מטרת הבקרה 5.14
בקרה 5.14 היא סוג מניעתי של בקרה המחייב ארגונים להציב כללים, נהלים ו/או הסכמים מתאימים לשמירה על אבטחת הנתונים כאשר הם משותפים בתוך ארגון או כאשר הם מועברים לצדדים שלישיים.
תכונות שליטה 5.14
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לְהַגֵן | #ניהול נכסים | #הֲגָנָה |
| #יושרה | #הגנת מידע | |||
| #זמינות |
בעלות על שליטה 5.14
בעוד שפיתוח ויישום כללים, נהלים והסכמים דורשים תמיכה ואישור של הנהלה ברמה גבוהה, שיתוף הפעולה והמומחיות של בעלי עניין שונים בארגון, כולל הצוות המשפטי, צוות ה-IT וההנהלה העליונה, הם בעלי חשיבות קריטית. .
לדוגמה, הצוות המשפטי צריך לוודא שהארגון מתקשר בהסכמי העברה עם צדדים שלישיים ושהסכמים אלו עולים בקנה אחד עם הדרישות המפורטות בבקרה 5.14. כמו כן, צוות ה-IT צריך לקחת חלק פעיל בהגדרה והטמעת בקרות לשמירה על אבטחת הנתונים כמפורט ב-5.14.
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
הנחיות כלליות בנושא בקרה 5.14
עמידה ב-5.14 כרוכה בפיתוח כללים, נהלים והסכמים, לרבות מדיניות העברת מידע ספציפית לנושא, המספקת נתונים במעבר עם רמת הגנה המתאימה לסיווג שהוקצה לאותו מידע.
במילים אחרות, רמת ההגנה צריכה להתאים לרמת הקריטיות והרגישות של המידע המועבר.
יתרה מזאת, בקרה 5.14 מציינת שארגונים חייבים לחתום על הסכמי העברה עם צדדים שלישיים נמענים כדי להבטיח העברה מאובטחת של נתונים.
בקרה 5.14 מקבצת את סוגי ההעברה לשלוש קטגוריות:
- העברה אלקטרונית
- העברת אמצעי אחסון פיזיים
- העברה מילולית
לפני, עוברים לתיאור הדרישות הספציפיות לכל סוג של העברה, בקרה 5.14 מפרטת את האלמנטים שיש לכלול בכל הכללים, הנהלים וההסכמים עבור כל שלושת סוגי ההעברות באופן כללי:
- ארגונים חייבים להגדיר בקרות מתאים לרמת הסיווג של המידע כדי להגן על המידע במעבר מפני גישה בלתי מורשית, שינוי, יירוט, העתקה, השמדה והתקפות של מניעת שירות.
- ארגון חייב לשמור על שליטה על שרשרת המשמורת בזמן שהוא במעבר ועליו להגדיר וליישם בקרות כדי להבטיח מעקב אחר מידע.
- יש להגדיר גורמים רלוונטיים המעורבים בהעברת המידע ולמסור את פרטי ההתקשרות שלהם. זה עשוי לכלול בעלי מידע וקציני אבטחה.
- הקצאה של התחייבויות במקרה של הפרת נתונים מתרחשת.
- שימוש במערכת תיוג.
- הבטחת זמינות שירות ההעברה.
- יצירת הנחיות ספציפיות לנושא על שיטות העברת המידע.
- הנחיות לאחסון ומחיקה של כל הרישומים העסקיים, לרבות הודעות.
- ניתוח של ההשפעה שעשויה להיות לכל חוקים, תקנות או חובות אחרים החלים על ההעברה.
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
הנחיות משלימות בנושא העברה אלקטרונית
לאחר פירוט דרישות התוכן המינימליות לכללים, נהלים והסכמים הנפוצים בכל שלושת סוגי ההעברה, Control 5.14 מפרט דרישות תוכן ספציפיות עבור כל סוג העברה.
כללים, הסכמים ונהלים צריכים לטפל בבעיות הבאות כאשר מידע מועבר באופן אלקטרוני:
- איתור ומניעה של התקפות תוכנות זדוניות.
- הגנה על מידע רגיש הכלול בקבצים המצורפים שהועברו.
- להבטיח שכל התקשורת נשלחת לנמענים הנכונים ול- סיכון של שליחת תקשורת לכתובות דוא"ל שגויות, כתובות או מספרי טלפון יבוטלו.
- קבלת אישור מוקדם לפני תחילת השימוש בשירותי תקשורת ציבוריים כלשהם.
- הטמעת שיטות אימות מחמירות יותר כאשר נתונים מועברים דרך רשתות ציבוריות.
- הטלת הגבלות על השימוש בשירותי תקשורת אלקטרונית כמו איסור העברה אוטומטית.
- ייעץ לצוות על אי שימוש בשירותי הודעות קצרות או הודעות מיידיות כדי לשתף נתונים רגישים מכיוון שתוכן זה עשוי להיראות על ידי אנשים לא מורשים במרחבים ציבוריים.
- ייעוץ לצוות ולגורמים רלוונטיים אחרים בנושא סיכוני אבטחה מוצגים על ידי מכשירי פקס כגון הסיכון של גישה לא מורשית או ניתוב מחדש של הודעות למספרים ספציפיים.
הנחיות משלימות בנושא העברת אמצעי אחסון פיזיים
כאשר מידע משותף באמצעים פיזיים כגון ניירות, הכללים, הנהלים וההסכמים צריכים לכסות את הדברים הבאים:
- חלוקת אחריות להודעה על שידור, שיגור וקבלה.
- הקפדה על כתובת ושינוע נכונים של ההודעה.
- האריזה מבטלת את הסיכון לנזק לתכולה שעלול להיווצר בעת הובלת התכולה. לדוגמה, האריזה צריכה להיות מספיק טובה כדי לא להיות מושפעת מחום או לחות.
- רשימת שליחים אמינים המוסכמים ומורשים על ידי ההנהלה.
- תיאור תקני זיהוי שליחים.
- שימוש בפקדים עמידים בפני חבלה כמו שקיות אם רמת הרגישות והקריטיות של המידע דורשות זאת.
- נהלים לאימות תעודות זהות של שליחים.
- רשימה מאושרת של צדדים שלישיים המספקים שירותי הובלה או שליחויות בהתאם לרמת הסיווג.
- שמירת רישומי יומן של זמן המסירה, רשימת הנמענים המורשים, ההגנות שהוחלו וקבלה ביעד.
הדרכה משלימה בנושא העברה מילולית
בקרה 5.14 קובעת כי כאשר עובדים מחליפים מידע בתוך הארגון או כאשר הם מעבירים נתונים לגורמים חיצוניים, יש ליידע אותם על הסיכונים הבאים:
- עליהם להימנע משיחות סודיות בערוצים ציבוריים לא מאובטחים או במרחבים ציבוריים.
- אסור להם להשאיר הודעות קוליות המכילות מידע סודי בהתחשב בסיכון של השמעה חוזרת על ידי אנשים לא מורשים והסיכון של ניתוב מחדש של ההודעה אל צד שלישי.
- כל אדם, בין אם עובד ובין אם צדדים שלישיים רלוונטיים אחרים, צריך לעבור בדיקה לפני שיאפשר לו להאזין לשיחות.
- חדרים, שבהם מתקיימות שיחות סודיות, צריכים להיות מצוידים בבקרות מתאימות כגון בידוד קול.
- הם צריכים לתת כתב ויתור לפני שהם מנהלים שיחה רגישה.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
שינויים והבדלים מ-ISO 27002:2013
27002:2022/5.14 מחליף את 27002:2013/(13.2.1, 13.2.2. 13.2.3).
בעוד ששני הפקדים דומים במידה מסוימת, שני הבדלים עיקריים הופכים את הדרישות של גרסת 2022 לכבדות יותר.
דרישות ספציפיות להעברות חשמליות, פיזיות ומילוליות
בגרסת 2013 סעיף 13.2.3 התייחס לדרישות הספציפיות להעברת מידע באמצעות הודעות אלקטרוניות.
עם זאת, היא לא התייחסה בנפרד להעברת מידע באופן מילולי או פיזי.
לעומת זאת, גרסת 2022 מזהה בבירור שלושה סוגים של העברת מידע ולאחר מכן קובעת את דרישות התוכן עבור כל אחד מהם בנפרד.
גרסת 2022 מגדירה דרישות מחמירות להעברה אלקטרונית
בעוד שסעיף 13.2.3 הכיל דרישות ספציפיות לתוכן הסכמים להעברת הודעות אלקטרוניות, גרסת 2022 מטילה חובות מחמירות יותר על ארגונים.
גרסת 2022 מחייבת ארגונים לתאר וליישם בקרות חדשות בכללים, נהלים והסכמים להעברות אלקטרוניות.
לדוגמה, ארגונים צריכים לייעץ לעובדיהם לא להשתמש בשירותי SMS כאשר הם כוללים מידע רגיש.
דרישות מפורטות יותר להעברות פיזיות
גרסת 2022 מציבה דרישות מחמירות יותר לגבי העברת מדיית האחסון הפיזית. למשל, הדרישות שלו מקיפות יותר לגבי אימות שליחים וסוגי הנזקים שיש למנוע.
שינויים מבניים
בגרסת 2013 הייתה התייחסות מפורשת לדרישות ספציפיות להסכמים להעברת מידע. עם זאת, ה'כללים' וה'נהלים' לא טופלו באופן ספציפי.
לעומת זאת, גרסת 2022 קובעת את הדרישות הספציפיות לכל אחד משלושת המנגנונים הללו.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
ISO 27002 היישום פשוט יותר עם רשימת הבדיקה המפורטת שלנו שמנחה אותך לאורך כל התהליך, מהגדרת היקף ה-ISMS שלך ועד לזיהוי סיכונים ויישום בקרה.
צור קשר עוד היום כדי הזמן הדגמה.
