Zweck der Kontrolle 8.12
Unter Datenlecks versteht man allgemein alle Informationen, die von unbefugtem internem und externem Personal und Systemen abgerufen, übertragen oder extrahiert werden, oder von böswilligen Quellen, die auf den Informationsbetrieb einer Organisation abzielen.
Datenlecks sind ein häufiges Problem in Organisationen, die große Datenmengen unterschiedlicher Klassifizierung über mehrere eigenständige und verbundene IKT-Systeme, Anwendungen und Dateiserver hinweg verarbeiten.
Attributtabelle der Steuerung 8.12
Control 8.12 dient zwei Zwecken vorbeugend und Detektiv Kontrolliere das verändert das Risiko durch die Implementierung technischer Maßnahmen, die die Offenlegung und/oder Extraktion von Informationen durch internes und/oder externes Personal oder logische Systeme proaktiv erkennen und verhindern.
| Steuerungstyp | Eigenschaften der Informationssicherheit | Cybersicherheitskonzepte | Operative Fähigkeiten | Sicherheitsdomänen |
|---|---|---|---|---|
| #Präventiv | #Vertraulichkeit | #Schützen | #Informationsschutz | #Schutz |
| #Detektiv | #Erkennen | #Verteidigung |
Eigentum an der Kontrolle 8.12
Control 8.12 befasst sich mit IKT-Vorgängen, die über Systemadministratorzugriff ausgeführt werden und unter das Dach der Netzwerkverwaltung und -wartung fallen. Daher sollte die Verantwortung für Control 8.12 beim IT-Leiter oder einer gleichwertigen Organisation liegen.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Allgemeine Richtlinien zur Compliance
Es ist schwierig, Datenlecks vollständig zu beseitigen. Um die mit ihrem Betrieb verbundenen Risiken zu minimieren, sollten Organisationen jedoch Folgendes tun:
- Klassifizieren Sie Daten nach anerkannten Industriestandards (PII, kommerzielle Daten, Produktinformationen), um unterschiedliche Risikostufen pauschal zuzuordnen.
- Überwachen Sie bekannte Datenkanäle, die stark genutzt werden und anfällig für Lecks sind (z. B. E-Mails, interne und externe Dateiübertragungen, USB-Geräte), genau.
- Ergreifen Sie proaktive Maßnahmen, um zu verhindern, dass Daten verloren gehen (z. B. robuste Dateiberechtigungen und angemessene Autorisierungstechniken).
- Beschränken Sie die Möglichkeit eines Benutzers, Daten (sofern zutreffend) auf und von bestimmten Plattformen und Systemen zu kopieren und einzufügen.
- Fordern Sie vor der Durchführung von Massenexporten die Genehmigung des Dateneigentümers an.
- Erwägen Sie, Benutzer daran zu hindern, Screenshots zu machen oder Monitore zu fotografieren, auf denen geschützte Datentypen angezeigt werden.
- Verschlüsseln Sie Backups, die vertrauliche Informationen enthalten.
- Formulieren Sie Gateway-Sicherheitsmaßnahmen und Maßnahmen zur Verhinderung von Lecks, die vor externen Faktoren wie (aber nicht beschränkt auf) Industriespionage, Sabotage, kommerzieller Einmischung und/oder IP-Diebstahl schützen.
Die Verhinderung von Datenlecks ist mit zahlreichen anderen ISO-Sicherheitsrichtlinien verbunden, die darauf abzielen, Informationen und Daten im gesamten Netzwerk einer Organisation zu schützen, einschließlich Zugriffskontrollmaßnahmen (siehe Kontrolle 5.12) und sicherer Dokumentenverwaltung (siehe Kontrolle 5.15).
Leitfaden – Datenleck-Tools
Unternehmen sollten den Einsatz spezieller Datenleck-Tools und Hilfsprogramme in Betracht ziehen, die:
- Arbeiten Sie mit dem Ansatz der Organisation zur Datenklassifizierung zusammen und identifizieren Sie das Potenzial für Datenlecks bei Datentypen mit hohem Risiko.
- Erkennen und proaktive Warnung bei der Übertragung und/oder Offenlegung von Daten, insbesondere an nicht autorisierte Systeme, Filesharing-Plattformen oder Anwendungen.
- Erkennen Sie die mit bestimmten Datenübertragungsmethoden verbundenen Risiken (z. B. das Kopieren von Finanzinformationen aus einer Datenbank in eine Tabellenkalkulation).
Tools zur Verhinderung von Datenlecks sind von Natur aus aufdringlich und sollten in Übereinstimmung mit allen behördlichen Anforderungen oder Gesetzen zum Schutz der Privatsphäre der Benutzer implementiert und verwaltet werden.
Unterstützende Kontrollen
- 5.12
- 5.15
Verwalten Sie Ihre gesamte Compliance an einem Ort
ISMS.online unterstützt über 100 Standards und Vorschriften und bietet Ihnen eine einzige Plattform für alle Ihre Compliance-Anforderungen.
Änderungen und Unterschiede zu ISO 27002:2013
Keiner. ISO 27002:2022-8.12 ist eine neue Kontrolle ohne Gegenstück in ISO 27002:2003.
Neue ISO 27002-Kontrollen
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 5.7 | NEU | Bedrohungsinformationen |
| 5.23 | NEU | Informationssicherheit bei der Nutzung von Cloud-Diensten |
| 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 8.9 | NEU | Konfigurationsmanagement |
| 8.10 | NEU | Löschung von Informationen |
| 8.11 | NEU | Datenmaskierung |
| 8.12 | NEU | Verhinderung von Datenlecks |
| 8.16 | NEU | Überwachungsaktivitäten |
| 8.23 | NEU | Web-Filter |
| 8.28 | NEU | Sichere Codierung |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 6.1 | 07.1.1 | Rekrutierung |
| 6.2 | 07.1.2 | Beschäftigungsbedingungen |
| 6.3 | 07.2.2 | Bewusstsein für Informationssicherheit, Aus- und Weiterbildung |
| 6.4 | 07.2.3 | Disziplinarverfahren |
| 6.5 | 07.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| 6.6 | 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| 6.7 | 06.2.2 | Fernarbeit |
| 6.8 | 16.1.2, 16.1.3 | Berichterstattung über Informationssicherheitsereignisse |
| ISO/IEC 27002:2022 Kontrollkennung | ISO/IEC 27002:2013 Kontrollkennung | Kontrollname |
|---|---|---|
| 7.1 | 11.1.1 | Physische Sicherheitsbereiche |
| 7.2 | 11.1.2, 11.1.6 | Physischer Eintritt |
| 7.3 | 11.1.3 | Absicherung von Büros, Räumen und Anlagen |
| 7.4 | NEU | Physische Sicherheitsüberwachung |
| 7.5 | 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| 7.6 | 11.1.5 | Arbeiten in sicheren Bereichen |
| 7.7 | 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| 7.8 | 11.2.1 | Standort und Schutz der Ausrüstung |
| 7.9 | 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Speichermedium |
| 7.11 | 11.2.2 | Unterstützende Versorgungsunternehmen |
| 7.12 | 11.2.3 | Verkabelungssicherheit |
| 7.13 | 11.2.4 | Wartung der Ausrüstung |
| 7.14 | 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
Wie ISMS.online hilft
Mit unserer cloudbasierten Plattform können Sie alle Aspekte Ihres ISMS, einschließlich Risikomanagement, Richtlinien, Pläne, Verfahren und mehr, schnell und einfach an einem zentralen Ort verwalten. Die Plattform ist einfach zu bedienen und verfügt über eine intuitive Benutzeroberfläche, die das Erlernen der Bedienung erleichtert.
ISMS.Online ermöglicht Ihnen:
- Dokumentieren Sie Ihre Prozesse über eine intuitive Weboberfläche, ohne dass Sie Software auf Ihrem Computer oder Netzwerk installieren müssen.
- Automatisieren Sie Ihren Risikobewertungsprozess.
- Weisen Sie Compliance ganz einfach mit Online-Berichten und Checklisten nach.
- Verfolgen Sie den Fortschritt, während Sie auf die Zertifizierung hinarbeiten.
Kontaktieren Sie uns noch heute zu Demo buchen.
