ISO 27002:2022 – Kontrolle 8.12 – Verhinderung von Datenlecks

Zweck der Kontrolle 8.12

Unter Datenlecks versteht man allgemein alle Informationen, die von unbefugtem internem und externem Personal und Systemen abgerufen, übertragen oder extrahiert werden, oder von böswilligen Quellen, die auf den Informationsbetrieb einer Organisation abzielen.

Datenlecks sind ein häufiges Problem in Organisationen, die große Datenmengen unterschiedlicher Klassifizierung über mehrere eigenständige und verbundene IKT-Systeme, Anwendungen und Dateiserver hinweg verarbeiten.

Attributtabelle der Steuerung 8.12

Control 8.12 dient zwei Zwecken vorbeugend und Detektiv Kontrolliere das verändert das Risiko durch die Implementierung technischer Maßnahmen, die die Offenlegung und/oder Extraktion von Informationen durch internes und/oder externes Personal oder logische Systeme proaktiv erkennen und verhindern.

Eigentum an der Kontrolle 8.12

Control 8.12 befasst sich mit IKT-Vorgängen, die über Systemadministratorzugriff ausgeführt werden und unter das Dach der Netzwerkverwaltung und -wartung fallen. Daher sollte die Verantwortung für Control 8.12 beim IT-Leiter oder einer gleichwertigen Organisation liegen.

Allgemeine Richtlinien zur Compliance

Es ist schwierig, Datenlecks vollständig zu beseitigen. Um die mit ihrem Betrieb verbundenen Risiken zu minimieren, sollten Organisationen jedoch Folgendes tun:

1. Klassifizieren Sie Daten nach anerkannten Industriestandards (PII, kommerzielle Daten, Produktinformationen), um unterschiedliche Risikostufen pauschal zuzuordnen.
2. Überwachen Sie bekannte Datenkanäle, die stark genutzt werden und anfällig für Lecks sind (z. B. E-Mails, interne und externe Dateiübertragungen, USB-Geräte), genau.
3. Ergreifen Sie proaktive Maßnahmen, um zu verhindern, dass Daten verloren gehen (z. B. robuste Dateiberechtigungen und angemessene Autorisierungstechniken).
4. Beschränken Sie die Möglichkeit eines Benutzers, Daten (sofern zutreffend) auf und von bestimmten Plattformen und Systemen zu kopieren und einzufügen.
5. Fordern Sie vor der Durchführung von Massenexporten die Genehmigung des Dateneigentümers an.
6. Erwägen Sie, Benutzer daran zu hindern, Screenshots zu machen oder Monitore zu fotografieren, auf denen geschützte Datentypen angezeigt werden.
7. Verschlüsseln Sie Backups, die vertrauliche Informationen enthalten.
8. Formulieren Sie Gateway-Sicherheitsmaßnahmen und Maßnahmen zur Verhinderung von Lecks, die vor externen Faktoren wie (aber nicht beschränkt auf) Industriespionage, Sabotage, kommerzieller Einmischung und/oder IP-Diebstahl schützen.

Die Verhinderung von Datenlecks ist mit zahlreichen anderen ISO-Sicherheitsrichtlinien verbunden, die darauf abzielen, Informationen und Daten im gesamten Netzwerk einer Organisation zu schützen, einschließlich Zugriffskontrollmaßnahmen (siehe Kontrolle 5.12) und sicherer Dokumentenverwaltung (siehe Kontrolle 5.15).

Leitfaden – Datenleck-Tools

Unternehmen sollten den Einsatz spezieller Datenleck-Tools und Hilfsprogramme in Betracht ziehen, die:

1. Arbeiten Sie mit dem Ansatz der Organisation zur Datenklassifizierung zusammen und identifizieren Sie das Potenzial für Datenlecks bei Datentypen mit hohem Risiko.
2. Erkennen und proaktive Warnung bei der Übertragung und/oder Offenlegung von Daten, insbesondere an nicht autorisierte Systeme, Filesharing-Plattformen oder Anwendungen.
3. Erkennen Sie die mit bestimmten Datenübertragungsmethoden verbundenen Risiken (z. B. das Kopieren von Finanzinformationen aus einer Datenbank in eine Tabellenkalkulation).

Tools zur Verhinderung von Datenlecks sind von Natur aus aufdringlich und sollten in Übereinstimmung mit allen behördlichen Anforderungen oder Gesetzen zum Schutz der Privatsphäre der Benutzer implementiert und verwaltet werden.

Unterstützende Kontrollen

• 5.12
• 5.15

Änderungen und Unterschiede zu ISO 27002:2013

Keiner. ISO 27002:2022-8.12 ist eine neue Kontrolle ohne Gegenstück in ISO 27002:2003.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

Mit unserer cloudbasierten Plattform können Sie alle Aspekte Ihres ISMS, einschließlich Risikomanagement, Richtlinien, Pläne, Verfahren und mehr, schnell und einfach an einem zentralen Ort verwalten. Die Plattform ist einfach zu bedienen und verfügt über eine intuitive Benutzeroberfläche, die das Erlernen der Bedienung erleichtert.

ISMS.Online ermöglicht Ihnen:

• Dokumentieren Sie Ihre Prozesse über eine intuitive Weboberfläche, ohne dass Sie Software auf Ihrem Computer oder Netzwerk installieren müssen.
• Automatisieren Sie Ihren Risikobewertungsprozess.
• Weisen Sie Compliance ganz einfach mit Online-Berichten und Checklisten nach.
• Verfolgen Sie den Fortschritt, während Sie auf die Zertifizierung hinarbeiten.

Kontaktieren Sie uns noch heute zu Demo buchen.