Mục đích của Phụ lục A 5.14 của ISO 27001:2022 là đảm bảo an ninh cho tất cả các thiết bị của người dùng.
Điều này có nghĩa là phải thực hiện các biện pháp để bảo vệ thiết bị khỏi phần mềm độc hại và các mối đe dọa khác, cũng như duy trì tính bảo mật, toàn vẹn và khả dụng của dữ liệu được lưu trữ trên thiết bị.
Phụ lục A Kiểm soát 5.14 của ISO 27001:2022 yêu cầu các tổ chức phải cài đặt các quy tắc, thủ tục hoặc hợp đồng cần thiết để duy trì bảo mật dữ liệu khi chia sẻ nội bộ hoặc gửi cho các bên bên ngoài.
Quyền sở hữu của ISO 27001:2022 Phụ lục A Kiểm soát 5.14
Sự ủng hộ và chấp thuận của ban quản lý cấp cao là điều cần thiết cho việc hình thành và thực hiện các quy định, giao thức và hợp đồng.
Tuy nhiên, điều bắt buộc là phải có sự hợp tác và kiến thức chuyên môn của nhiều bên trong tổ chức, chẳng hạn như nhân viên pháp lý, nhân viên CNTT và các lãnh đạo cấp cao.
Nhóm pháp lý phải đảm bảo tổ chức ký kết các thỏa thuận chuyển giao tuân thủ Phụ lục A của ISO 27001:2022 Kiểm soát 5.14. Ngoài ra, nhóm CNTT phải tích cực tham gia vào việc chỉ định và thực hiện các biện pháp kiểm soát để bảo vệ dữ liệu, như đã nêu trong 5.14.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 5.14
Để đảm bảo tuân thủ 5.14, cần phải xây dựng các quy tắc, thủ tục và thỏa thuận, bao gồm chính sách chuyển dữ liệu cụ thể cho chủ đề và cung cấp mức độ bảo vệ phù hợp cho dữ liệu đang truyền tải theo phân loại được chỉ định.
Mức độ bảo mật phải tương xứng với tầm quan trọng và mức độ nhạy cảm của dữ liệu được gửi. Phụ lục A 5.14 của ISO 27001:2022 cũng yêu cầu các tổ chức phải ký kết thỏa thuận chuyển giao với bên thứ ba là người nhận để đảm bảo truyền dữ liệu an toàn.
Phụ lục A của ISO 27001:2022 Kiểm soát 5.14 phân loại các loại chuyển giao thành ba nhóm:
- Chuyển khoản điện tử.
- Chuyển phương tiện lưu trữ vật lý .
- Chuyển giao bằng lời nói.
Trước khi đi sâu vào chi tiết các yêu cầu cụ thể của từng loại chuyển giao, Phụ lục A Kiểm soát 5.14 của ISO 27001:2022 nêu rõ các yếu tố phải có trong tất cả các quy định, thủ tục và hợp đồng liên quan đến cả ba loại chuyển giao nói chung:
- Các tổ chức phải xác định các biện pháp kiểm soát phù hợp dựa trên mức độ phân loại thông tin để bảo vệ thông tin khỏi việc truy cập trái phép, thay đổi, chặn, sao chép, phá hủy và tấn công từ chối dịch vụ trong quá trình truyền tải.
- Các tổ chức phải theo dõi chuỗi hành trình trong khi vận chuyển và thiết lập cũng như thực hiện các biện pháp kiểm soát để đảm bảo khả năng truy xuất dữ liệu.
- Chỉ rõ những người tham gia vào việc chuyển dữ liệu và cung cấp thông tin liên hệ của họ, chẳng hạn như chủ sở hữu dữ liệu và nhân viên bảo mật.
- Trong trường hợp xảy ra vi phạm dữ liệu, trách nhiệm sẽ được phân bổ.
- Triển khai hệ thống dán nhãn để theo dõi các mặt hàng.
- Đảm bảo dịch vụ chuyển nhượng luôn sẵn sàng.
- Các hướng dẫn về phương pháp truyền đạt thông tin nên được xây dựng theo từng chủ đề cụ thể.
- Phải tuân thủ các hướng dẫn về việc lưu trữ và hủy bỏ tất cả các tài liệu kinh doanh, bao gồm cả tin nhắn.
- Xem xét tác động của bất kỳ luật, quy định hoặc nghĩa vụ nào khác có thể có đối với việc chuyển nhượng.
Hướng dẫn bổ sung về chuyển tiền điện tử
ISO 27001:2022 Phụ lục A Kiểm soát 5.14 nêu chi tiết các yêu cầu nội dung cụ thể đối với các quy tắc, thủ tục và thỏa thuận liên quan đến ba loại chuyển giao. Các yêu cầu nội dung tối thiểu phải được tuân thủ trên cả ba loại.
Các quy tắc, thỏa thuận và thủ tục phải giải quyết những cân nhắc sau khi chuyển thông tin điện tử:
- Việc xác định và ngăn chặn các cuộc tấn công phần mềm độc hại là tối quan trọng. Điều cần thiết là bạn phải sử dụng công nghệ mới nhất để phát hiện và ngăn chặn các cuộc tấn công từ phần mềm độc hại.
- Đảm bảo tính bảo mật của thông tin bí mật có trong các tệp đính kèm được gửi đi.
- Đảm bảo thông tin liên lạc được gửi đến đúng người nhận bằng cách tránh rủi ro gửi đến địa chỉ email, địa chỉ hoặc số điện thoại không chính xác.
- Xin phép trước khi bắt đầu sử dụng bất kỳ dịch vụ truyền thông công cộng nào.
- Nên sử dụng các phương pháp xác thực chặt chẽ hơn khi gửi dữ liệu qua mạng công cộng.
- Áp dụng các giới hạn về việc sử dụng các dịch vụ truyền thông điện tử, ví dụ như cấm chuyển tiếp tự động.
- Khuyến cáo nhân viên tránh sử dụng dịch vụ tin nhắn ngắn hoặc tin nhắn tức thời để chia sẻ dữ liệu nhạy cảm, vì nội dung có thể bị những người không được phép xem ở nơi công cộng.
- Tư vấn cho nhân viên và các bên quan tâm khác về những rủi ro bảo vệ mà máy fax có thể gây ra, chẳng hạn như truy cập trái phép hoặc chuyển hướng tin nhắn đến một số số nhất định.
Hướng dẫn bổ sung về chuyển giao phương tiện lưu trữ vật lý
Khi thông tin được chia sẻ về mặt vật lý, các quy tắc, thủ tục và thỏa thuận phải bao gồm:
- Các bên có trách nhiệm thông báo cho nhau về việc truyền, gửi và nhận thông tin.
- Đảm bảo tin nhắn được gửi đúng địa chỉ và phù hợp.
- Bao bì tốt sẽ loại bỏ khả năng hư hỏng hàng hóa trong quá trình vận chuyển. Ví dụ, bao bì phải chịu được nhiệt và độ ẩm.
- Ban quản lý đã thống nhất danh sách các đơn vị chuyển phát nhanh đáng tin cậy và được ủy quyền.
- Tổng quan về tiêu chuẩn nhận dạng của đơn vị chuyển phát nhanh.
- Đối với thông tin nhạy cảm và quan trọng, nên sử dụng túi chống phá hoại.
- Việc xác minh danh tính của người chuyển phát là rất quan trọng.
- Danh sách các bên thứ ba này, được phân loại theo mức độ dịch vụ, cung cấp dịch vụ vận chuyển hoặc chuyển phát nhanh và đã được chấp thuận.
- Ghi lại thời gian giao hàng, người nhận được ủy quyền, các biện pháp an toàn đã thực hiện và xác nhận đã nhận hàng tại điểm đến trong nhật ký.
Hướng dẫn bổ sung về chuyển giao bằng lời nói
Nhân viên phải được thông báo về các rủi ro liên quan đến việc trao đổi thông tin trong tổ chức hoặc truyền dữ liệu cho các bên bên ngoài, theo Phụ lục A Kiểm soát 5.14 của ISO 27001:2022. Các rủi ro này bao gồm:
- Họ nên tránh thảo luận các vấn đề bí mật ở những kênh công cộng không an toàn hoặc ở những nơi công cộng.
- Người ta không nên để lại thư thoại có thông tin bí mật vì nguy cơ bị phát lại bởi những người không được ủy quyền, cũng như nguy cơ chuyển hướng đến bên thứ ba.
- Cá nhân, bao gồm cả nhân viên và các bên thứ ba có liên quan, phải được sàng lọc trước khi được phép tham gia các cuộc trò chuyện.
- Các phòng dùng để trò chuyện riêng tư phải được trang bị hệ thống cách âm cần thiết.
- Trước khi tham gia vào bất kỳ cuộc đối thoại nhạy cảm nào, bạn nên đưa ra tuyên bố miễn trừ trách nhiệm.
Những thay đổi và khác biệt so với ISO 27001:2013?
Phụ lục A 5.14 của ISO 27001:2022 thay thế Phụ lục A 13.2.1, 13.2.2 và 13.2.3 của ISO 27001:2013.
Hai biện pháp kiểm soát này có một số điểm tương đồng, tuy nhiên có hai điểm khác biệt chính khiến các yêu cầu của năm 2022 trở nên nặng nề hơn.
Yêu cầu cụ thể đối với chuyển giao điện, vật lý và lời nói
Mục 13.2.3 trong phiên bản năm 2013 đề cập đến các yêu cầu cụ thể về việc truyền dữ liệu bằng tin nhắn điện tử.
Tuy nhiên, nó không đề cập cụ thể đến việc truyền tải thông tin thông qua phương tiện bằng lời nói hoặc vật lý.
Ngược lại, phiên bản năm 2022 xác định chính xác ba loại truyền thông tin và nêu rõ nội dung cần thiết cho từng loại.
ISO 27001:2022 Đặt ra các yêu cầu nghiêm ngặt hơn cho việc chuyển giao điện tử
Mục 13.2.3 của Phiên bản 2022 đặt ra các yêu cầu nghiêm ngặt hơn về nội dung của các thỏa thuận nhắn tin điện tử.
Các tổ chức phải nêu chi tiết và thực hiện các quy định mới về chuyển giao dữ liệu kỹ thuật số dưới dạng các quy tắc, thủ tục và hợp đồng theo tiêu chuẩn ISO 27001:2022.
Ví dụ, các tổ chức nên cảnh báo nhân viên không sử dụng dịch vụ SMS khi truyền thông tin nhạy cảm.
Yêu cầu chi tiết cho việc chuyển nhượng vật lý
Phiên bản 2022 áp dụng các quy định chặt chẽ hơn về việc chuyển giao vật lý phương tiện lưu trữ. Ví dụ, nó kỹ lưỡng hơn trong việc xác thực người chuyển phát và bảo vệ chống lại các hình thức hư hỏng khác nhau.
Những thay đổi về cấu trúc
Trong phiên bản năm 2013, có tham chiếu rõ ràng đến các yêu cầu cần thiết của thỏa thuận chuyển giao thông tin. Tuy nhiên, ‘Quy tắc’ và ‘Thủ tục’ không được nêu chi tiết.
Đối với ISO 27001:2022, các tiêu chí cụ thể được nêu cho từng phương pháp trong ba phương pháp.
