ISO 27002:2022, בקרה 5.14 – העברת מידע

הנחיות כלליות בנושא בקרה 5.14

עמידה ב-5.14 כרוכה בפיתוח כללים, נהלים והסכמים, לרבות מדיניות העברת מידע ספציפית לנושא, המספקת נתונים במעבר עם רמת הגנה המתאימה לסיווג שהוקצה לאותו מידע.

במילים אחרות, רמת ההגנה צריכה להתאים לרמת הקריטיות והרגישות של המידע המועבר.

יתרה מזאת, בקרה 5.14 מציינת שארגונים חייבים לחתום על הסכמי העברה עם צדדים שלישיים נמענים כדי להבטיח העברה מאובטחת של נתונים.

בקרה 5.14 מקבצת את סוגי ההעברה לשלוש קטגוריות:

• העברה אלקטרונית
• העברת אמצעי אחסון פיזיים
• העברה מילולית

לפני, עוברים לתיאור הדרישות הספציפיות לכל סוג של העברה, בקרה 5.14 מפרטת את האלמנטים שיש לכלול בכל הכללים, הנהלים וההסכמים עבור כל שלושת סוגי ההעברות באופן כללי:

• ארגונים חייבים להגדיר בקרות מתאים לרמת הסיווג של המידע כדי להגן על המידע במעבר מפני גישה בלתי מורשית, שינוי, יירוט, העתקה, השמדה והתקפות של מניעת שירות.
• ארגון חייב לשמור על שליטה על שרשרת המשמורת בזמן שהוא במעבר ועליו להגדיר וליישם בקרות כדי להבטיח מעקב אחר מידע.
• יש להגדיר גורמים רלוונטיים המעורבים בהעברת המידע ולמסור את פרטי ההתקשרות שלהם. זה עשוי לכלול בעלי מידע וקציני אבטחה.
• הקצאה של התחייבויות במקרה של הפרת נתונים מתרחשת.
• שימוש במערכת תיוג.
  

• הבטחת זמינות שירות ההעברה.
• יצירת הנחיות ספציפיות לנושא על שיטות העברת המידע.
• הנחיות לאחסון ומחיקה של כל הרישומים העסקיים, לרבות הודעות.
  

• ניתוח של ההשפעה שעשויה להיות לכל חוקים, תקנות או חובות אחרים החלים על ההעברה.

הנחיות משלימות בנושא העברה אלקטרונית

לאחר פירוט דרישות התוכן המינימליות לכללים, נהלים והסכמים הנפוצים בכל שלושת סוגי ההעברה, Control 5.14 מפרט דרישות תוכן ספציפיות עבור כל סוג העברה.

כללים, הסכמים ונהלים צריכים לטפל בבעיות הבאות כאשר מידע מועבר באופן אלקטרוני:

• איתור ומניעה של התקפות תוכנות זדוניות.
• הגנה על מידע רגיש הכלול בקבצים המצורפים שהועברו.
• להבטיח שכל התקשורת נשלחת לנמענים הנכונים ול- סיכון של שליחת תקשורת לכתובות דוא"ל שגויות, כתובות או מספרי טלפון יבוטלו.
• קבלת אישור מוקדם לפני תחילת השימוש בשירותי תקשורת ציבוריים כלשהם.
  

• הטמעת שיטות אימות מחמירות יותר כאשר נתונים מועברים דרך רשתות ציבוריות.
• הטלת הגבלות על השימוש בשירותי תקשורת אלקטרונית כמו איסור העברה אוטומטית.
• ייעץ לצוות על אי שימוש בשירותי הודעות קצרות או הודעות מיידיות כדי לשתף נתונים רגישים מכיוון שתוכן זה עשוי להיראות על ידי אנשים לא מורשים במרחבים ציבוריים.
• ייעוץ לצוות ולגורמים רלוונטיים אחרים בנושא סיכוני אבטחה מוצגים על ידי מכשירי פקס כגון הסיכון של גישה לא מורשית או ניתוב מחדש של הודעות למספרים ספציפיים.

הנחיות משלימות בנושא העברת אמצעי אחסון פיזיים

כאשר מידע משותף באמצעים פיזיים כגון ניירות, הכללים, הנהלים וההסכמים צריכים לכסות את הדברים הבאים:

• חלוקת אחריות להודעה על שידור, שיגור וקבלה.
• הקפדה על כתובת ושינוע נכונים של ההודעה.
• האריזה מבטלת את הסיכון לנזק לתכולה שעלול להיווצר בעת הובלת התכולה. לדוגמה, האריזה צריכה להיות מספיק טובה כדי לא להיות מושפעת מחום או לחות.
• רשימת שליחים אמינים המוסכמים ומורשים על ידי ההנהלה.
• תיאור תקני זיהוי שליחים.
• שימוש בפקדים עמידים בפני חבלה כמו שקיות אם רמת הרגישות והקריטיות של המידע דורשות זאת.
• נהלים לאימות תעודות זהות של שליחים.
• רשימה מאושרת של צדדים שלישיים המספקים שירותי הובלה או שליחויות בהתאם לרמת הסיווג.
• שמירת רישומי יומן של זמן המסירה, רשימת הנמענים המורשים, ההגנות שהוחלו וקבלה ביעד.

הדרכה משלימה בנושא העברה מילולית

בקרה 5.14 קובעת כי כאשר עובדים מחליפים מידע בתוך הארגון או כאשר הם מעבירים נתונים לגורמים חיצוניים, יש ליידע אותם על הסיכונים הבאים:

• עליהם להימנע משיחות סודיות בערוצים ציבוריים לא מאובטחים או במרחבים ציבוריים.
• אסור להם להשאיר הודעות קוליות המכילות מידע סודי בהתחשב בסיכון של השמעה חוזרת על ידי אנשים לא מורשים והסיכון של ניתוב מחדש של ההודעה אל צד שלישי.
• כל אדם, בין אם עובד ובין אם צדדים שלישיים רלוונטיים אחרים, צריך לעבור בדיקה לפני שיאפשר לו להאזין לשיחות.
• חדרים, שבהם מתקיימות שיחות סודיות, צריכים להיות מצוידים בבקרות מתאימות כגון בידוד קול.
• הם צריכים לתת כתב ויתור לפני שהם מנהלים שיחה רגישה.

שינויים והבדלים מ-ISO 27002:2013

27002:2022/5.14 מחליף את 27002:2013/(13.2.1, 13.2.2. 13.2.3).

בעוד ששני הפקדים דומים במידה מסוימת, שני הבדלים עיקריים הופכים את הדרישות של גרסת 2022 לכבדות יותר.

דרישות ספציפיות להעברות חשמליות, פיזיות ומילוליות

בגרסת 2013 סעיף 13.2.3 התייחס לדרישות הספציפיות להעברת מידע באמצעות הודעות אלקטרוניות.

עם זאת, היא לא התייחסה בנפרד להעברת מידע באופן מילולי או פיזי.

לעומת זאת, גרסת 2022 מזהה בבירור שלושה סוגים של העברת מידע ולאחר מכן קובעת את דרישות התוכן עבור כל אחד מהם בנפרד.

גרסת 2022 מגדירה דרישות מחמירות להעברה אלקטרונית

בעוד שסעיף 13.2.3 הכיל דרישות ספציפיות לתוכן הסכמים להעברת הודעות אלקטרוניות, גרסת 2022 מטילה חובות מחמירות יותר על ארגונים.

גרסת 2022 מחייבת ארגונים לתאר וליישם בקרות חדשות בכללים, נהלים והסכמים להעברות אלקטרוניות.

לדוגמה, ארגונים צריכים לייעץ לעובדיהם לא להשתמש בשירותי SMS כאשר הם כוללים מידע רגיש.

דרישות מפורטות יותר להעברות פיזיות

גרסת 2022 מציבה דרישות מחמירות יותר לגבי העברת מדיית האחסון הפיזית. למשל, הדרישות שלו מקיפות יותר לגבי אימות שליחים וסוגי הנזקים שיש למנוע.

שינויים מבניים

בגרסת 2013 הייתה התייחסות מפורשת לדרישות ספציפיות להסכמים להעברת מידע. עם זאת, ה'כללים' וה'נהלים' לא טופלו באופן ספציפי.

לעומת זאת, גרסת 2022 קובעת את הדרישות הספציפיות לכל אחד משלושת המנגנונים הללו.

כיצד ISMS.online עוזר

ISO 27002 היישום פשוט יותר עם רשימת הבדיקה המפורטת שלנו שמנחה אותך לאורך כל התהליך, מהגדרת היקף ה-ISMS שלך ועד לזיהוי סיכונים ויישום בקרה.

צור קשר עוד היום כדי הזמן הדגמה.