ISO 27002:2022, Kontroll 5.33 – Skydd av register

Allmän vägledning om kontroll 5.33

Kontroll 5.33 bekräftar att en organisationens behov är flytande när det kommer till mängden och typen av poster som krävs för att göra affärer från en dag till en annan.

Som sådan kategoriserar Control 5.33 posthantering i fyra huvudattribut:

1. Äkthet
2. Pålitlighet
3. Integritet
4. Användbarhet

Inom ramen för dessa attribut ber Control 5.33 organisationer att:

1. Utarbeta och publicera riktlinjer som handlar om fyra huvudfunktioner, tillsammans med ämnesspecifika policyer som tillgodoser den underliggande karaktären hos posterna i fråga:
   
   a) Spela in lagring
   b) Record hantering spårbarhet
   c) Skivhantering
   d) Förhindrar manipulation
2. Upprätthålla ett funktionellt schema för lagring av register som tydligt anger hur lång tid som register av olika typer bör bevaras, relaterat till deras individuella affärsfunktion.
3. Skapa lagrings- och hanteringsprocedurer som tar hänsyn till:
   
   a) alla gällande lagar som handlar om kommersiell registerföring
   b) ”gemenskap och samhälleliga” förväntningar på hur en organisation ska hantera sina register
4. Implementera procedurer som förstör dokument på ett säkert och lämpligt sätt när de inte behövs (efter att ha lämnat lagringsperioden).
5. Klassificera register för skydd (inklusive lämpliga lagringsperioder och lagringsmedia som används) baserat på deras säkerhetsrisk, och olika typer, inklusive (men inte begränsat till):
   
   a) Bokföring
   b) Affärstransaktion
   c) Personalregister
   d) Juridiska register
6. Se till att alla lagringsprocedurer tillgodoser en acceptabel tidsram för hämtning, om organisationen skulle bli ombedd att producera dem av en tredje part, eller för internt bruk.
7. Om elektroniska medier används för att lagra poster, överväg och minska möjligheten att tillgång till eller hämtning av poster hindras av tekniska ändringar, inklusive lagring av kryptografisk information (se kontroll 8.24).
8. Följ tillverkarens riktlinjer när du lagrar eller hanterar register på eller via elektroniska medier, inklusive tillräcklig hänsyn till den naturliga försämringen av nämnda media.

Ändringar och skillnader från ISO 27002:2013

27002:2022-5.33 ersätter 27002:2013-18.1.3 (Skydd av register), med olika tillägg i form av individuella vägledningspunkter och allmänna processer som behöver följas.

I 2022 års kontroll erkänner ISO vikten av att definiera vad som utgör ett affärsrekord. 27002:2022-5.33 innehåller många exempel på vad ISO anser att ett rekord är (se ovan), som saknas från 27002:2013-18.1.3.

Kontroll 5.33 fokuserar också en organisations uppmärksamhet på två huvudsakliga vägledningspunkter som inte finns i dess motsvarighet från 2013 (riktlinjerna 1 och 2 ovan), som i sin tur utgör grunden för en organisations registerpolicy – ​​i synnerhet ett lagringsschema som dikterar hur långa register bör föras för, och eventuella mediespecifika krav.

Metadata har också gjort ett framträdande i registerhanteringen för första gången. 27002:2013-18.1.3 innehåller inget om det, medan 27002:2022-5.33 anser att det är en "väsentlig komponent".

Hur ISMS.online hjälper

Använder ISMS.online kan du:

• Implementera snabbt en Information Security Management System (ISMS).
• Lätt hantera dokumentationen för ditt ISMS.
• Effektivisera efterlevnaden av alla relevanta standarder.
• Hantera alla aspekter av informationssäkerhet, från riskhantering till utbildning i säkerhetsmedvetenhet.
• Kommunicera effektivt i hela din organisation med vår inbyggda kommunikationsfunktion.

Hör av dig idag för att boka en demo.