ISO 27701 – סעיף 6.5.2 – סיווג מידע

ISO 27701 סעיף 6.5.2: המפתח לסיווג מידע יעיל

עולם המסחר הגלובלי מלא בכל מיני סוגי מידע - החל ממערכי נתונים ארציים וזמינים לציבור, ועד לרשומות PII רגישות ביותר המכילות מידע פיננסי ועותקים של תעודות זהות ממשלתיות.

ארגונים צריכים להיות בעלי הבנה מוצקה של הקטגוריות השונות של נתונים שהם מאחסנים, מעבדים ומעבירים, ולהתאים את פעולתם כך שיתאים למידע על סמך מטרתו וסוג הסיכון שלו.

ברגע שהארגון מסוגל להבחין בין סוגי נתונים שונים - במיוחד במקרה של PII - הם אמורים להיות מסוגלים לתייג מידע כזה בצורה ברורה באופן שמבדיל קטגוריות שונות זו מזו, ולהתחשב ברמות סיכון משתנות באופן הפרטיות -נכסים הקשורים הם תהליכים ומטופלים בכל הארגון.

מה מכוסה בסעיף 27701 של ISO 6.5.2

ISO 27701 סעיף 6.5.2 מכיל שלושה תתי סעיפים המכילים את כל מה שארגון צריך לדעת כיצד לסווג, לתייג ולטפל ב-PII.

כל שלושת סעיפי המשנה מכילים מידע שנאסף מ-ISO 27002, אך עם התמקדות ספציפית ב-PII והגנה על פרטיות:

• ISO 27701 6.5.2.1 - סיווג מידע (הפניות ISO 27002 בקרה 5.12)
• ISO 27701 6.5.2.2 - תיוג מידע (הפניות ISO 27002 בקרה 5.13)
• ISO 27701 6.5.2.3 - טיפול בנכסים (References ISO 27002 Control 5.10)

סעיפי משנה 6.5.2.1 ו-6.5.2.2 מכילים שניהם הנחיות הרלוונטיות לחקיקת GDPR בבריטניה, והמאמרים הרלוונטיים פורטו לנוחיותך.

שים לב שהציטוטים של GDPR הם למטרות אינדיקטיביות בלבד. ארגונים צריכים לבחון את החקיקה ולעשות שיקול דעת בעצמם על אילו חלקים בחוק חלים עליהם.

ISO 27701 סעיף 6.5.2.1 – סיווג מידע

הפניות ISO 27002 בקרה 5.12

במקום להעמיד את כל המידע על בסיס שווה, על הארגון לסווג מידע על בסיס נושא ספציפי.

בעלי מידע צריכים לשקול ארבעה גורמים מרכזיים, בעת סיווג נתונים (במיוחד לגבי PII), אשר יש לבחון מעת לעת, או כאשר גורמים כאלה משתנים:

1. השמיים סודיות של הנתונים.
2. השמיים שלמות של הנתונים.
3. נתונים זמינות רמות.
4. של הארגון התחייבויות משפטיות לכיוון PII.

כדי לספק מסגרת תפעולית ברורה, יש למנות קטגוריות מידע בהתאם לרמת הסיכון המובנית, אם יתרחשו תקריות הפוגעות באחד מהגורמים לעיל.

כדי להבטיח תאימות בין פלטפורמות, ארגונים צריכים להעמיד את קטגוריות המידע שלהם לזמינות לכל צוות חיצוני שאיתו הם חולקים מידע, ולהבטיח שסכימת הסיווג של הארגון עצמו מובנת באופן נרחב על ידי כל הצדדים הרלוונטיים.

ארגונים צריכים להיזהר מסיווג חסר או להיפך, סיווג יתר של נתונים. הראשון יכול להוביל לטעויות בקיבוץ PII עם סוגי נתונים פחות רגישים, בעוד שהראשון מוביל לעתים קרובות להוצאות נוספות, סיכוי גדול יותר לטעות אנוש וחריגות בעיבוד.

מאמרי GDPR ישימים

• סעיף 5 – (1)(ו), (32)(2)

ISO 27701 סעיף 6.5.2.2 – תיוג מידע

הפניות ISO 27002 בקרה 5.13

תוויות הן חלק מרכזי בהבטחת מדיניות סיווג ה-PII של הארגון (ראה לעיל), ושניתן לזהות את הנתונים בבירור בהתאם לרגישותם (למשל, PII מסומן כמובדל מסוגי נתונים פחות חסויים).

נהלי תיוג PII צריכים להגדיר:

• כל תרחיש שבו לא נדרש תיוג (נתונים זמינים לציבור).
• הוראות כיצד הצוות צריך לסמן את שניהם דיגיטלי ו גופני נכסים ומקומות אחסון.
• תוכניות מגירה לכל תרחיש שבו תיוג אינו אפשרי פיזית.

ISO מספק שפע של מרחב לארגונים לבחור את טכניקות התיוג שלהם, כולל:

1. גוּפָנִי תִיוּג.
2. אֶלֶקטרוֹנִי תוויות בכותרות עליונות ותחתונות.
3. הוספה או תיקון של מטה, כולל מונחים הניתנים לחיפוש ופונקציונליות אינטראקטיבית עם פלטפורמות ניהול מידע אחרות (למשל PIMS של הארגון).
4. watermarking המספק אינדיקציה ברורה של סיווג הנתונים על בסיס מסמך אחר מסמך.
5. בול סימנים על עותקים פיזיים של מידע.

מאמרי GDPR ישימים

• סעיף 5 – (1)(ו)

ISO 27701 סעיף 6.5.2.3 – טיפול בנכסים

הפניות ISO 27002 בקרה 5.10

על הארגון לפתח בנק של מדיניות שימוש מקובלת ספציפית לנושא, המכסה את הטיפול בנכסים ומידע הקשורים ל-PII.

כל קבוצה או אדם - פנימי או חיצוני - שיש לו את היכולת לטפל ב-PII בשם הארגון, או כחלק מהסכם שיתוף מידע, צריך להבין את האחריות שלהם ומה מצופה מהם.

מדיניות ספציפית לנושא צריכה להגדיר בבירור:

1. התנהגות מקובלת ובלתי מקובלת, בהקשר של הגנת הפרטיות.
2. כיצד והיכן מותר להשתמש ב-PII.
3. הפרטים של פעולת ניטור ה-PII של הארגון.

יש ליישם תהליכים ונהלים הלוקחים בחשבון:

• דרישות RBAC (או כל צורה של בקרת גישה דיגיטלית ו/או פיזית) המגנות על גישה ל-PII.
• רישום יסודי של מי רשאי לגשת לנכסים ולמידע הקשורים לפרטיות.
• כיצד להגן על עותקים זמניים וקבועים של מידע הקשור לפרטיות.
• הנחיות יצרנים, בעת אחסון נכסים הקשורים לפרטיות (ראה ISO 27002 7.8).
• כיצד מסומנים מדיית אחסון לתשומת לב הנמען (ראה ISO 27002 7.10).
• כיצד יש למחוק PII ונכסים הקשורים לפרטיות או להרוס לצמיתות (ראה ISO 27002 8.10).

בקרות ISO 27002 רלוונטיות

• ISO 27002 7.8
• ISO 27002 7.10
• ISO 27002 8.10

בקרות תומכות מ-ISO 27002 ו-GDPR

כיצד ISMS.online עוזר

לפלטפורמת ISMS.online יש הדרכה מובנית בכל שלב, בנוסף לגישת ההטמעה 'אמץ, הסתגל, הוסף' שלנו, כדי לעזור לך להשיג את ISO 27701 בפחות מאמץ.

בנוסף, תוכל ליהנות ממגוון תכונות לחיסכון בזמן.

למידע נוסף על ידי הזמנת הדגמה.