ISO 27002:2022 – Kontroll 8.11 – Datamaskering

Syfte med kontroll 8.11

Datamaskering är en teknik som används för att skydda känsliga uppgifter – vanligtvis all data som kan anses vara personlig identifierbar information (PII) – utöver en organisations standardiserade informationssäkerhetsprotokoll såsom åtkomstkontroll etc.

Datamaskering nämns ofta i juridiska, lagstadgade och regulatoriska riktlinjer och lagar som reglerar lagring och åtkomst av information om anställda, kunder, användare och leverantörer.

Attributtabell för kontroll 8.11

Kontroll 8.11 är en förebyggande kontrollera det ändrar risken genom att föreslå en rad datamaskeringstekniker som skyddar PII och hjälper organisationen att förbli kompatibel med vad som begärs av den av juridiska myndigheter och tillsynsmyndigheter.

Äganderätt till kontroll 8.11

Datamaskering är en komplex teknisk process som involverar att ändra känslig information och förhindra användare från att identifiera registrerade personer genom en mängd olika åtgärder.

Även om detta i sig är en administrativ uppgift, är karaktären av datamaskering direkt relaterad till en organisations förmåga att förbli kompatibel med lagar, förordningar och lagstadgade riktlinjer för lagring, åtkomst och behandling av data. Som sådan bör ägandet ligga hos Chef för informationssäkerhet, eller organisatorisk motsvarande.

Allmän vägledning om efterlevnad

Kontroll 8.11 ber organisationer att överväga datamaskering inom ramen för två huvudtekniker – pseudonymisering och / eller anonymisering. Båda dessa metoder är utformade för att dölja det verkliga syftet med PII genom disassociation – dvs dölja länken mellan rådata och ämnet (vanligtvis en person).

Organisationer bör vara mycket noga med att säkerställa att ingen enskild databit äventyrar ämnets identitet.

När du använder någon av dessa tekniker bör organisationer överväga:

1. Nivån av pseudonymisering och/eller anonymisering som krävs, i förhållande till uppgifternas karaktär.
2. Hur den maskerade data nås.
3. Eventuella bindande avtal som begränsar användningen av data som ska maskeras.
4. Att hålla de maskerade uppgifterna åtskilda från alla andra datatyper för att förhindra att den registrerade lätt kan identifieras.
5. Logga när data togs emot och hur den har lämnats till eventuella interna eller externa källor.

Vägledning – Ytterligare tekniker

Pseudonymisering och anonymisering är inte de enda tillgängliga metoderna för organisationer som vill maskera PII eller känsliga data. Kontroll 8.11 beskriver 5 andra metoder som kan användas för att stärka datasäkerheten:

1. Nyckelbaserad kryptering.
2. Ta bort eller radera tecken i datamängden.
3. Varierande antal och datum.
4. Ersätter värden över data.
5. Hash-baserad värdemaskering.

Vägledning – Datamaskeringsprinciper

Datamaskering är en viktig del av en organisations policy för att skydda PII och skydda identiteten för de individer som den har data om.

Förutom ovanstående tekniker bör organisationer överväga förslagen nedan när de planerar sin strategi för datamaskering:

1. Implementera maskeringstekniker som bara avslöjar minsta mängd data till alla som använder den.
2. "Obfuskera" (dölja) vissa uppgifter på begäran av försökspersonen, och endast tillåta vissa anställda att komma åt de avsnitt som är relevanta för dem.
3. Bygger sin datamaskeringsoperation kring specifika juridiska och regulatoriska riktlinjer.
4. När pseudonymisering implementeras, hålls algoritmen som används för att "avmaska" data säker och säker.

Ändringar och skillnader från ISO 27002:2013

Ingen. Kontroll 8.11 har inget prejudikat i ISO 27002:2013 eftersom det är nytt.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

Vår molnbaserade plattform ger dig ett robust ramverk av informationssäkerhetskontroller så att du kan checklista din ISMS-process när du går för att säkerställa att den uppfyller kraven för ISO 27002:2022.

Hör av dig idag för att boka en demo.