ISO 27001:2022 Annex A 8.11 – Datamaskering

• Se ISO 27002:2022 Kontroll 8.11 för mer information.

Syftet med ISO 27001:2022 bilaga A 8.11

Datamaskering är en teknik som används för att skydda känsliga uppgifter, framför allt personlig identifierbar information (PII), utöver de sedvanliga säkerhetsprotokollen för en organisation, såsom åtkomstkontroll.

Datamaskering nämns rutinmässigt i juridiska, lagstadgade och regulatoriska instruktioner som reglerar förvaring och åtkomst av personal-, kund-, användar- och leverantörsdata.

Äganderätt till bilaga A 8.11

Datamaskering är en komplicerad teknisk procedur som involverar ändring av känslig information och hindrar användare från att identifiera registrerade personer genom en rad olika tillvägagångssätt.

Datamaskering är direkt relaterad till en organisations förmåga att följa lagar, förordningar och riktlinjer om lagring, åtkomst och behandling av data. Därför Chef för informationssäkerhet eller motsvarande bör ha äganderätten till denna administrativa uppgift.

Allmän vägledning om ISO 27001:2022 bilaga A 8.11 Överensstämmelse

Bilaga A 8.11 uppmuntrar organisationer att överväga datamaskering genom två huvudtekniker – pseudonymisering och / eller anonymisering. Dessa tekniker är avsedda att dölja det verkliga syftet med PII genom att bryta kopplingen mellan rådata och ämnet (vanligtvis en person).

Organisationer bör vara mycket noga med att garantera att ingen enskild datauppgift avslöjar ämnets identitet.

Organisationer bör ta hänsyn till följande när de använder någon av dessa metoder:

• Graden av pseudonymisering och/eller anonymisering som krävs, beroende på typen av data.
• Upptäck hur den maskerade data nås. Undersök de inblandade stegen och de metoder som används för att säkerställa säker åtkomst.
• Alla bindande avtal som begränsar användningen av uppgifterna måste döljas.
• Det är viktigt att hålla de maskerade uppgifterna åtskilda från alla andra typer av uppgifter så att ämnet för uppgifterna inte snabbt kan identifieras.
• Registrera datumet då uppgifterna inhämtades och hur de distribuerades till antingen interna eller externa parter.

Vägledning om ytterligare tekniker

Pseudonymisering och anonymisering är inte de enda sätten tillgängliga för organisationer som vill dölja PII eller konfidentiell data. ISO 27001: 2022 Bilaga A 8.11 beskriver fem andra tillvägagångssätt som kan användas för att förbättra datasäkerheten:

1. Kryptering med nycklar.
2. Radering eller utelämnande av tecken i datasetet.
3. Variera siffrorna och datumen som används.
4. Ersätter värden genom hela datan.
5. Hash-baserad värdemaskering.

Vägledning om principer för datamaskering

Datamaskering är en viktig del av en organisations policy för att skydda PII och garantera anonymiteten för de personer vars data lagras.

Organisationer bör ta hänsyn till följande när de konstruerar sin datamaskeringsstrategi:

• Implementera maskeringstekniker för att endast exponera lägsta möjliga belopp data till dem som använder dem.
• På begäran av försökspersonen kan vissa uppgifter döljas (förvrängd) och personalens tillgång till relevanta sektioner är begränsad till endast vissa medlemmar.
• Konstruera deras datamaskeringsförfarande i enlighet med lagliga och regulatoriska krav.
• Pseudonymisering kräver användning av en algoritm för att demaskera data, och detta måste förvaras säkert.

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 bilaga A 8.11 är en nytt tillägg som inte finns i ISO 27001:2013.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje individ ISO 27001:2022 bilaga A Kontrollera.

Hur ISMS.online Hjälp

Vår molnbaserade plattform erbjuder ett kraftfullt ramverk av informationssäkerhetskontroller, så att du kan utvärdera din ISMS för att säkerställa att den uppfyller kraven i ISO 27001:2022.

Kontakta oss nu för att arrangera en demonstration.