Zweck der Kontrolle 8.11
Bei der Datenmaskierung handelt es sich um eine Technik zum Schutz sensibler Daten – in der Regel alle Daten, die als personenbezogene Daten (PII) gelten könnten –, die über die standardmäßigen Informationssicherheitsprotokolle einer Organisation wie Zugriffskontrolle usw. hinausgehen.
Datenmaskierung wird häufig in gesetzlichen, gesetzlichen und behördlichen Richtlinien und Gesetzen erwähnt, die die Speicherung und den Zugriff auf Mitarbeiter-, Kunden-, Benutzer- und Lieferanteninformationen regeln.
Attributtabelle der Steuerung 8.11
Kontrolle 8.11 ist ein vorbeugend Kontrolliere das verändert das Risiko durch den Vorschlag einer Reihe von Datenmaskierungstechniken, die personenbezogene Daten schützen und der Organisation dabei helfen, die Anforderungen der Justizbehörden und Aufsichtsbehörden einzuhalten.
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #Informationsschutz | #Schutz |
Eigentum an der Kontrolle 8.11
Bei der Datenmaskierung handelt es sich um einen komplexen technischen Prozess, bei dem vertrauliche Informationen verändert und Benutzer durch verschiedene Maßnahmen daran gehindert werden, betroffene Personen zu identifizieren.
Obwohl es sich dabei selbst um eine Verwaltungsaufgabe handelt, hängt die Art der Datenmaskierung direkt mit der Fähigkeit einer Organisation zusammen, Gesetze, Vorschriften und gesetzliche Richtlinien bezüglich der Speicherung, des Zugriffs und der Verarbeitung von Daten einzuhalten. Daher sollte das Eigentum bei dem liegen Chief Information Security Officeroder ein organisatorisches Äquivalent.
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Allgemeine Richtlinien zur Compliance
Control 8.11 fordert Unternehmen auf, die Datenmaskierung im Rahmen von zwei Haupttechniken in Betracht zu ziehen: Pseudonymisierung und / oder Anonymisierung. Beide Methoden zielen darauf ab, den wahren Zweck personenbezogener Daten durch Dissoziation zu verschleiern – d. h. die Verbindung zwischen den Rohdaten und dem Subjekt (in der Regel eine Person) zu verbergen.
Organisationen sollten große Sorgfalt darauf verwenden, sicherzustellen, dass kein einzelnes Datenelement die Identität der Person gefährdet.
Beim Einsatz einer dieser Techniken sollten Unternehmen Folgendes berücksichtigen:
- Der erforderliche Grad der Pseudonymisierung und/oder Anonymisierung im Verhältnis zur Art der Daten.
- Wie auf die maskierten Daten zugegriffen wird.
- Eventuell verbindliche Vereinbarungen, die die Nutzung der zu maskierenden Daten einschränken.
- Die maskierten Daten werden von allen anderen Datentypen getrennt gehalten, um eine einfache Identifizierung der betroffenen Person zu verhindern.
- Protokollierung, wann die Daten empfangen wurden und wie sie an interne oder externe Quellen bereitgestellt wurden.
Anleitung – Zusätzliche Techniken
Pseudonymisierung und Anonymisierung sind nicht die einzigen Methoden, die Unternehmen zur Verfügung stehen, um personenbezogene Daten oder sensible Daten zu verschleiern. Control 8.11 beschreibt fünf weitere Methoden, die zur Verbesserung der Datensicherheit eingesetzt werden können:
- Schlüsselbasierte Verschlüsselung.
- Annullieren oder Löschen von Zeichen im Datensatz.
- Unterschiedliche Zahlen und Daten.
- Ersetzen von Werten in den Daten.
- Hash-basierte Wertmaskierung.
Leitfaden – Grundsätze der Datenmaskierung
Die Datenmaskierung ist ein wichtiger Bestandteil der Richtlinien einer Organisation zum Schutz personenbezogener Daten und zum Schutz der Identität der Personen, über die sie Daten speichert.
Zusätzlich zu den oben genannten Techniken sollten Unternehmen die folgenden Vorschläge berücksichtigen, wenn sie ihren Ansatz zur Datenmaskierung strategisch entwickeln:
- Implementieren Sie Maskierungstechniken, die nur das offenbaren minimale Datenmenge an jeden, der es nutzt.
- „Verschleierung“ (Verstecken) bestimmter Daten auf Wunsch des Betroffenen und Gestatten nur bestimmten Mitarbeitern den Zugriff auf die Abschnitte, die für sie relevant sind.
- Aufbau ihres Datenmaskierungsvorgangs anhand spezifischer gesetzlicher und behördlicher Richtlinien.
- Wenn eine Pseudonymisierung implementiert wird, wird der Algorithmus, der zur „Demaskierung“ der Daten verwendet wird, sicher aufbewahrt.
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27002:2013
Keiner. Control 8.11 hat in ISO 27002:2013 keinen Präzedenzfall, da es neu ist.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
Unsere cloudbasierte Plattform bietet Ihnen ein robustes Rahmenwerk für Informationssicherheitskontrollen, sodass Sie Ihren ISMS-Prozess unterwegs überprüfen können, um sicherzustellen, dass er die Anforderungen von ISO 27002:2022 erfüllt.
Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.
