Việc sử dụng các thiết bị lưu trữ như SSD, USB, ổ đĩa ngoài và thiết bị di động là điều cần thiết cho nhiều hoạt động xử lý thông tin quan trọng, bao gồm sao lưu, lưu trữ và truyền dữ liệu.
Việc lưu trữ dữ liệu nhạy cảm và quan trọng trên các thiết bị này gây ra rủi ro cho tính chính xác, tính bảo mật và khả năng truy cập của các nguồn thông tin. Những rủi ro này có thể bao gồm việc mất hoặc đánh cắp phương tiện lưu trữ có thông tin mật, việc truyền phần mềm độc hại trên tất cả các mạng máy tính của công ty thông qua phương tiện lưu trữ và sự cố hoặc giảm chất lượng của phương tiện lưu trữ được sử dụng để sao lưu.
ISO 27001:2022 Phụ lục A 7.10 phác thảo các bước mà tổ chức phải thực hiện để đảm bảo an ninh cho phương tiện lưu trữ trong toàn bộ vòng đời của nó, từ khi mua đến khi thải bỏ. Các chính sách và biện pháp kiểm soát phải được đưa ra để đảm bảo an ninh của nó.
Mục đích của ISO 27001:2022 Phụ lục A 7.10
ISO 27001:2022 Phụ lục A 7.10 hỗ trợ các tổ chức giảm thiểu và loại bỏ rủi ro liên quan đến việc truy cập, sử dụng, xóa, thay đổi và truyền dữ liệu bí mật được lưu trữ trên các thiết bị phương tiện lưu trữ trái phép. Tiêu chuẩn này thiết lập các quy trình để quản lý phương tiện lưu trữ trong toàn bộ vòng đời của phương tiện.
Phụ lục A 7.10 bao gồm những nội dung gì?
ISO 27001:2022 Phụ lục A 7.10 liên quan đến cả phương tiện lưu trữ kỹ thuật số và vật lý. Ví dụ, việc lưu trữ dữ liệu trên các tài liệu vật lý cũng được bao gồm trong kiểm soát này.
Cùng với phương tiện lưu trữ di động, ổ cứng dưới dạng lưu trữ cố định cũng phải tuân theo Phụ lục A 7.10 của ISO 27001:2022.
Quyền sở hữu của Phụ lục A 7.10
Phụ lục A 7.10 của ISO 27001:2022 yêu cầu các tổ chức phải tạo và thực hiện các quy trình, biện pháp kiểm soát kỹ thuật và chính sách phù hợp trên toàn tổ chức liên quan đến việc sử dụng phương tiện lưu trữ theo sơ đồ phân loại riêng của tổ chức và bất kỳ yêu cầu xử lý dữ liệu nào như điều kiện pháp lý và hợp đồng.
Người quản lý an ninh thông tin phải chịu trách nhiệm về toàn bộ chu trình tuân thủ.
Hướng dẫn về ISO 27001:2022 Phụ lục A 7.10 Tuân thủ
Phương tiện lưu trữ có thể tháo rời
Phương tiện lưu trữ di động là không thể thiếu đối với nhiều hoạt động kinh doanh và được nhân viên sử dụng rộng rãi. Tuy nhiên, chúng gây ra rủi ro lớn nhất cho dữ liệu nhạy cảm.
Phụ lục A 7.10 của ISO 27001:2022 nêu ra mười điều kiện mà các tổ chức phải tuân thủ để quản lý phương tiện lưu trữ di động trong suốt vòng đời của nó:
- Các tổ chức cần xây dựng chính sách tập trung vào việc tiếp nhận, cấp phép, sử dụng và xử lý phương tiện lưu trữ di động, đồng thời thông báo cho tất cả nhân viên và các bên liên quan về sự tồn tại của chính sách này.
- Các tổ chức nên, khi thực tế và cần thiết, thực hiện các thủ tục ủy quyền để đưa phương tiện lưu trữ di động ra khỏi cơ sở công ty. Ngoài ra, nên lưu nhật ký về việc di chuyển để theo dõi kiểm toán .
- Lưu trữ tất cả các phương tiện lưu trữ di động ở nơi an toàn như két sắt, lưu ý đến mức độ phân loại thông tin được chỉ định cho thông tin đó và mọi mối đe dọa về mặt môi trường và vật lý đối với phương tiện.
- Nếu việc duy trì tính bảo mật và độ tin cậy của thông tin trên phương tiện lưu trữ di động là vô cùng quan trọng thì nên sử dụng các phương pháp mã hóa để bảo vệ phương tiện khỏi sự truy cập trái phép.
- Để ngăn ngừa tình trạng hư hỏng của phương tiện lưu trữ di động và mất dữ liệu, thông tin nên được chuyển sang thiết bị lưu trữ mới trước khi rủi ro phát sinh.
- Việc sao chép và lưu trữ dữ liệu nhạy cảm trên nhiều phương tiện lưu trữ là rất quan trọng để giảm nguy cơ mất thông tin quan trọng.
- Để giảm khả năng mất dữ liệu hoàn toàn, việc đăng ký thiết bị lưu trữ di động có thể là một giải pháp khả thi.
- Nếu không có nhu cầu công việc, không nên sử dụng cổng USB và khe cắm thẻ SD.
- Cần phải theo dõi việc truyền thông tin tới bất kỳ thiết bị lưu trữ di động nào.
- Khi chuyển thông tin chứa trong các tài liệu vật lý qua thư hoặc chuyển phát nhanh, có khả năng cao bị truy cập trái phép. Để chống lại điều này, cần thực hiện các biện pháp thích hợp.
Hướng dẫn về Tái sử dụng và Xử lý An toàn Phương tiện Lưu trữ
Phụ lục A 7.10 của ISO 27001:2022 đưa ra hướng dẫn về việc tái sử dụng và xử lý phương tiện lưu trữ một cách an toàn để giúp các tổ chức giảm thiểu và loại bỏ nguy cơ vi phạm tính bảo mật của thông tin.
Phụ lục A 7.10 nêu rõ các tổ chức phải lập và thực hiện kế hoạch tái chế và xử lý phương tiện lưu trữ, cân nhắc đến tính nhạy cảm của dữ liệu được lưu trong phương tiện lưu trữ.
Các tổ chức nên cân nhắc những điều sau khi thiết lập các biện pháp này:
- Nếu bên nội bộ của tổ chức muốn tái sử dụng phương tiện lưu trữ, thông tin nhạy cảm được lưu trữ trên đó phải được xóa hoặc định dạng lại trước khi được phép.
- Việc hủy bỏ an toàn phương tiện lưu trữ thông tin nhạy cảm là cần thiết khi không còn cần đến nữa. Tài liệu giấy có thể bị hủy và thiết bị kỹ thuật số có thể bị hủy về mặt vật lý.
- Cần phải phát triển một hệ thống để xác định phương tiện lưu trữ nào cần phải loại bỏ.
- Các tổ chức nên tiến hành thẩm định cẩn thận khi lựa chọn đơn vị bên ngoài để thu gom và xử lý phương tiện lưu trữ, đảm bảo nhà cung cấp được chọn có năng lực và có các biện pháp kiểm soát phù hợp.
- Ghi lại tất cả các mặt hàng đã loại bỏ để kiểm tra.
- Khi xử lý nhiều phương tiện lưu trữ cùng lúc, cần cân nhắc đến tác động tích lũy: Việc kết hợp nhiều dữ liệu khác nhau từ mỗi phương tiện lưu trữ có thể dẫn đến việc chuyển đổi thông tin không nhạy cảm thành tài liệu nhạy cảm.
Cuối cùng, Phụ lục A 7.10 của ISO 27001:2022 yêu cầu các tổ chức đánh giá rủi ro của dữ liệu bí mật được lưu trữ trên thiết bị bị hỏng để xác định xem thiết bị đó có nên bị phá hủy hay sửa chữa hay không.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 7.10 của ISO 27001:2022 thay thế Phụ lục A 08.3.1, 08.3.2, 08.3.3 và 11.2.5 của ISO 27001:2013.
Có bốn điểm khác biệt đáng chú ý.
Những thay đổi trong cấu trúc
Không giống như phiên bản năm 2013 có ba biện pháp kiểm soát riêng biệt để quản lý phương tiện, xử lý phương tiện và chuyển phương tiện vật lý, phiên bản năm 2022 kết hợp chúng theo Phụ lục A 7.10.
Yêu cầu về việc tái sử dụng phương tiện lưu trữ được thêm vào phiên bản 2022
Ngược lại với phiên bản năm 2013 chỉ bao gồm việc xử lý phương tiện lưu trữ an toàn, phiên bản năm 2022 còn bao gồm các yêu cầu tái sử dụng phương tiện lưu trữ an toàn.
Yêu cầu chuyển nhượng vật lý toàn diện hơn trong phiên bản 2013
Phiên bản 2013 có các yêu cầu mở rộng hơn đối với việc chuyển giao phương tiện lưu trữ vật lý, bao gồm xác minh ID cho người chuyển phát nhanh và tiêu chuẩn đóng gói. Ngược lại, Phụ lục A 7 7.10 trong phiên bản 2022 chỉ đề xuất các tổ chức hành động thận trọng khi lựa chọn người chuyển phát nhanh.
Chính sách về phương tiện lưu trữ di động theo chủ đề cụ thể được yêu cầu trong phiên bản 2022
Trong khi phiên bản 2022 và 2013 tương tự nhau về yêu cầu đối với phương tiện lưu trữ di động, phiên bản 2022 yêu cầu chính sách cụ thể theo chủ đề về phương tiện lưu trữ di động. Phiên bản 2013 không đề cập đến yêu cầu này.
