ISO 27002:2022 – Kontroll 5.14 – Informationsöverföring

Syfte med kontroll 5.14

Kontroll 5.14 är en förebyggande typ av kontroll som kräver att organisationer inför lämpliga regler, procedurer och/eller avtal för att upprätthålla säkerheten för data när den delas inom en organisation eller när den överförs till tredje part.

Kontrollattribut 5.14

Äganderätt till kontroll 5.14

Även om utvecklingen och implementeringen av regler, förfaranden och avtal kräver stöd och godkännande från högnivåledning, är samarbetet och expertisen mellan olika intressenter inom en organisation, inklusive det juridiska teamet, IT-personalen och den högsta ledningen, av avgörande betydelse. .

Till exempel bör det juridiska teamet säkerställa att organisationen ingår överföringsavtal med tredje part och att dessa avtal är i linje med kraven som specificeras i Kontroll 5.14. Likaså bör IT-teamet ta en aktiv del i att definiera och implementera kontroller för att upprätthålla datasäkerheten enligt 5.14.

Allmän vägledning om kontroll 5.14

Överensstämmelse med 5.14 innebär utveckling av regler, förfaranden och avtal, inklusive en ämnesspecifik policy för informationsöverföring, som ger data under överföring en skyddsnivå som är lämplig för den klassificering som tilldelas den informationen.

Med andra ord bör skyddsnivån överensstämma med nivån av kritik och känslighet för information som överförs.

Dessutom specificerar Control 5.14 att organisationer måste underteckna överföringsavtal med mottagande tredje part för att garantera säker överföring av data.

Kontroll 5.14 grupperar typerna av överföring i tre kategorier:

• Elektronisk överföring
• Fysisk lagringsmediaöverföring
• Verbal överföring

Innan vi går vidare med att beskriva de specifika kraven för varje typ av överföring, listar Control 5.14 de element som måste inkluderas i alla regler, procedurer och avtal för alla tre typer av överföringar i allmänhet:

• Organisationer måste definiera kontroller lämplig för klassificeringsnivån av informationen för att skydda informationen under överföring från obehörig åtkomst, modifiering, avlyssning, kopiering, förstörelse och överbelastningsattacker.
• En organisation måste ha kontroll över spårbarhetskedjan medan den är i transit och måste definiera och implementera kontroller för att säkerställa spårbarhet av information.
• Relevanta parter som är involverade i överföringen av information bör definieras och deras kontaktuppgifter bör tillhandahållas. Detta kan omfatta informationsägare och säkerhetsansvariga.
• Tilldelning av ansvar vid dataintrång inträffar.
• Använda ett märkningssystem.
• Säkerställa tillgängligheten för överföringstjänsten.
• Skapa ämnesspecifika riktlinjer för metoderna för informationsöverföring.
• Riktlinjer för lagring och radering av alla affärsuppgifter, inklusive meddelanden.
• Analys av vilken inverkan eventuella tillämpliga lagar, förordningar eller andra skyldigheter kan ha på överföringen.

Kompletterande vägledning om elektronisk överföring

Efter att ha listat de minsta innehållskraven för regler, procedurer och avtal som är gemensamma för alla tre typerna av överföringar, listar Control 5.14 specifika innehållskrav för varje typ av överföring.

Regler, avtal och procedurer bör ta itu med följande frågor när information överförs elektroniskt:

• Upptäckt och förebyggande av attacker med skadlig programvara.
• Skydda känslig information som finns i de överförda bilagorna.
• Se till att all kommunikation skickas till rätt mottagare och risk för att skicka kommunikation till felaktiga e-postadresser, adresser eller telefonnummer elimineras.
• Skaffa förhandstillstånd innan du börjar använda några offentliga kommunikationstjänster.
• Införande av striktare autentiseringsmetoder när data överförs via offentliga nätverk.
• Att införa begränsningar för användningen av e-kommunikationstjänster som att förbjuda automatisk vidarebefordran.
• Ge personalen råd om att inte använda tjänster för kortmeddelanden eller snabbmeddelanden för att dela känslig data eftersom detta innehåll kan ses av obehöriga personer i offentliga utrymmen.
• Rådgivning till personal och andra relevanta parter om säkerhetsrisker presenteras av faxmaskiner såsom risken för obehörig åtkomst eller omdirigering av meddelanden till specifika nummer.

Kompletterande vägledning om överföring av fysisk lagringsmedia

När information delas via fysiska medel som papper, bör reglerna, procedurerna och avtalen omfatta följande:

• Tilldelning av ansvar för meddelande om sändning, avsändning och mottagande.
• Säkerställa korrekt adressering och transport av meddelandet.
• Förpackningar eliminerar risken för skador på innehållet som kan uppstå när innehållet är under transport. Till exempel bör förpackningar vara tillräckligt bra för att inte påverkas av värme eller fukt.
• En lista över pålitliga kurirer som godkänts och godkänts av ledningen.
• Beskrivning av kuriridentifieringsstandarder.
• Användning av manipuleringssäkra kontroller som väskor om informationens känslighet och kriticitet kräver det.
• Rutiner för att verifiera ID:n för kurirer.
• Godkänd lista över tredje parter som tillhandahåller transport- eller budtjänster beroende på klassificeringsnivån.
• Föra loggregister över leveranstidpunkt, lista över auktoriserade mottagare, tillämpade skydd och kvitto på destinationen.

Kompletterande vägledning om verbal överföring

Kontroll 5.14 säger att när personal utbyter information inom organisationen eller när de överför data till externa parter ska de informeras om följande risker:

• De bör undvika att ha konfidentiella samtal över osäkra offentliga kanaler eller i offentliga utrymmen.
• De bör inte lämna röstmeddelanden som innehåller konfidentiell information med tanke på risken för uppspelning av obehöriga personer och risken för omdirigering av meddelandet till utomstående.
• Varje individ, oavsett om det är anställda eller andra relevanta tredje parter, bör screenas innan de släpps in för att lyssna på konversationer.
• Rum, där konfidentiella samtal äger rum, bör vara utrustade med lämpliga kontroller såsom ljudisolering.
• De bör ge en ansvarsfriskrivning innan de har någon känslig konversation.

Ändringar och skillnader från ISO 27002:2013

27002:2022/5.14 ersätter 27002:2013/(13.2.1, 13.2.2. 13.2.3).

Även om de två kontrollerna i viss mån liknar varandra, gör två viktiga skillnader 2022-versionens krav mer svåra.

Specifika krav för elektriska, fysiska och verbala överföringar

I 2013 års version, avsnitt 13.2.3 behandlade de specifika kraven för överföring av information via elektroniska meddelanden.

Den behandlade dock inte separat överföring av information via verbalt eller fysiskt sätt.

Däremot identifierar 2022-versionen tydligt tre typer av informationsöverföring och anger sedan innehållskraven för var och en av dem separat.

2022-versionen ställer strängare krav för elektronisk överföring

Medan avsnitt 13.2.3 innehöll specifika krav på innehållet i avtal för elektroniska meddelanden, ställer 2022 års version hårdare skyldigheter på organisationer.

2022-versionen kräver att organisationer beskriver och implementerar nya kontroller i reglerna, procedurerna och avtalen för elektroniska överföringar.

Till exempel bör organisationer råda sina anställda att inte använda SMS-tjänster när de innehåller känslig information.

Mer detaljerade krav för fysiska överföringar

2022-versionen ställer strängare krav på den fysiska lagringsmedieöverföringen. Dess krav är till exempel mer omfattande när det gäller autentisering av kurirer och vilka typer av skador som bör förhindras.

Strukturella förändringar

I 2013 års version fanns en uttrycklig hänvisning till specifika krav på avtal för informationsöverföring. Men "Reglerna" och "Procedurerna" behandlades inte specifikt.

Däremot anger 2022-versionen de specifika kraven för var och en av dessa tre mekanismer.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

ISO 27002 implementering är enklare med vår steg-för-steg checklista som guidar dig genom hela processen, från att definiera omfattningen av ditt ISMS till riskidentifiering och kontrollimplementering.

Hör av dig idag för att boka en demo.