ISO 27002:2022 – Controle 8.11 – Gegevensmaskering

Doel van de controle 8.11

Gegevensmaskering is een techniek die wordt gebruikt om gevoelige gegevens te beschermen – meestal alle gegevens die als persoonlijk identificeerbare informatie (PII) kunnen worden beschouwd – naast de standaard informatiebeveiligingsprotocollen van een organisatie, zoals toegangscontrole enz.

Het maskeren van gegevens wordt vaak genoemd in wettelijke, statutaire en regelgevende richtlijnen en wetten die de opslag en toegang van werknemers-, klant-, gebruikers- en leveranciersinformatie regelen.

Attributen Controletabel 8.11

Controle 8.11 is een preventieve controleer dat wijzigt het risico door een reeks gegevensmaskeringstechnieken voor te stellen die PII beschermen en de organisatie helpen te blijven voldoen aan wat juridische autoriteiten en regelgevende instanties van haar vragen.

Eigendom van zeggenschap 8.11

Het maskeren van gegevens is een complex technisch proces waarbij gevoelige informatie moet worden gewijzigd en waarmee wordt voorkomen dat gebruikers de betrokkenen kunnen identificeren door middel van een verscheidenheid aan maatregelen.

Hoewel dit op zichzelf een administratieve taak is, houdt de aard van het maskeren van gegevens rechtstreeks verband met het vermogen van een organisatie om te blijven voldoen aan wet- en regelgeving en wettelijke richtlijnen met betrekking tot de opslag, toegang en verwerking van gegevens. Als zodanig moet het eigendom bij de Chief Information Security Officer, of organisatorisch equivalent.

Algemene richtlijnen voor naleving

Controle 8.11 vraagt ​​organisaties om datamaskering te overwegen via de reikwijdte van twee hoofdtechnieken: pseudonimisering en / of anonimisering. Beide methoden zijn ontworpen om het ware doel van PII te verhullen door middel van disassociatie – dat wil zeggen het verbergen van de link tussen de onbewerkte gegevens en het onderwerp (meestal een persoon).

Organisaties moeten er goed op letten dat geen enkel stukje gegevens de identiteit van de betrokkene in gevaar brengt.

Bij het gebruik van een van deze technieken moeten organisaties rekening houden met het volgende:

1. Het vereiste niveau van pseudonimisering en/of anonimisering, in verhouding tot de aard van de gegevens.
2. Hoe toegang wordt verkregen tot de gemaskeerde gegevens.
3. Eventuele bindende afspraken die het gebruik van de gegevens beperken, moeten worden gemaskeerd.
4. Het gescheiden houden van de gemaskeerde gegevens van andere gegevenstypen, om te voorkomen dat de betrokkene gemakkelijk kan worden geïdentificeerd.
5. Vastleggen wanneer de gegevens zijn ontvangen en hoe deze aan interne of externe bronnen zijn verstrekt.

Begeleiding – Aanvullende technieken

Pseudonimisering en anonimisering zijn niet de enige methoden die beschikbaar zijn voor organisaties die PII of gevoelige gegevens willen maskeren. Control 8.11 schetst vijf andere methoden die kunnen worden gebruikt om de gegevensbeveiliging te versterken:

1. Op sleutels gebaseerde versleuteling.
2. Tekens binnen de gegevensset ongeldig maken of verwijderen.
3. Wisselende aantallen en data.
4. Waarden in de gegevens vervangen.
5. Op hash gebaseerde waardemaskering.

Richtlijnen – Principes voor gegevensmaskering

Het maskeren van gegevens is een belangrijk onderdeel van het beleid van een organisatie om PII te beschermen en de identiteit te beschermen van de personen over wie gegevens worden bewaard.

Naast de bovenstaande technieken moeten organisaties ook de onderstaande suggesties in overweging nemen bij het bepalen van hun strategie voor het maskeren van gegevens:

1. Implementeer maskeringstechnieken die alleen de minimale hoeveelheid gegevens voor iedereen die het gebruikt.
2. Het ‘verduisteren’ (verbergen) van bepaalde gegevens op verzoek van de betrokkene en het alleen bepaalde personeelsleden toegang geven tot de voor hen relevante onderdelen.
3. Hun datamaskeringsoperatie opbouwen rond specifieke wettelijke en regelgevende richtlijnen.
4. Wanneer pseudonimisering wordt toegepast, wordt het algoritme dat wordt gebruikt om de gegevens te ‘ontmaskeren’ veilig gehouden.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

Geen. Controle 8.11 heeft geen precedent in ISO 27002:2013 omdat het nieuw is.

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

Ons cloudgebaseerde platform biedt u een robuust raamwerk van informatiebeveiligingscontroles, zodat u uw ISMS-proces kunt controleren terwijl u bezig bent om er zeker van te zijn dat het voldoet aan de vereisten van ISO 27002:2022.

Neem vandaag nog contact op met boek een demo.