ISO 27002:2022 – Kontroll 5.33 – Skydd av register

ISO 27002:2022 Control 5.33 – Best Practices for Record Protection

Records är ett oklart koncept som vissa organisationer kämpar för att klassificera och hantera, för efterlevnadsändamål.

Register, inom ramen för IKT, är en annan term för data och information som en organisation behåller och/eller använder för att utföra sina dagliga affärsaktiviteter, inklusive (men inte begränsat till):

1. Enskilda händelser
2. Transaktioner
3. Arbetsprocesser
4. Stationer & aktiviteter
5. Funktioner

ISO definierar register inom ramen för deras standarder som "vilken som helst uppsättning information, oavsett dess struktur eller form", inklusive "ett dokument, en samling av data eller andra typer av information som skapas, fångas in och hanteras i verksamheten ”, inklusive en posts metadata.

Syfte med kontroll 5.33

Varje organisation har en skyldighet att se till att de uppgifter den innehar – inklusive men inte begränsat till några personer, ekonomisk information eller verksamhetsområden – förvaras säkert och säkert, och interna rutiner förblir kompatibla med alla gällande krav.

Kontroll 5.33 behandlar skyddet av affärsregister mot 5 stora händelser:

1. Förlust
2. Förstörelse
3. Förfalskning
4. Obehörig åtkomst
5. Otillåten utgivning eller publicering

Attributtabell

Kontroll 5.33 är en förebyggande kontroll den där upprätthåller risken genom att skapa riktlinjer och procedurer – inklusive lagringsscheman – som uppfyller en organisations juridiska, lagstadgade, regulatoriska och kontraktuella krav avseende skydd och tillgänglighet alla register som den har.

Allmän vägledning om kontroll 5.33

Kontroll 5.33 bekräftar att en organisationens behov är flytande när det kommer till mängden och typen av poster som krävs för att göra affärer från en dag till en annan.

Som sådan kategoriserar Control 5.33 posthantering i fyra huvudattribut:

1. Autencitet
2. Pålitlighet
3. Integritet
4. Användbarhet

Inom ramen för dessa attribut ber Control 5.33 organisationer att:

1. Utarbeta och publicera riktlinjer som handlar om fyra huvudfunktioner, tillsammans med ämnesspecifika policyer som tillgodoser den underliggande karaktären hos posterna i fråga:

   a) Spela in lagring
   b) Record hantering spårbarhet
   c) Skivhantering
   d) Förhindrar manipulation

2. Upprätthålla ett funktionellt schema för lagring av register som tydligt anger hur lång tid som register av olika typer bör bevaras, relaterat till deras individuella affärsfunktion.
3. Skapa lagrings- och hanteringsprocedurer som tar hänsyn till:

   a) alla gällande lagar som handlar om kommersiell registerföring
   b) ”gemenskap och samhälleliga” förväntningar på hur en organisation ska hantera sina register

4. Implementera procedurer som förstör dokument på ett säkert och lämpligt sätt när de inte behövs (efter att ha lämnat lagringsperioden).
5. Klassificera register för skydd (inklusive lämpliga lagringsperioder och lagringsmedia som används) baserat på deras säkerhetsrisk, och olika typer, inklusive (men inte begränsat till):

   a) Bokföring
   b) Affärstransaktion
   c) Personalregister
   d) Juridiska register

6. Se till att alla lagringsprocedurer tillgodoser en acceptabel tidsram för hämtning, om organisationen skulle bli ombedd att producera dem av en tredje part, eller för internt bruk.
7. Om elektroniska medier används för att lagra poster, överväg och minska möjligheten att tillgång till eller hämtning av poster hindras av tekniska ändringar, inklusive lagring av kryptografisk information (se kontroll 8.24).
8. Följ tillverkarens riktlinjer när du lagrar eller hanterar register på eller via elektroniska medier, inklusive tillräcklig hänsyn till den naturliga försämringen av nämnda media.

Ändringar och skillnader från ISO 27002:2013

27002:2022-5.33 ersätter 27002:2013-18.1.3 (Skydd av register), med olika tillägg i form av individuella vägledningspunkter och allmänna processer som behöver följas.

I 2022 års kontroll erkänner ISO vikten av att definiera vad som utgör ett affärsrekord. 27002:2022-5.33 innehåller många exempel på vad ISO anser att ett rekord är (se ovan), som saknas från 27002:2013-18.1.3.

Kontroll 5.33 fokuserar också en organisations uppmärksamhet på två huvudsakliga vägledningspunkter som inte finns i dess motsvarighet från 2013 (riktlinjerna 1 och 2 ovan), som i sin tur utgör grunden för en organisations registerpolicy – ​​i synnerhet ett lagringsschema som dikterar hur långa register bör föras för, och eventuella mediespecifika krav.

Metadata har också gjort ett framträdande i registerhanteringen för första gången. 27002:2013-18.1.3 innehåller inget om det, medan 27002:2022-5.33 anser att det är en "väsentlig komponent".

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

Använder ISMS.online kan du:

• Implementera snabbt en Information Security Management System (ISMS).
• Lätt hantera dokumentationen för ditt ISMS.
• Effektivisera efterlevnaden av alla relevanta standarder.
• Hantera alla aspekter av informationssäkerhet, från riskhantering till utbildning i säkerhetsmedvetenhet.
• Kommunicera effektivt i hela din organisation med vår inbyggda kommunikationsfunktion.

Hör av dig idag för att boka en demo.