עבור לתוכן

היסודות של העברת מידע מאובטחת: ISO 27001 5.14

מטרת ISO 27001:2022 נספח A 5.14 היא להבטיח את האבטחה של כל מכשירי המשתמש.

המשמעות היא שיש לנקוט באמצעים להגנה על המכשירים מפני תוכנות זדוניות ואיומים אחרים, וכן לשמור על סודיות, שלמות וזמינות הנתונים המאוחסנים בהם.

ISO 27001: 2022 נספח א בקרה 5.14 מחייבת ארגונים להתקין את הכללים, הנהלים או החוזים הדרושים לשמירה על אבטחת המידע כאשר הם משותפים פנימיים או נשלחים לגורמים חיצוניים.

בעלות על ISO 27001:2022 נספח A בקרה 5.14

הגיבוי והקבלה של ההנהלה הבכירה חיוניים לגיבוש וביצוע של תקנות, פרוטוקולים וחוזים.

עם זאת, הכרחי לקיים את שיתוף הפעולה והידע המומחה של שחקנים שונים בתוך הארגון, כגון הצוות המשפטי, אנשי ה-IT והחברים המובילים.

הצוות המשפטי צריך להבטיח שהארגון יתקשר בהסכמי העברה התואמים ל-ISO 27001:2022 נספח A Control 5.14. בנוסף, צוות ה-IT צריך להיות מעורב באופן פעיל בציון וביצוע בקרות לשמירה על נתונים, כפי שמצוין ב-5.14.




ISMS.online מעניק לך יתרון של 81% מרגע הכניסה

ISO 27001 בקלות

עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.




הנחיות כלליות בנושא ISO 27001:2022 נספח A 5.14

הבטחת עמידה ב-5.14 מחייבת יצירת כללים, נהלים והסכמים, לרבות מדיניות העברת נתונים הספציפית לנושא, ומעניקה לנתונים במעבר רמת הגנה מתאימה בהתאם לסיווג שהוקצה להם.

רמת האבטחה צריכה להיות פרופורציונלית לחשיבות ורגישות הנתונים הנשלחים. ISO 27001:2022 נספח A 5.14 מחייב גם ארגונים להתקשר בהסכמי העברה עם צדדים שלישיים נמענים כדי להבטיח שידור מאובטח של נתונים.

ISO 27001:2022 נספח A Control 5.14 מחלק סוגי העברה לשלוש קבוצות:

  • העברה אלקטרונית.
  • גוּפָנִי אחסון מדיה לְהַעֲבִיר.
  • העברה מילולית.

לפני שמתקדמים לפרט את הדרישות הספציפיות של כל סוג של העברה, ISO 27001: 2022 נספח א' בקרה 5.14 מתאר את המרכיבים שחייבים להיות נוכחים בכל התקנות, הנהלים והחוזים הנוגעים לכל שלוש ההעברות באופן כללי:

  • ארגונים חייבים לקבוע בקרות מתאימות בהתבסס על רמת הסיווג של המידע על מנת להגן עליו בעת המעבר מפני גישה בלתי מורשית, שינוי, יירוט, כפילות, הרס ותקיפות של מניעת שירות.
  • ארגונים חייבים לעקוב אחר שרשרת המשמורת בזמן ההעברה ולהקים ולבצע בקרות כדי להבטיח מעקב אחר הנתונים.
  • ציין מי מעורב בהעברת הנתונים ומסר את פרטי הקשר שלהם, כגון בעלי הנתונים ואנשי האבטחה.
  • במקרה של הפרת נתונים, יוקצו התחייבויות.
  • הטמעת מערכת תיוג כדי לעקוב אחר פריטים.
  • הבטחת שירות ההעברה זמין.
  • הנחיות לגבי השיטות של העברת מידע יש לפתח בהתאם לנושאים ספציפיים.
  • יש להקפיד על הנחיות לשמירה והשלכה של כל המסמכים העסקיים, לרבות הודעות.
  • בדוק את ההשפעה שעלולה להיות לכל חוקים, תקנות או חובות אחרים החלים על ההעברה.

הנחיות משלימות בנושא העברה אלקטרונית

ISO 27001:2022 נספח א' בקרה 5.14 מפרט את דרישות התוכן הספציפיות לכללים, נהלים והסכמים הקשורים לשלושת סוגי ההעברות. יש לעמוד בדרישות התוכן המינימליות בכל השלושה.

כללים, הסכמים ונהלים צריכים להתייחס לשיקולים הבאים בעת העברת מידע אלקטרונית:

  • זיהוי וסיכול של תקיפות תוכנות זדוניות הוא בעל חשיבות עליונה. חיוני שתשתמש בטכנולוגיה העדכנית ביותר כדי לזהות ולמנוע התקפות מתוכנות זדוניות.
  • הבטחת ה אבטחת מידע סודי נמצא בקבצים המצורפים שנשלחו.
  • ודא שתקשורת נשלחת לנמענים המתאימים על ידי הימנעות מהסיכון של שליחת כתובת הדוא"ל, הכתובת או מספר הטלפון השגויים.
  • קבל אישור לפני תחילת השימוש בשירותי תקשורת ציבוריים כלשהם.
  • יש להשתמש בשיטות אימות מחמירות יותר בעת שליחת נתונים דרך רשתות ציבוריות.
  • הטלת מגבלות על השימוש בשירותי תקשורת אלקטרונית, למשל איסור העברה אוטומטית.
  • יעוץ לצוות להימנע משימוש בשירותי הודעות קצרות או הודעות מיידיות כדי לשתף נתונים רגישים, מכיוון שאנשים לא מורשים יכולים לצפות בתוכן באזורים ציבוריים.
  • ייעץ לצוות ולבעלי עניין אחרים על סיכוני ההגנה שמכשירי פקס עלולים להוות, כגון גישה לא מורשית או הפניית הודעות שגויה למספרים מסוימים.



טיפוס

הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.




הנחיות משלימות בנושא העברת אמצעי אחסון פיזיים

כאשר מידע משותף פיזית, כללים, נהלים והסכמים צריכים לכלול:

  • הצדדים אחראים להודיע ​​זה לזה על שידור, שיגור וקבלה של מידע.
  • ודא שההודעה מטופלת בצורה נכונה ונשלחת כראוי.
  • אריזה טובה מבטלת את הסיכוי לפגיעה בתכולה במהלך ההובלה. למשל, האריזה צריכה להיות עמידה בפני חום ולחות.
  • רשימת שליחים אמינה ומורשית סוכמה על ידי ההנהלה.
  • סקירה כללית של תקני זיהוי שליחים.
  • למידע רגיש וקריטי, יש להשתמש בשקיות עמידות בפני חבלה.
  • אימות הזהות של שליחים חשוב.
  • רשימה זו של צדדים שלישיים, המסווגת לפי רמת השירות שלהם, מספקת שירותי הובלה או שליחויות ואושרה.
  • רשום ביומן את שעת המסירה, מקלט מורשה, אמצעי בטיחות שננקטו ואישור קבלה ביעד.

הדרכה משלימה בנושא העברה מילולית

יש להודיע ​​לעובדים על הסיכונים הכרוכים בהחלפת מידע בתוך הארגון או בהעברת נתונים לגורמים חיצוניים, בהתאם ל-ISO 27001:2022 נספח א' בקרה 5.14. סיכונים אלו כוללים:

  • עליהם להימנע מלדון בעניינים חסויים בערוצים ציבוריים לא מאובטחים או בשטחים ציבוריים.
  • אין להשאיר הודעות קוליות עם מידע סודי בשל הסכנה של השמעה חוזרת על ידי מי שאינם מורשים, כמו גם הסיכון של ניתוב מחדש לצדדים שלישיים.
  • אנשים, הן צוות והן צדדים שלישיים רלוונטיים אחרים, צריכים להיבדק לפני קבלת אישור לשיחות.
  • חדרים המשמשים לשיחות סודיות צריכים להיות מצוידים בבידוד אקוסטי הכרחי.
  • לפני ניהול כל דיאלוג רגיש, יש להוציא כתב ויתור.



ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.

ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.




שינויים והבדלים מ-ISO 27001:2013?

ISO 27001:2022 נספח A 5.14 מחליף את ISO 27001:2013 נספח א' 13.2.1, 13.2.2 ו-13.2.3.

שני הפקדים דומים במידה מסוימת, אולם שתי הבחנות עיקריות הופכות את הדרישות של 2022 למכבידות יותר.

דרישות ספציפיות להעברות חשמליות, פיזיות ומילוליות

סעיף 13.2.3 בגרסת 2013 כיסה את הדרישות המיוחדות להעברת נתונים בהודעות אלקטרוניות.

עם זאת, היא לא התייחסה ספציפית להעברת מידע באמצעים מילוליים או פיזיים.

לשם השוואה, גרסת 2022 מדייקת בזיהוי שלושה סוגי העברת מידע, ומתווה את התכנים הדרושים לכל אחד מהם בנפרד.

ISO 27001:2022 קובע דרישות מחמירות להעברה אלקטרונית

סעיף 13.2.3 לגרסת 2022 קובע דרישות מחמירות יותר לתוכן של הסכמי הודעות אלקטרוניות.

ארגונים חייבים לפרט ולהוציא לפועל תקנות חדשות להעברות דיגיטליות בצורה של כללים, נהלים וחוזים עבור ISO 27001:2022.

לדוגמה, ארגונים צריכים להזהיר את הצוות שלהם מפני שימוש בשירותי SMS בעת העברת מידע רגיש.

דרישות מפורטות להעברות פיזיות

גרסת 2022 מטילה תקנות מחמירות יותר על העברה פיזית של אמצעי אחסון. לדוגמה, הוא יסודי יותר באימות שליחים ובאמצעי הגנה מפני צורות שונות של נזק.

שינויים מבניים

בגרסת 2013 ניתנה התייחסות מפורשת לדרישות ההכרחיות של הסכמי העברת מידע. עם זאת, ה'כללים' וה'נהלים' לא פורטו בפירוט.

עבור ISO 27001:2022, קריטריונים ספציפיים מפורטים עבור כל אחת משלוש הגישות.

טבלה של כל בקרות ISO 27001:2022 נספח A

בטבלה למטה תמצא מידע נוסף על כל בקרת ISO 27001:2022 נספח A בנפרד.

ISO 27001:2022 בקרות ארגוניות
נספח א' סוג בקרה מזהה ISO/IEC 27001:2022 נספח A מזהה ISO/IEC 27001:2013 נספח A שם נספח א'
בקרות ארגוניות נספח א' 5.1 נספח א' 5.1.1
נספח א' 5.1.2
מדיניות אבטחת מידע
בקרות ארגוניות נספח א' 5.2 נספח א' 6.1.1 תפקידים ואחריות של אבטחת מידע
בקרות ארגוניות נספח א' 5.3 נספח א' 6.1.2 הפרדת תפקידים
בקרות ארגוניות נספח א' 5.4 נספח א' 7.2.1 אחריות ניהול
בקרות ארגוניות נספח א' 5.5 נספח א' 6.1.3 קשר עם הרשויות
בקרות ארגוניות נספח א' 5.6 נספח א' 6.1.4 צור קשר עם קבוצות עניין מיוחדות
בקרות ארגוניות נספח א' 5.7 NEW מודיעין סייבר
בקרות ארגוניות נספח א' 5.8 נספח א' 6.1.5
נספח א' 14.1.1
אבטחת מידע בניהול פרויקטים
בקרות ארגוניות נספח א' 5.9 נספח א' 8.1.1
נספח א' 8.1.2
מלאי מידע ונכסים נלווים אחרים
בקרות ארגוניות נספח א' 5.10 נספח א' 8.1.3
נספח א' 8.2.3
שימוש מקובל במידע ובנכסים נלווים אחרים
בקרות ארגוניות נספח א' 5.11 נספח א' 8.1.4 החזרת נכסים
בקרות ארגוניות נספח א' 5.12 נספח א' 8.2.1 סיווג מידע
בקרות ארגוניות נספח א' 5.13 נספח א' 8.2.2 תיוג מידע
בקרות ארגוניות נספח א' 5.14 נספח א' 13.2.1
נספח א' 13.2.2
נספח א' 13.2.3
העברת מידע
בקרות ארגוניות נספח א' 5.15 נספח א' 9.1.1
נספח א' 9.1.2
בקרת גישה
בקרות ארגוניות נספח א' 5.16 נספח א' 9.2.1 ניהול זהות
בקרות ארגוניות נספח א' 5.17 נספח א' 9.2.4
נספח א' 9.3.1
נספח א' 9.4.3
מידע אימות
בקרות ארגוניות נספח א' 5.18 נספח א' 9.2.2
נספח א' 9.2.5
נספח א' 9.2.6
זכויות גישה
בקרות ארגוניות נספח א' 5.19 נספח א' 15.1.1 אבטחת מידע ביחסי ספקים
בקרות ארגוניות נספח א' 5.20 נספח א' 15.1.2 טיפול באבטחת מידע במסגרת הסכמי ספקים
בקרות ארגוניות נספח א' 5.21 נספח א' 15.1.3 ניהול אבטחת מידע בשרשרת אספקת ה-ICT
בקרות ארגוניות נספח א' 5.22 נספח א' 15.2.1
נספח א' 15.2.2
ניטור, סקירה וניהול שינויים של שירותי ספקים
בקרות ארגוניות נספח א' 5.23 NEW אבטחת מידע לשימוש בשירותי ענן
בקרות ארגוניות נספח א' 5.24 נספח א' 16.1.1 תכנון והכנה לניהול אירועי אבטחת מידע
בקרות ארגוניות נספח א' 5.25 נספח א' 16.1.4 הערכה והחלטה על אירועי אבטחת מידע
בקרות ארגוניות נספח א' 5.26 נספח א' 16.1.5 תגובה לאירועי אבטחת מידע
בקרות ארגוניות נספח א' 5.27 נספח א' 16.1.6 למידה מתקריות אבטחת מידע
בקרות ארגוניות נספח א' 5.28 נספח א' 16.1.7 אוסף ראיות
בקרות ארגוניות נספח א' 5.29 נספח א' 17.1.1
נספח א' 17.1.2
נספח א' 17.1.3
אבטחת מידע בזמן שיבוש
בקרות ארגוניות נספח א' 5.30 NEW מוכנות ICT להמשכיות עסקית
בקרות ארגוניות נספח א' 5.31 נספח א' 18.1.1
נספח א' 18.1.5
דרישות משפטיות, סטטוטוריות, רגולטוריות וחוזיות
בקרות ארגוניות נספח א' 5.32 נספח א' 18.1.2 זכויות קניין רוחני
בקרות ארגוניות נספח א' 5.33 נספח א' 18.1.3 הגנה על רשומות
בקרות ארגוניות נספח א' 5.34 נספח א' 18.1.4 פרטיות והגנה על PII
בקרות ארגוניות נספח א' 5.35 נספח א' 18.2.1 סקירה עצמאית של אבטחת מידע
בקרות ארגוניות נספח א' 5.36 נספח א' 18.2.2
נספח א' 18.2.3
עמידה במדיניות, כללים ותקנים לאבטחת מידע
בקרות ארגוניות נספח א' 5.37 נספח א' 12.1.1 נהלי הפעלה מתועדים
ISO 27001:2022 בקרות אנשים
נספח א' סוג בקרה מזהה ISO/IEC 27001:2022 נספח A מזהה ISO/IEC 27001:2013 נספח A שם נספח א'
אנשים בקרות נספח א' 6.1 נספח א' 7.1.1 סריקה
אנשים בקרות נספח א' 6.2 נספח א' 7.1.2 תנאי העסקה
אנשים בקרות נספח א' 6.3 נספח א' 7.2.2 מודעות, חינוך והדרכה לאבטחת מידע
אנשים בקרות נספח א' 6.4 נספח א' 7.2.3 תהליך משמעתי
אנשים בקרות נספח א' 6.5 נספח א' 7.3.1 אחריות לאחר סיום או שינוי עבודה
אנשים בקרות נספח א' 6.6 נספח א' 13.2.4 הסכמי סודיות או סודיות
אנשים בקרות נספח א' 6.7 נספח א' 6.2.2 עבודה מרחוק
אנשים בקרות נספח א' 6.8 נספח א' 16.1.2
נספח א' 16.1.3
דיווח אירועי אבטחת מידע
ISO 27001:2022 בקרות פיזיות
נספח א' סוג בקרה מזהה ISO/IEC 27001:2022 נספח A מזהה ISO/IEC 27001:2013 נספח A שם נספח א'
בקרות פיזיות נספח א' 7.1 נספח א' 11.1.1 היקפי אבטחה פיזית
בקרות פיזיות נספח א' 7.2 נספח א' 11.1.2
נספח א' 11.1.6
כניסה פיזית
בקרות פיזיות נספח א' 7.3 נספח א' 11.1.3 אבטחת משרדים, חדרים ומתקנים
בקרות פיזיות נספח א' 7.4 NEW ניטור אבטחה פיזית
בקרות פיזיות נספח א' 7.5 נספח א' 11.1.4 הגנה מפני איומים פיזיים וסביבתיים
בקרות פיזיות נספח א' 7.6 נספח א' 11.1.5 עבודה באזורים מאובטחים
בקרות פיזיות נספח א' 7.7 נספח א' 11.2.9 Clear Desk ומסך ברור
בקרות פיזיות נספח א' 7.8 נספח א' 11.2.1 מיקום ומיגון ציוד
בקרות פיזיות נספח א' 7.9 נספח א' 11.2.6 אבטחת נכסים מחוץ לשטח
בקרות פיזיות נספח א' 7.10 נספח א' 8.3.1
נספח א' 8.3.2
נספח א' 8.3.3
נספח א' 11.2.5
אחסון מדיה
בקרות פיזיות נספח א' 7.11 נספח א' 11.2.2 כלי עזר תומכים
בקרות פיזיות נספח א' 7.12 נספח א' 11.2.3 אבטחת כבלים
בקרות פיזיות נספח א' 7.13 נספח א' 11.2.4 תחזוקת ציוד
בקרות פיזיות נספח א' 7.14 נספח א' 11.2.7 סילוק מאובטח או שימוש חוזר בציוד
ISO 27001:2022 בקרות טכנולוגיות
נספח א' סוג בקרה מזהה ISO/IEC 27001:2022 נספח A מזהה ISO/IEC 27001:2013 נספח A שם נספח א'
בקרות טכנולוגיות נספח א' 8.1 נספח א' 6.2.1
נספח א' 11.2.8
התקני נקודת קצה של משתמש
בקרות טכנולוגיות נספח א' 8.2 נספח א' 9.2.3 זכויות גישה מועדפות
בקרות טכנולוגיות נספח א' 8.3 נספח א' 9.4.1 הגבלת גישה למידע
בקרות טכנולוגיות נספח א' 8.4 נספח א' 9.4.5 גישה לקוד המקור
בקרות טכנולוגיות נספח א' 8.5 נספח א' 9.4.2 אימות מאובטח
בקרות טכנולוגיות נספח א' 8.6 נספח א' 12.1.3 ניהול קיבולת
בקרות טכנולוגיות נספח א' 8.7 נספח א' 12.2.1 הגנה מפני תוכנות זדוניות
בקרות טכנולוגיות נספח א' 8.8 נספח א' 12.6.1
נספח א' 18.2.3
ניהול נקודות תורפה טכניות
בקרות טכנולוגיות נספח א' 8.9 NEW ניהול תצורה
בקרות טכנולוגיות נספח א' 8.10 NEW מחיקת מידע
בקרות טכנולוגיות נספח א' 8.11 NEW מיסוך נתונים
בקרות טכנולוגיות נספח א' 8.12 NEW מניעת דליפת נתונים
בקרות טכנולוגיות נספח א' 8.13 נספח א' 12.3.1 גיבוי מידע
בקרות טכנולוגיות נספח א' 8.14 נספח א' 17.2.1 יתירות של מתקנים לעיבוד מידע
בקרות טכנולוגיות נספח א' 8.15 נספח א' 12.4.1
נספח א' 12.4.2
נספח א' 12.4.3
רישום
בקרות טכנולוגיות נספח א' 8.16 NEW פעולות ניטור
בקרות טכנולוגיות נספח א' 8.17 נספח א' 12.4.4 סנכרון שעון
בקרות טכנולוגיות נספח א' 8.18 נספח א' 9.4.4 שימוש בתוכניות שירות מורשות - זכויות גישה
בקרות טכנולוגיות נספח א' 8.19 נספח א' 12.5.1
נספח א' 12.6.2
התקנת תוכנה על מערכות תפעוליות
בקרות טכנולוגיות נספח א' 8.20 נספח א' 13.1.1 אבטחת רשתות
בקרות טכנולוגיות נספח א' 8.21 נספח א' 13.1.2 אבטחת שירותי רשת
בקרות טכנולוגיות נספח א' 8.22 נספח א' 13.1.3 הפרדת רשתות
בקרות טכנולוגיות נספח א' 8.23 NEW סינון אינטרנט
בקרות טכנולוגיות נספח א' 8.24 נספח א' 10.1.1
נספח א' 10.1.2
שימוש בקריפטוגרפיה
בקרות טכנולוגיות נספח א' 8.25 נספח א' 14.2.1 מחזור חיים של פיתוח מאובטח
בקרות טכנולוגיות נספח א' 8.26 נספח א' 14.1.2
נספח א' 14.1.3
דרישות אבטחת יישומים
בקרות טכנולוגיות נספח א' 8.27 נספח א' 14.2.5 עקרונות ארכיטקטורת מערכת מאובטחת והנדסה למידה מאירועי אבטחת מידע
בקרות טכנולוגיות נספח א' 8.28 NEW קידוד מאובטח
בקרות טכנולוגיות נספח א' 8.29 נספח א' 14.2.8
נספח א' 14.2.9
בדיקות אבטחה בפיתוח וקבלה
בקרות טכנולוגיות נספח א' 8.30 נספח א' 14.2.7 פיתוח במיקור חוץ
בקרות טכנולוגיות נספח א' 8.31 נספח א' 12.1.4
נספח א' 14.2.6
הפרדת סביבות פיתוח, בדיקה וייצור
בקרות טכנולוגיות נספח א' 8.32 נספח א' 12.1.2
נספח א' 14.2.2
נספח א' 14.2.3
נספח א' 14.2.4
שינוי הנהלה
בקרות טכנולוגיות נספח א' 8.33 נספח א' 14.3.1 מידע על בדיקה
בקרות טכנולוגיות נספח א' 8.34 נספח א' 12.7.1 הגנה על מערכות מידע במהלך בדיקות ביקורת




[case_study_slider ids=”88859,101932,92016″ autoplay=”true” autoplay_speed=”5000″]


כיצד ISMS.online עוזר

יישום ISO 27001:2022 ניתן לעשות זאת בצורה פשוטה יותר עם רשימת הבדיקה המפורטת שלנו. זה ינחה אותך לאורך כל התהליך מהגדרת היקף ה-ISMS שלך ועד זיהוי סיכונים ויישום בקרות.

הזמן את ההדגמה שלך עוד היום. פגישות זמינות שבעה ימים בשבוע, אז קבע את הפגישה שלך ב- זמן שעובד בשבילך.


דיוויד הולוואי

סמנכ"ל שיווק

דיוויד הולוואי הוא מנהל השיווק הראשי ב-ISMS.online, עם למעלה מארבע שנות ניסיון בתחום תאימות ואבטחת מידע. כחלק מצוות ההנהגה, דיוויד מתמקד בהעצמת ארגונים לנווט בנופים רגולטוריים מורכבים בביטחון, תוך קידום אסטרטגיות שמתאימות יעדים עסקיים לפתרונות בעלי השפעה. הוא גם מנחה שותף של הפודקאסט Phishing For Trouble, שם הוא מתעמק באירועי אבטחת סייבר מתוקשרים וחולק לקחים חשובים שיעזרו לעסקים לחזק את נוהלי האבטחה והתאימות שלהם.

ISO 27001:2022 נספח A בקרות

בקרות ארגוניות