Các tổ chức áp dụng nhãn phân loại cho các tài sản thông tin có liên quan để thực hiện chương trình phân loại thông tin của họ.
Theo chương trình phân loại thông tin được tổ chức áp dụng, Phụ lục A 5.13 của ISO 27001:2022 định nghĩa một bộ quy trình dán nhãn thông tin.
Ngoài việc xác định tài sản vật chất và điện tử, cần phải xây dựng các quy trình xác định thông tin phản ánh sơ đồ phân loại được mô tả trong 5.12.
Làm cho nhãn dễ nhận biết và quản lý; nếu không, chúng sẽ không được tuân thủ. Thay vì yêu cầu nhân viên dán nhãn mọi bản cập nhật CRM bằng tuyên bố bảo mật thương mại, có thể dễ dàng hơn khi quyết định trên thực tế rằng mọi thứ trong hệ thống kỹ thuật số đều là bảo mật trừ khi được dán nhãn rõ ràng!
Sử dụng sơ đồ phân loại được áp dụng trong Phụ lục A Kiểm soát 5.12, Phụ lục A Kiểm soát 5.13 nêu chi tiết cách các tổ chức nên phát triển, triển khai và quản lý quy trình dán nhãn thông tin mạnh mẽ.
Mục đích của Phụ lục A 5.13 của ISO 27001:2022 là gì?
Mục đích của Phụ lục A 5.13 có hai mặt: bảo vệ tài sản thông tin khỏi các rủi ro bảo mật:
- Tài sản thông tin có thể được phân loại theo cách trực tiếp khi chúng được truyền đạt nội bộ và bên ngoài. Đây là lúc nhân viên và bên thứ ba có thể truy cập và sử dụng thông tin.
- Việc xử lý và quản lý thông tin có thể được hợp lý hóa thông qua tự động hóa.
Ai là người sở hữu Phụ lục A 5.13?
Tài sản thông tin có thể được dán nhãn bằng cách thêm siêu dữ liệu, do đó người quản lý siêu dữ liệu phải chịu trách nhiệm thực hiện đúng quy trình dán nhãn.
Tất cả tài sản dữ liệu phải được dán nhãn phù hợp và chủ sở hữu tài sản phải thực hiện bất kỳ sửa đổi nào đối với nhãn với quyền truy cập và sửa đổi.
Hướng dẫn chung về cách tuân thủ ISO 27001:2022 Phụ lục A 5.13
Bằng cách sử dụng Phụ lục A Kiểm soát 5.13, các tổ chức có thể dán nhãn thông tin theo bốn bước cụ thể.
Thiết lập một thủ tục ghi nhãn thông tin
Sơ đồ phân loại thông tin được tạo theo Phụ lục A Kiểm soát 5.12 phải được tuân thủ theo Quy trình dán nhãn thông tin của tổ chức.
5.13 cũng yêu cầu rằng Quy trình này áp dụng cho tất cả các tài sản thông tin, dù là kỹ thuật số hay giấy và nhãn phải dễ nhận biết.
Không có giới hạn nào về nội dung mà tài liệu Quy trình này có thể chứa, nhưng Phụ lục A Kiểm soát 5.13 yêu cầu các quy trình phải bao gồm những nội dung sau:
- Giải thích về các phương pháp gắn nhãn vào tài sản thông tin dựa trên loại phương tiện lưu trữ và cách truy cập dữ liệu.
- Đối với mỗi loại tài sản thông tin, cần gắn nhãn ở đâu.
- Ví dụ, một tổ chức có thể không công bố dữ liệu công khai trong quá trình dán nhãn thông tin của mình.
- Những hạn chế về mặt kỹ thuật, pháp lý hoặc hợp đồng ngăn cản việc dán nhãn một số loại thông tin nhất định.
- Các quy tắc chi phối cách dán nhãn thông tin khi truyền nội bộ hoặc ra bên ngoài.
- Tài sản kỹ thuật số phải có hướng dẫn về cách chèn siêu dữ liệu.
- Tất cả tài sản phải được gắn nhãn cùng tên.
Cung cấp đào tạo đầy đủ về quy trình dán nhãn cho nhân viên
Nhân sự và các bên liên quan khác phải hiểu cách dán nhãn thông tin chính xác và quản lý tài sản thông tin đã dán nhãn trước khi Quy trình dán nhãn thông tin có hiệu quả.
Do đó, các tổ chức nên đào tạo nhân viên và các bên liên quan khác về Quy trình này.
Tài sản thông tin số phải được gắn thẻ với siêu dữ liệu
Tài sản thông tin số phải được dán nhãn bằng siêu dữ liệu theo 5.13.
Việc triển khai siêu dữ liệu cũng sẽ giúp dễ dàng nhận dạng và tìm kiếm thông tin cũng như hợp lý hóa việc ra quyết định giữa các hệ thống liên quan đến thông tin được gắn nhãn.
Cần thực hiện các biện pháp phòng ngừa bổ sung để dán nhãn dữ liệu nhạy cảm có thể thoát khỏi hệ thống
Khuyến nghị của Phụ lục A 5.13 tập trung vào việc xác định nhãn phù hợp nhất cho việc chuyển giao ra bên ngoài các tài sản thông tin quan trọng và nhạy cảm , đồng thời xem xét các rủi ro liên quan.
Phụ lục A 5.13 Hướng dẫn bổ sung
Để hoạt động chia sẻ dữ liệu được an toàn, điều cần thiết là phải xác định và dán nhãn chính xác thông tin được phân loại.
Phụ lục A 5.13 cũng khuyến nghị các tổ chức chèn thêm các điểm siêu dữ liệu. Nghĩa là tên của quy trình tạo ra tài sản thông tin và thời điểm tạo ra.
Ngoài ra, Phụ lục A 5.13 mô tả các kỹ thuật dán nhãn tiêu chuẩn mà các tổ chức có thể sử dụng:
- Nhãn vật lý
- Tiêu đề và chân trang
- Siêu dữ liệu
- Đánh dấu bằng hình mờ
- Con dấu cao su
Cuối cùng, Phụ lục A 5.13 nhấn mạnh rằng việc dán nhãn tài sản thông tin là ‘bí mật’ và ‘phân loại’ có thể gây ra hậu quả không mong muốn. Điều này có thể giúp những kẻ xấu dễ dàng phát hiện và tìm thấy tài sản thông tin nhạy cảm.
Những thay đổi và khác biệt so với ISO 27001:2013 là gì?
Phụ lục A 5.13 của ISO 27001:2022 thay thế Phụ lục A 8.2.2 của ISO 27001:2013 (Ghi nhãn thông tin).
Cả hai biện pháp kiểm soát của Phụ lục A đều tương tự nhau ở một mức độ nào đó, nhưng có hai điểm khác biệt chính khiến phiên bản ISO 27001:2022 toàn diện hơn.
Việc sử dụng Siêu dữ liệu là bắt buộc để đáp ứng các yêu cầu mới
Mặc dù phiên bản năm 2013 coi siêu dữ liệu là một kỹ thuật dán nhãn, nhưng không áp đặt bất kỳ nghĩa vụ cụ thể nào về việc tuân thủ khi sử dụng siêu dữ liệu.
Ngược lại, phiên bản 2022 kết hợp những điểm khác biệt và thay đổi so với ISO 27001:2013.
Việc sử dụng siêu dữ liệu hiện là một yêu cầu
Năm 2013, siêu dữ liệu được coi là một kỹ thuật dán nhãn nhưng không có nghĩa vụ tuân thủ cụ thể nào được áp dụng.
Ngược lại, phiên bản 2022 bao gồm các yêu cầu nghiêm ngặt đối với các kỹ thuật siêu dữ liệu. Ví dụ, phiên bản 2022 yêu cầu những điều sau:
- Việc thêm siêu dữ liệu vào thông tin giúp việc nhận dạng, quản lý và khám phá thông tin trở nên dễ dàng hơn.
- Cần phải chèn siêu dữ liệu cho tên và ngày của quá trình tạo ra tài sản.
Cần cung cấp thêm thông tin chi tiết trong quy trình dán nhãn thông tin
Quy trình ghi nhãn thông tin trong phiên bản năm 2013 không bắt buộc phải bao gồm nội dung tối thiểu như trong phiên bản năm 2022.
