ISO 27002:2022 – בקרה 6.6 – הסכמי סודיות או סודיות

מהי Control 6.6?

בקרה 6.6 ב-ISO 27002:2022 מכסה את הצורך של ארגונים למנוע דליפת מידע סודי על ידי קביעת הסכמי סודיות עם בעלי עניין ואנשי צוות.

ארגונים צריכים לקבוע את תנאי ההסכמים שלהם עם צדדים אחרים בהתבסס על דרישות אבטחת המידע של הארגון, תוך התחשבות בסוג המידע בו יש לטפל, רמת הסיווג שלו, השימוש המיועד שלו והגישה המותרת לצד השני.

הסכמי סודיות או סודיות מוסברים

הסכם סודיות או סודיות (NDA) הוא מסמך משפטי המונע שחרור של סודות מסחריים ומידע סודי אחר.

סוֹדִי המידע עשוי לכלול את התוכנית העסקית של החברה, נתונים פיננסיים, רשימות לקוחות ומידע קנייני אחר. ניתן להשתמש בהסכמים אלו במגוון רחב של מצבים, כולל:

• תעסוקה – הסכם סודיות עשוי להיות חלק מחוזה העבודה לעובד חדש. ההסכם מבטיח שהעובד לא יחשוף כל מידע סודי על החברה, מוצריה או שירותיה, העובדים או הספקים שלה. הסכמי סודיות משמשים גם עסקים כדי למנוע מעובדיהם לחשוף מידע רגיש לאחר עזיבת מקום עבודתם.
• עסקאות עסקיות – הסכמי סודיות נכללים לרוב בעסקאות עסקיות, כגון רכישת חברה, מיזוג עם חברה אחרת או מכירת עסק. מטרת הסכמים אלו היא למנוע משני הצדדים לחשוף כל מידע סודי שהושג במהלך העסקה.
• שותפויות - הסכמי סודיות משמשים לעתים קרובות בעסקאות עסקיות כאשר צד אחד רוצה להגן על היחסים הקיימים שלו עם לקוחות או ספקים מפני חשיפה לשותף חדש. לדוגמה, אם חברה מחפשת מימון ממשקיעי הון סיכון, היא עשויה לבקש מאותם משקיעים לחתום על NDAs כדי להגן על מידע קנייני על המוצרים או השירותים של החברה.

לעתים קרובות שותפויות כוללות סעיפי סודיות כחלק מהסכם השותפות שלהם, כך שכל שותף מסכים לא לחשוף מידע סודי שהושג במהלך השותפות שלהם.

מטרת הסכמי סודיות

הסכמי סודיות נערכים על ידי אנשים ועסקים כאחד. יש להם מטרות רבות, כגון:

• הגנה על סודות מסחריים ומידע קנייני מפני מתחרים שעלולים אחרת להשתמש בו נגדם;
• מניעת שיתוף של מידע רגיש של עובד עם חברה אחרת; ו
• הגנה על זכויות קניין רוחני (IP) כמו פטנטים וזכויות יוצרים.

טבלת בקרה של תכונות 6.6

בקרות מסווגות באמצעות תכונות. באמצעות אלה, אתה יכול להתאים במהירות את בחירת הבקרה שלך למונחים ומפרטים בתעשייה הנפוצים.

תכונות לבקרה 6.6 הן:

מהי מטרת בקרה 6.6?

יש ליישם בקרה 6.6 על מנת להבטיח את אבטחת המידע כאשר עובדים, שותפים וספקים עובדים עם ארגון.

בקרה זו נועדה להגן על המידע של הארגון וליידע את החותמים על אחריותם לטפל ולהגן על מידע בצורה אחראית ומורשית. הוא משמש גם ככלי להגנה על זכויות קניין רוחני, כגון פטנטים, סימני מסחר, סודות מסחריים וזכויות יוצרים.

למעסיקים חשוב שיהיה הסכם סודיות לפני גילוי מידע סודי כלשהו לעובד או לקבלן. ההסכם יקבע באיזו מידה על האדם לשמור על המידע שאליו הוא נחשף וכמה זמן תימשך תקופת החיסיון לאחר סיום העסקתו.

בקרה 6.6 הסבר

בקרה 6.6 מטרתה להגן על הקניין הרוחני והאינטרסים העסקיים של הארגון שלך על ידי מניעת חשיפת מידע רגיש לצדדים שלישיים. היא מתייחסת לחוזה משפטי או הסדר בין הארגון שלך לבין עובדיו, שותפיו, קבלנים, ספקים וצדדים שלישיים אחרים. המסדיר את השימוש במידע סודי.

מידע סודי הוא כל מידע שלא הועמד לרשות הציבור או לחברות אחרות בענף דומה. דוגמאות כוללות סודות מסחריים, רשימות לקוחות, נוסחאות ותוכניות עסקיות.

יש ליישם את הבקרה בעת הערכה האם א לצד שלישי תהיה גישה לנתונים אישיים רגישים, והאם יש לנקוט בצעדים כדי להבטיח שהם לא ישמרו וימשיכו לגשת לנתונים האישיים הרגישים של הארגון לאחר עזיבתם.

כאשר ארגון קובע שצד שלישי יוצא ממערכת היחסים העסקית, וקיים סיכון שייתכנו נתונים ארגוניים או חברה רגישים כתוצאה מכך, על הארגון לנקוט בצעדים סבירים לפני עזיבת אותו צד שלישי, או בהקדם האפשרי. לאחר שהם עזבו, כדי למנוע חשיפה כזו.

מה כרוך ואיך לעמוד בדרישות

שליטה 6.6 פירושה שהצדדים להסכם אינם חושפים מידע סודי המכוסה בהסכם. ניתן לגלות את המידע רק בהסכמה בכתב מהארגון או בהתאם לצו בית משפט. זה חשוב כדי להגן על מידע רגיש על שיטות עבודה עסקיות, קניין רוחני ומחקר ופיתוח.

כדי לעמוד בדרישות בקרה 6.6, הסכם/חוזה "סודיות" ו"אי גילוי" צריך להיות מנוסח בקפידה כך שיכסה את כל הסודות המסחריים והיבטי הנתונים/מידע הרגישים של עסקאות ועסקאות הארגון. חשוב ששני הצדדים יבינו את התחייבויותיהם על פי החוזה והחובות במהלך ואחרי סיום הקשר העסקי.

סעיף סודיות עשוי להיכלל גם בחוזים אחרים הנמשכים מעבר לסיום העסקתו של העובד או התקשרות עם צדדים שלישיים.

זה הכרחי שהאדם שעוזב קשר עסקי או מחליף מקום עבודה יעבור את האחריות והתפקידים האבטחה שלו לאדם חדש, וכל אישורי הגישה יימחקו ויצרו אחד חדש.

יש לקחת בחשבון את המרכיבים הבאים בעת זיהוי הסכמי סודיות ואי גילוי:

1. תיאור של המידע שיש להגן עליו (למשל, נתונים סודיים);
2. משך ההסכם, לרבות מצבים בהם יש לשמור על סודיות ללא הגבלת זמן או עד לפרסום המידע;
3. הפעולות הנדרשות במקרה של סיום הסכם;
4. אחריות ופעולות שעל החותמים לנקוט כדי למנוע חשיפה בלתי מורשית של מידע;
5. כיצד בעלות על מידע, סודות מסחריים וקניין רוחני משפיעה על הסודיות;
6. השימוש המותר במידע סודי, יחד עם זכויות החותם להשתמש בו;
7. הזכות לפקח או פעילויות ביקורת הכוללות מידע רגיש ביותר;
8. הליך ההודעה והדיווח על גילויים לא מורשים או הדלפות של מידע סודי;
9. התנאים להחזרה או השמדת מידע עם סיום ההסכם;
10. הפעולות שיש לנקוט אם ההסכם לא יקוים.

על הארגון להבטיח שהסכמי סודיות ואי גילוי עומדים בחוקי תחום השיפוט שבו הם חלים.

סקירה של הסכמי סודיות ואי גילוי צריכה להתרחש מעת לעת ובכל פעם ששינויים משפיעים על הדרישות שלהם.

מידע נוסף על איך זה עובד זמין במסמך התקן ISO 27002:2022.

שינויים והבדלים מ-ISO 27002:2013

שליטה ב-6.6 ב-ISO 27002:2022 החדש אינו פקד חדש, אלא גרסה שונה של פקד 13.2.4 ב-ISO 27002:2013.

בעוד ששני הפקדים האלה מכילים תכונות דומות, הם שונים במקצת. לדוגמה, בעוד שההנחיות ליישום בשתי הגרסאות דומות, הן אינן זהות.

1 חלק מהנחיות היישום ב-control 13.2.4 ב-ISO 27002:2013 קובע כי:

"הסכמי סודיות או אי חשיפה צריכים להתייחס לדרישה להגן על מידע סודי תוך שימוש בתנאים הניתנים לאכיפה משפטית. הסכמי סודיות או סודיות חלים על גורמים חיצוניים או עובדי הארגון. יש לבחור או להוסיף אלמנטים בהתחשב בסוג הצד השני והגישה המותרת שלו או הטיפול במידע סודי".

אותו סעיף בבקרה 6.6 של ISO 27002:2022 קובע כי:

"הסכמי סודיות או אי חשיפה צריכים להתייחס לדרישה להגן על מידע סודי תוך שימוש בתנאים הניתנים לאכיפה משפטית. הסכמי סודיות או סודיות חלים על בעלי עניין ואנשי הארגון.

בהתבסס על דרישות אבטחת המידע של ארגון, יש לקבוע את התנאים בהסכמים תוך התחשבות בסוג המידע שיטופל, רמת הסיווג שלו, השימוש בו והגישה המותרת של הצד השני".

לשני הפקדים, למרות שהם שונים במשמעות הסמנטית, יש מבנה ותפקוד דומים בהקשרים שלהם. עם זאת, בקרה 6.6 משתמשת בשפה פשוטה יותר וידידותית יותר כך שהתוכן וההקשר קלים יותר להבנה. המשמעות היא שמי שישתמש בתקן יכול להתייחס לתוכן שלו ביתר קלות.

בנוסף, גרסת 2022 של ISO 27002 כוללת טבלאות של הצהרות מטרות ותכונות עבור כל פקד, המסייעות למשתמשים להבין וליישם את הפקדים בצורה יעילה יותר. שני חלקים אלה אינם זמינים במהדורת 2013.

מי אחראי על התהליך הזה?

על פי בקרה 6.6 של תקן ISO 27002, מחלקת משאבי אנוש מנהלת בדרך כלל את הניסוח והיישום של הסכם הסודיות או הסודיות ברוב הארגונים, הכרוך בשיתוף פעולה עם המנהל המפקח או המחלקה של הצד השלישי הנוגע בדבר.

המנהל המפקח יכול להיות קצין אבטחת מידע, מנהל מכירות או ייצור.

מחלקות וראשים אלה אחראים גם להבטיח שלכל ספקי צד שלישי המשמשים את הארגון יש אמצעי אבטחה נאותים כדי להגן על מידע סודי מפני חשיפה או שימוש בלתי מורשה.

עליהם לוודא שכל העובדים חותמים על הסכם סודיות כאשר הם מתחילים לעבוד בחברה.

ברוב המקרים (בהתאם לגודל הארגון), הסכמי סודיות או סודיות נחתמים על ידי כל העובדים שיש להם גישה למידע סודי.

זה כולל בדרך כלל כל עובד שעובד במחלקות מכירות, שיווק, שירות לקוחות או אחרות שבהן הוא עלול לבוא במגע עם מידע סודי לגבי לקוחות, לקוחות או ספקים.

במקרים מסוימים, גם אם אין הסכם כתוב בפועל בין שני צדדים, לארגונים צריכה להיות מדיניות המחייבת עובדים לחתום על הסכם סודיות לפני שתתאפשר להם גישה למידע רגיש על לקוחות או ספקים.

כמה סיכונים הקשורים בהיעדר מדיניות הסכם סודיות מספקת כוללים:

• עובדים עלולים בשוגג להדליף מידע רגיש למישהו מחוץ לחברה שלא אמורה להיות לו גישה אליו, ולגרום נזק לארגון.
• עובד עשוי לחשוף נתונים רגישים למתחרה.
• עובד ממורמר עלול לגנוב את הקניין הרוחני (IP) של החברה ולהשתמש בו לטובתו.
• עובדים עלולים להשאיר בטעות מידע רגיש על שולחן העבודה של המחשב שלהם בעבודה או על המחשב הנייד שלהם בבית, שעלול להיגנב על ידי האקר.

מה המשמעות של השינויים הללו עבורך?

תקן ISO 27002:2013 לא השתנה באופן משמעותי. התקן עודכן רק כדי להקל על השימושיות. ארגונים העומדים כעת בתקן ISO 27002:2013 אינם צריכים לנקוט בצעדים נוספים כדי לשמור על ציות עם התקן.

על מנת לעמוד בתיקונים ב-ISO 27002:2022, ייתכן שהארגון ימצא צורך לבצע כמה שינויים קלים בתהליכים ובנהלים הקיימים שלו, במיוחד אם יש צורך באישור מחדש.

למידע נוסף על האופן שבו שינויים אלה לשליטה ב-6.6 ישפיעו על הארגון שלך, עיין במדריך שלנו בנושא ISO 27002:2022.

בקרות חדשות ISO 27002

כיצד ISMS.Online עוזר

ISO 27002 הוא תקן אבטחת מידע מוכר ברבים המספק מערכת של דרישות לארגון כדי להגן על הסודיות, היושרה והזמינות של המידע שלו. התקן פותח על ידי ארגון התקינה הבינלאומי (ISO), ארגון לא ממשלתי הקובע, סוקר ומפרסם תקנים בינלאומיים.

ISMS.Online מסייעת לארגונים ועסקים לעמוד בדרישות של ISO 27002 על ידי מתן פלטפורמה המאפשרת לנהל בקלות את המדיניות והנהלים בנושא סודיות או אי-חשיפה, לעדכן אותם לפי הצורך, לבדוק אותם ולנטר את יעילותם.

אנו מספקים פלטפורמה מבוססת ענן עבור ניהול מערכות ניהול סודיות ואבטחת מידע, לרבות סעיפי אי גילוי, ניהול סיכונים, מדיניות, תוכניות ונהלים, במקום מרכזי אחד. הפלטפורמה קלה לשימוש ובעלת ממשק אינטואיטיבי המקל על לימוד השימוש.

ISMS.Online מאפשר לך:

• תיעד את התהליכים שלך. ממשק אינטואיטיבי זה מאפשר לך לתעד את התהליכים שלך מבלי להתקין תוכנה כלשהי במחשב או ברשת.
• הפוך את שלך לאוטומטי הערכת סיכונים התהליך.
• הצג תאימות בקלות עם דוחות מקוונים ורשימות ביקורת.
• שמור תיעוד של ההתקדמות תוך כדי עבודה לקראת הסמכה.

ISMS.Online מציעה א מגוון שלם של תכונות לסייע לארגונים ועסקים להשיג עמידה בתקן התעשייה ISO 27001 ו/או ISO 27002 ISMS.

אנא צור איתנו קשר עוד היום כדי קבע הדגמה.