Meteen naar de inhoud

De basisprincipes van veilige informatieoverdracht: ISO 27001 5.14

Het doel van ISO 27001:2022 bijlage A 5.14 is om de veiligheid van alle gebruikersapparaten te garanderen.

Dit betekent dat er maatregelen moeten worden genomen om de apparaten te beschermen tegen kwaadaardige software en andere bedreigingen, en om de vertrouwelijkheid, integriteit en beschikbaarheid van de gegevens die erop zijn opgeslagen te behouden.

ISO 27001:2022 bijlage A Controle 5.14 geeft organisaties de opdracht om de noodzakelijke regels, procedures of contracten te installeren om de veiligheid van gegevens te handhaven wanneer deze intern worden gedeeld of naar externe partijen worden verzonden.

Eigendom van ISO 27001:2022 Bijlage A Beheersing 5.14

De steun en acceptatie van het senior management is essentieel voor het opstellen en uitvoeren van regelgeving, protocollen en contracten.

Het is echter noodzakelijk om de samenwerking en specialistische kennis te hebben van verschillende spelers binnen de organisatie, zoals de juridische staf, het IT-personeel en de top.

Het juridische team moet ervoor zorgen dat de organisatie overdrachtsovereenkomsten sluit die voldoen aan ISO 27001:2022 Bijlage A Controle 5.14. Bovendien moet het IT-team actief betrokken zijn bij het specificeren en uitvoeren van controles voor het beveiligen van gegevens, zoals aangegeven in 5.14.




ISMS.online geeft u een voorsprong van 81% vanaf het moment dat u inlogt

ISO 27001 eenvoudig gemaakt

Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.




Algemene richtlijn voor ISO 27001:2022 bijlage A 5.14

Het garanderen van de naleving van 5.14 vereist het creëren van regels, procedures en overeenkomsten, inclusief een beleid voor gegevensoverdracht dat specifiek is voor het onderwerp, en dat gegevens tijdens de overdracht een passend beschermingsniveau geeft volgens de classificatie die eraan is toegewezen.

Het beveiligingsniveau moet evenredig zijn aan het belang en de gevoeligheid van de verzonden gegevens. ISO 27001:2022 Annex A 5.14 vereist ook dat organisaties overdrachtsovereenkomsten aangaan met ontvangende derde partijen om een ​​veilige overdracht van gegevens te garanderen.

ISO 27001:2022 Bijlage A Controle 5.14 categoriseert overdrachtstypen in drie groepen:

  • Elektronische overdracht.
  • fysiek opslag media overdracht.
  • Mondelinge overdracht.

Voordat we verdergaan met het gedetailleerd beschrijven van de specifieke eisen van elk type overdracht, ISO 27001:2022 Bijlage A Controle 5.14 schetst de elementen die aanwezig moeten zijn in alle regelgeving, procedures en contracten met betrekking tot alle drie de overdrachten in het algemeen:

  • Organisaties moeten passende controles vaststellen op basis van het classificatieniveau van informatie om deze tijdens de overdracht te beschermen tegen ongeoorloofde toegang, wijziging, onderschepping, duplicatie, vernietiging en denial-of-service-aanvallen.
  • Organisaties moeten de controleketen tijdens het transport in de gaten houden en controles instellen en uitvoeren om de traceerbaarheid van gegevens te garanderen.
  • Specificeer wie betrokken is bij de gegevensoverdracht en geef hun contactgegevens op, zoals de gegevenseigenaren en het beveiligingspersoneel.
  • In geval van een datalek worden de aansprakelijkheden verdeeld.
  • Implementeer een etiketteringssysteem om artikelen bij te houden.
  • Ervoor zorgen dat de transferservice beschikbaar is.
  • Richtlijnen met betrekking tot de methoden van informatieoverdracht moet worden ontwikkeld op basis van specifieke onderwerpen.
  • Richtlijnen voor het opslaan en weggooien van alle zakelijke documenten, inclusief berichten, moeten worden gevolgd.
  • Onderzoek de impact die toepasselijke wet- en regelgeving of andere verplichtingen kunnen hebben op de overdracht.

Aanvullend richtsnoer voor elektronische overdracht

ISO 27001:2022 Bijlage A Controle 5.14 beschrijft de specifieke inhoudelijke vereisten voor regels, procedures en overeenkomsten die verband houden met de drie soorten overdrachten. In alle drie de gevallen moet aan de minimale inhoudsvereisten worden voldaan.

Regels, overeenkomsten en procedures moeten rekening houden met de volgende overwegingen bij het elektronisch overdragen van informatie:

  • Het identificeren en tegenhouden van malware-aanvallen is van het allergrootste belang. Het is essentieel dat u de nieuwste technologie gebruikt om aanvallen van schadelijke software te detecteren en te voorkomen.
  • Zorgen voor de beveiliging van vertrouwelijke informatie vindt u in de verzonden bijlagen.
  • Zorg ervoor dat communicatie naar de juiste ontvangers wordt verzonden door het risico te vermijden dat berichten naar het verkeerde e-mailadres, adres of telefoonnummer worden verzonden.
  • Vraag toestemming voordat u openbare communicatiediensten gaat gebruiken.
  • Er moeten strengere authenticatiemethoden worden gebruikt bij het verzenden van gegevens via openbare netwerken.
  • Het opleggen van beperkingen aan het gebruik van e-communicatiediensten, bijvoorbeeld door het geautomatiseerd doorsturen te verbieden.
  • Adviseer het personeel om het gebruik van korteberichten- of expresberichtendiensten te vermijden om gevoelige gegevens te delen, aangezien de inhoud door onbevoegden in openbare ruimtes kan worden bekeken.
  • Informeer personeel en andere geïnteresseerde partijen over de beveiligingsrisico's die faxmachines met zich mee kunnen brengen, zoals ongeoorloofde toegang of het verkeerd doorsturen van berichten naar bepaalde nummers.



beklimming

Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.




Aanvullende richtlijnen voor overdracht van fysieke opslagmedia

Wanneer informatie fysiek wordt gedeeld, moeten de regels, procedures en overeenkomsten het volgende omvatten:

  • Partijen zijn verantwoordelijk voor het elkaar op de hoogte stellen van de verzending, verzending en ontvangst van informatie.
  • Ervoor zorgen dat het bericht correct wordt geadresseerd en op de juiste manier wordt verzonden.
  • Een goede verpakking elimineert de kans op schade aan de inhoud tijdens het transport. Zo moet de verpakking bestand zijn tegen hitte en vocht.
  • Het management heeft overeenstemming bereikt over een betrouwbare, geautoriseerde koerierslijst.
  • Een overzicht van de identificatienormen voor koeriers.
  • Voor gevoelige en kritische informatie moeten fraudebestendige zakken worden gebruikt.
  • Het verifiëren van de identiteit van koeriers is belangrijk.
  • Deze lijst met derde partijen, ingedeeld op basis van hun serviceniveau, levert transport- of koeriersdiensten en is goedgekeurd.
  • Leg het tijdstip van bezorging, geautoriseerde ontvanger, genomen veiligheidsmaatregelen en ontvangstbevestiging op de bestemming vast in een logboek.

Aanvullend richtsnoer voor verbale overdracht

Het personeel moet zich bewust zijn van de risico's die gepaard gaan met het uitwisselen van informatie binnen de organisatie of het doorgeven van gegevens aan externe partijen, in overeenstemming met ISO 27001:2022 Annex A Controle 5.14. Deze risico's omvatten:

  • Zij moeten zich onthouden van het bespreken van vertrouwelijke zaken op onveilige openbare kanalen of in openbare ruimtes.
  • Men mag geen voicemails met vertrouwelijke informatie achterlaten vanwege het gevaar dat ze opnieuw worden afgespeeld door onbevoegden en vanwege het risico dat ze worden doorgestuurd naar derden.
  • Individuen, zowel personeel als andere toepasselijke derde partijen, moeten worden gescreend voordat zij toegang krijgen tot gesprekken.
  • Kamers die worden gebruikt voor vertrouwelijke gesprekken moeten worden voorzien van de nodige geluidsisolatie.
  • Voordat u een gevoelige dialoog aangaat, moet er een disclaimer worden afgegeven.



ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.

ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.




Veranderingen en verschillen ten opzichte van ISO 27001:2013?

ISO 27001:2022 bijlage A 5.14 vervangt ISO 27001:2013 Bijlage A 13.2.1, 13.2.2 en 13.2.3.

De twee controles vertonen enige gelijkenis, maar twee grote verschillen maken de eisen van 2022 zwaarder.

Specifieke vereisten voor elektrische, fysieke en verbale overdrachten

Paragraaf 13.2.3 in de versie van 2013 behandelde de specifieke eisen voor de overdracht van gegevens via elektronische berichtenuitwisseling.

Er werd echter niet specifiek ingegaan op de overdracht van informatie via verbale of fysieke middelen.

Ter vergelijking: de versie uit 2022 is nauwkeurig in het identificeren van drie soorten informatieoverdracht, en schetst voor elk van hen afzonderlijk de noodzakelijke inhoud.

ISO 27001:2022 stelt strengere eisen aan elektronische overdracht

In paragraaf 13.2.3 van de versie 2022 worden strengere eisen gesteld aan de inhoud van elektronische berichtenovereenkomsten.

Organisaties moeten nieuwe regelgeving voor digitale overdracht uitwerken en uitvoeren in de vorm van regels, procedures en contracten voor ISO 27001:2022.

Organisaties moeten hun personeel bijvoorbeeld waarschuwen voor het gebruik van sms-diensten bij het verzenden van gevoelige informatie.

Gedetailleerde vereisten voor fysieke overdrachten

De 2022-versie legt strengere regels op voor de fysieke overdracht van opslagmedia. Het is bijvoorbeeld grondiger in de authenticatie van koeriers en bescherming tegen verschillende vormen van schade.

Structurele veranderingen

In de versie van 2013 werd expliciet verwezen naar de noodzakelijke vereisten van overeenkomsten inzake informatieoverdracht. De 'Regels' en 'Procedures' werden echter niet in detail beschreven.

Voor ISO 27001:2022 worden voor elk van de drie benaderingen specifieke criteria uiteengezet.

Tabel met alle ISO 27001:2022 bijlage A-controles

In de onderstaande tabel vindt u meer informatie over elke afzonderlijke ISO 27001:2022 Annex A-controle.

ISO 27001:2022 Organisatorische controles
Bijlage A Controletype ISO/IEC 27001:2022 bijlage A-identificatie ISO/IEC 27001:2013 bijlage A-identificatie Bijlage A Naam
Organisatorische controles Bijlage A 5.1 Bijlage A 5.1.1
Bijlage A 5.1.2
Beleid voor informatiebeveiliging
Organisatorische controles Bijlage A 5.2 Bijlage A 6.1.1 Rollen en verantwoordelijkheden op het gebied van informatiebeveiliging
Organisatorische controles Bijlage A 5.3 Bijlage A 6.1.2 Scheiding van taken
Organisatorische controles Bijlage A 5.4 Bijlage A 7.2.1 Directie verantwoordelijkheden
Organisatorische controles Bijlage A 5.5 Bijlage A 6.1.3 Contact met autoriteiten
Organisatorische controles Bijlage A 5.6 Bijlage A 6.1.4 Contact met speciale interessegroepen
Organisatorische controles Bijlage A 5.7 NIEUW Bedreiging Intelligentie
Organisatorische controles Bijlage A 5.8 Bijlage A 6.1.5
Bijlage A 14.1.1
Informatiebeveiliging in projectmanagement
Organisatorische controles Bijlage A 5.9 Bijlage A 8.1.1
Bijlage A 8.1.2
Inventarisatie van informatie en andere bijbehorende activa
Organisatorische controles Bijlage A 5.10 Bijlage A 8.1.3
Bijlage A 8.2.3
Aanvaardbaar gebruik van informatie en andere bijbehorende activa
Organisatorische controles Bijlage A 5.11 Bijlage A 8.1.4 Teruggave van activa
Organisatorische controles Bijlage A 5.12 Bijlage A 8.2.1 Classificatie van informatie
Organisatorische controles Bijlage A 5.13 Bijlage A 8.2.2 Etikettering van informatie
Organisatorische controles Bijlage A 5.14 Bijlage A 13.2.1
Bijlage A 13.2.2
Bijlage A 13.2.3
Informatieoverdracht
Organisatorische controles Bijlage A 5.15 Bijlage A 9.1.1
Bijlage A 9.1.2
Access Controle
Organisatorische controles Bijlage A 5.16 Bijlage A 9.2.1 Identiteitsbeheer
Organisatorische controles Bijlage A 5.17 Bijlage A 9.2.4
Bijlage A 9.3.1
Bijlage A 9.4.3
Authenticatie-informatie
Organisatorische controles Bijlage A 5.18 Bijlage A 9.2.2
Bijlage A 9.2.5
Bijlage A 9.2.6
Toegangsrechten
Organisatorische controles Bijlage A 5.19 Bijlage A 15.1.1 Informatiebeveiliging in leveranciersrelaties
Organisatorische controles Bijlage A 5.20 Bijlage A 15.1.2 Het aanpakken van informatiebeveiliging binnen leveranciersovereenkomsten
Organisatorische controles Bijlage A 5.21 Bijlage A 15.1.3 Beheer van informatiebeveiliging in de ICT-toeleveringsketen
Organisatorische controles Bijlage A 5.22 Bijlage A 15.2.1
Bijlage A 15.2.2
Monitoring, beoordeling en wijzigingsbeheer van leveranciersdiensten
Organisatorische controles Bijlage A 5.23 NIEUW Informatiebeveiliging voor gebruik van cloudservices
Organisatorische controles Bijlage A 5.24 Bijlage A 16.1.1 Planning en voorbereiding van informatiebeveiligingsincidentbeheer
Organisatorische controles Bijlage A 5.25 Bijlage A 16.1.4 Beoordeling en beslissing over informatiebeveiligingsgebeurtenissen
Organisatorische controles Bijlage A 5.26 Bijlage A 16.1.5 Reactie op informatiebeveiligingsincidenten
Organisatorische controles Bijlage A 5.27 Bijlage A 16.1.6 Leren van informatiebeveiligingsincidenten
Organisatorische controles Bijlage A 5.28 Bijlage A 16.1.7 Verzameling van bewijsmateriaal
Organisatorische controles Bijlage A 5.29 Bijlage A 17.1.1
Bijlage A 17.1.2
Bijlage A 17.1.3
Informatiebeveiliging tijdens disruptie
Organisatorische controles Bijlage A 5.30 NIEUW ICT-gereedheid voor bedrijfscontinuïteit
Organisatorische controles Bijlage A 5.31 Bijlage A 18.1.1
Bijlage A 18.1.5
Wettelijke, statutaire, regelgevende en contractuele vereisten
Organisatorische controles Bijlage A 5.32 Bijlage A 18.1.2 Intellectuele eigendomsrechten
Organisatorische controles Bijlage A 5.33 Bijlage A 18.1.3 Bescherming van records
Organisatorische controles Bijlage A 5.34 Bijlage A 18.1.4 Privacy en bescherming van PII
Organisatorische controles Bijlage A 5.35 Bijlage A 18.2.1 Onafhankelijke beoordeling van informatiebeveiliging
Organisatorische controles Bijlage A 5.36 Bijlage A 18.2.2
Bijlage A 18.2.3
Naleving van beleid, regels en normen voor informatiebeveiliging
Organisatorische controles Bijlage A 5.37 Bijlage A 12.1.1 Gedocumenteerde operationele procedures
ISO 27001:2022 Personeelscontroles
Bijlage A Controletype ISO/IEC 27001:2022 bijlage A-identificatie ISO/IEC 27001:2013 bijlage A-identificatie Bijlage A Naam
Mensencontroles Bijlage A 6.1 Bijlage A 7.1.1 Doorlichting
Mensencontroles Bijlage A 6.2 Bijlage A 7.1.2 Arbeidsvoorwaarden
Mensencontroles Bijlage A 6.3 Bijlage A 7.2.2 Informatiebeveiligingsbewustzijn, onderwijs en training
Mensencontroles Bijlage A 6.4 Bijlage A 7.2.3 Disciplinair proces
Mensencontroles Bijlage A 6.5 Bijlage A 7.3.1 Verantwoordelijkheden na beëindiging of verandering van dienstverband
Mensencontroles Bijlage A 6.6 Bijlage A 13.2.4 Vertrouwelijkheids- of geheimhoudingsovereenkomsten
Mensencontroles Bijlage A 6.7 Bijlage A 6.2.2 Werken op afstand
Mensencontroles Bijlage A 6.8 Bijlage A 16.1.2
Bijlage A 16.1.3
Rapportage van informatiebeveiligingsgebeurtenissen
ISO 27001:2022 Fysieke controles
Bijlage A Controletype ISO/IEC 27001:2022 bijlage A-identificatie ISO/IEC 27001:2013 bijlage A-identificatie Bijlage A Naam
Fysieke controles Bijlage A 7.1 Bijlage A 11.1.1 Fysieke beveiligingsperimeters
Fysieke controles Bijlage A 7.2 Bijlage A 11.1.2
Bijlage A 11.1.6
Fysieke toegang
Fysieke controles Bijlage A 7.3 Bijlage A 11.1.3 Beveiliging van kantoren, kamers en faciliteiten
Fysieke controles Bijlage A 7.4 NIEUW Fysieke beveiligingsmonitoring
Fysieke controles Bijlage A 7.5 Bijlage A 11.1.4 Bescherming tegen fysieke en ecologische bedreigingen
Fysieke controles Bijlage A 7.6 Bijlage A 11.1.5 Werken in beveiligde gebieden
Fysieke controles Bijlage A 7.7 Bijlage A 11.2.9 Duidelijk bureau en helder scherm
Fysieke controles Bijlage A 7.8 Bijlage A 11.2.1 Apparatuurlocatie en bescherming
Fysieke controles Bijlage A 7.9 Bijlage A 11.2.6 Beveiliging van activa buiten gebouwen
Fysieke controles Bijlage A 7.10 Bijlage A 8.3.1
Bijlage A 8.3.2
Bijlage A 8.3.3
Bijlage A 11.2.5
Opslag media
Fysieke controles Bijlage A 7.11 Bijlage A 11.2.2 Ondersteunende nutsvoorzieningen
Fysieke controles Bijlage A 7.12 Bijlage A 11.2.3 Beveiliging van bekabeling
Fysieke controles Bijlage A 7.13 Bijlage A 11.2.4 Equipment Maintenance
Fysieke controles Bijlage A 7.14 Bijlage A 11.2.7 Veilige verwijdering of hergebruik van apparatuur
ISO 27001:2022 Technologische controles
Bijlage A Controletype ISO/IEC 27001:2022 bijlage A-identificatie ISO/IEC 27001:2013 bijlage A-identificatie Bijlage A Naam
Technologische controles Bijlage A 8.1 Bijlage A 6.2.1
Bijlage A 11.2.8
Eindpuntapparaten van gebruikers
Technologische controles Bijlage A 8.2 Bijlage A 9.2.3 Bevoorrechte toegangsrechten
Technologische controles Bijlage A 8.3 Bijlage A 9.4.1 Beperking van toegang tot informatie
Technologische controles Bijlage A 8.4 Bijlage A 9.4.5 Toegang tot broncode
Technologische controles Bijlage A 8.5 Bijlage A 9.4.2 Veilige authenticatie
Technologische controles Bijlage A 8.6 Bijlage A 12.1.3 Capaciteitsmanagement
Technologische controles Bijlage A 8.7 Bijlage A 12.2.1 Bescherming tegen malware
Technologische controles Bijlage A 8.8 Bijlage A 12.6.1
Bijlage A 18.2.3
Beheer van technische kwetsbaarheden
Technologische controles Bijlage A 8.9 NIEUW Configuration Management
Technologische controles Bijlage A 8.10 NIEUW Informatie verwijderen
Technologische controles Bijlage A 8.11 NIEUW Gegevensmaskering
Technologische controles Bijlage A 8.12 NIEUW Preventie van gegevenslekken
Technologische controles Bijlage A 8.13 Bijlage A 12.3.1 Informatieback-up
Technologische controles Bijlage A 8.14 Bijlage A 17.2.1 Redundantie van informatieverwerkingsfaciliteiten
Technologische controles Bijlage A 8.15 Bijlage A 12.4.1
Bijlage A 12.4.2
Bijlage A 12.4.3
Logging
Technologische controles Bijlage A 8.16 NIEUW Bewakingsactiviteiten
Technologische controles Bijlage A 8.17 Bijlage A 12.4.4 Kloksynchronisatie
Technologische controles Bijlage A 8.18 Bijlage A 9.4.4 Gebruik van bevoorrechte hulpprogramma's Toegangsrechten
Technologische controles Bijlage A 8.19 Bijlage A 12.5.1
Bijlage A 12.6.2
Installatie van software op besturingssystemen
Technologische controles Bijlage A 8.20 Bijlage A 13.1.1 Netwerkbeveiliging
Technologische controles Bijlage A 8.21 Bijlage A 13.1.2 Beveiliging van netwerkdiensten
Technologische controles Bijlage A 8.22 Bijlage A 13.1.3 Segregatie van netwerken
Technologische controles Bijlage A 8.23 NIEUW Web filtering
Technologische controles Bijlage A 8.24 Bijlage A 10.1.1
Bijlage A 10.1.2
Gebruik van cryptografie
Technologische controles Bijlage A 8.25 Bijlage A 14.2.1 Levenscyclus van veilige ontwikkeling
Technologische controles Bijlage A 8.26 Bijlage A 14.1.2
Bijlage A 14.1.3
Beveiligingsvereisten voor applicaties
Technologische controles Bijlage A 8.27 Bijlage A 14.2.5 Principes van veilige systeemarchitectuur en engineeringLeren van incidenten met informatiebeveiliging
Technologische controles Bijlage A 8.28 NIEUW Veilig coderen
Technologische controles Bijlage A 8.29 Bijlage A 14.2.8
Bijlage A 14.2.9
Beveiligingstesten bij ontwikkeling en acceptatie
Technologische controles Bijlage A 8.30 Bijlage A 14.2.7 Uitbestede ontwikkeling
Technologische controles Bijlage A 8.31 Bijlage A 12.1.4
Bijlage A 14.2.6
Scheiding van ontwikkel-, test- en productieomgevingen
Technologische controles Bijlage A 8.32 Bijlage A 12.1.2
Bijlage A 14.2.2
Bijlage A 14.2.3
Bijlage A 14.2.4
Change Management
Technologische controles Bijlage A 8.33 Bijlage A 14.3.1 Test informatie
Technologische controles Bijlage A 8.34 Bijlage A 12.7.1 Bescherming van informatiesystemen tijdens audittests




[case_study_slider ids=”88859,101932,92016″ autoplay=”true” autoplay_speed=”5000″]


Hoe ISMS.online helpt

Implementatie van ISO 27001:2022 kan eenvoudiger worden gemaakt met onze stapsgewijze checklist. Het begeleidt u door het hele proces, van het definiëren van de reikwijdte van uw ISMS tot het vaststellen van de reikwijdte van uw ISMS het identificeren van risico’s en het implementeren van controles.

Boek vandaag nog uw demonstratie. Afspraken zijn zeven dagen per week mogelijk, dus maak een afspraak via een tijd die voor jou werkt.


David Holloway

Chief Marketing Officer

David Holloway is Chief Marketing Officer bij ISMS.online en heeft meer dan vier jaar ervaring in compliance en informatiebeveiliging. Als onderdeel van het managementteam richt David zich op het ondersteunen van organisaties om vol vertrouwen door complexe regelgeving te navigeren en strategieën te ontwikkelen die bedrijfsdoelen afstemmen op impactvolle oplossingen. Hij is tevens co-host van de podcast Phishing For Trouble, waarin hij ingaat op spraakmakende cybersecurityincidenten en waardevolle lessen deelt om bedrijven te helpen hun beveiliging en compliance te versterken.

ISO 27001:2022 Bijlage A Controles

Organisatorische controles