ISO 27002:2022 – Kontrolle 8.11 – Datenmaskierung

Zweck der Kontrolle 8.11

Bei der Datenmaskierung handelt es sich um eine Technik zum Schutz sensibler Daten – in der Regel alle Daten, die als personenbezogene Daten (PII) gelten könnten –, die über die standardmäßigen Informationssicherheitsprotokolle einer Organisation wie Zugriffskontrolle usw. hinausgehen.

Datenmaskierung wird häufig in gesetzlichen, gesetzlichen und behördlichen Richtlinien und Gesetzen erwähnt, die die Speicherung und den Zugriff auf Mitarbeiter-, Kunden-, Benutzer- und Lieferanteninformationen regeln.

Attributtabelle der Steuerung 8.11

Kontrolle 8.11 ist ein vorbeugend Kontrolliere das verändert das Risiko durch den Vorschlag einer Reihe von Datenmaskierungstechniken, die personenbezogene Daten schützen und der Organisation dabei helfen, die Anforderungen der Justizbehörden und Aufsichtsbehörden einzuhalten.

Eigentum an der Kontrolle 8.11

Bei der Datenmaskierung handelt es sich um einen komplexen technischen Prozess, bei dem vertrauliche Informationen verändert und Benutzer durch verschiedene Maßnahmen daran gehindert werden, betroffene Personen zu identifizieren.

Obwohl es sich dabei selbst um eine Verwaltungsaufgabe handelt, hängt die Art der Datenmaskierung direkt mit der Fähigkeit einer Organisation zusammen, Gesetze, Vorschriften und gesetzliche Richtlinien bezüglich der Speicherung, des Zugriffs und der Verarbeitung von Daten einzuhalten. Daher sollte das Eigentum bei dem liegen Chief Information Security Officeroder ein organisatorisches Äquivalent.

Allgemeine Richtlinien zur Compliance

Control 8.11 fordert Unternehmen auf, die Datenmaskierung im Rahmen von zwei Haupttechniken in Betracht zu ziehen: Pseudonymisierung und / oder Anonymisierung. Beide Methoden zielen darauf ab, den wahren Zweck personenbezogener Daten durch Dissoziation zu verschleiern – d. h. die Verbindung zwischen den Rohdaten und dem Subjekt (in der Regel eine Person) zu verbergen.

Organisationen sollten große Sorgfalt darauf verwenden, sicherzustellen, dass kein einzelnes Datenelement die Identität der Person gefährdet.

Beim Einsatz einer dieser Techniken sollten Unternehmen Folgendes berücksichtigen:

1. Der erforderliche Grad der Pseudonymisierung und/oder Anonymisierung im Verhältnis zur Art der Daten.
2. Wie auf die maskierten Daten zugegriffen wird.
3. Eventuell verbindliche Vereinbarungen, die die Nutzung der zu maskierenden Daten einschränken.
4. Die maskierten Daten werden von allen anderen Datentypen getrennt gehalten, um eine einfache Identifizierung der betroffenen Person zu verhindern.
5. Protokollierung, wann die Daten empfangen wurden und wie sie an interne oder externe Quellen bereitgestellt wurden.

Anleitung – Zusätzliche Techniken

Pseudonymisierung und Anonymisierung sind nicht die einzigen Methoden, die Unternehmen zur Verfügung stehen, um personenbezogene Daten oder sensible Daten zu verschleiern. Control 8.11 beschreibt fünf weitere Methoden, die zur Verbesserung der Datensicherheit eingesetzt werden können:

1. Schlüsselbasierte Verschlüsselung.
2. Annullieren oder Löschen von Zeichen im Datensatz.
3. Unterschiedliche Zahlen und Daten.
4. Ersetzen von Werten in den Daten.
5. Hash-basierte Wertmaskierung.

Leitfaden – Grundsätze der Datenmaskierung

Die Datenmaskierung ist ein wichtiger Bestandteil der Richtlinien einer Organisation zum Schutz personenbezogener Daten und zum Schutz der Identität der Personen, über die sie Daten speichert.

Zusätzlich zu den oben genannten Techniken sollten Unternehmen die folgenden Vorschläge berücksichtigen, wenn sie ihren Ansatz zur Datenmaskierung strategisch entwickeln:

1. Implementieren Sie Maskierungstechniken, die nur das offenbaren minimale Datenmenge an jeden, der es nutzt.
2. „Verschleierung“ (Verstecken) bestimmter Daten auf Wunsch des Betroffenen und Gestatten nur bestimmten Mitarbeitern den Zugriff auf die Abschnitte, die für sie relevant sind.
3. Aufbau ihres Datenmaskierungsvorgangs anhand spezifischer gesetzlicher und behördlicher Richtlinien.
4. Wenn eine Pseudonymisierung implementiert wird, wird der Algorithmus, der zur „Demaskierung“ der Daten verwendet wird, sicher aufbewahrt.

Änderungen und Unterschiede zu ISO 27002:2013

Keiner. Control 8.11 hat in ISO 27002:2013 keinen Präzedenzfall, da es neu ist.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

Unsere cloudbasierte Plattform bietet Ihnen ein robustes Rahmenwerk für Informationssicherheitskontrollen, sodass Sie Ihren ISMS-Prozess unterwegs überprüfen können, um sicherzustellen, dass er die Anforderungen von ISO 27002:2022 erfüllt.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.