Phân loại thông tin là một quá trình cơ bản cho phép các tổ chức nhóm các tài sản thông tin của mình thành các danh mục có liên quan dựa trên mức độ bảo vệ cần thiết.
Theo ISO 27001:2022 Phụ lục A 5.1.2, thông tin phải được phân loại dựa trên nhiều yếu tố, bao gồm các yêu cầu pháp lý, giá trị, tính quan trọng và mức độ nhạy cảm với việc tiết lộ hoặc sửa đổi trái phép. Phân loại này phải được thiết kế để phản ánh hoạt động kinh doanh độc đáo của tổ chức mà không cản trở hoặc làm phức tạp thêm.
Ví dụ, thông tin dành cho mục đích công cộng phải được đánh dấu phù hợp, trong khi dữ liệu bí mật hoặc nhạy cảm về mặt thương mại phải được bảo mật ở mức độ cao hơn . Điều quan trọng cần lưu ý là việc phân loại thông tin được xếp vào các biện pháp kiểm soát quan trọng nhất trong Phụ lục A để đảm bảo tài sản của tổ chức được bảo vệ .
Mục đích của ISO 27001:2022 Phụ lục A 5.12
Phụ lục A Kiểm soát 5.12 là biện pháp kiểm soát phòng ngừa cho phép các tổ chức xác định rủi ro bằng cách xác định mức độ bảo vệ phù hợp cho từng tài sản thông tin dựa trên tầm quan trọng và mức độ nhạy cảm của nó.
Trong Hướng dẫn bổ sung, Phụ lục A Kiểm soát 5.12 nêu rõ cảnh báo về việc phân loại thông tin quá mức hoặc quá thấp. Các tổ chức phải cân nhắc các yêu cầu về tính bảo mật, tính khả dụng và tính toàn vẹn khi phân bổ tài sản vào các danh mục tương ứng của mình. Điều này giúp đảm bảo rằng sơ đồ phân loại cân bằng giữa nhu cầu kinh doanh về thông tin và các yêu cầu bảo mật cho từng danh mục thông tin.
Quyền sở hữu của Phụ lục A 5.12
Mặc dù việc thiết lập một chương trình phân loại cho các tài sản thông tin trong toàn bộ tổ chức là điều cần thiết, nhưng về cơ bản, chủ sở hữu tài sản có trách nhiệm đảm bảo chương trình này được triển khai đúng cách.
Theo Phụ lục A 5.12 của ISO 27001:2022, những người có tài sản thông tin liên quan phải chịu trách nhiệm. Ví dụ, bộ phận kế toán phải phân loại thông tin dựa trên sơ đồ phân loại toàn tổ chức khi truy cập vào các thư mục chứa báo cáo bảng lương và sao kê ngân hàng.
Khi phân loại thông tin, điều quan trọng là chủ sở hữu tài sản phải cân nhắc đến nhu cầu kinh doanh và tác động tiềm ẩn mà việc xâm phạm thông tin có thể gây ra cho tổ chức . Ngoài ra, họ phải tính đến mức độ quan trọng và nhạy cảm của thông tin.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 5.12
Để triển khai thành công một chương trình phân loại thông tin mạnh mẽ, các tổ chức cần có cách tiếp cận theo chủ đề, xem xét nhu cầu thông tin cụ thể của từng đơn vị kinh doanh và đánh giá mức độ nhạy cảm và quan trọng của thông tin.
Theo Phụ lục A Kiểm soát 5.12, các tổ chức phải đánh giá bảy tiêu chí sau khi triển khai chương trình phân loại:
Thiết lập chính sách theo chủ đề cụ thể và giải quyết các nhu cầu kinh doanh cụ thể
Phụ lục A Kiểm soát 5.12 của hệ thống quản lý bảo mật thông tin tham chiếu đến Phụ lục A Kiểm soát 5.1, liên quan đến kiểm soát truy cập. Phụ lục này yêu cầu các tổ chức tuân thủ các chính sách cụ thể theo chủ đề được quy định trong Phụ lục A Kiểm soát 5.1. Ngoài ra, sơ đồ phân loại và các cấp độ phải xem xét các nhu cầu kinh doanh cụ thể khi phân loại tài sản thông tin.
Các tổ chức cần cân nhắc nhu cầu kinh doanh của mình về việc chia sẻ và sử dụng thông tin, cũng như nhu cầu về tính khả dụng của thông tin đó. Tuy nhiên, việc phân loại tài sản thông tin có thể làm gián đoạn các chức năng kinh doanh quan trọng bằng cách hạn chế quyền truy cập và sử dụng thông tin.
Do đó, các tổ chức nên cân bằng nhu cầu kinh doanh cụ thể của mình về tính khả dụng và việc sử dụng dữ liệu cũng như yêu cầu duy trì tính bảo mật và toàn vẹn của thông tin đó.
Xem xét nghĩa vụ pháp lý
Luật cụ thể có thể yêu cầu các tổ chức nhấn mạnh việc bảo vệ tính bảo mật, tính toàn vẹn và tính khả dụng của thông tin. Do đó, các nghĩa vụ pháp lý nên được ưu tiên hơn phân loại nội bộ của tổ chức khi phân loại tài sản thông tin.
Nên áp dụng phương pháp tiếp cận dựa trên rủi ro và đánh giá tác động tiềm ẩn của vi phạm bảo mật hoặc xâm phạm tài sản thông tin . Điều này sẽ giúp ưu tiên và triển khai các biện pháp bảo mật phù hợp để giảm thiểu các rủi ro đã xác định.
Mỗi dạng thông tin đều có mức độ quan trọng riêng đối với chức năng của tổ chức và có mức độ nhạy cảm khác nhau tùy thuộc vào từng hoàn cảnh cụ thể.
Khi một tổ chức triển khai chương trình phân loại thông tin, tổ chức đó cần cân nhắc đến tác động tiềm ẩn của việc xâm phạm tính bảo mật, tính toàn vẹn hoặc tính khả dụng của thông tin đối với tổ chức.
Ví dụ, mức độ nhạy cảm và tác động tiềm tàng của cơ sở dữ liệu chứa địa chỉ email chuyên nghiệp của các khách hàng tiềm năng đủ điều kiện sẽ rất khác so với hồ sơ sức khỏe của nhân viên. Do đó, tổ chức nên cân nhắc cẩn thận mức độ bảo vệ mà mỗi loại thông tin yêu cầu và phân bổ nguồn lực cho phù hợp.
Cập nhật và xem xét phân loại thường xuyên
Phụ lục A Kiểm soát 5.12 thừa nhận rằng giá trị, tầm quan trọng và mức độ nhạy cảm của thông tin có thể thay đổi theo thời gian khi dữ liệu trải qua vòng đời của nó. Do đó, các tổ chức cần thường xuyên xem xét phân loại thông tin của mình và thực hiện bất kỳ cập nhật nào cần thiết.
Phụ lục A của ISO 27001 Kiểm soát 5.12 liên quan đến việc giảm đáng kể giá trị và độ nhạy cảm của thông tin.
Điều cần thiết là phải tham khảo ý kiến của các tổ chức khác để chia sẻ thông tin và giải quyết mọi bất đồng.
Mỗi tổ chức có thể có thuật ngữ, cấp độ và tiêu chuẩn riêng biệt cho hệ thống phân loại thông tin của họ
Sự khác biệt trong phân loại thông tin giữa các tổ chức có thể dẫn đến rủi ro tiềm ẩn khi trao đổi tài sản thông tin.
Các tổ chức phải hợp tác với các đối tác để đạt được sự đồng thuận nhằm đảm bảo tính thống nhất trong phân loại thông tin và diễn giải nhất quán các cấp độ phân loại để giảm thiểu những rủi ro đó.
Sự nhất quán ở cấp độ tổ chức
Mỗi phòng ban trong một tổ chức phải có sự hiểu biết chung về các cấp độ phân loại và giao thức để đảm bảo tính thống nhất trong phân loại trên toàn bộ tổ chức.
Hướng dẫn về cách thực hiện chương trình phân loại thông tin
Trong khi Phụ lục A 5.12 thừa nhận rằng không có hệ thống phân loại nào có thể áp dụng chung và các tổ chức có thể linh hoạt thiết lập và xác định mức độ phân loại của mình, thì Phụ lục này minh họa một lược đồ phân loại thông tin:
- Việc tiết lộ không gây hại gì.
- Việc tiết lộ thông tin chỉ gây ra thiệt hại nhỏ về uy tín hoặc tác động nhỏ đến hoạt động.
- Việc tiết lộ thông tin có tác động đáng kể trong ngắn hạn đến hoạt động hoặc mục tiêu kinh doanh.
- Việc tiết lộ thông tin sẽ ảnh hưởng nghiêm trọng đến các mục tiêu kinh doanh dài hạn hoặc gây nguy cơ cho sự tồn tại của tổ chức.
Những thay đổi và khác biệt so với ISO 27002:2013
Phụ lục A 8.2.1 trong phiên bản trước đề cập đến Phân loại thông tin.
Mặc dù hai phiên bản khá giống nhau nhưng có hai điểm khác biệt chính:
- Đầu tiên, phiên bản trước không đề cập đến nhu cầu về tính nhất quán trong các cấp độ phân loại khi thông tin được chia sẻ giữa các tổ chức. Tuy nhiên, ISO 27001:2022 yêu cầu các tổ chức phải hợp tác với các đối tác của mình để đảm bảo tính thống nhất trong phân loại và hiểu thông tin.
- Thứ hai, phiên bản cập nhật yêu cầu rõ ràng các tổ chức phải phát triển các chính sách phù hợp với các chủ đề cụ thể. Chỉ có một tham chiếu ngắn gọn về kiểm soát truy cập được thực hiện trong phiên bản cũ.
