ISO 27002:2022, Kontrolle 5.14 – Informationsübertragung

Allgemeine Leitlinien zur Kontrolle 5.14

Die Einhaltung von 5.14 erfordert die Entwicklung von Regeln, Verfahren und Vereinbarungen, einschließlich einer themenspezifischen Informationsübertragungsrichtlinie, die den übertragenen Daten ein Schutzniveau bietet, das der diesen Informationen zugewiesenen Klassifizierung entspricht.

Mit anderen Worten: Das Schutzniveau sollte dem Grad der Kritikalität und Sensibilität der übermittelten Informationen entsprechen.

Darüber hinaus legt Control 5.14 fest, dass Organisationen Übertragungsvereinbarungen mit Empfänger-Drittparteien unterzeichnen müssen, um eine sichere Datenübertragung zu gewährleisten.

Control 5.14 gruppiert die Übertragungsarten in drei Kategorien:

• Elektronische Übertragung
• Übertragung physischer Speichermedien
• Mündliche Übertragung

Bevor mit der Beschreibung der spezifischen Anforderungen für jede Art von Übertragung fortgefahren wird, listet Control 5.14 die Elemente auf, die in allen Regeln, Verfahren und Vereinbarungen für alle drei Arten von Übertragungen im Allgemeinen enthalten sein müssen:

• Organisationen müssen Kontrollen definieren der Klassifizierungsebene angemessen sein der Informationen, um die übertragenen Informationen vor unbefugtem Zugriff, Änderung, Abfangen, Kopieren, Zerstörung und Denial-of-Service-Angriffen zu schützen.
• Eine Organisation muss während des Transports die Kontrolle über die Produktkette behalten und Kontrollen definieren und implementieren, um die Rückverfolgbarkeit von Informationen sicherzustellen.
• Relevante Parteien, die an der Informationsübermittlung beteiligt sind, sollten definiert und ihre Kontaktdaten angegeben werden. Dazu können Informationseigentümer und Sicherheitsbeauftragte gehören.
• Zuweisung von Haftung im Falle einer Datenschutzverletzung tritt ein.
• Verwendung eines Etikettiersystems.
  

• Sicherstellung der Verfügbarkeit des Transferdienstes.
• Erstellung themenspezifischer Richtlinien zu den Methoden der Informationsvermittlung.
• Richtlinien für die Speicherung und Löschung aller Geschäftsunterlagen, einschließlich Nachrichten.
  

• Analyse der Auswirkungen, die geltende Gesetze, Vorschriften oder andere Verpflichtungen auf die Übertragung haben können.

Ergänzende Anleitung zur elektronischen Übertragung

Nach der Auflistung der Mindestinhaltsanforderungen für Regeln, Verfahren und Vereinbarungen, die für alle drei Übertragungsarten gelten, listet Control 5.14 spezifische Inhaltsanforderungen für jede Übertragungsart auf.

Regeln, Vereinbarungen und Verfahren sollten die folgenden Probleme bei der elektronischen Übermittlung von Informationen berücksichtigen:

• Erkennung und Abwehr von Malware-Angriffen.
• Schutz vertraulicher Informationen, die in den übertragenen Anhängen enthalten sind.
• Sicherstellen, dass alle Mitteilungen an die richtigen Empfänger gesendet werden Risiko, Mitteilungen an falsche E-Mail-Adressen zu senden, Adressen oder Telefonnummern werden eliminiert.
• Vor Beginn der Nutzung öffentlicher Kommunikationsdienste ist die vorherige Genehmigung einzuholen.
  

• Implementierung strengerer Authentifizierungsmethoden bei der Datenübertragung über öffentliche Netzwerke.
• Einführung von Einschränkungen bei der Nutzung elektronischer Kommunikationsdienste, beispielsweise das Verbot der automatischen Weiterleitung.
• Weisen Sie das Personal darauf hin, keine Kurznachrichten- oder Instant-Message-Dienste zur Weitergabe vertraulicher Daten zu nutzen, da diese Inhalte möglicherweise von Unbefugten im öffentlichen Raum eingesehen werden.
• Beratung des Personals und anderer relevanter Parteien zu diesem Thema Sicherheitsrisiken Risiken, die Faxgeräte mit sich bringen, wie z. B. das Risiko eines unbefugten Zugriffs oder der Umleitung von Nachrichten an bestimmte Nummern.

Ergänzende Anleitung zur Übertragung physischer Speichermedien

Wenn Informationen über physische Mittel wie Papiere weitergegeben werden, sollten die Regeln, Verfahren und Vereinbarungen Folgendes abdecken:

• Zuweisung der Verantwortlichkeiten für die Benachrichtigung über Übermittlung, Versand und Empfang.
• Sicherstellung der korrekten Adressierung und Übermittlung der Nachricht.
• Die Verpackung eliminiert das Risiko einer Beschädigung des Inhalts, die beim Transport des Inhalts entstehen kann. Beispielsweise sollte die Verpackung so gut sein, dass sie nicht durch Hitze oder Feuchtigkeit beeinträchtigt wird.
• Eine Liste zuverlässiger Kuriere, die von der Geschäftsleitung genehmigt und autorisiert wurden.
• Beschreibung der Standards zur Kurieridentifizierung.
• Verwendung manipulationssicherer Kontrollen wie Taschen, wenn der Grad der Sensibilität und Kritikalität der Informationen dies erfordert.
• Verfahren zur Überprüfung der Identität von Kurieren.
• Genehmigte Liste von Drittanbietern, die je nach Klassifizierungsstufe Transport- oder Kurierdienste anbieten.
• Führen Sie Protokollaufzeichnungen über den Zeitpunkt der Lieferung, die Liste der autorisierten Empfänger, die angewendeten Schutzmaßnahmen und den Empfang am Bestimmungsort.

Ergänzende Anleitung zur mündlichen Übertragung

Control 5.14 besagt, dass Mitarbeiter beim Austausch von Informationen innerhalb der Organisation oder bei der Übermittlung von Daten an externe Parteien über die folgenden Risiken informiert werden sollten:

• Sie sollten vertrauliche Gespräche über unsichere öffentliche Kanäle oder im öffentlichen Raum vermeiden.
• Sie sollten keine Sprachnachrichten hinterlassen, die vertrauliche Informationen enthalten, da das Risiko einer Wiedergabe durch Unbefugte und das Risiko einer Weiterleitung der Nachricht besteht dritte seite.
• Jede Person, ob Mitarbeiter oder andere relevante Dritte, sollte überprüft werden, bevor sie den Gesprächen zuhören darf.
• Räume, in denen vertrauliche Gespräche stattfinden, sollten mit entsprechenden Maßnahmen wie Schallschutz ausgestattet sein.
• Sie sollten eine Haftungsausschlusserklärung abgeben, bevor sie ein sensibles Gespräch führen.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/5.14 ersetzt 27002:2013/(13.2.1, 13.2.2. 13.2.3).

Obwohl die beiden Steuerelemente in gewissem Maße ähnlich sind, machen zwei wesentliche Unterschiede die Anforderungen der Version 2022 anspruchsvoller.

Spezifische Anforderungen für elektrische, physische und verbale Übertragungen

In der Version 2013 Abschnitt 13.2.3 auf die spezifischen Anforderungen eingegangen für die Übermittlung von Informationen per elektronischer Nachrichtenübermittlung.

Es wurde jedoch nicht gesondert auf die mündliche oder physische Übermittlung von Informationen eingegangen.

Im Gegensatz dazu identifiziert die Version 2022 klar drei Arten der Informationsübermittlung und legt dann die inhaltlichen Anforderungen für jede davon separat fest.

Die Version 2022 stellt strengere Anforderungen für die elektronische Übertragung

Während Abschnitt 13.2.3 spezifische Anforderungen an den Inhalt von Vereinbarungen zur elektronischen Nachrichtenübermittlung enthielt, erlegt die Version 2022 strengere Verpflichtungen für Organisationen auf.

Die Version 2022 verlangt von Organisationen, neue Kontrollen in den Regeln, Verfahren und Vereinbarungen für elektronische Überweisungen zu beschreiben und zu implementieren.

Beispielsweise sollten Organisationen ihren Mitarbeitern raten, SMS-Dienste nicht zu nutzen, wenn diese vertrauliche Informationen enthalten.

Detailliertere Anforderungen für physische Übertragungen

Die Version 2022 stellt strengere Anforderungen an die Übertragung physischer Speichermedien. Die Anforderungen sind beispielsweise umfassender im Hinblick auf die Authentifizierung von Kurieren und die Arten von Schäden, die verhindert werden sollten.

Strukturelle Veränderungen

In der Fassung von 2013 wurde ausdrücklich auf konkrete Anforderungen an Vereinbarungen zur Informationsübermittlung hingewiesen. Auf die „Regeln“ und „Verfahren“ wurde jedoch nicht speziell eingegangen.

Im Gegensatz dazu legt die Version 2022 die spezifischen Anforderungen für jeden dieser drei Mechanismen fest.

Wie ISMS.online hilft

ISO 27002 Die Implementierung wird einfacher mit unserer Schritt-für-Schritt-Checkliste, die Sie durch den gesamten Prozess führt, von der Definition des Umfangs Ihres ISMS über die Risikoidentifizierung bis hin zur Kontrollimplementierung.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.