ISO/IEC 27010:2015 präsentiert Strategien zu Methoden, Modellen, Prozessen, Richtlinien, Kontrollen, Protokollen und anderen Rahmenwerken für den Informationsaustausch mit vertrauenswürdigen Gegenparteien unter Wahrung grundlegender Konzepte der Informationssicherheit.
Die Internationale Elektrotechnische Kommission (IEC) und die Internationale Organisation für Normung (ISO) haben gemeinsam ISO 27010 herausgegeben. Zusätzlich zu den Anweisungen in der ISO 27000-FamilieDer Standard regelt die Integration des Informationssicherheitsmanagements in Informationsaustauschgruppen.
ISO 27010 zielt darauf ab, gemeinsames Wissen über sensible Infrastrukturen zu sichern. Es schlägt vor Standardregeln zur Vermeidung von Sicherheitsproblemen bei der Übertragung vertraulicher Informationen ebenso gut wie:
ISO 27010 bietet Richtlinien für die Zusammenarbeit und Zusammenarbeit im Bereich der Informationssicherheit zwischen Organisationen in denselben Sektoren, in verschiedenen Industriezweigen und mit Regierungen.
Der Standard enthält außerdem Leitlinien für den Informationsaustausch in Krisenzeiten und den Schutz lebenswichtiger Infrastruktur sowie für das gegenseitige Verständnis unter normalen Geschäftsbedingungen, um rechtliche, behördliche und vertragliche Verpflichtungen zu erfüllen.
ISO 2012 wurde erstmals im Jahr 27010 veröffentlicht und erhielt im Jahr 2015 geringfügige redaktionelle Änderungen. Diese Überarbeitung wurde vorgenommen, um besser mit den Versionen von 2013 übereinzustimmen ISO / IEC 27001 und ISO 27002 . Im Dezember 2015 wurde die zweite Ausgabe der ISO 27010 veröffentlicht.
Informationsaustausch, wie Bedrohungsanalyse, hat seine eigenen einzigartigen Nachteile und wirft mehrere Probleme auf. Beispielsweise kann es sein, dass Organisationen am Ende über rohe, nicht bewertete Daten verfügen Informationen, die die Sicherheit von Organisationen zusätzlich belasten Team, indem es die Anzahl der Vorfälle und Warnungen erhöht, anstatt sie zu minimieren. Außerdem verabscheuen einige Sicherheitsanbieter die Weitergabe von Daten, um ihren Wettbewerbsvorteil nicht zu beeinträchtigen.
Einige dieser Probleme werden in der Normenreihe ISO/IEC 27000 erörtert. Alle Organisationen werden ermutigt, ihre Risiken zu bewerten und sie dann entsprechend ihren Bedürfnissen zu bewältigen, indem sie Ratschläge und Ratschläge einholen Unterstützung, wo angemessen, und Nutzung von Informationssicherheitskontrollen. ISO/IEC 27010 bietet Kontrollen und Anweisungen zur Einführung, Umsetzung und Aufrechterhaltung der Informationssicherheit in der Kommunikation zwischen Organisationen und Sektoren. Es bietet außerdem Anleitungen und allgemeine Grundsätze zur Erfüllung definierter Anforderungen mithilfe bestehender Messaging- und anderer technischer Methoden.
Der Standard bezieht sich auf alle Formen des Austauschs und der gemeinsamen Nutzung sensibler Informationen, öffentlich und privat, national und global, nicht nur innerhalb oder zwischen der Industrie oder den Geschäftsbereichen. Insbesondere kann es sich auf den Informationsaustausch und die Weitergabe im Zusammenhang mit der Bereitstellung, Erhaltung und dem Schutz wesentlicher Infrastrukturen einer Körperschaft oder eines Nationalstaats beziehen. ISO 27010 wurde entwickelt, um den Vertrauensaufbau beim Austausch und der Weitergabe vertraulicher Informationen zu fördern und erleichtert das internationale Wachstum von Kulturen des Informationsaustauschs.
Wir hatten das Gefühl, wir hätten es getan
das Beste aus beiden Welten. Wir waren
in der Lage, unsere zu nutzen
bestehende Prozesse,
& das Adoptieren, Anpassen
Inhalte gaben uns Neues
Tiefe unseres ISMS.
Wir haben angefangen, Tabellenkalkulationen zu verwenden, und es war ein Albtraum. Mit der ISMS.online-Lösung wurde die ganze harte Arbeit erleichtert.
Die Normenreihe ISO/IEC 27000 bietet Best-Practice-Richtlinien zum Informationssicherheitsmanagement. ISO/IEC 27010:2015 ist eine branchenspezifische Ergänzung zu ISO/IEC 27001:2013 und ISO/IEC 27002:2013 für Communities zum Informationsaustausch. Die in dieser internationalen Norm enthaltenen Richtlinien ergänzen die allgemeinen Leitlinien anderer Mitglieder der ISO/IEC 27000-Normenfamilie und ergänzen diese. Gegebenenfalls können ISO 27006-Zertifizierungsstellen bei der Ausstellung der Zertifizierung auf ISO 27010 zurückgreifen.
Ein Aspekt, in dem ISO 27010 allgemeine Ansätze für Datensicherheitselemente im Prozess der Ausarbeitung und Durchsetzung von Richtlinien und Verfahren definiert. Zusammen mit Schulung und Bewusstsein Initiativen für diejenigen, die am Prozess teilnehmen, und wahrscheinlich unabhängige Bewertungen oder Audits, um die Einhaltung von ISO/IEC 27010 und anderen relevanten ISO27k-Standards zu bestätigen.
ISO/IEC 27010:2015 ergänzt ISO/IEC 27001:2013 und ISO/IEC 27002:2013 gut. ISO 27010 bietet Ratschläge zum Verständnis der Kriterien von ISO 27001 beim Informationsaustausch zwischen Organisationen. Es bietet außerdem zusätzliche Sicherheitsmaßnahmen und Anweisungen zum Wissensaustausch, die über die in ISO 27002 enthaltenen hinausgehen.
ISO/IEC 27001:2013 und ISO/IEC 27002:2013 behandeln den Informationsaustausch zwischen Organisationen, jedoch nur allgemein. Angenommen, Organisationen möchten vertrauliche Informationen an mehrere andere Organisationen übermitteln. In diesem Fall müssen die anderen Organisationen dem ursprünglichen Eigentümer versichern, dass sie diese nutzen Informationen würden angemessenen Sicherheitskontrollen unterliegen durch die Empfangsgruppen.
Organisationen können diese Vertraulichkeit erreichen, indem sie eine Community für den Informationsaustausch schaffen, in der jeder Teilnehmer darauf vertraut, dass die anderen die gemeinsam genutzten Informationen schützen, auch wenn Organisationen ansonsten möglicherweise Konkurrenten wären.
ISO 27010 führt in Abschnitt sieben eine neue Kontrolle ein, die eine Reihe von Problemen angeht, die in ISO 27002 nicht explizit behandelt werden, was fast im Gegensatz zu den Standardbedingungen zur Nichtabstreitbarkeit steht. Diese Kontrolle umfasst den Schutz der Quellenanonymität beim Informationsaustausch. Obwohl ISO 27002 für Standard-„Anbieter“-Szenarien geeignet ist, bietet 27010 einige neue Ressourcen für den Umgang mit komplizierteren Situationen.
Laden Sie Ihren kostenlosen Leitfaden herunter
um Ihre Infosec zu optimieren
Dieser internationale Standard ist relevant für alle Unternehmen und Organisationen die vertrauliche Informationen öffentlich und privat in allen Branchen austauschen. Dies kann insbesondere für den Informationsaustausch und die Weitergabe im Zusammenhang mit der Bereitstellung, Erhaltung und dem Schutz der wesentlichen Infrastruktur einer Körperschaft oder eines Nationalstaats gelten. Dies ist auf die Standards zurückzuführen, die den Aufbau von Vertrauen beim Austausch und der Weitergabe privater Informationen fördern.
Es ist für jedes Unternehmen erforderlich, das durch ein geschützte Tools zum Informationsaustausch bereitstellt oder nutzt Informationssicherheits-Managementsystem (ISMS). Es kann auch für große Organisationen mit geografisch verteilten Funktionen von Vorteil sein, Informationen über Abteilungen oder Standorte hinweg auszutauschen.
Ohne Vertrauen kann eine Community zum Informationsaustausch nicht funktionieren. Wer Informationen bereitstellt, muss darauf vertrauen, dass der Empfänger die Daten nicht preisgibt oder missbräuchlich verarbeitet. Diejenigen, die Daten erhalten, müssen darauf vertrauen, dass die Daten korrekt sind, vorbehaltlich etwaiger vom Urheber mitgeteilter Anforderungen. Beide Aspekte sind entscheidend. Nach ISO 27010 müssen Communities für den Informationsaustausch erfolgreiche Sicherheitsrichtlinien nachweisen und bewährte Verfahren müssen unterstützt werden. Dazu müssen alle Gruppenmitglieder eine Zusammenarbeit eingehen Managementsystem, das die Sicherheit der gemeinsam genutzten Informationen abdeckt. Dieses System sollte vorzugsweise ein ISMS sein.
Der Informationsaustausch kann zwischen Gruppen stattfinden, bei denen der Teilende nicht alle Empfänger kennt. Der Informationsaustausch auf diese Weise wird nur funktionieren, wenn die Gemeinschaften über ausreichendes Vertrauen und Vereinbarungen zum Informationsaustausch verfügen. Dies ist besonders relevant für den Austausch vertraulicher Informationen zwischen verschiedenen Gemeinschaften, beispielsweise verschiedenen Branchen oder Marktsektoren.
Ein Szenario, in dem Informationen weitergegeben werden, ist der Fall einer Datenschutzverletzung. Potenzial teilen Informationsschwachstellen und Sicherheitsbedenken veranschaulichen die vielfältigen Probleme und Vorteile, die mit dem Austausch von Informationen verbunden sind. Dieser Informationsaustausch findet meist unter extremem Zeitdruck und in einer chaotischen Atmosphäre statt – nicht das günstigste Umfeld, um vertrauensvolle Arbeitsbeziehungen aufzubauen und sich auf angemessene Sicherheitskontrollen zu einigen. Das Risiko des Teilens Informationen zu Sicherheitsvorfällen zwischen verschiedenen Einheiten hängt von den Einzelheiten der jeweiligen Situation ab. Bei sicherer Vorgehensweise kann die Weitergabe dieser Informationen jedoch verhindern, dass andere Organisationen auf die gleichen Probleme stoßen.
ISMS.online macht die Einrichtung und Verwaltung Ihres ISMS so einfach wie möglich.
ISO 27010 besteht aus 18 Abschnitten und 4 Anhängen.
Klausel 1: Geltungsbereich
Abschnitt 2: Normative Verweise
Klausel 3: Begriffe und Definitionen
Abschnitt 4: Konzepte und Begründung
Klausel 5: Richtlinien zur Informationssicherheit
Abschnitt 6: Organisation der Informationssicherheit
Klausel 7: Sicherheit der Humanressourcen
Klausel 8: Vermögensverwaltung
Klausel 9: Zugangskontrolle
Klausel 10: Kryptographie
Klausel 11: Physische und Umweltsicherheit
Klausel 12: Betriebssicherheit
Klausel 13: Kommunikationssicherheit
Klausel 14: Erwerb, Entwicklung und Wartung des Systems
Klausel 15: Lieferantenbeziehungen
Klausel 16: Management von Informationssicherheitsvorfällen
Abschnitt 17: Informationssicherheitsaspekte des Geschäftskontinuitätsmanagements
Klausel 18: Compliance
Anhang A: Weitergabe sensibler Informationen
Anhang B: Vertrauen beim Informationsaustausch schaffen
Anhang C: Das Ampelprotokoll
Anhang D: Modelle für die Organisation einer Community zum Informationsaustausch