ISO 27001:2022 Bijlage A 5.13 – Etikettering van informatie

Wat is het doel van ISO 27001:2022 bijlage A 5.13?

Het doel van bijlage A 5.13 is tweeledig; om informatiemiddelen te beschermen tegen veiligheidsrisico's:

• Informatiemiddelen kunnen op een eenvoudige manier worden geclassificeerd wanneer ze intern en extern worden gecommuniceerd. Dit is het moment waarop werknemers en derden toegang hebben tot de informatie en deze kunnen gebruiken.
• Informatieverwerking en -beheer kunnen worden gestroomlijnd door middel van automatisering.

Wie is eigenaar van bijlage A 5.13?

Informatiemiddelen kunnen worden gelabeld door metadata toe te voegen, dus metadata-stewards moeten verantwoordelijk zijn voor de juiste implementatie van het labelingproces.

Alle data-assets moeten op de juiste manier worden gelabeld en eigenaren van assets moeten eventuele wijzigingen aanbrengen in de labeling met toegangs- en wijzigingsautorisaties.

Algemene richtlijnen voor het naleven van ISO 27001:2022 bijlage A 5.13

Met behulp van Bijlage A Controle 5.13 kunnen organisaties informatie labelen in overeenstemming met vier specifieke stappen.

Stel een procedure vast voor het etiketteren van informatie

Het informatieclassificatieschema dat is opgesteld volgens bijlage A Controle 5.12 moet worden nageleefd door de informatie-etiketteringsprocedures van organisaties.

5.13 vereist ook dat deze Procedure van toepassing is op alle informatiemiddelen, zowel digitaal als op papier, en dat de labels gemakkelijk herkenbaar moeten zijn.

Er zijn geen grenzen aan wat dit proceduredocument kan bevatten, maar bijlage A Controle 5.13 vereist dat de procedures het volgende omvatten:

• Een uitleg van de methoden voor het bevestigen van labels aan informatiemiddelen op basis van het type opslagmedium en hoe de gegevens toegankelijk zijn.
• Voor elk type informatie-item, waar de labels moeten worden bevestigd.
• Een organisatie kan bijvoorbeeld nalaten openbare gegevens te publiceren als onderdeel van het etiketteringsproces van informatie.
• Technische, wettelijke of contractuele beperkingen verhinderen het labelen van bepaalde soorten informatie.
• Regels bepalen hoe informatie moet worden gelabeld wanneer deze intern of extern wordt verzonden.
• Bij digitale assets moeten instructies worden gevoegd over het invoegen van metadata.
• Alle activa moeten met dezelfde naam worden gelabeld.

Zorg voor adequate training over etiketteringsprocedures voor werknemers

Personeel en andere relevante belanghebbenden moeten begrijpen hoe ze moeten etiketteren informatie correct te beheren en gelabelde informatiemiddelen te beheren voordat de procedure voor het etiketteren van informatie effectief kan zijn.

Als gevolg hiervan moeten organisaties hun personeel en andere relevante partijen trainen in de procedure.

Digitale informatiemiddelen moeten worden getagd met metadata

Digitale informatiemiddelen moeten worden gelabeld met behulp van metagegevens volgens 5.13.

De inzet van metadata moet ook de gemakkelijke identificatie en het zoeken naar informatie vergemakkelijken en de besluitvorming tussen systemen met betrekking tot gelabelde informatie stroomlijnen.

Er moeten extra voorzorgsmaatregelen worden genomen om gevoelige gegevens te labelen die het systeem kunnen verlaten

De aanbeveling van bijlage A 5.13 richt zich op het identificeren van het meest geschikte label voor de uitgaande markt overdracht van kritische en gevoelige informatie activa, rekening houdend met de daaraan verbonden risico's.

Bijlage A 5.13 ​​Aanvullende richtlijnen

Om het delen van gegevens veilig te laten zijn, is het essentieel om geheime informatie nauwkeurig te identificeren en te labelen.

Bijlage A 5.13 beveelt organisaties ook aan aanvullende metadatapunten in te voegen. Dit wil zeggen de naam van het proces dat het informatiemiddel heeft gecreëerd en het tijdstip waarop het is gemaakt.

Daarnaast beschrijft bijlage A 5.13 de standaard etiketteringstechnieken die organisaties kunnen gebruiken:

• Fysieke labels
• Kop-en voetteksten
• Metadata
• watermerken
• Rubberen stempels

Ten slotte benadrukt bijlage A 5.13 dat het labelen van informatie als 'vertrouwelijk' en 'geheim' onbedoelde gevolgen kan hebben. Dit kan het voor kwaadwillende actoren gemakkelijker maken om gevoelige informatie te ontdekken en te vinden.

Wat zijn de veranderingen en verschillen ten opzichte van ISO 27001:2013?

ISO 27001:2022 Bijlage A 5.13 vervangt ISO 27001:2013 Bijlage A 8.2.2 (Etikettering van informatie).

Beide bijlage A-controles zijn tot op zekere hoogte vergelijkbaar, maar twee belangrijke verschillen maken de ISO 27001:2022-versie uitgebreider.

Het gebruik van metadata is vereist om aan nieuwe eisen te voldoen

Hoewel de versie uit 2013 metadata een etiketteringstechniek noemde, legde deze geen specifieke verplichtingen op voor naleving bij het gebruik van metadata.

De 2022-versie bevat daarentegen verschillen en wijzigingen ten opzichte van ISO 27001:2013.

Het gebruik van metadata is nu een vereiste

In 2013 werd metadata een etiketteringstechniek genoemd, maar er werden geen specifieke complianceverplichtingen opgelegd.

In tegenstelling hiermee bevat de 2022-versie strenge eisen voor metadatatechnieken. Voor de versie van 2022 is bijvoorbeeld het volgende vereist:

• Het toevoegen van metagegevens aan informatie vergemakkelijkt de identificatie, het beheer en de ontdekking ervan.
• Het is noodzakelijk om metagegevens in te voegen voor de naam en datum van het proces waarmee het item is gemaakt.

Het is noodzakelijk om meer details te verstrekken in de procedure voor het labelen van informatie

Procedures voor informatie-etikettering in de versie van 2013 hoefden niet de minimale inhoud op te nemen zoals in de versie van 2022.

Tabel met alle ISO 27001:2022 bijlage A-controles

In de onderstaande tabel vindt u meer informatie over elk individu ISO 27001:2022 bijlage A Controle.

Hoe ISMS.online helpt

ISO 27001 implementeren is eenvoudiger met onze stapsgewijze checklist, die u begeleidt vanaf het definiëren van de reikwijdte van uw ISMS tot en met de risico-identificatie en de implementatie van Annex A-controles.

gebruik ons platform is intuïtief en gemakkelijk. Niet alleen voor de zeer technische medewerkers, maar voor iedereen in uw bedrijf. Wij moedigen u aan om uw gehele personeelsbestand te betrekken bij het opbouwen van uw ISMS, want dat helpt je een echt duurzaam systeem op te bouwen.

Neem vandaag nog contact op met boek een demo.