Mục đích của Kiểm soát 5.14
Biện pháp kiểm soát 5.14 là loại biện pháp kiểm soát mang tính phòng ngừa, yêu cầu các tổ chức phải đưa ra các quy tắc, thủ tục và/hoặc thỏa thuận phù hợp để duy trì tính bảo mật của dữ liệu khi dữ liệu được chia sẻ trong tổ chức hoặc khi truyền cho bên thứ ba.
Thuộc tính của Kiểm soát 5.14
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật | #Bảo vệ | #Quản lý tài sản | #Sự bảo vệ |
| #Chính trực | #Bảo vệ thông tin | |||
| #Khả dụng |
Quyền sở hữu kiểm soát 5.14
Trong khi việc phát triển và triển khai các quy tắc, thủ tục và thỏa thuận đòi hỏi sự hỗ trợ và chấp thuận của ban quản lý cấp cao thì sự hợp tác và chuyên môn của các bên liên quan khác nhau trong một tổ chức, bao gồm nhóm pháp lý, nhân viên CNTT và ban quản lý cấp cao, lại có tầm quan trọng đặc biệt.
Ví dụ, nhóm pháp lý phải đảm bảo rằng tổ chức ký kết các thỏa thuận chuyển giao với bên thứ ba và các thỏa thuận này phải phù hợp với các yêu cầu được nêu trong Kiểm soát 5.14. Tương tự như vậy, nhóm CNTT phải tham gia tích cực vào việc xác định và triển khai các biện pháp kiểm soát để duy trì tính bảo mật của dữ liệu như đã nêu trong 5.14.
Hướng dẫn chung về Kiểm soát 5.14
Việc tuân thủ 5.14 đòi hỏi phải xây dựng các quy tắc, thủ tục và thỏa thuận, bao gồm chính sách chuyển giao thông tin theo chủ đề cụ thể, nhằm cung cấp mức độ bảo vệ phù hợp với phân loại được chỉ định cho thông tin đó khi truyền dữ liệu.
Nói cách khác, mức độ bảo vệ phải phù hợp với mức độ quan trọng và nhạy cảm của thông tin được truyền đi.
Hơn nữa, Kiểm soát 5.14 quy định rằng các tổ chức phải ký thỏa thuận chuyển giao với bên thứ ba là người nhận để đảm bảo truyền dữ liệu an toàn.
Kiểm soát 5.14 nhóm các loại chuyển giao thành ba loại:
- Chuyển khoản điện tử
- Chuyển giao phương tiện lưu trữ vật lý
- Chuyển giao bằng lời nói
Trước khi chuyển sang mô tả các yêu cầu cụ thể cho từng loại chuyển nhượng, Kiểm soát 5.14 liệt kê các yếu tố phải có trong tất cả các quy tắc, thủ tục và thỏa thuận cho cả ba loại chuyển nhượng nói chung:
- Các tổ chức phải xác định các biện pháp kiểm soát phù hợp với mức độ phân loại thông tin để bảo vệ thông tin trong quá trình truyền tải khỏi việc truy cập, sửa đổi, chặn, sao chép, phá hủy và tấn công từ chối dịch vụ trái phép.
- Một tổ chức phải kiểm soát chuỗi lưu ký trong quá trình vận chuyển và phải xác định và triển khai các biện pháp kiểm soát để đảm bảo khả năng truy xuất thông tin.
- Các bên liên quan tham gia vào việc chuyển giao thông tin phải được xác định và thông tin liên lạc của họ phải được cung cấp. Điều này có thể bao gồm chủ sở hữu thông tin và nhân viên an ninh.
- Phân bổ trách nhiệm trong trường hợp xảy ra vi phạm dữ liệu .
- Sử dụng hệ thống dán nhãn.
- Đảm bảo tính khả dụng của dịch vụ chuyển nhượng.
- Tạo ra các hướng dẫn cụ thể theo chủ đề về phương pháp truyền tải thông tin.
- Hướng dẫn lưu trữ và xóa mọi hồ sơ kinh doanh, bao gồm cả tin nhắn.
- Phân tích tác động của bất kỳ luật, quy định hoặc nghĩa vụ nào hiện hành đối với việc chuyển nhượng.
Hướng dẫn bổ sung về chuyển tiền điện tử
Sau khi liệt kê các yêu cầu về nội dung tối thiểu đối với các quy tắc, thủ tục và thỏa thuận chung cho cả ba loại chuyển nhượng, Kiểm soát 5.14 liệt kê các yêu cầu về nội dung cụ thể cho từng loại chuyển nhượng.
Các quy tắc, thỏa thuận và thủ tục phải giải quyết các vấn đề sau khi thông tin được chuyển giao điện tử:
- Phát hiện và ngăn chặn các cuộc tấn công phần mềm độc hại.
- Bảo vệ thông tin nhạy cảm có trong các tệp đính kèm được chuyển đi.
- Đảm bảo rằng mọi thông tin liên lạc đều được gửi đến đúng người nhận và loại bỏ nguy cơ gửi thông tin liên lạc đến địa chỉ email , địa chỉ hoặc số điện thoại sai.
- Phải xin phép trước khi bắt đầu sử dụng bất kỳ dịch vụ truyền thông công cộng nào.
- Triển khai các phương pháp xác thực chặt chẽ hơn khi dữ liệu được truyền qua mạng công cộng.
- Áp dụng các hạn chế đối với việc sử dụng các dịch vụ truyền thông điện tử như cấm chuyển tiếp tự động.
- Khuyến cáo nhân viên không sử dụng dịch vụ tin nhắn ngắn hoặc tin nhắn tức thời để chia sẻ dữ liệu nhạy cảm vì nội dung này có thể bị những người không được phép nhìn thấy ở nơi công cộng.
- Tư vấn cho nhân viên và các bên liên quan khác về các rủi ro bảo mật do máy fax gây ra như rủi ro truy cập trái phép hoặc chuyển hướng tin nhắn đến các số cụ thể.
Hướng dẫn bổ sung về chuyển giao phương tiện lưu trữ vật lý
Khi thông tin được chia sẻ thông qua các phương tiện vật lý như giấy tờ, các quy tắc, thủ tục và thỏa thuận phải bao gồm những nội dung sau:
- Phân công trách nhiệm thông báo về việc truyền, gửi và nhận.
- Đảm bảo gửi và chuyển tin nhắn đúng địa chỉ.
- Bao bì loại bỏ nguy cơ hư hỏng hàng hóa có thể phát sinh khi vận chuyển. Ví dụ, bao bì phải đủ tốt để không bị ảnh hưởng bởi nhiệt độ hoặc độ ẩm.
- Danh sách các đơn vị chuyển phát nhanh đáng tin cậy được ban quản lý chấp thuận và ủy quyền.
- Mô tả tiêu chuẩn nhận dạng người chuyển phát nhanh.
- Sử dụng các biện pháp kiểm soát chống phá hoại như túi nếu mức độ nhạy cảm và quan trọng của thông tin yêu cầu.
- Thủ tục xác minh ID của người chuyển phát nhanh.
- Danh sách được chấp thuận của các bên thứ ba cung cấp dịch vụ vận chuyển hoặc chuyển phát nhanh tùy thuộc vào mức độ phân loại.
- Lưu giữ hồ sơ về thời gian giao hàng, danh sách người nhận được ủy quyền, biện pháp bảo vệ được áp dụng và biên lai tại nơi đến.
Hướng dẫn bổ sung về chuyển giao bằng lời nói
Kiểm soát 5.14 nêu rằng khi nhân viên trao đổi thông tin trong tổ chức hoặc khi họ truyền dữ liệu cho các bên bên ngoài, họ phải được thông báo về những rủi ro sau:
- Họ nên tránh trò chuyện riêng tư qua các kênh công cộng không an toàn hoặc ở nơi công cộng.
- Họ không nên để lại tin nhắn thoại có chứa thông tin bí mật vì có nguy cơ bị người không được phép phát lại và nguy cơ tin nhắn bị chuyển hướng đến bên thứ ba .
- Mỗi cá nhân, dù là nhân viên hay bên thứ ba có liên quan, đều phải được sàng lọc trước khi được phép vào nghe các cuộc trò chuyện.
- Các phòng diễn ra các cuộc trò chuyện riêng tư cần được trang bị các biện pháp kiểm soát phù hợp như cách âm.
- Họ nên đưa ra lời tuyên bố miễn trừ trách nhiệm trước khi có bất kỳ cuộc trò chuyện nhạy cảm nào.
Những thay đổi và khác biệt so với ISO 27002:2013
27002:2022/5.14 thay thế 27002:2013/(13.2.1, 13.2.2. 13.2.3).
Mặc dù hai biện pháp kiểm soát này có phần giống nhau, nhưng có hai điểm khác biệt chính khiến các yêu cầu của phiên bản 2022 trở nên khắt khe hơn.
Yêu cầu cụ thể đối với chuyển giao điện, vật lý và lời nói
Trong phiên bản năm 2013, phần 13.2.3 đã đề cập đến các yêu cầu cụ thể về việc chuyển thông tin qua tin nhắn điện tử.
Tuy nhiên, nó không đề cập riêng đến việc truyền tải thông tin bằng lời nói hoặc hành động.
Ngược lại, phiên bản năm 2022 xác định rõ ràng ba loại chuyển giao thông tin và sau đó nêu rõ các yêu cầu về nội dung cho từng loại riêng biệt.
Phiên bản 2022 đặt ra các yêu cầu nghiêm ngặt hơn đối với việc chuyển tiền điện tử
Trong khi mục 13.2.3 chứa đựng các yêu cầu cụ thể về nội dung thỏa thuận về nhắn tin điện tử, Phiên bản 2022 áp đặt các nghĩa vụ chặt chẽ hơn đối với các tổ chức.
Phiên bản 2022 yêu cầu các tổ chức phải mô tả và triển khai các biện pháp kiểm soát mới trong các quy tắc, thủ tục và thỏa thuận về chuyển tiền điện tử.
Ví dụ, các tổ chức nên khuyên nhân viên không sử dụng dịch vụ SMS khi có thông tin nhạy cảm.
Yêu cầu chi tiết hơn cho việc chuyển nhượng vật lý
Phiên bản 2022 đặt ra các yêu cầu nghiêm ngặt hơn về việc chuyển giao phương tiện lưu trữ vật lý. Ví dụ, các yêu cầu của nó toàn diện hơn về việc xác thực người chuyển phát và các loại thiệt hại cần được ngăn ngừa.
Những thay đổi về cấu trúc
Trong phiên bản năm 2013, có tham chiếu rõ ràng đến các yêu cầu cụ thể đối với các thỏa thuận chuyển giao thông tin. Tuy nhiên, ‘Quy tắc’ và ‘Thủ tục’ không được đề cập cụ thể.
Ngược lại, phiên bản năm 2022 đặt ra các yêu cầu cụ thể cho từng cơ chế trong ba cơ chế này.
