סיווג מידע הוא תהליך המאפשר לארגונים לעשות זאת נכסי מידע קבוצתיים לקטגוריות רלוונטיות בהתאם לרמת ההגנה יש לספק כל קטגוריה של מידע.
בקרה 5.12 עוסקת ביישום תכנית סיווג מידע המבוססת על דרישות סודיות, יושרה וזמינות לנכסי מידע.
5.12 הוא בקרה מונעת ש מזהה סיכונים על ידי מתן אפשרות לארגונים לקבוע את רמת ההגנה לכל נכס מידע בהתבסס על רמת החשיבות והרגישות של המידע.
5.12 מזהיר במפורש ארגונים מפני סיווג יתר או תת-סיווג של מידע בהנחיות המשלימות. הוא קובע שארגונים צריכים לקחת בחשבון את דרישות הסודיות, הזמינות והיושר כאשר הם מקצים נכסים לקטגוריות רלוונטיות.
זה מבטיח שתכנית הסיווג יוצרת איזון מתאים בין הצרכים העסקיים עבור מידע ודרישות האבטחה עבור כל קטגוריה של מידע.
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות #יושרה #זמינות | #לזהות | #הגנת מידע | #הֲגָנָה #הֲגָנָה |
אמנם צריך להיות סיווג כלל ארגוני של תוכניות מידע עם רמות סיווג וקריטריונים כיצד לעשות זאת לסווג נכסי מידע, בעלי נכסי מידע אחראים בסופו של דבר ליישום תכנית סיווג.
5.12 מכיר במפורש כי הבעלים של הרלוונטי נכס מידע צריך לתת דין וחשבון.
לדוגמה, אם למחלקת הנהלת החשבונות יש גישה לתיקיות עם דוחות שכר ודפי בנק, עליהן לסווג מידע על סמך תכנית הסיווג הכלל-ארגונית.
בעת סיווג מידע, בעל הנכס צריך לקחת בחשבון להתחשב בצרכי העסק, רמת ההשפעה שתהיה לפשרה של המידע על הארגון ורמת החשיבות והרגישות של המידע.
כדי ליישם מערך סיווג חזק של מידע, ארגונים צריכים לאמץ גישה ספציפית לנושא, להבין את צרכי המידע של כל יחידה עסקית ולקבוע את רמת הרגישות והקריטיות של המידע.
5.12 מחייב ארגונים לקחת בחשבון את שבעת הקריטריונים הבאים בעת יישום תכנית סיווג:
5.12 מתייחס במפורש ל-5.1, בקרת גישה ודורש מארגונים לדבוק במדיניות ספציפית לנושא כמתואר ב-5.1. בנוסף, תכנית הסיווג והרמות צריכים לקחת בחשבון צרכים עסקיים ספציפיים.
אם אתה מקצה נכס מידע לקטגוריית סיווג שהיא גבוהה יותר שלא לצורך, הדבר עלול להביא את הסיכון של הפרעה לפונקציות העסקיות הקריטיות שלך על ידי הגבלת הגישה למידע והשימוש בו.
לכן, עליך לשאוף למצוא איזון בין הצרכים העסקיים הספציפיים שלך לזמינות ושימוש במידע לבין הדרישות לסודיות ושלמות המידע הזה.
חוקים מסוימים עשויים להטיל עליך חובות מחמירות יותר להבטיח סודיות, שלמות וזמינות המידע. בעת הקצאת נכסי מידע לקטגוריות, חובות משפטיות צריכות לקבל עדיפות על פני הסיווג שלך.
לכל סוג מידע יש רמת קריטיות שונה לפעילותו של כל עסק ובעלת רמת רגישות שונה בהתאם להקשר.
ביישום סיווג מידע, ארגונים צריכים לשאול:
איזו השפעה תהיה לפשרה של היושרה, הזמינות והסודיות של מידע זה על הארגון?
לדוגמה, מסדי נתונים של כתובות דוא"ל מקצועיות של לידים מוסמכים ורישומי בריאות של עובדים שונים מאוד מבחינת רמת הרגישות וההשפעה הפוטנציאלית.
5.12 מציין כי הערך, הקריטיות והרגישות של המידע אינם סטטיים ויכולים להשתנות לאורך מחזור החיים של המידע. לכן, עליך לבדוק כל סיווג באופן קבוע ולבצע עדכונים הדרושים.
כדוגמה לשינוי כזה, ה-5.12 מתייחס לחשיפת מידע לציבור, מה שמפחית מאוד מערכו ורגישות המידע.
אין דרך אחת לסווג מידע ולכל ארגון יכולים להיות שמות, רמות וקריטריונים שונים בכל הנוגע לסיווג תוכניות מידע.
הבדלים אלו עלולים להוביל לסיכונים כאשר שני הארגונים מחליפים ביניהם נכסי מידע. לכן, עליך ליצור הסכם עם עמיתך כדי להבטיח שתהיה עקביות בסיווג המידע ובפרשנות רמות הסיווג.
לכל מחלקה בתוך הארגון צריכה להיות הבנה משותפת של רמות סיווג ונהלים כך שהסיווגים יהיו עקביים בכל הארגון.
בעוד ש-5.12 מכיר בכך שאין תכנית סיווג מתאימה לכולם ולארגונים יש מרחב פעולה בהחלטה ותיאור רמות סיווג בודדות, הוא נותן את הדוגמה הבאה כתכנית סיווג מידע:
א) גילוי אינו גורם נזק;
ב) גילוי גורם נזק מוניטין קל או השפעה תפעולית קלה;
ג) לגילוי יש השפעה משמעותית לטווח קצר על הפעילות או היעדים העסקיים;
ד) לחשיפה יש השפעה רצינית על יעדים עסקיים ארוכי טווח או מסכנת את הישרדות הארגון.
סיווג המידע טופל בסעיף 8.2.1 בגרסה הקודמת.
בעוד ששתי הגרסאות דומות מאוד, ישנם שני הבדלים עיקריים:
בגרסה הישנה, לא הייתה התייחסות מפורשת לדרישה לעקביות של רמות הסיווג בעת העברת מידע בין ארגונים.
עם זאת, בגרסת 2022, עליך ליצור הסכם עם מקבילך כדי להבטיח שתהיה עקביות בסיווג המידע ובפרשנות רמות הסיווג.
שנית, הגרסה החדשה מחייבת במפורש ארגונים להציב מדיניות ספציפית לנושא. בגרסה הישנה יותר, לעומת זאת, הייתה רק התייחסות קצרה לבקרת הגישה.
הפלטפורמה שלנו הוא אינטואיטיבי וקל לשימוש. זה לא רק לאנשים טכניים מאוד; זה מיועד לכולם בארגון שלך. אנו ממליצים לך לערב צוות בכל הרמות של העסק שלך בתהליך בנייתך האיזמים, כי זה עוזר לך לבנות מערכת בת קיימא באמת.
צור קשר עוד היום כדי הזמן הדגמה.
| מזהה בקרה ISO/IEC 27002:2022 | ISO/IEC 27002:2013 מזהה בקרה | שם בקרה |
|---|---|---|
| 5.7 | חדש | אינטליגנציה מאיימת |
| 5.23 | חדש | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | חדש | מוכנות ICT להמשכיות עסקית |
| 7.4 | חדש | ניטור אבטחה פיזית |
| 8.9 | חדש | ניהול תצורה |
| 8.10 | חדש | מחיקת מידע |
| 8.11 | חדש | מיסוך נתונים |
| 8.12 | חדש | מניעת דליפת נתונים |
| 8.16 | חדש | פעילויות ניטור |
| 8.23 | חדש | סינון אינטרנט |
| 8.28 | חדש | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | ISO/IEC 27002:2013 מזהה בקרה | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | ISO/IEC 27002:2013 מזהה בקרה | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | חדש | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
