ISO 27002:2022 – Kontrolle 5.13 – Kennzeichnung von Informationen

Zweck der Kontrolle 5.13

5.13 ist eine vorbeugende Kontrolle schützt Informationsressourcen Schutz vor Sicherheitsrisiken, indem wir Organisationen dabei helfen, zwei unterschiedliche Ziele zu erreichen:

• Dies erleichtert den Nachweis des Klassifizierungsgrades, den jeder Informationswert erhält, wenn die Informationen intern und extern kommuniziert werden und wenn sie von Mitarbeitern und Dritten abgerufen und genutzt werden.
• Optimierung des Prozesses zur Automatisierung der Informationsverwaltung und -verarbeitung.

Kontrollattribute 5.13

Eigentum an der Kontrolle 5.13

In Anbetracht der Tatsache, dass das Hinzufügen von Metadaten zu digitalen Assets die wichtigste Methode zur Kennzeichnung von Informationsressourcen ist, müssen Metadatenverwalter für die ordnungsgemäße Umsetzung des Kennzeichnungsverfahrens verantwortlich sein.

Neben den Metadatenverwaltern sind Asset-Eigentümer mit Zugriffs- und Änderungsberechtigungen für die ordnungsgemäße Kennzeichnung aller Datenbestände verantwortlich und nehmen bei Bedarf erforderliche Änderungen an der Kennzeichnung vor.

Allgemeine Hinweise zur Einhaltung

Kontrolle 5.13 identifiziert vier spezifische Schritte, die Organisationen umsetzen sollten, um die Kennzeichnung von Informationen gemäß 5.13 durchzuführen.

Entwickeln und implementieren Sie ein Verfahren zur Informationskennzeichnung

Organisationen sollten ein organisationsweites Informationskennzeichnungsverfahren entwickeln, das dem gemäß Kontrolle 5.12 erstellten Informationsklassifizierungsschema entspricht.

Darüber hinaus verlangt 5.13, dass dieses Verfahren auf alle Informationsressourcen ausgeweitet wird, unabhängig davon, ob sie in digitaler oder Papierform vorliegen, und dass die Etiketten leicht zu erkennen sein müssen.

Obwohl es keine Begrenzung für den Inhalt dieses Verfahrensdokuments gibt, heißt es in der Regelung 5.13, dass die Verfahren mindestens Folgendes umfassen sollten:

• Beschreibung der Methoden zum Anbringen von Etiketten an Informationsressourcen abhängig vom Speichermedium und der Art des Datenzugriffs.
• Wo die Etiketten für jede Art von Informationsressource angebracht werden sollen.
• Welche Informationsressourcen werden ggf. nicht gekennzeichnet? Beispielsweise kann eine Organisation auf die Kennzeichnung öffentlicher Daten verzichten, um den Prozess der Informationskennzeichnung zu optimieren.
• Beschreibung von Maßnahmen für den Fall, dass eine Kennzeichnung bestimmter Arten von Informationen aufgrund technischer, rechtlicher oder vertraglicher Einschränkungen nicht möglich ist.
• Die Regeln, wie mit der Kennzeichnung von an interne oder externe Parteien übermittelten Informationen umzugehen ist.
• Bei digitalen Assets muss im Verfahren erläutert werden, wie die Metadaten eingefügt werden sollen.
• Namen von Labels, die für alle Assets verwendet werden sollen.

Bieten Sie Ihren Mitarbeitern angemessene Schulungen zur Einhaltung des Etikettierungsverfahrens an

Das Verfahren zur Kennzeichnung von Informationen kann nur dann wirksam sein, wenn das Personal und andere relevante Interessengruppen gut darüber informiert sind, wie Informationen korrekt gekennzeichnet werden und wie mit gekennzeichneten Informationsbeständen umgegangen wird.

Daher sollten Organisationen ihren Mitarbeitern und anderen relevanten Parteien Schulungen zum Verfahren anbieten.

Verwenden Sie Metadaten zur Kennzeichnung digitaler Informationsbestände

5.13 erfordert die Verwendung von Metadaten zur Kennzeichnung digitaler Informationsressourcen.

Darüber hinaus wird darauf hingewiesen, dass die Metadaten so bereitgestellt werden sollten, dass die Identifizierung und Suche nach Informationen einfach und effizient ist und dass der Entscheidungsprozess zwischen Systemen im Zusammenhang mit gekennzeichneten Informationen rationalisiert wird.

Ergreifen Sie zusätzliche Maßnahmen, um sensible Daten zu kennzeichnen, die möglicherweise aus dem System gelangen

In Anbetracht der Risiken, die mit der externen Übertragung sensibler Daten aus Systemen verbunden sind, empfiehlt 5.13 Organisationen, diese Informationsbestände mit denjenigen zu kennzeichnen, die dem Grad der Kritikalität und Sensibilität der betreffenden Informationen am besten entsprechen.

Ergänzende Leitlinien zur Kontrolle 5.13

In Abschnitt 5.13 wird hervorgehoben, dass die Identifizierung und genaue Kennzeichnung von Verschlusssachen für die Sicherheit von Datenaustauschvorgängen von entscheidender Bedeutung ist.

Zusätzlich zu den oben beschriebenen vier spezifischen Schritten empfiehlt 5.13 den Organisationen außerdem, zusätzliche Metadatenpunkte einzufügen, wie z. B. den Namen des Prozesses, der die Informationsressource erstellt hat, und den Zeitpunkt dieser Erstellung.

Darüber hinaus bezieht sich 5.13 auf die gängigen Kennzeichnungstechniken, die Organisationen implementieren können:

• Physische Etiketten
• Kopf- und Fußzeilen
• Metadaten
• Watermarking
• Stempel

Schließlich wird in Abschnitt 5.13 betont, dass die Kennzeichnung von Informationsbeständen als „vertraulich“ und „geheim“ unbeabsichtigte Folgen haben kann, da böswillige Akteure dadurch möglicherweise leichter sensible Informationsbestände durchsuchen und finden können.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/5.13 ersetzt 27002:2013/8.2.2 (Kennzeichnung von Informationen).

Obwohl die beiden Steuerelemente in gewissem Maße ähnlich sind, gibt es zwei wesentliche Unterschiede, die die Version 2022 umfassender machen.

Neue Anforderungen an die Verwendung von Metadaten

Während in der Version von 2013 Metadaten als Kennzeichnungstechnik bezeichnet wurden, sah sie keine spezifischen Compliance-Verpflichtungen bei der Verwendung von Metadaten vor.

Im Gegensatz dazu bringt die Version 2022 strenge Anforderungen an die Verwendung der Metadatentechnik mit sich. Zur Veranschaulichung: Die Version 2022 erfordert Folgendes:

• Metadaten werden Informationen auf eine Weise hinzugefügt, die es einfach macht, Informationen effizient zu identifizieren, zu verwalten und zu entdecken.
• Es sollten Metadaten für den Namen des Organisationsprozesses, der ein bestimmtes Asset erstellt hat, und seine Zeit eingefügt werden.

Der Inhalt des Informationskennzeichnungsverfahrens muss detaillierter sein

Im Gegensatz zur Version 2022 wurden in der Version 2013 nicht die Mindestinhalte festgelegt, die in einem Informationskennzeichnungsverfahren enthalten sein sollten.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

ISO 27002 Die Implementierung wird einfacher mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, von der Definition des Umfangs Ihres ISMS über die Risikoidentifizierung bis hin zur Kontrollimplementierung.

Unsere Plattform ist intuitiv und einfach zu bedienen. Es ist nicht nur etwas für hochtechnische Leute; Es ist für alle in Ihrer Organisation. Wir empfehlen Ihnen, Mitarbeiter auf allen Ebenen Ihres Unternehmens in den Aufbau Ihres Unternehmens einzubeziehen ISMS, denn das hilft Ihnen, ein wirklich nachhaltiges System aufzubauen.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.