ISO 27002:2022 – Controle 5.14 – Informatieoverdracht

Doel van de controle 5.14

Controle 5.14 is een preventieve vorm van controle die vereist dat organisaties passende regels, procedures en/of overeenkomsten opstellen om de veiligheid van gegevens te handhaven wanneer deze binnen een organisatie worden gedeeld of aan derden worden doorgegeven.

Kenmerken van controle 5.14

Eigendom van zeggenschap 5.14

Hoewel de ontwikkeling en implementatie van regels, procedures en overeenkomsten de steun en goedkeuring van het management op hoog niveau vereisen, is de samenwerking en expertise van verschillende belanghebbenden binnen een organisatie, waaronder het juridische team, IT-personeel en het hogere management, van cruciaal belang. .

Het juridische team moet er bijvoorbeeld voor zorgen dat de organisatie overdrachtsovereenkomsten sluit met derde partijen en dat deze overeenkomsten in overeenstemming zijn met de vereisten gespecificeerd in Controle 5.14. Op dezelfde manier moet het IT-team actief deelnemen aan het definiëren en implementeren van controles om de beveiliging van gegevens te handhaven, zoals uiteengezet in 5.14.

Algemene richtlijnen voor controle 5.14

Naleving van 5.14 impliceert de ontwikkeling van regels, procedures en overeenkomsten, inclusief een onderwerpspecifiek beleid voor informatieoverdracht, dat gegevens in transit een beschermingsniveau biedt dat past bij de classificatie die aan die informatie is toegewezen.

Met andere woorden: het beschermingsniveau moet overeenkomen met het niveau van kriticiteit en gevoeligheid van de verzonden informatie.

Bovendien specificeert Controle 5.14 dat organisaties overdrachtsovereenkomsten moeten ondertekenen met ontvangende derde partijen om een ​​veilige overdracht van gegevens te garanderen.

Controle 5.14 groepeert de soorten overdracht in drie categorieën:

• Elektronische overdracht
• Overdracht van fysieke opslagmedia
• Mondelinge overdracht

Voordat we verder gaan met het beschrijven van de specifieke vereisten voor elk type overdracht, somt Controle 5.14 de elementen op die moeten worden opgenomen in alle regels, procedures en overeenkomsten voor alle drie de soorten overdrachten in het algemeen:

• Organisaties moeten controles definiëren passend bij het classificatieniveau van de informatie om de informatie tijdens de overdracht te beschermen tegen ongeoorloofde toegang, wijziging, onderschepping, kopiëren, vernietiging en denial-of-service-aanvallen.
• Een organisatie moet de controle houden over de keten van controle terwijl deze onderweg is en moet controles definiëren en implementeren om de traceerbaarheid van informatie te garanderen.
• De relevante partijen die betrokken zijn bij de overdracht van informatie moeten worden gedefinieerd en hun contactgegevens moeten worden verstrekt. Dit kunnen informatie-eigenaren en beveiligingsfunctionarissen zijn.
• Toewijzing van aansprakelijkheden in geval van een datalek optreedt.
• Het gebruik van een etiketteersysteem.
• Zorgen voor de beschikbaarheid van de transferservice.
• Het creëren van onderwerpspecifieke richtlijnen over de methoden voor informatieoverdracht.
• Richtlijnen voor het opslaan en verwijderen van alle bedrijfsgegevens, inclusief berichten.
• Analyse van de impact die toepasselijke wet- en regelgeving of andere verplichtingen kunnen hebben op de overdracht.

Aanvullend richtsnoer voor elektronische overdracht

Na het opsommen van de minimale inhoudsvereisten voor regels, procedures en overeenkomsten die gemeenschappelijk zijn voor alle drie soorten overdrachten, somt Controle 5.14 specifieke inhoudsvereisten op voor elk type overdracht.

Regels, overeenkomsten en procedures moeten de volgende problemen aanpakken wanneer informatie elektronisch wordt overgedragen:

• Detectie en preventie van malware-aanvallen.
• Bescherming van gevoelige informatie in de overgedragen bijlagen.
• Ervoor zorgen dat alle communicatie naar de juiste ontvangers wordt verzonden en dat de risico dat berichten naar verkeerde e-mailadressen worden verzonden, adressen of telefoonnummers worden geëlimineerd.
• Het verkrijgen van voorafgaande toestemming voordat u openbare communicatiediensten gaat gebruiken.
• Het implementeren van strengere authenticatiemethoden wanneer gegevens via openbare netwerken worden verzonden.
• Het opleggen van beperkingen aan het gebruik van e-communicatiediensten, zoals het verbieden van automatisch doorsturen.
• Adviseer het personeel om geen korteberichten- of expresberichtendiensten te gebruiken om gevoelige gegevens te delen, omdat deze inhoud door onbevoegden in openbare ruimtes kan worden gezien.
• Het adviseren van medewerkers en andere relevante partijen over de problematiek veiligheidsrisico's die door faxmachines worden gepresenteerd, zoals het risico van ongeoorloofde toegang of het omleiden van berichten naar specifieke nummers.

Aanvullende richtlijnen voor overdracht van fysieke opslagmedia

Wanneer informatie wordt gedeeld via fysieke middelen zoals papieren, moeten de regels, procedures en overeenkomsten het volgende omvatten:

• Toewijzing van verantwoordelijkheden voor kennisgeving van verzending, verzending en ontvangst.
• Zorgdragen voor correcte adressering en transport van de boodschap.
• De verpakking elimineert het risico op schade aan de inhoud die kan ontstaan ​​tijdens het transport van de inhoud. De verpakking moet bijvoorbeeld goed genoeg zijn om niet te worden aangetast door hitte of vocht.
• Een lijst met betrouwbare koeriers, overeengekomen en geautoriseerd door het management.
• Beschrijving van koeriersidentificatienormen.
• Gebruik van manipulatiebestendige controlemiddelen, zoals tassen, als het niveau van gevoeligheid en kriticiteit van de informatie dit vereist.
• Procedures om ID's van koeriers te verifiëren.
• Goedgekeurde lijst van derde partijen die transport- of koeriersdiensten aanbieden, afhankelijk van het classificatieniveau.
• Logboeken bijhouden van het tijdstip van bezorging, een lijst met geautoriseerde ontvangers, toegepaste beveiligingen en ontvangst op de bestemming.

Aanvullend richtsnoer voor verbale overdracht

Controle 5.14 stelt dat wanneer personeel informatie uitwisselt binnen de organisatie of wanneer zij gegevens doorgeven aan externe partijen, zij op de hoogte moeten worden gesteld van de volgende risico’s:

• Ze moeten vermijden vertrouwelijke gesprekken te voeren via onveilige openbare kanalen of in openbare ruimtes.
• Ze mogen geen gesproken berichten achterlaten die vertrouwelijke informatie bevatten, gezien het risico van herhaling door onbevoegde personen en het risico dat het bericht wordt omgeleid naar derden.
• Elk individu, of het nu werknemers of andere relevante derde partijen zijn, moet worden gescreend voordat zij worden toegelaten om naar gesprekken te luisteren.
• Kamers waar vertrouwelijke gesprekken plaatsvinden, moeten worden uitgerust met passende maatregelen, zoals geluidsisolatie.
• Ze moeten een disclaimer geven voordat ze een gevoelig gesprek voeren.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022/5.14 vervangt 27002:2013/(13.2.1, 13.2.2. 13.2.3).

Hoewel de twee bedieningselementen tot op zekere hoogte vergelijkbaar zijn, maken twee belangrijke verschillen de vereisten van de 2022-versie zwaarder.

Specifieke vereisten voor elektrische, fysieke en verbale overdrachten

In de versie van 2013, sectie 13.2.3 rekening gehouden met de specifieke eisen voor de overdracht van informatie via elektronische berichtenuitwisseling.

Er werd echter niet afzonderlijk ingegaan op de overdracht van informatie via verbale of fysieke wijze.

De versie uit 2022 identificeert daarentegen duidelijk drie soorten informatieoverdracht en zet vervolgens voor elk ervan afzonderlijk de inhoudsvereisten uiteen.

Versie 2022 stelt strengere eisen voor elektronische overdracht

Waar in paragraaf 13.2.3 specifieke eisen stonden aan de inhoud van overeenkomsten voor elektronisch berichtenverkeer, legt Versie 2022 strengere verplichtingen op aan organisaties.

De 2022-versie vereist dat organisaties nieuwe controles beschrijven en implementeren in de regels, procedures en overeenkomsten voor elektronische overdrachten.

Organisaties moeten hun werknemers bijvoorbeeld adviseren geen sms-diensten te gebruiken als deze gevoelige informatie bevatten.

Meer gedetailleerde vereisten voor fysieke overdrachten

De 2022-versie stelt strengere eisen aan de overdracht van fysieke opslagmedia. De eisen zijn bijvoorbeeld uitgebreider met betrekking tot de authenticatie van koeriers en de soorten schade die moeten worden voorkomen.

Structurele veranderingen

In de versie uit 2013 werd expliciet verwezen naar specifieke eisen aan overeenkomsten voor informatieoverdracht. De 'Regels' en 'Procedures' kwamen echter niet specifiek aan bod.

In de versie van 2022 worden daarentegen de specifieke vereisten voor elk van deze drie mechanismen uiteengezet.

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

ISO 27002 implementatie is eenvoudiger met onze stapsgewijze checklist die u door het hele proces leidt, van het definiëren van de reikwijdte van uw ISMS tot risico-identificatie en controle-implementatie.

Neem vandaag nog contact op met boek een demo.