Hantering av säker lagringsmedia: Skydd av känslig information
Användning av lagringsmediaenheter som solid-state-enheter (SSD), USB-minnen, externa enheter och mobiltelefoner är avgörande för många kritiska informationsbehandlingsoperationer som säkerhetskopiering av data, datalagring och informationsöverföring.
Men lagring av känsliga och kritiska information om dessa enheter innebär risker för integriteten, konfidentialitet och tillgänglighet av informationstillgångar. Dessa risker kan inkludera förlust eller stöld av lagringsmedia som innehåller känslig information, spridning av skadlig programvara till alla företags datanätverk via lagringsmediet, och fel och försämring av lagringsmedieenheter som används för säkerhetskopiering av data.
Kontroll 7.10 tar upp hur organisationer kan upprätta lämpliga procedurer, policyer och kontroller för att upprätthålla säkerheten för lagringsmedier under hela dess livscykel, från det att det förvärvas till att det avyttras.
Syfte med kontroll 7.10
Kontroll 7.10 gör det möjligt för organisationer att eliminera och minska riskerna för obehörig åtkomst till, användning, radering, modifiering och överföring av känslig information som finns på lagringsmedieenheter genom att fastställa rutiner för hantering av lagringsmedia under hela dess livscykel.
Attributtabell för kontroll 7.10
Kontroll 7.10 är en förebyggande typ av kontroll som kräver att organisationer skapar, implementerar och underhåller procedurer och åtgärder för att säkerställa säkerheten för lagringsmedieenheter från förvärv till förfogande.
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande | #Sekretess | #Skydda | #Fysisk säkerhet | #Skydd |
| #Integritet | #Asset Management | |||
| #Tillgänglighet |
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
Vilket lagringsmedium täcker Control 7.10?
Kontroll 7.10 gäller både digitala och fysiska lagringsmedier. Till exempel lagring av information på fysiska filer omfattas också av kontroll 7.10.
Förutom de flyttbara lagringsmedierna är fasta lagringsmedier såsom hårddiskar också föremål för kontroll 7.10.
Äganderätt till kontroll 7.10
Kontroll 7.10 kräver att organisationer skapar och implementerar lämpliga förfaranden, tekniska kontroller och organisationsövergripande policyer för användningen av lagringsmedier baserat på organisationens eget klassificeringssystem och dess krav på datahantering såsom juridiska och avtalsenliga skyldigheter.
Med tanke på detta bör chefer för informationssäkerhet ansvara för hela efterlevnadsprocessen.
Allmän vägledning om efterlevnad
Flyttbart lagringsmedia
Även om flyttbara lagringsmedier är väsentliga för många affärsverksamheter och de ofta används av de flesta anställda, utgör de den högsta risken för den känsliga informationen.
Kontroll 7.10 listar tio krav som organisationer bör följa för hanteringen av flyttbara lagringsmedia under hela dess livscykel:
- Organisationer bör upprätta en ämnesspecifik policy för anskaffning, auktorisering, användning och kassering av flyttbara lagringsmedia. Denna policy bör kommuniceras till all personal och till alla relevanta parter.
- Om det är praktiskt och nödvändigt bör organisationer införa tillståndsförfaranden för hur flyttbara lagringsmedier kan tas ut från företagets lokaler. Organisationer bör dessutom föra loggregister över borttagandet av lagringsmedia för granskningsspår.
- Alla flyttbara lagringsmedier bör förvaras i ett säkert område, t.ex. ett kassaskåp, med hänsyn till den informationsklassificeringsnivå som tilldelats informationen och de miljömässiga och fysiska hoten mot lagringsmedier.
- Om konfidentialitet och integritet för information som finns på flyttbara lagringsmedier är av avgörande betydelse, bör kryptografiska tekniker användas för att skydda lagringsmediet mot obehörig åtkomst.
- Mot risken för försämring av flyttbara lagringsmedier och förlust av information lagrad på mediet bör informationen överföras till en ny lagringsmedieenhet innan sådan risk uppstår.
- Kritisk och känslig information bör kopieras och lagras på flera lagringsmedier för att minimera risken för förlust av viktig information.
- För att minska risken för fullständig förlust av information kan registrering av flyttbara lagringsmedieenheter vara ett alternativ att överväga.
- Om det inte finns en affärsrelaterad anledning att använda flyttbara lagringsmediaportar som USB-portar eller SD-kortplatser, bör de inte tillåtas.
- Det måste finnas en övervakningsmekanism på plats för överföring av information till flyttbara lagringsmedier.
- När information som finns i fysiska medier såsom papper överförs via bud eller post finns det en hög risk för obehörig åtkomst till denna information. Därför bör lämpliga åtgärder vidtas.
Vägledning om säker återanvändning och kassering av lagringsmedia
Kontroll 7.10 tillhandahåller separat vägledning om säker återanvändning och kassering av lagringsmedia så att organisationer kan minska och eliminera risker för att äventyra informationens konfidentialitet.
Kontroll 7.10 understryker att organisationer bör definiera och tillämpa procedurer för återanvändning och bortskaffande av lagringsmedier, med hänsyn till känslighetsnivån för information som finns i lagringsmediet.
När de upprättar dessa procedurer bör organisationer överväga följande:
- Om ett lagringsmedium kommer att återanvändas av en intern part inom en organisation, bör den känsliga informationen på det lagringsmediet oåterkalleligt raderas eller formateras om innan den godkänns för återanvändning.
- Lagringsmedia som innehåller känslig information bör förstöras på ett säkert sätt när den inte längre behövs. Till exempel kan pappersdokument strimlas och digital utrustning kan förstöras fysiskt.
- Det bör finnas ett förfarande för identifiering av lagringsmedieobjekt som behöver kasseras.
- När organisationer väljer att samarbeta med en extern part för att sköta insamling och bortskaffande av lagringsmedia bör de genomföra pga noggrannhet för att säkerställa att den valda leverantören är kompetent och den implementerar lämpliga kontroller.
- Upprätthålla ett register över alla kasserade föremål för revisionsspår.
- När flera lagringsmedier ska kasseras tillsammans bör ackumuleringseffekten beaktas: Att kombinera olika informationsbitar från varje lagringsmedium kan omvandla okänslig information till känslig information.
Sist men inte minst kräver Control 7.10 att organisationer utför en riskbedömning av skadad utrustning som lagrar konfidentiell information att besluta om utrustningen ska förstöras istället för att repareras.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Ändringar och skillnader från ISO 27002:2013
27002:2022/7.10 ersätter 27002:2013/(08.3.1, 08.3.2, 08.3.3, 11.2.5)
Det finns fyra viktiga skillnader som måste belysas:
- Strukturella förändringar
Medan 2013 års version innehöll tre separata kontroller av förvaltningen av media, kassering av media och fysisk medieöverföring, 2022-versionen kombinerar dessa tre kontroller under kontroll 7.10.
- 2022-versionen innehåller krav på återanvändning av lagringsmedia
Till skillnad från 2013-versionen som endast tog upp säker kassering av lagringsmedia, handlar 2022-versionen även om säker återanvändning av lagringsmedia.
- 2013 års version innehåller mer omfattande krav för fysisk överföring av lagringsmedia
2013 års version innebar mer omfattande krav på fysisk överföring av lagringsmedia. Till exempel inkluderade 2013 års version regler om ID-verifiering för kurirer och förpackningsstandarder.
Kontroll 7.10 i 2022 års version, å andra sidan, angav endast att organisationer bör agera med omsorg när de väljer tjänsteleverantörer som kurirer.
- 2022-versionen kräver en ämnesspecifik policy för flyttbara lagringsmedia
Medan 2022- och 2013-versionerna i stor utsträckning liknar kraven på flyttbara lagringsmedier, introducerar 2022-versionen kravet på att upprätta en ämnesspecifik policy för flyttbara lagringsmedier. 2013 års version täckte å andra sidan inte detta krav.
Nya ISO 27002 kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | NYA | Hot intelligens |
| 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| 5.30 | NYA | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 8.9 | NYA | Konfigurationshantering |
| 8.10 | NYA | Radering av information |
| 8.11 | NYA | Datamaskering |
| 8.12 | NYA | Förebyggande av dataläckage |
| 8.16 | NYA | Övervakningsaktiviteter |
| 8.23 | NYA | Webbfiltrering |
| 8.28 | NYA | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
Hur ISMS.online hjälper
Ocuco-landskapet ISMS.online-plattform använder ett riskbaserat tillvägagångssätt kombinerat med branschledande bästa praxis och mallar för att hjälpa dig identifiera de risker som din organisation står inför och de kontroller som behövs för att hantera dessa risker. Detta gör att du systematiskt kan minska både din riskexponering och dina efterlevnadskostnader.
Hör av dig idag för att boka en demo.
