ISO 27002:2022 בקרה 5.33 - שיטות עבודה מומלצות להגנה על רשומות
רשומות הן מושג מעורפל שארגונים מסוימים מתקשים לסווג ולנהל, למטרות ציות.
רשומות, במסגרת ה-ICT, הן כינוי נוסף לנתונים ולמידע שארגון שומר ו/או משתמש בו כדי לבצע את הפעילות העסקית היומיומית שלו, לרבות (אך לא רק):
- אירועים בודדים
- עסקות
- תהליכי עבודה
- פעילויות
- פונקציות
ISO מגדיר רשומות בהיקף הסטנדרטים שלהם כ"כל סט של מידע, ללא קשר למבנה או צורתו", לרבות "מסמך, אוסף נתונים או סוגים אחרים של מידע שנוצרים, נלכדים ומנוהלים במהלך העסקים ", כולל מטא נתונים של רשומה.
מטרת הבקרה 5.33
על כל ארגון מוטלת החובה להבטיח שהנתונים שהוא מחזיק - לרבות אך לא רק אנשים כלשהם, כספיים מידע או אזורי פעולה - נשמר בטוח ומאובטח, והנהלים הפנימיים נשארים תואמים לכל הדרישות הרווחות.
בקרה 5.33 עוסקת בהגנה על רישומים עסקיים מפני 5 אירועים מרכזיים:
- פסד
- הֶרֶס
- זִיוּף
- גישה לא מורשית
- שחרור או פרסום לא מורשה
טבלת תכונות
שליטה 5.33 היא א בקרה מונעת זֶה שומר על סיכון על ידי יצירת קווים מנחים ונהלים - לרבות לוחות זמנים לשמירה - הממלאים את הדרישות החוקיות, הסטטוטוריות, הרגולטוריות והחוזיות של ארגון בנוגע ל . ו זמינות של כל רישומים שהוא מחזיק.
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לזהות | #חוק ותאימות | #הֲגָנָה |
| #יושרה | #לְהַגֵן | #ניהול נכסים | ||
| #זמינות | #הגנת מידע |
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
הנחיות כלליות בנושא בקרה 5.33
בקרה 5.33 מאשרת כי א צרכי הארגון זורמים בכל הנוגע לכמות וסוג הרשומות הנדרשות לעשיית עסקים מהיום למחר.
ככזה, Control 5.33 מקטלגת את ניהול הרשומות ל-4 תכונות עיקריות:
- אותנטיות
- אמינות
- שלמות
- שימושיות
במסגרת תכונות אלה, Control 5.33 מבקשת מארגונים:
- נסחו ופרסמו הנחיות העוסקות בארבע פונקציות עיקריות, לצד מדיניות ספציפית לנושא המתייחסת לאופי הבסיסי של הרשומות המדוברות:
a) אחסון תקליטים
b) טיפול ברשומות שרשרת משמורת
c) סילוק שיא
d) מניעת מניפולציה - שמור על לוח זמנים פונקציונלי של שמירת רשומות המתאר בבירור את משך הזמן שבו יש לשמור רשומות מסוגים שונים, בהתייחס לתפקוד העסקי האישי שלהם.
- צור נהלי אחסון וטיפול הלוקחים בחשבון:
a) כל החוקים הרווחים העוסקים בשמירת רישומים מסחריים
b) ציפיות "קהילתיות וחברתיות" לגבי האופן שבו ארגון צריך לטפל ברשומות שלו - יישום נהלים המשמידים רשומות בצורה בטוחה והולמת ברגע שאין בהם צורך (לאחר עזיבת תקופת השמירה).
- סיווג רשומות להגנה (כולל תקופות שמירה מתאימות ואמצעי אחסון בשימוש) על סמך הסיכון הביטחוני שלהם, וסוגים שונים, כולל (אך לא רק):
a) רישומים חשבונאיים
b) עסקאות עסקיות
c) רישומי כוח אדם
d) רישומים משפטיים - ודא שכל נהלי האחסון מספקים מסגרת זמן מקובלת לאחזור, אם הארגון יתבקש לייצר אותם על ידי צד שלישי, או לשימוש פנימי.
- כאשר נעשה שימוש במדיה אלקטרונית לאחסון רשומות, יש לשקול ולצמצם את האפשרות של גישה לרשומות או שליפה שלהן מונעות על ידי תיקונים טכנולוגיים, לרבות שמירת מידע קריפטוגרפי (ראה בקרה 8.24).
- היצמד להנחיות היצרן בעת אחסון או טיפול ברשומות במדיה אלקטרונית או באמצעותה, כולל התחשבות נאותה בהידרדרות הטבעית של המדיה האמורה.
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
שינויים והבדלים מ-ISO 27002:2013
27002:2022-5.33 מחליף את 27002:2013-18.1.3 (הגנה על רישומים), בתוספות שונות בדמות נקודות הדרכה פרטניות ותהליכים כלליים שיש להקפיד עליהם.
בבקרת 2022, ISO מכירים בחשיבות של הגדרת מהי הרשומה העסקית. 27002:2022-5.33 מכיל דוגמאות רבות למה ש-ISO מחשיב כרשומה (ראה לעיל), אשר נעדרות מ-27002:2013-18.1.3.
בקרה 5.33 גם ממקדת את תשומת הלב של ארגון בשתי נקודות הנחיה עיקריות שאינן נכללות במקבילו משנת 2013 (הנחיות 1 ו-2 לעיל), אשר בתורן מהוות את הבסיס למדיניות הרשומה של הארגון - בפרט, לוח זמנים לשמירה המכתיב כיצד יש לשמור רשומות ארוכות עבור כל דרישות ספציפיות למדיה.
Metadata גם הופיע לראשונה בניהול רשומות. 27002:2013-18.1.3 אינו מכיל אזכור לכך, ואילו 27002:2022-5.33 רואה בו "מרכיב חיוני".
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
שימוש ב-ISMS.online אתה יכול:
- ליישם במהירות א מערכת ניהול אבטחת מידע (ISMS).
- בקלות לנהל את התיעוד של ה-ISMS שלך.
- ייעול עמידה בכל התקנים הרלוונטיים.
- נהל את כל ההיבטים של אבטחת מידע, מניהול סיכונים ועד אימון למודעות אבטחה.
- תקשר ביעילות בכל הארגון שלך באמצעות פונקציונליות התקשורת המובנית שלנו.
צור קשר עוד היום כדי הזמן הדגמה.
