ISO 27002:2022, בקרה 7.10 – מדיה לאחסון

איזה אמצעי אחסון מכסה 7.10?

Control 7.10 חל הן על מדיית אחסון דיגיטלית והן על מדיה פיזית. לדוגמה אחסון מידע על קבצים פיזיים מכוסה גם על ידי בקרה 7.10.

יתר על כן, לצד מדיית האחסון הנשלפת, מדיית אחסון קבועה כגון דיסקים קשיחים כפופה גם ל-Control 7.10.

בעלות על שליטה 7.10

בקרה 7.10 מחייבת ארגונים ליצור וליישם נהלים מתאימים, בקרות טכניות ומדיניות כלל ארגונית על השימוש באמצעי אחסון בהתבסס על תכנית הסיווג של הארגון עצמו ודרישות הטיפול בנתונים שלו, כגון התחייבויות משפטיות וחוזיות.

בהתחשב בכך, מנהלי אבטחת מידע צריכים להיות אחראים לכל תהליך הציות.

הנחיות כלליות בנושא ציות

מדיית אחסון נשלפת

בעוד שאמצעי אחסון נשלפים חיוניים לפעולות עסקיות רבות והם נמצאים בשימוש נפוץ על ידי רוב אנשי הצוות, הם מציגים את מידת הסיכון הגבוהה ביותר למידע הרגיש.

בקרה 7.10 מפרטת עשר דרישות שארגונים צריכים לעמוד בהן לניהול אמצעי אחסון נשלפים לאורך מחזור החיים שלו:

1. ארגונים צריכים לקבוע מדיניות ספציפית לנושא לגבי רכישה, הרשאה, שימוש וסילוק של אמצעי אחסון נשלפים. יש להעביר מדיניות זו לכל הצוות ולכל הגורמים הרלוונטיים.
2. אם זה מעשי והכרחי, ארגונים צריכים להפעיל נהלי הרשאה כיצד ניתן להוציא מדיית אחסון נשלפת משטחי החברה. יתר על כן, ארגונים צריכים לשמור רישומי יומן של הסרת מדיית אחסון למטרות עקבות ביקורת.
3. יש לאחסן את כל אמצעי האחסון הנשלפים באזור מאובטח כגון כספת, תוך התחשבות ברמת סיווג המידע המוקצית למידע ובאיומים הסביבתיים והפיזיים על אמצעי האחסון.
4. אם יש חשיבות קריטית לסודיות ושלמות המידע הכלול באמצעי אחסון נשלפים, יש להשתמש בטכניקות הצפנה כדי להגן על אמצעי האחסון מפני גישה בלתי מורשית.
5. כנגד הסיכון של השפלה של אמצעי אחסון נשלפים ואובדן מידע המאוחסן במדיה, יש להעביר את המידע להתקן מדיית אחסון חדש לפני שסיכון כזה מתרחש.
6. יש להעתיק מידע קריטי ורגיש ולאחסן אותו במדי אחסון מרובים כדי למזער את הסיכון לאובדן מידע קריטי.
7. כדי להפחית את הסיכון לאובדן מוחלט של מידע, רישום של התקני מדיה אחסון נשלפים יכול להיות אפשרות לשקול.
8. אלא אם כן יש סיבה הקשורה לעסק להשתמש ביציאות מדיה אחסון נשלפות כגון יציאות USB או חריצי כרטיסי SD, אין לאפשר אותן.
9. צריך להיות מנגנון ניטור להעברת מידע להתקני מדיה אחסון נשלפים.
10. כאשר מידע הכלול באמצעים פיזיים כגון ניירות מועבר באמצעות שליח או דואר, קיים סיכון גבוה לגישה לא מורשית למידע זה. לכן, יש לנקוט באמצעים מתאימים.

הנחיות לגבי שימוש חוזר וסילוק מאובטח של אמצעי אחסון

Control 7.10 מספק הנחיות נפרדות לגבי שימוש חוזר וסילוק מאובטח של אמצעי אחסון, כך שארגונים יכולים לצמצם ולבטל סיכונים לפגיעה בסודיות המידע.

בקרה 7.10 מדגישה שארגונים צריכים להגדיר וליישם נהלים לשימוש חוזר ולסילוק של אמצעי אחסון, תוך התחשבות ברמת הרגישות של המידע הכלול באמצעי האחסון.

בקביעת נהלים אלה, ארגונים צריכים לשקול את הדברים הבאים:

1. אם מדיית אחסון תעשה שימוש חוזר על ידי גורם פנימי בארגון, יש למחוק את המידע הרגיש המתארח באותה מדיית אחסון באופן בלתי הפיך או לעצב מחדש לפני שהוא יאושר לשימוש חוזר.
2. יש להשמיד אמצעי אחסון המארחים מידע רגיש בצורה מאובטחת כאשר אין בו עוד צורך. לדוגמה, ניתן לגרוס מסמכי נייר ולהרוס ציוד דיגיטלי פיזית.
3. צריך להיות נוהל לזיהוי של פריטי אמצעי אחסון שצריך להיפטר מהם.
4. כאשר ארגונים בוחרים לעבוד עם גורם חיצוני לטיפול באיסוף וסילוק אמצעי אחסון, עליהם לנהוג בשל חריצות כדי להבטיח שהספק הנבחר כשיר והוא מיישם בקרות מתאימות.
5. שמירה על רישום של כל הפריטים שנפטרו עבור שביל ביקורת.
6. כאשר יש להשליך אמצעי אחסון מרובים יחד, יש לקחת בחשבון את אפקט הצבירה: שילוב של חלקי מידע שונים מכל מדיית אחסון עשוי להפוך מידע לא רגיש למידע רגיש.

אחרון חביב, Control 7.10 דורש מארגונים לבצע א הערכת סיכונים על ציוד פגום המאחסן מידע סודי להחליט אם יש להרוס את הציוד במקום לתקן.

שינויים והבדלים מ-ISO 27002:2013

27002:2022/7.10 מחליף את 27002:2013/(08.3.1, 08.3.2, 08.3.3, 11.2.5)

ישנם ארבעה הבדלים עיקריים שצריך להדגיש:

• שינויים מבניים

ואילו גרסת 2013 הכילה שלושה נפרדים בקרות על הניהול של מדיה, סילוק מדיה והעברת מדיה פיזית, גרסת 2022 משלבת את שלושת הפקדים הללו תחת בקרה 7.10.

• גרסת 2022 כוללת דרישות לשימוש חוזר באמצעי אחסון

בניגוד לגרסת 2013 שעסקה רק בסילוק מאובטח של אמצעי אחסון, גרסת 2022 עוסקת גם בשימוש חוזר מאובטח באמצעי אחסון.

• גרסת 2013 מכילה דרישות מקיפות יותר להעברה פיזית של אמצעי אחסון

גרסת 2013 כללה דרישות מקיפות יותר להעברה פיזית של אמצעי אחסון. לדוגמה, גרסת 2013 כללה כללים לגבי אימות תעודת זהות עבור שליחים ותקני אריזה.

בקרה 7.10 בגרסת 2022, לעומת זאת, קבעה רק שארגונים צריכים לפעול בשקידה בבחירת נותני שירות כמו שליחים.

• גרסת 2022 דורשת מדיניות ספציפית לנושא על מדיית אחסון נשלפת

בעוד שגרסאות 2022 ו-2013 דומות במידה רבה מבחינת הדרישות עבור מדיית אחסון נשלפת, גרסת 2022 מציגה את הדרישה של קביעת מדיניות ספציפית לנושא על מדיית אחסון נשלפת. גרסת 2013, לעומת זאת, לא כיסתה את הדרישה הזו.

כיצד ISMS.online עוזר

השמיים פלטפורמת ISMS.online משתמש בגישה מבוססת סיכונים בשילוב עם שיטות עבודה ותבניות מומלצות מהמובילות בתעשייה כדי לעזור לך לזהות את הסיכונים העומדים בפני הארגון שלך ואת הבקרות הנדרשות לניהול סיכונים אלו. זה מאפשר לך להפחית באופן שיטתי הן את חשיפת הסיכון והן את עלויות הציות שלך.

צור קשר עוד היום כדי הזמן הדגמה.