ISO 27002:2022, Controle 5.12 – Classificatie van informatie

Eigendom van zeggenschap 5.12

Terwijl er een organisatiebrede classificatie van informatiesystemen zou moeten zijn, met classificatieniveaus en criteria voor de manier waarop informatiemiddelen classificerenzijn eigenaren van informatiemiddelen uiteindelijk verantwoordelijk voor de implementatie van een classificatieschema.

5.12 erkent uitdrukkelijk dat eigenaren van het betreffende informatie bezit verantwoording moeten afleggen.

Als de boekhoudafdeling bijvoorbeeld toegang heeft tot de mappen met loonrapporten en bankafschriften, moet zij informatie classificeren op basis van het organisatiebrede classificatieschema.

Bij het classificeren van informatie moet de asset-eigenaar rekening houden met: rekening houden met de bedrijfsbehoeften, de mate van impact die het compromis van informatie zou hebben op de organisatie en het niveau van belang en gevoeligheid van informatie.

Algemene richtlijnen voor controle 5.12

Om een ​​robuust informatieclassificatieschema te implementeren, moeten organisaties een onderwerpspecifieke aanpak hanteren, de informatiebehoeften van elke bedrijfseenheid begrijpen en het niveau van gevoeligheid en kriticiteit van informatie bepalen.

5.12 vereist dat organisaties rekening houden met de volgende zeven criteria bij het implementeren van een classificatieschema:

• Stel een onderwerpspecifiek beleid op en speel in op de specifieke bedrijfsbehoeften

5.12 verwijst expliciet naar 5.1, Toegangscontrole en vereist dat organisaties zich houden aan onderwerpspecifiek beleid zoals beschreven in 5.1. Bovendien moeten het classificatieschema en de niveaus rekening houden met specifieke bedrijfsbehoeften.

• Houd rekening met de zakelijke behoeften aan het delen en gebruiken van informatie en de behoefte aan beschikbaarheid

Als u een informatiemiddel toewijst aan een classificatiecategorie die onnodig hoger is, kan dit het risico met zich meebrengen dat uw kritieke bedrijfsfuncties worden verstoord doordat de toegang tot en het gebruik van informatie wordt beperkt.

Daarom moet u ernaar streven een evenwicht te vinden tussen uw specifieke zakelijke behoeften aan beschikbaarheid en gebruik van informatie en de vereisten voor vertrouwelijkheid en integriteit van die informatie.

• Denk aan wettelijke verplichtingen

Sommige wetten kunnen u strengere verplichtingen opleggen om de vertrouwelijkheid, integriteit en beschikbaarheid van informatie te garanderen. Bij het toewijzen van informatiemiddelen aan categorieën moeten wettelijke verplichtingen voorrang krijgen op uw eigen classificatie.

• Kies voor een risicogebaseerde aanpak en overweeg de potentiële impact van een compromis

Elk type informatie heeft een ander niveau van kritiek voor de activiteiten van elk bedrijf en een ander niveau van gevoeligheid, afhankelijk van de context.

Bij het implementeren van het classificatiesysteem voor informatie moeten organisaties zich afvragen:

Welke impact zou het compromitteren van de integriteit, beschikbaarheid en vertrouwelijkheid van deze informatie hebben op de organisatie?

Databases met professionele e-mailadressen van gekwalificeerde leads en gezondheidsdossiers van werknemers verschillen bijvoorbeeld sterk wat betreft het niveau van gevoeligheid en de potentiële impact.

• Controleer en update de classificatie regelmatig

5.12 merkt op dat de waarde, kriticiteit en gevoeligheid van informatie niet statisch zijn en gedurende de levenscyclus van de informatie kunnen veranderen. Daarom moet u elke classificatie regelmatig beoordelen en de nodige updates doorvoeren.

Als voorbeeld van een dergelijke verandering verwijst 5.12 naar de openbaarmaking van informatie aan het publiek, waardoor de waarde en gevoeligheid van informatie aanzienlijk wordt verminderd.

• Raadpleeg andere organisaties waarmee u informatie deelt en bespreek eventuele verschillen

Er bestaat niet één manier om informatie te classificeren en elke organisatie kan verschillende namen, niveaus en criteria hebben als het gaat om de classificatie van informatiesystemen.

Deze verschillen kunnen tot risico's leiden wanneer de twee organisaties informatiemiddelen met elkaar uitwisselen. Daarom moet u een overeenkomst sluiten met uw tegenpartij om ervoor te zorgen dat er consistentie is in de classificatie van informatie en de interpretatie van classificatieniveaus.

• Consistentie op organisatieniveau

Elke afdeling binnen de organisatie moet een gemeenschappelijk begrip hebben van classificatieniveaus en -procedures, zodat classificaties consistent zijn in de hele organisatie.

Leidraad voor het implementeren van het classificatiesysteem voor informatie

Hoewel 5.12 erkent dat er geen one-size-fits-all classificatieschema bestaat en dat organisaties speelruimte hebben bij het bepalen en beschrijven van individuele classificatieniveaus, geeft het het volgende voorbeeld als een informatieclassificatieschema:

a) Openbaarmaking veroorzaakt geen schade;

b) Openbaarmaking veroorzaakt kleine reputatieschade of kleine operationele gevolgen;

c) Openbaarmaking heeft op de korte termijn een aanzienlijk effect op de activiteiten of bedrijfsdoelstellingen;

d) Openbaarmaking heeft ernstige gevolgen voor de bedrijfsdoelstellingen op de lange termijn of brengt het voortbestaan ​​van de organisatie in gevaar.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

De classificatie van informatie is in de vorige versie behandeld in paragraaf 8.2.1.

Hoewel de twee versies sterk op elkaar lijken, zijn er twee belangrijke verschillen:

In de oude versie was er geen expliciete verwijzing naar de eis van consistentie van classificatieniveaus bij de overdracht van informatie tussen organisaties.

In de 2022-versie moet u echter een overeenkomst sluiten met uw tegenhanger om ervoor te zorgen dat er consistentie is in de classificatie van informatie en de interpretatie van classificatieniveaus.

Ten tweede vereist de nieuwe versie expliciet dat organisaties onderwerpspecifiek beleid invoeren. In de oudere versie werd daarentegen slechts kort verwezen naar de toegangscontrole.

Hoe ISMS.online helpt

Ons platform is intuïtief en gemakkelijk te gebruiken. Het is niet alleen voor zeer technische mensen; het is voor iedereen in uw organisatie. Wij moedigen u aan om medewerkers op alle niveaus van uw bedrijf te betrekken bij het opbouwen van uw bedrijf ISMS, omdat je daarmee een echt duurzaam systeem bouwt.

Neem vandaag nog contact op met boek een demo.