ISO 27002:2022, Kontroll 8.11 – Datamaskering

Allmän vägledning om efterlevnad

Kontroll 8.11 ber organisationer att överväga datamaskering inom ramen för två huvudtekniker – pseudonymisering och / eller anonymisering. Båda dessa metoder är utformade för att dölja det verkliga syftet med PII genom disassociation – dvs dölja länken mellan rådata och ämnet (vanligtvis en person).

Organisationer bör vara mycket noga med att säkerställa att ingen enskild databit äventyrar ämnets identitet.

När du använder någon av dessa tekniker bör organisationer överväga:

1. Nivån av pseudonymisering och/eller anonymisering som krävs, i förhållande till uppgifternas karaktär.
2. Hur den maskerade data nås.
3. Eventuella bindande avtal som begränsar användningen av data som ska maskeras.
4. Att hålla de maskerade uppgifterna åtskilda från alla andra datatyper för att förhindra att den registrerade lätt kan identifieras.
5. Logga när data togs emot och hur den har lämnats till eventuella interna eller externa källor.

Vägledning – Ytterligare tekniker

Pseudonymisering och anonymisering är inte de enda tillgängliga metoderna för organisationer som vill maskera PII eller känsliga data. Kontroll 8.11 beskriver 5 andra metoder som kan användas för att stärka datasäkerheten:

1. Nyckelbaserad kryptering.
2. Ta bort eller radera tecken i datamängden.
3. Varierande antal och datum.
4. Ersätter värden över data.
5. Hash-baserad värdemaskering.

Vägledning – Datamaskeringsprinciper

Datamaskering är en viktig del av en organisations policy för att skydda PII och skydda identiteten för de individer som den har data om.

Förutom ovanstående tekniker bör organisationer överväga förslagen nedan när de planerar sin strategi för datamaskering:

1. Implementera maskeringstekniker som bara avslöjar minsta mängd data till alla som använder den.
2. "Obfuskera" (dölja) vissa uppgifter på begäran av försökspersonen, och endast tillåta vissa anställda att komma åt de avsnitt som är relevanta för dem.
3. Bygger sin datamaskeringsoperation kring specifika juridiska och regulatoriska riktlinjer.
4. När pseudonymisering implementeras, hålls algoritmen som används för att "avmaska" data säker och säker.

Ändringar och skillnader från ISO 27002:2013

Ingen. Kontroll 8.11 har inget prejudikat i ISO 27002:2013 eftersom det är nytt.

Hur ISMS.online hjälper

Vår molnbaserade plattform ger dig ett robust ramverk av informationssäkerhetskontroller så att du kan checklista din ISMS-process när du går för att säkerställa att den uppfyller kraven för ISO 27002:2022.

Hör av dig idag för att boka en demo.