Zweck der Kontrolle 5.14
Kontrolle 5.14 ist eine präventive Art der Kontrolle, die von Organisationen verlangt, geeignete Regeln, Verfahren und/oder Vereinbarungen einzuführen, um die Sicherheit von Daten zu gewährleisten, wenn diese innerhalb einer Organisation geteilt oder an Dritte übermittelt werden.
Kontrollattribute 5.14
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #Vermögensverwaltung | #Schutz |
| #Integrität | #Informationsschutz | |||
| #Verfügbarkeit |
Eigentum an der Kontrolle 5.14
Während die Entwicklung und Umsetzung von Regeln, Verfahren und Vereinbarungen die Unterstützung und Genehmigung der obersten Führungsebene erfordert, ist die Zusammenarbeit und das Fachwissen verschiedener Interessengruppen innerhalb einer Organisation, einschließlich der Rechtsabteilung, der IT-Mitarbeiter und der oberen Führungsebene, von entscheidender Bedeutung .
Beispielsweise sollte die Rechtsabteilung sicherstellen, dass die Organisation Transfervereinbarungen mit Dritten abschließt und dass diese Vereinbarungen den in Kontrolle 5.14 festgelegten Anforderungen entsprechen. Ebenso sollte sich das IT-Team aktiv an der Definition und Implementierung von Kontrollen beteiligen, um die Datensicherheit gemäß 5.14 zu gewährleisten.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Allgemeine Leitlinien zur Kontrolle 5.14
Die Einhaltung von 5.14 erfordert die Entwicklung von Regeln, Verfahren und Vereinbarungen, einschließlich einer themenspezifischen Informationsübertragungsrichtlinie, die den übertragenen Daten ein Schutzniveau bietet, das der diesen Informationen zugewiesenen Klassifizierung entspricht.
Mit anderen Worten: Das Schutzniveau sollte dem Grad der Kritikalität und Sensibilität der übermittelten Informationen entsprechen.
Darüber hinaus legt Control 5.14 fest, dass Organisationen Übertragungsvereinbarungen mit Empfänger-Drittparteien unterzeichnen müssen, um eine sichere Datenübertragung zu gewährleisten.
Control 5.14 gruppiert die Übertragungsarten in drei Kategorien:
- Elektronische Übertragung
- Übertragung physischer Speichermedien
- Mündliche Übertragung
Bevor mit der Beschreibung der spezifischen Anforderungen für jede Art von Übertragung fortgefahren wird, listet Control 5.14 die Elemente auf, die in allen Regeln, Verfahren und Vereinbarungen für alle drei Arten von Übertragungen im Allgemeinen enthalten sein müssen:
- Organisationen müssen Kontrollen definieren der Klassifizierungsebene angemessen sein der Informationen, um die übertragenen Informationen vor unbefugtem Zugriff, Änderung, Abfangen, Kopieren, Zerstörung und Denial-of-Service-Angriffen zu schützen.
- Eine Organisation muss während des Transports die Kontrolle über die Produktkette behalten und Kontrollen definieren und implementieren, um die Rückverfolgbarkeit von Informationen sicherzustellen.
- Relevante Parteien, die an der Informationsübermittlung beteiligt sind, sollten definiert und ihre Kontaktdaten angegeben werden. Dazu können Informationseigentümer und Sicherheitsbeauftragte gehören.
- Zuweisung von Haftung im Falle einer Datenschutzverletzung tritt ein.
- Verwendung eines Etikettiersystems.
- Sicherstellung der Verfügbarkeit des Transferdienstes.
- Erstellung themenspezifischer Richtlinien zu den Methoden der Informationsvermittlung.
- Richtlinien für die Speicherung und Löschung aller Geschäftsunterlagen, einschließlich Nachrichten.
- Analyse der Auswirkungen, die geltende Gesetze, Vorschriften oder andere Verpflichtungen auf die Übertragung haben können.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Ergänzende Anleitung zur elektronischen Übertragung
Nach der Auflistung der Mindestinhaltsanforderungen für Regeln, Verfahren und Vereinbarungen, die für alle drei Übertragungsarten gelten, listet Control 5.14 spezifische Inhaltsanforderungen für jede Übertragungsart auf.
Regeln, Vereinbarungen und Verfahren sollten die folgenden Probleme bei der elektronischen Übermittlung von Informationen berücksichtigen:
- Erkennung und Abwehr von Malware-Angriffen.
- Schutz vertraulicher Informationen, die in den übertragenen Anhängen enthalten sind.
- Sicherstellen, dass alle Mitteilungen an die richtigen Empfänger gesendet werden Risiko, Mitteilungen an falsche E-Mail-Adressen zu senden, Adressen oder Telefonnummern werden eliminiert.
- Vor Beginn der Nutzung öffentlicher Kommunikationsdienste ist die vorherige Genehmigung einzuholen.
- Implementierung strengerer Authentifizierungsmethoden bei der Datenübertragung über öffentliche Netzwerke.
- Einführung von Einschränkungen bei der Nutzung elektronischer Kommunikationsdienste, beispielsweise das Verbot der automatischen Weiterleitung.
- Weisen Sie das Personal darauf hin, keine Kurznachrichten- oder Instant-Message-Dienste zur Weitergabe vertraulicher Daten zu nutzen, da diese Inhalte möglicherweise von Unbefugten im öffentlichen Raum eingesehen werden.
- Beratung des Personals und anderer relevanter Parteien zu diesem Thema Sicherheitsrisiken Risiken, die Faxgeräte mit sich bringen, wie z. B. das Risiko eines unbefugten Zugriffs oder der Umleitung von Nachrichten an bestimmte Nummern.
Ergänzende Anleitung zur Übertragung physischer Speichermedien
Wenn Informationen über physische Mittel wie Papiere weitergegeben werden, sollten die Regeln, Verfahren und Vereinbarungen Folgendes abdecken:
- Zuweisung der Verantwortlichkeiten für die Benachrichtigung über Übermittlung, Versand und Empfang.
- Sicherstellung der korrekten Adressierung und Übermittlung der Nachricht.
- Die Verpackung eliminiert das Risiko einer Beschädigung des Inhalts, die beim Transport des Inhalts entstehen kann. Beispielsweise sollte die Verpackung so gut sein, dass sie nicht durch Hitze oder Feuchtigkeit beeinträchtigt wird.
- Eine Liste zuverlässiger Kuriere, die von der Geschäftsleitung genehmigt und autorisiert wurden.
- Beschreibung der Standards zur Kurieridentifizierung.
- Verwendung manipulationssicherer Kontrollen wie Taschen, wenn der Grad der Sensibilität und Kritikalität der Informationen dies erfordert.
- Verfahren zur Überprüfung der Identität von Kurieren.
- Genehmigte Liste von Drittanbietern, die je nach Klassifizierungsstufe Transport- oder Kurierdienste anbieten.
- Führen Sie Protokollaufzeichnungen über den Zeitpunkt der Lieferung, die Liste der autorisierten Empfänger, die angewendeten Schutzmaßnahmen und den Empfang am Bestimmungsort.
Ergänzende Anleitung zur mündlichen Übertragung
Control 5.14 besagt, dass Mitarbeiter beim Austausch von Informationen innerhalb der Organisation oder bei der Übermittlung von Daten an externe Parteien über die folgenden Risiken informiert werden sollten:
- Sie sollten vertrauliche Gespräche über unsichere öffentliche Kanäle oder im öffentlichen Raum vermeiden.
- Sie sollten keine Sprachnachrichten hinterlassen, die vertrauliche Informationen enthalten, da das Risiko einer Wiedergabe durch Unbefugte und das Risiko einer Weiterleitung der Nachricht besteht dritte seite.
- Jede Person, ob Mitarbeiter oder andere relevante Dritte, sollte überprüft werden, bevor sie den Gesprächen zuhören darf.
- Räume, in denen vertrauliche Gespräche stattfinden, sollten mit entsprechenden Maßnahmen wie Schallschutz ausgestattet sein.
- Sie sollten eine Haftungsausschlusserklärung abgeben, bevor sie ein sensibles Gespräch führen.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27002:2013
27002:2022/5.14 ersetzt 27002:2013/(13.2.1, 13.2.2. 13.2.3).
Obwohl die beiden Steuerelemente in gewissem Maße ähnlich sind, machen zwei wesentliche Unterschiede die Anforderungen der Version 2022 anspruchsvoller.
Spezifische Anforderungen für elektrische, physische und verbale Übertragungen
In der Version 2013 Abschnitt 13.2.3 auf die spezifischen Anforderungen eingegangen für die Übermittlung von Informationen per elektronischer Nachrichtenübermittlung.
Es wurde jedoch nicht gesondert auf die mündliche oder physische Übermittlung von Informationen eingegangen.
Im Gegensatz dazu identifiziert die Version 2022 klar drei Arten der Informationsübermittlung und legt dann die inhaltlichen Anforderungen für jede davon separat fest.
Die Version 2022 stellt strengere Anforderungen für die elektronische Übertragung
Während Abschnitt 13.2.3 spezifische Anforderungen an den Inhalt von Vereinbarungen zur elektronischen Nachrichtenübermittlung enthielt, erlegt die Version 2022 strengere Verpflichtungen für Organisationen auf.
Die Version 2022 verlangt von Organisationen, neue Kontrollen in den Regeln, Verfahren und Vereinbarungen für elektronische Überweisungen zu beschreiben und zu implementieren.
Beispielsweise sollten Organisationen ihren Mitarbeitern raten, SMS-Dienste nicht zu nutzen, wenn diese vertrauliche Informationen enthalten.
Detailliertere Anforderungen für physische Übertragungen
Die Version 2022 stellt strengere Anforderungen an die Übertragung physischer Speichermedien. Die Anforderungen sind beispielsweise umfassender im Hinblick auf die Authentifizierung von Kurieren und die Arten von Schäden, die verhindert werden sollten.
Strukturelle Veränderungen
In der Fassung von 2013 wurde ausdrücklich auf konkrete Anforderungen an Vereinbarungen zur Informationsübermittlung hingewiesen. Auf die „Regeln“ und „Verfahren“ wurde jedoch nicht speziell eingegangen.
Im Gegensatz dazu legt die Version 2022 die spezifischen Anforderungen für jeden dieser drei Mechanismen fest.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
ISO 27002 Die Implementierung wird einfacher mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, von der Definition des Umfangs Ihres ISMS über die Risikoidentifizierung bis hin zur Kontrollimplementierung.
Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.
