Phụ lục A 5.10 của ISO 27001:2022 nêu ra các quy tắc về cách sử dụng được chấp nhận và các thủ tục xử lý thông tin và tài sản khác.
Những điều này cần được xác định, ghi chép và thực hiện.
Mục đích của các chính sách này là thiết lập các hướng dẫn rõ ràng về cách nhân viên nên hành động khi xử lý tài sản thông tin, đảm bảo tính bảo mật, độ tin cậy và khả năng truy cập vào tài sản bảo mật dữ liệu của tổ chức.
Phụ lục A 5.10 của ISO 27001:2022, Việc sử dụng thông tin và các tài sản liên quan khác có thể chấp nhận được là gì?
Chính sách sử dụng tài sản thông tin được chấp nhận (AUA) áp dụng cho tất cả các thành viên của tổ chức và tất cả tài sản do họ sở hữu hoặc vận hành. Chính sách này áp dụng cho bất kỳ mục đích sử dụng nào, bao gồm cả mục đích thương mại, của Tài sản thông tin.
Ví dụ về tài sản thông tin bao gồm:
- Phần cứng bao gồm máy tính, thiết bị di động , điện thoại và máy fax.
- Phần mềm bao gồm hệ điều hành, ứng dụng (bao gồm cả ứng dụng trên web), tiện ích, chương trình cơ sở và ngôn ngữ lập trình.
- Phần này đề cập đến dữ liệu có cấu trúc trong cơ sở dữ liệu quan hệ, tệp phẳng, dữ liệu NoSQL cũng như dữ liệu không có cấu trúc, ví dụ như tài liệu văn bản, bảng tính, hình ảnh, video và tệp âm thanh.
- Mạng bao gồm cả hệ thống có dây và không dây, viễn thông và dịch vụ Thoại qua Giao thức Internet (VoIP).
- Dịch vụ đám mây, tài khoản email và các dịch vụ lưu trữ khác.
Việc sử dụng thông tin và các tài sản liên quan khác đòi hỏi phải áp dụng chúng theo cách không gây nguy hiểm cho tính khả dụng, độ tin cậy hoặc tính lành mạnh của dữ liệu, dịch vụ hoặc tài nguyên. Nó cũng bao gồm việc sử dụng chúng theo cách không vi phạm luật pháp hoặc chính sách của công ty.
Mục đích của Phụ lục A Kiểm soát 5.10 của ISO 27001:2022 là gì?
Mục đích chính của biện pháp kiểm soát này là đảm bảo thông tin và tài sản liên quan được bảo vệ, sử dụng và quản lý đúng cách.
Phụ lục A của ISO 27001:2022 Kiểm soát 5.10 đảm bảo các chính sách, quy trình và kiểm soát kỹ thuật được áp dụng để ngăn chặn người dùng xử lý sai tài sản thông tin.
Kiểm soát này nhằm thiết lập một cấu trúc cho các tổ chức để đảm bảo thông tin và các nguồn lực khác được bảo vệ, sử dụng và quản lý phù hợp. Nó bao gồm việc đảm bảo rằng các chính sách và quy trình phù hợp tồn tại ở mọi cấp độ của tổ chức, cũng như thực hiện chúng thường xuyên.
Việc triển khai Kiểm soát 5.10 là một phần của ISMS và đảm bảo rằng công ty của bạn có các yêu cầu cần thiết để bảo vệ tài sản CNTT của mình, chẳng hạn như:
- Đảm bảo an toàn cho dữ liệu trong quá trình lưu trữ, xử lý và truyền tải là tối quan trọng.
- Việc bảo vệ và sử dụng đúng cách các thiết bị CNTT là điều cần thiết. Điều quan trọng là phải đảm bảo an ninh và sử dụng chúng một cách phù hợp.
- Các dịch vụ xác thực phù hợp là cần thiết để điều chỉnh quyền truy cập vào hệ thống thông tin.
- Việc xử lý thông tin trong một tổ chức chỉ giới hạn cho những người có thẩm quyền phù hợp.
- Việc phân công các nhiệm vụ liên quan đến dữ liệu cho những người hoặc vai trò nhất định.
- Giáo dục và đào tạo người dùng về nghĩa vụ bảo mật của họ là điều cần thiết. Đảm bảo họ hiểu vai trò và trách nhiệm của mình giúp đảm bảo tính bảo mật của hệ thống.
Bao gồm những gì và làm thế nào để đáp ứng các yêu cầu
Để đáp ứng nhu cầu Kiểm soát 5.10 của ISO 27001:2022, điều bắt buộc là nhân viên, cả nội bộ và bên ngoài, những người sử dụng hoặc có quyền truy cập vào dữ liệu và các nguồn lực bổ sung của tổ chức, phải nhận thức được các điều kiện tiên quyết về bảo mật thông tin của công ty .
Những người chịu trách nhiệm phải chịu trách nhiệm về mọi nguồn lực xử lý dữ liệu mà họ sử dụng.
Tất cả nhân sự liên quan đến việc quản lý thông tin và các tài sản liên quan khác phải biết chính sách của tổ chức về việc sử dụng hợp lý. Điều cần thiết là mọi người liên quan đều được thông báo về các hướng dẫn.
Tất cả nhân viên làm việc với thông tin và tài sản liên quan phải được thông báo về chính sách của công ty về cách sử dụng được chấp nhận. Là một phần của chính sách sử dụng cụ thể, nhân viên phải hiểu chính xác những gì được mong đợi ở họ liên quan đến các tài nguyên này.
Chính sách phải làm rõ rằng:
- Mọi nhân viên phải tuân thủ các chính sách và quy trình của công ty.
- Không một nhân viên nào được thực hiện bất kỳ hoạt động nào trái với lợi ích của công ty.
- Bất kỳ nhân viên nào không tuân thủ các chính sách và quy trình của công ty sẽ phải chịu kỷ luật.
Chính sách cụ thể liên quan đến chủ đề này phải nêu rõ rằng tất cả nhân viên phải tuân thủ các chỉ thị và quy trình của công ty:
- Cần phải làm rõ kỳ vọng và hành động không thể chấp nhận được liên quan đến bảo mật thông tin cho từng cá nhân.
- Việc sử dụng thông tin và tài sản khác được phép và bị cấm.
- Theo dõi hoạt động của tổ chức.
Lập các quy trình sử dụng được chấp nhận trong suốt vòng đời thông tin, phù hợp với phân loại và rủi ro đã xác định . Hãy nghĩ về những điều sau:
- Phải áp dụng các hạn chế truy cập để hỗ trợ bảo vệ từng cấp độ bảo mật.
- Duy trì sổ đăng ký những người dùng được ủy quyền của thông tin và các tài sản liên quan khác.
- Đảm bảo tính bảo mật của các bản sao thông tin tạm thời hoặc vĩnh viễn phù hợp với yêu cầu của bối cảnh.
- Việc đảm bảo lưu giữ dữ liệu ban đầu là vô cùng quan trọng.
- Việc lưu trữ các tài sản liên quan đến thông tin theo tiêu chuẩn của nhà sản xuất là điều cần thiết.
- Đánh dấu rõ ràng tất cả các bản sao của phương tiện lưu trữ điện tử hoặc vật lý để người nhận chú ý.
- Công ty cho phép xử lý thông tin và các tài sản khác cũng như các phương pháp xóa được hỗ trợ.
Sự khác biệt giữa ISO 27001:2013 và ISO 27001:2022
Phiên bản 2022 của ISO 27001 được phát hành vào tháng 10 năm 2022; đây là phiên bản cải tiến của ISO 27001:2013.
Phụ lục A 5.10 trong ISO 27001:2022 không phải là mới; nó là sự kết hợp của các biện pháp kiểm soát 8.1.3 và 8.2.3 từ ISO 27001:2013.
Bản chất và hướng dẫn thực hiện của Phụ lục A 5.10 tương tự như các biện pháp kiểm soát 8.1.3 và 8.2.3, nhưng Phụ lục A 5.10 kết hợp cả việc sử dụng và xử lý tài sản được chấp nhận thành một biện pháp kiểm soát để dễ sử dụng.
Phụ lục A 5.10 cũng bổ sung thêm một điểm nữa vào 8.2.3, liên quan đến việc chấp thuận việc xử lý thông tin và bất kỳ tài sản liên quan nào, cũng như phương pháp xóa được khuyến nghị.
