ISO 27002:2022 – Kontroll 5.13 – Märkning av information

Syfte med kontroll 5.13

5.13 är en förebyggande kontroll som skyddar informationstillgångar mot säkerhetsrisker genom att hjälpa organisationer att uppnå två distinkta syften:

• För att göra det lättare att visa klassificeringsnivån varje informationstillgång ges när informationen kommuniceras internt och externt och när den nås och används av anställda och tredje part.
• Effektivisering av processen för att automatisera informationshantering och bearbetning.

Kontrollattribut 5.13

Äganderätt till kontroll 5.13

Med tanke på att lägga till metadata till digitala tillgångar är det primära sättet att märka informationstillgångar, ska metadataförvaltare vara ansvariga för korrekt implementering av märkningsförfarandet.

Vid sidan av metadataförvaltarna ska tillgångsägare med åtkomst- och modifieringsbehörighet vara ansvariga för korrekt märkning av alla datatillgångar och ska göra nödvändiga ändringar av märkningen om det behövs.

Allmän vägledning om hur man följer

Kontroll 5.13 identifierar fyra specifika steg som organisationer bör genomföra för att utföra märkning av information i enlighet med 5.13.

Utveckla och implementera en informationsmärkningsprocedur

Organisationer bör utveckla en organisationsövergripande informationsmärkningsprocedur som följer informationsklassificeringsschemat som skapats i enlighet med kontroll 5.12.

Vidare kräver 5.13 att denna procedur utvidgas till att omfatta alla informationstillgångar, oavsett om de är i digitalt eller pappersformat och att etiketterna måste vara lätta att känna igen.

Även om det inte finns någon gräns för vad detta procedurdokument kan innehålla, anger kontroll 5.13 att procedurerna åtminstone bör innehålla följande:

• Beskrivning av metoderna för att fästa etiketter på informationstillgångar beroende på lagringsmedium och hur data nås.
• Där etiketterna ska fästas för varje typ av informationstillgång.
• Vilka informationstillgångar kommer inte att märkas, om några. Till exempel kan en organisation utelämna märkning av offentliga data för att effektivisera informationsmärkningsprocessen.
• Beskrivning av åtgärder för de fall det inte är möjligt att märka vissa typer av information på grund av tekniska, juridiska eller avtalsmässiga begränsningar.
• Reglerna om hur märkning av information som överförs till interna eller externa parter ska hanteras.
• För digitala tillgångar ska förfarandet förklara hur metadata ska infogas.
• Namn på etiketter som ska användas för alla tillgångar.

Ge personalen adekvat utbildning om hur man följer märkningsproceduren

Förfarandet för märkning av information kan endast vara effektivt i den mån personalen och andra relevanta intressenter är välinformerade om hur man korrekt märker information och hur man hanterar märkta informationstillgångar.

Därför bör organisationer ge personal och andra relevanta parter utbildning i förfarandet.

Använd metadata för märkning av digitala informationstillgångar

5.13 kräver användning av metadata för märkning av digitala informationstillgångar.

Vidare noteras att metadata bör distribueras på ett sätt som gör det enkelt och effektivt att identifiera och söka information och även på ett sätt som effektiviserar beslutsprocessen mellan system relaterade till märkt information.

Vidta extra åtgärder för att märka känsliga data som kan strömma ut från systemet

Med tanke på riskerna med utåtgående överföring av känsliga uppgifter från system rekommenderar 5.13 organisationer att märka dessa informationstillgångar med de som är mest lämpliga för den aktuella informationens kritiska nivå och känslighet.

Kompletterande vägledning om kontroll 5.13

5.13 understryker att identifiering och korrekt märkning av sekretessbelagd information är avgörande för säkerheten vid datadelningsoperationer.

Utöver de fyra specifika stegen som beskrivs ovan, rekommenderar 5.13 också att organisationer infogar ytterligare metadatapunkter som namnet på processen som skapade informationstillgången och tidpunkten för sådan skapelse.

Dessutom hänvisar 5.13 till de vanliga märkningstekniker som organisationer kan implementera:

• Fysiska etiketter
• Huvud och sidfot
• metadata
• vattenmärkning
• Gummistämplar

Slutligen betonar 5.13 att märkning av informationstillgångar som "konfidentiella" och "sekretessbelagda" kan få oavsiktliga konsekvenser eftersom det kan göra det lättare för illvilliga aktörer att söka igenom och hitta känslig informationstillgång.

Ändringar och skillnader från ISO 27002:2013

27002:2022/5.13 ersätter 27002:2013/8.2.2 (Märkning av information).

Även om de två kontrollerna till viss del liknar varandra, finns det två viktiga skillnader som gör 2022-versionen mer omfattande.

Nya krav på användning av metadata

Medan 2013 års version hänvisade till metadata som en märkningsteknik, införde den inga särskilda skyldigheter för efterlevnad vid användning av metadata.

Däremot ställer 2022-versionen strikta krav på hur man använder metadatateknik. För att illustrera kräver 2022-versionen att:

• Metadata läggs till information på ett sätt som gör det enkelt att identifiera, hantera och upptäcka information på ett effektivt sätt.
• Metadata för namnet på den organisatoriska process som skapade en specifik tillgång och dess tid ska infogas.

Innehållet i informationsmärkningsförfarandet måste vara mer detaljerat

I motsats till 2022-versionen specificerade 2013-versionen inte det lägsta innehållet som skulle inkluderas i en informationsmärkningsprocedur.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

ISO 27002 implementering är enklare med vår steg-för-steg checklista som guidar dig genom hela processen, från att definiera omfattningen av ditt ISMS till riskidentifiering och kontrollimplementering.

Vår plattform är intuitivt och lätt att använda. Det är inte bara för högtekniska personer; det är för alla i din organisation. Vi uppmuntrar dig att involvera personal på alla nivåer i ditt företag i processen att bygga ditt ISMS, eftersom det hjälper dig att bygga ett verkligt hållbart system.

Hör av dig idag för att boka en demo.