מטרת הבקרה 5.12
5.12 הוא בקרה מונעת ש מזהה סיכונים על ידי מתן אפשרות לארגונים לקבוע את רמת ההגנה לכל נכס מידע בהתבסס על רמת החשיבות והרגישות של המידע.
5.12 מזהיר במפורש ארגונים מפני סיווג יתר או תת-סיווג של מידע בהנחיות המשלימות. הוא קובע שארגונים צריכים לקחת בחשבון את דרישות הסודיות, הזמינות והיושר כאשר הם מקצים נכסים לקטגוריות רלוונטיות.
זה מבטיח שתכנית הסיווג יוצרת איזון מתאים בין הצרכים העסקיים עבור מידע ודרישות האבטחה עבור כל קטגוריה של מידע.
תכונות שליטה 5.12
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לזהות | #הגנת מידע | #הֲגָנָה |
| #יושרה | #הֲגָנָה | |||
| #זמינות |
בעלות על שליטה 5.12
אמנם צריך להיות סיווג כלל ארגוני של תוכניות מידע עם רמות סיווג וקריטריונים כיצד לעשות זאת לסווג נכסי מידע, בעלי נכסי מידע אחראים בסופו של דבר ליישום תכנית סיווג.
5.12 מכיר במפורש כי הבעלים של הרלוונטי נכס מידע צריך לתת דין וחשבון.
לדוגמה, אם למחלקת הנהלת החשבונות יש גישה לתיקיות עם דוחות שכר ודפי בנק, עליהן לסווג מידע על סמך תכנית הסיווג הכלל-ארגונית.
בעת סיווג מידע, בעל הנכס צריך לקחת בחשבון להתחשב בצרכי העסק, רמת ההשפעה שתהיה לפשרה של המידע על הארגון ורמת החשיבות והרגישות של המידע.
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
הנחיות כלליות בנושא בקרה 5.12
כדי ליישם מערך סיווג חזק של מידע, ארגונים צריכים לאמץ גישה ספציפית לנושא, להבין את צרכי המידע של כל יחידה עסקית ולקבוע את רמת הרגישות והקריטיות של המידע.
5.12 מחייב ארגונים לקחת בחשבון את שבעת הקריטריונים הבאים בעת יישום תכנית סיווג:
- קבע מדיניות ספציפית לנושא ותענה על הצרכים העסקיים הספציפיים
5.12 מתייחס במפורש ל-5.1, בקרת גישה ודורש מארגונים לדבוק במדיניות ספציפית לנושא כמתואר ב-5.1. בנוסף, תכנית הסיווג והרמות צריכים לקחת בחשבון צרכים עסקיים ספציפיים.
- קחו בחשבון את הצרכים העסקיים לשיתוף ושימוש במידע ואת הצורך בזמינות
אם אתה מקצה נכס מידע לקטגוריית סיווג שהיא גבוהה יותר שלא לצורך, הדבר עלול להביא את הסיכון של הפרעה לפונקציות העסקיות הקריטיות שלך על ידי הגבלת הגישה למידע והשימוש בו.
לכן, עליך לשאוף למצוא איזון בין הצרכים העסקיים הספציפיים שלך לזמינות ושימוש במידע לבין הדרישות לסודיות ושלמות המידע הזה.
- שקול התחייבויות משפטיות
חוקים מסוימים עשויים להטיל עליך חובות מחמירות יותר להבטיח סודיות, שלמות וזמינות המידע. בעת הקצאת נכסי מידע לקטגוריות, חובות משפטיות צריכות לקבל עדיפות על פני הסיווג שלך.
- קחו גישה מבוססת סיכונים ושקול את ההשפעה הפוטנציאלית של פשרה
לכל סוג מידע יש רמת קריטיות שונה לפעילותו של כל עסק ובעלת רמת רגישות שונה בהתאם להקשר.
ביישום סיווג מידע, ארגונים צריכים לשאול:
איזו השפעה תהיה לפשרה של היושרה, הזמינות והסודיות של מידע זה על הארגון?
לדוגמה, מסדי נתונים של כתובות דוא"ל מקצועיות של לידים מוסמכים ורישומי בריאות של עובדים שונים מאוד מבחינת רמת הרגישות וההשפעה הפוטנציאלית.
- בדוק ומעדכן באופן קבוע את הסיווג
5.12 מציין כי הערך, הקריטיות והרגישות של המידע אינם סטטיים ויכולים להשתנות לאורך מחזור החיים של המידע. לכן, עליך לבדוק כל סיווג באופן קבוע ולבצע עדכונים הדרושים.
כדוגמה לשינוי כזה, ה-5.12 מתייחס לחשיפת מידע לציבור, מה שמפחית מאוד מערכו ורגישות המידע.
- התייעץ עם ארגונים אחרים שאיתם אתה חולק מידע וטפל בכל הבדלים
אין דרך אחת לסווג מידע ולכל ארגון יכולים להיות שמות, רמות וקריטריונים שונים בכל הנוגע לסיווג תוכניות מידע.
הבדלים אלו עלולים להוביל לסיכונים כאשר שני הארגונים מחליפים ביניהם נכסי מידע. לכן, עליך ליצור הסכם עם עמיתך כדי להבטיח שתהיה עקביות בסיווג המידע ובפרשנות רמות הסיווג.
- עקביות ברמה הארגונית
לכל מחלקה בתוך הארגון צריכה להיות הבנה משותפת של רמות סיווג ונהלים כך שהסיווגים יהיו עקביים בכל הארגון.
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
הנחיות כיצד ליישם תכנית סיווג מידע
בעוד ש-5.12 מכיר בכך שאין תכנית סיווג מתאימה לכולם ולארגונים יש מרחב פעולה בהחלטה ותיאור רמות סיווג בודדות, הוא נותן את הדוגמה הבאה כתכנית סיווג מידע:
א) גילוי אינו גורם נזק;
ב) גילוי גורם נזק מוניטין קל או השפעה תפעולית קלה;
ג) לגילוי יש השפעה משמעותית לטווח קצר על הפעילות או היעדים העסקיים;
ד) לחשיפה יש השפעה רצינית על יעדים עסקיים ארוכי טווח או מסכנת את הישרדות הארגון.
שינויים והבדלים מ-ISO 27002:2013
סיווג המידע טופל בסעיף 8.2.1 בגרסה הקודמת.
בעוד ששתי הגרסאות דומות מאוד, ישנם שני הבדלים עיקריים:
בגרסה הישנה, לא הייתה התייחסות מפורשת לדרישה לעקביות של רמות הסיווג בעת העברת מידע בין ארגונים.
עם זאת, בגרסת 2022, עליך ליצור הסכם עם מקבילך כדי להבטיח שתהיה עקביות בסיווג המידע ובפרשנות רמות הסיווג.
שנית, הגרסה החדשה מחייבת במפורש ארגונים להציב מדיניות ספציפית לנושא. בגרסה הישנה יותר, לעומת זאת, הייתה רק התייחסות קצרה לבקרת הגישה.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
הפלטפורמה שלנו הוא אינטואיטיבי וקל לשימוש. זה לא רק לאנשים טכניים מאוד; זה מיועד לכולם בארגון שלך. אנו ממליצים לך לערב צוות בכל הרמות של העסק שלך בתהליך בנייתך האיזמים, כי זה עוזר לך לבנות מערכת בת קיימא באמת.
צור קשר עוד היום כדי הזמן הדגמה.
