste överväga sina affärsbehov för att dela och använda information, såväl som behovet av tillgång till sådan information. Klassificering av en informationstillgång kan emellertid störa affärskritiska funktioner genom att begränsa åtkomst till och användning av information.

Därför bör organisationer balansera sina specifika affärsbehov för tillgänglighet och användning av data och kravet på att upprätthålla konfidentialitet och integritet för denna information.

Tänk på juridiska skyldigheter

Särskilda lagar kan kräva att organisationer betonar att skydda sekretess, integritet och tillgänglighet för information. Därför bör rättsliga skyldigheter prioriteras framför organisationens interna klassificering vid kategorisering av informationstillgångar.

Att anta ett riskbaserat tillvägagångssätt och bedöma den potentiella effekten av ett säkerhetsintrång eller en kompromiss informationstillgångar är tillrådligt. Detta kommer att hjälpa till att prioritera och implementera lämpliga säkerhetsåtgärder för att minska de identifierade riskerna.

Varje form av information har en unik betydelsenivå för en organisations funktioner och har olika grader av känslighet beroende på de särskilda omständigheterna.

När en organisation implementerar ett informationsklassificeringssystem bör den överväga den potentiella inverkan som en äventyrande av informationens konfidentialitet, integritet eller tillgänglighet kan ha på organisationen.

Till exempel skulle känsligheten och den potentiella effekten av en databas som innehåller professionella e-postadresser till kvalificerade potentiella kunder skilja sig mycket från de anställdas hälsojournaler. Därför bör organisationen noggrant överväga vilken skyddsnivå som varje kategori av information kräver och allokera resurser därefter.

Regelbunden uppdatering och granskning av klassificeringen

Bilaga A Kontroll 5.12 erkänner att informationens värde, betydelse och känslighetsnivå kan förändras över tiden när data går igenom sin livscykel. Som ett resultat måste organisationer regelbundet se över sin klassificering av information och göra nödvändiga uppdateringar.

ISO 27001 Annex A Kontroll 5.12 avser att reducera informationens värde och känslighet i betydande utsträckning.

Det är viktigt att du rådgör med andra organisationer för att dela information och lösa eventuella skillnader.

Varje organisation kan ha distinkt terminologi, nivåer och standarder för sina informationsklassificeringssystem

Skillnader i informationsklassificering mellan organisationer kan leda till potentiella risker vid utbyte av informationstillgångar.

Organisationer måste samarbeta med sina motsvarigheter för att skapa konsensus för att säkerställa enhetlighet i informationsklassificering och konsekvent tolkning av klassificeringsnivåer för att mildra sådana risker.

Konsekvens på organisationsnivå

Varje avdelning inom en organisation måste ha en delad förståelse av klassificeringsnivåer och protokoll för att säkerställa enhetlighet i klassificeringar över hela organisationen.

Vägledning om hur man implementerar systemet för klassificering av information

Även om bilaga A 5.12 erkänner att det inte finns något universellt tillämpligt klassificeringssystem och organisationer har flexibiliteten att fastställa och definiera sina klassificeringsnivåer, illustrerar den ett informationsklassificeringssystem:

• Avslöjande orsakar ingen skada.
• Avslöjande orsakar mindre anseendeskada eller mindre operativ påverkan.
• Offentliggörande har en betydande kortsiktig inverkan på verksamheten eller affärsmålen.
• Offentliggörande påverkar allvarligt långsiktiga affärsmål eller riskerar organisationens överlevnad.

Ändringar och skillnader från ISO 27002:2013

Bilaga A 8.2.1 i den tidigare versionen behandlade klassificeringen av information.

Även om de två versionerna är ganska lika, finns det två huvudsakliga skillnader:

1. För det första nämnde den tidigare versionen inte behovet av konsekvens i klassificeringsnivåer när information delas mellan organisationer. ISO 27001:2022 kräver dock att organisationer samarbetar med sina motsvarigheter för att säkerställa enhetlighet i informationsklassificering och förståelse.
2. För det andra kräver den uppdaterade versionen uttryckligen att organisationer utvecklar policyer som är skräddarsydda för specifika ämnen. Endast en kort hänvisning till åtkomstkontroll gjordes i den äldre versionen.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje enskild ISO 27001:2022 Bilaga A Kontrollera.

Hur ISMS.online Hjälp

Vår plattformen är designad för att vara användarvänlig och enkel, som vänder sig till högtekniska personer och alla anställda i din organisation.

Vi förespråkar att involvera anställda på alla nivåer i verksamheten i konstruktionen av ditt ISMS eftersom det hjälper till att etablera ett hållbart system.

Ta reda på mer av boka en demo.