Mục đích của ISO 27001:2022 Phụ lục A 8.11
Che giấu dữ liệu là một kỹ thuật được sử dụng để bảo vệ dữ liệu nhạy cảm, đặc biệt là thông tin nhận dạng cá nhân (PII), vượt ra ngoài các giao thức bảo mật thông thường của một tổ chức, chẳng hạn như kiểm soát truy cập.
Việc che giấu dữ liệu thường được đề cập trong các hướng dẫn pháp lý, theo luật định và theo quy định chi phối việc lưu giữ và truy cập dữ liệu của nhân viên, khách hàng, người dùng và nhà cung cấp.
Quyền sở hữu của Phụ lục A 8.11
Che giấu dữ liệu là một quy trình kỹ thuật phức tạp liên quan đến việc thay đổi thông tin nhạy cảm và ngăn chặn người dùng xác định chủ thể dữ liệu thông qua nhiều phương pháp khác nhau.
Việc che giấu dữ liệu có liên quan trực tiếp đến khả năng tuân thủ luật pháp, quy định và hướng dẫn của tổ chức về việc lưu trữ, truy cập và xử lý dữ liệu. Do đó, Giám đốc An ninh thông tin hoặc người tương đương phải chịu trách nhiệm về nhiệm vụ hành chính này.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 8.11 Tuân thủ
Phụ lục A 8.11 khuyến khích các tổ chức cân nhắc việc che giấu dữ liệu thông qua hai kỹ thuật chính – giả danh hóa và/hoặc ẩn danh hóa . Các kỹ thuật này nhằm mục đích che giấu mục đích thực sự của PII bằng cách cắt đứt kết nối giữa dữ liệu thô và chủ thể (thường là một người).
Các tổ chức cần hết sức cẩn trọng để đảm bảo không có bất kỳ dữ liệu nào có thể tiết lộ danh tính của chủ thể.
Các tổ chức nên lưu ý những điều sau khi sử dụng bất kỳ phương pháp nào trong số này:
- Mức độ ẩn danh và/hoặc ẩn danh cần thiết, tùy thuộc vào loại dữ liệu.
- Khám phá cách truy cập dữ liệu được che giấu. Kiểm tra các bước liên quan và phương pháp được sử dụng để đảm bảo truy cập an toàn.
- Bất kỳ thỏa thuận ràng buộc nào hạn chế việc sử dụng dữ liệu đều phải được che giấu.
- Điều cần thiết là phải giữ cho dữ liệu được che giấu khác biệt với bất kỳ loại dữ liệu nào khác để chủ thể của dữ liệu không thể bị xác định nhanh chóng.
- Ghi lại ngày thu thập dữ liệu và cách thức phân phối dữ liệu cho các bên nội bộ hoặc bên ngoài.
Hướng dẫn về các kỹ thuật bổ sung
Việc ẩn danh và giả danh không phải là cách duy nhất mà các tổ chức có thể sử dụng để che giấu PII hoặc dữ liệu bí mật. Phụ lục A 8.11 của ISO 27001:2022 phác thảo năm cách tiếp cận khác có thể được áp dụng để tăng cường bảo mật dữ liệu:
- Mã hóa bằng khóa.
- Việc xóa hoặc bỏ sót các ký tự trong tập dữ liệu.
- Thay đổi số lượng và ngày tháng sử dụng.
- Thay thế giá trị trong toàn bộ dữ liệu.
- Che dấu giá trị dựa trên hàm băm.
Hướng dẫn về Nguyên tắc che giấu dữ liệu
Che giấu dữ liệu là một yếu tố quan trọng trong chính sách của tổ chức nhằm bảo vệ PII và đảm bảo tính ẩn danh của những người có dữ liệu được lưu giữ.
Các tổ chức nên lưu ý những điều sau khi xây dựng chiến lược che giấu dữ liệu của mình:
- Triển khai các kỹ thuật che giấu để chỉ tiết lộ lượng dữ liệu thấp nhất có thể cho những người sử dụng.
- Theo yêu cầu của chủ thể, một số dữ liệu nhất định có thể bị ẩn ( làm tối nghĩa ) và quyền truy cập của nhân viên vào các phần có liên quan chỉ giới hạn cho một số thành viên nhất định.
- Xây dựng quy trình che giấu dữ liệu của họ theo các yêu cầu pháp lý và quy định .
- Việc ẩn danh đòi hỏi phải sử dụng một thuật toán để vạch trần dữ liệu và thuật toán này phải được giữ an toàn.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 8.11 của ISO 27001:2022 là phần bổ sung mới không có trong ISO 27001:2013 .
