ISO 27002:2022 – Controle 5.10 – Aanvaardbaar gebruik van informatie en andere bijbehorende activa

Wat is Controle 5.10, Aanvaardbaar gebruik van informatie en andere bijbehorende activa?

Het Beleid voor acceptabel gebruik van informatiemiddelen (AUA) is van toepassing op alle leden van een organisatie en op alle bezittingen die eigendom zijn van of beheerd worden door de organisatie. De AUA is van toepassing op elk gebruik van informatiemiddelen voor welk doel dan ook, inclusief commercieel gebruik.

Hieronder volgen voorbeelden van informatiemiddelen:

• Hardware: computers, mobiele apparaten, telefoons en faxmachines.
• Software: besturingssystemen, applicaties (inclusief webgebaseerde apps), hulpprogramma's, firmware en programmeertalen.
• Data: gestructureerde gegevens in relationele databases, platte bestanden en NoSQL-gegevens; ongestructureerde gegevens zoals tekstdocumenten, spreadsheets, afbeeldingen, video- en audiobestanden; records in elk formaat.
• Networks: bekabelde en draadloze netwerken; telecommunicatiesystemen; Voice over IP-diensten.
• services: clouddiensten, e-mailaccounts en andere gehoste diensten.

Aanvaardbaar gebruik van informatie en andere daarmee samenhangende middelen betekent het gebruik van informatiemiddelen op manieren die de beschikbaarheid, betrouwbaarheid of integriteit van gegevens, diensten of bronnen niet in gevaar brengen. Het betekent ook dat je ze gebruikt op een manier die niet in strijd is met de wetten of het beleid van de organisatie.

Kenmerken van controle 5.10

De nieuwe ISO 27002: 2022-norm wordt geleverd met attributentabellen die niet voorkomen in de versie van 2013. Attributen zijn een manier om besturingselementen te classificeren.

Ze bieden u ook de mogelijkheid uw besturingsselectie af te stemmen op veelgebruikte termen en specificaties in de sector. De volgende bedieningselementen zijn beschikbaar in bedieningseenheid 5:10.

Wat is het doel van controle 5.10?

Het overkoepelende doel hiervan controle is het veiligstellen van informatie en andere bijbehorende activa op passende wijze worden beschermd, gebruikt en behandeld.

Controle 5.10 is ontworpen om ervoor te zorgen dat beleid, procedures en technische controles aanwezig zijn om te voorkomen dat gebruikers op ongepaste wijze toegang krijgen tot informatie, deze gebruiken of openbaar maken.

Deze controle is bedoeld om organisaties een raamwerk te bieden om dit te garanderen informatie en andere activa op passende wijze worden beschermd, gebruikt en behandeld. Dit houdt onder meer in dat ervoor moet worden gezorgd dat het beleid en de procedures op alle niveaus binnen de organisatie bestaan, en dat er ook voor moet worden gezorgd dat dit beleid en deze procedures consequent worden gehandhaafd.

Implementatie van controle 5.10 als onderdeel van uw ISMS betekent dat u de verschillende vereisten heeft ingevoerd met betrekking tot de manier waarop uw bedrijf IT-middelen beschermt, waaronder:

• De bescherming van informatie tijdens opslag, verwerking en doorvoer.
• De bescherming en het juiste gebruik van IT-apparatuur.
• Het gebruik van geschikte authenticatiediensten om de toegang tot informatiesystemen te controleren.
• Het verwerken van informatie binnen een organisatie alleen door gebruikers met de juiste autorisatie.
• De toewijzing van informatie-gerelateerde verantwoordelijkheden voor specifieke individuen of rollen.
• De opleiding en training van gebruikers met betrekking tot hun beveiligingsverantwoordelijkheden.

Wat komt erbij kijken en hoe kan aan de vereisten worden voldaan

Om te voldoen aan de eisen voor controle 5.10 in ISO 27002:2022is het van belang dat medewerkers en externe partijen die gebruik maken van of toegang hebben tot de informatie van de organisatie en andere daarmee samenhangende middelen, op de hoogte zijn van de informatiebeveiligingseisen van de organisatie.

Deze mensen moeten verantwoordelijk worden gehouden voor alle informatieverwerkingsfaciliteiten die zij gebruiken.

Iedereen die betrokken is bij het gebruik of de omgang met informatie en andere daarmee samenhangende middelen moet op de hoogte worden gesteld van het beleid van de organisatie inzake aanvaardbaar gebruik van informatie en andere daarmee verband houdende middelen.

Iedereen die betrokken is bij het gebruik of de omgang met informatie en andere bijbehorende activa moet op de hoogte worden gesteld van het beleid van de organisatie met betrekking tot het toegestane gebruik van informatie en andere daarmee samenhangende middelen. Als onderdeel van een onderwerpspecifiek beleid voor acceptabel gebruik moet het personeel precies weten wat er van hen wordt verwacht met informatie en andere bedrijfsmiddelen.

Themaspecifiek beleid zou met name het volgende moeten bepalen:

a) verwacht en onaanvaardbaar gedrag van individuen vanuit het perspectief van informatiebeveiliging;

b) toegestaan ​​en verboden gebruik van informatie en andere bijbehorende activa;

c) het monitoren van de activiteiten die door de organisatie worden uitgevoerd.

Er moeten procedures voor aanvaardbaar gebruik worden opgesteld voor de volledige levenscyclus van informatie, in overeenstemming met de classificatie ervan en de vastgestelde risico's. Er moet rekening worden gehouden met de volgende items:

a) toegangsbeperkingen ter ondersteuning van de beschermingseisen voor elk classificatieniveau;

b) het bijhouden van een register van de geautoriseerde gebruikers van informatie en andere bijbehorende activa;

c) bescherming van tijdelijke of permanente kopieën van informatie tot een niveau dat consistent is met de
bescherming van de originele informatie;

d) opslag van activa die verband houden met informatie in overeenstemming met de specificaties van de fabrikant;

e) duidelijke markering van alle kopieën van opslagmedia (elektronisch of fysiek) ter attentie van de
geautoriseerde ontvanger;

f) autorisatie voor de verwijdering van informatie en andere bijbehorende activa en ondersteunde verwijderingsmethode(n).

Verschillen tussen ISO 27002:2013 en ISO 27002:2022

De nieuwe herziening van ISO 2022 voor 27002 werd op 15 februari 2022 gepubliceerd en is een upgrade van ISO 27002:2013.

De controle 5.10 in ISO 27002:2022 is geen nieuwe controle, maar is eerder een combinatie van de controles 8.1.3 – aanvaardbaar gebruik van activa en 8.2.3 – omgaan met activa in ISO 27002:2013.

Hoewel de essentie en implementatierichtlijnen van controle 5.10 relatief hetzelfde zijn als die van controles 8.1.3 en 8.2.3, heeft controle 5.10 zowel het aanvaardbare gebruik van middelen als de omgang met middelen samengevoegd in één controle om de gebruiksvriendelijkheid te verbeteren.

Controle 5.10 heeft echter ook een extra punt toegevoegd aan controle 8.2.3. Dit omvat de autorisatie voor de verwijdering van informatie en andere bijbehorende activa en de ondersteunde verwijderingsmethode(n).

Wie is verantwoordelijk voor dit proces?

Het aanvaardbare gebruik van informatie en andere bijbehorende activa is een beleid dat regels vastlegt om het juiste gebruik van de informatie van het bedrijf en andere bijbehorende activa, waaronder computers, netwerken en systemen, e-mail, bestanden en opslagmedia, te garanderen. Dit beleid is bindend voor alle werknemers en opdrachtnemers.

Het doel van dit beleid is om:

• Zorg ervoor dat de informatie van het bedrijf en andere bijbehorende activa alleen voor legitieme zakelijke doeleinden worden gebruikt.
• Zorg ervoor dat medewerkers voldoen aan alle wet- en regelgeving met betrekking tot informatiebeveiliging.
• Bescherm de informatie van het bedrijf en andere bijbehorende activa tegen bedreigingen die van binnen of buiten het bedrijf komen.

De Information Security Officer (ISO) is verantwoordelijk voor het ontwikkelen, implementeren en onderhouden van het acceptabele gebruik van informatiemiddelen.

De ISO is verantwoordelijk voor het beheer van het gebruik van informatiebronnen in de hele organisatie om ervoor te zorgen dat informatie wordt gebruikt op een manier die de veiligheid en integriteit van gegevens beschermt, de vertrouwelijkheid van bedrijfseigen of gevoelige informatie bewaart, beschermt tegen misbruik en ongeoorloofde toegang tot computers. middelen, en elimineert onnodige blootstelling of aansprakelijkheid voor de organisatie.

Wat betekenen deze veranderingen voor u?

De nieuwe ISO 27002:2022-norm is geen substantiële upgrade. Als gevolg hiervan hoeft u mogelijk geen significante wijzigingen aan te brengen met betrekking tot de naleving van de meest recente versie van ISO 27002.

Raadpleeg echter onze handleiding bij ISO 27002:2022, waar u meer kunt ontdekken over de manier waarop deze wijzigingen in Control 5.10 uw bedrijf zullen beïnvloeden.

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

Zoals u weet is ISO 27002 een algemeen aanvaarde en algemeen erkende norm voor informatiebeveiliging.

Het biedt een model voor het opzetten, implementeren, exploiteren, monitoren, beoordelen, onderhouden en verbeteren van een Informatiebeveiligingsbeheersysteem (ISMS).

Omdat de ISO 27002-norm zo uitgebreid en gedetailleerd is, kan de implementatie ervan een tijdrovend proces zijn. Maar met ISMS.online, beschikt u over een totaaloplossing die de zaken veel eenvoudiger maakt.

Onze wereldklasse informatiebeveiliging Het managementsysteemsoftwareplatform maakt het supergemakkelijk om te begrijpen wat er moet gebeuren en hoe u dat moet doen.

Wij nemen de pijn weg bij het beheren van uw compliance-eisen.

Met ISMS.online is de implementatie van ISO 27002 eenvoudiger met onze stapsgewijze checklist die u door het hele proces leidt, van het definiëren van de reikwijdte van uw ISMS tot risico-identificatie en controle-implementatie.

Neem vandaag nog contact op met boek een demo.