Syfte med kontroll 8.11
Datamaskering är en teknik som används för att skydda känsliga uppgifter – vanligtvis all data som kan anses vara personlig identifierbar information (PII) – utöver en organisations standardiserade informationssäkerhetsprotokoll såsom åtkomstkontroll etc.
Datamaskering nämns ofta i juridiska, lagstadgade och regulatoriska riktlinjer och lagar som reglerar lagring och åtkomst av information om anställda, kunder, användare och leverantörer.
Attributtabell för kontroll 8.11
Kontroll 8.11 är en förebyggande kontrollera det ändrar risken genom att föreslå en rad datamaskeringstekniker som skyddar PII och hjälper organisationen att förbli kompatibel med vad som begärs av den av juridiska myndigheter och tillsynsmyndigheter.
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande | #Sekretess | #Skydda | #Informationsskydd | #Skydd |
Äganderätt till kontroll 8.11
Datamaskering är en komplex teknisk process som involverar att ändra känslig information och förhindra användare från att identifiera registrerade personer genom en mängd olika åtgärder.
Även om detta i sig är en administrativ uppgift, är karaktären av datamaskering direkt relaterad till en organisations förmåga att förbli kompatibel med lagar, förordningar och lagstadgade riktlinjer för lagring, åtkomst och behandling av data. Som sådan bör ägandet ligga hos Chef för informationssäkerhet, eller organisatorisk motsvarande.
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
Allmän vägledning om efterlevnad
Kontroll 8.11 ber organisationer att överväga datamaskering inom ramen för två huvudtekniker – pseudonymisering och / eller anonymisering. Båda dessa metoder är utformade för att dölja det verkliga syftet med PII genom disassociation – dvs dölja länken mellan rådata och ämnet (vanligtvis en person).
Organisationer bör vara mycket noga med att säkerställa att ingen enskild databit äventyrar ämnets identitet.
När du använder någon av dessa tekniker bör organisationer överväga:
- Nivån av pseudonymisering och/eller anonymisering som krävs, i förhållande till uppgifternas karaktär.
- Hur den maskerade data nås.
- Eventuella bindande avtal som begränsar användningen av data som ska maskeras.
- Att hålla de maskerade uppgifterna åtskilda från alla andra datatyper för att förhindra att den registrerade lätt kan identifieras.
- Logga när data togs emot och hur den har lämnats till eventuella interna eller externa källor.
Vägledning – Ytterligare tekniker
Pseudonymisering och anonymisering är inte de enda tillgängliga metoderna för organisationer som vill maskera PII eller känsliga data. Kontroll 8.11 beskriver 5 andra metoder som kan användas för att stärka datasäkerheten:
- Nyckelbaserad kryptering.
- Ta bort eller radera tecken i datamängden.
- Varierande antal och datum.
- Ersätter värden över data.
- Hash-baserad värdemaskering.
Vägledning – Datamaskeringsprinciper
Datamaskering är en viktig del av en organisations policy för att skydda PII och skydda identiteten för de individer som den har data om.
Förutom ovanstående tekniker bör organisationer överväga förslagen nedan när de planerar sin strategi för datamaskering:
- Implementera maskeringstekniker som bara avslöjar minsta mängd data till alla som använder den.
- "Obfuskera" (dölja) vissa uppgifter på begäran av försökspersonen, och endast tillåta vissa anställda att komma åt de avsnitt som är relevanta för dem.
- Bygger sin datamaskeringsoperation kring specifika juridiska och regulatoriska riktlinjer.
- När pseudonymisering implementeras, hålls algoritmen som används för att "avmaska" data säker och säker.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Ändringar och skillnader från ISO 27002:2013
Ingen. Kontroll 8.11 har inget prejudikat i ISO 27002:2013 eftersom det är nytt.
Nya ISO 27002 kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | NYA | Hot intelligens |
| 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| 5.30 | NYA | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 8.9 | NYA | Konfigurationshantering |
| 8.10 | NYA | Radering av information |
| 8.11 | NYA | Datamaskering |
| 8.12 | NYA | Förebyggande av dataläckage |
| 8.16 | NYA | Övervakningsaktiviteter |
| 8.23 | NYA | Webbfiltrering |
| 8.28 | NYA | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
Hur ISMS.online hjälper
Vår molnbaserade plattform ger dig ett robust ramverk av informationssäkerhetskontroller så att du kan checklista din ISMS-process när du går för att säkerställa att den uppfyller kraven för ISO 27002:2022.
Hör av dig idag för att boka en demo.
