Phụ lục A 6.6 của ISO 27001:2022 là gì?
ISO 27001:2022 Phụ lục A 6.6 nêu rằng các tổ chức phải áp dụng các biện pháp để bảo vệ thông tin bí mật khỏi việc tiết lộ trái phép. Điều này bao gồm việc thiết lập các thỏa thuận bảo mật với các bên quan tâm và nhân viên.
Các tổ chức nên tạo ra các điều khoản cho thỏa thuận với các bên khác sau khi xem xét nhu cầu bảo mật thông tin của tổ chức , loại thông tin cần quản lý, mức độ phân loại, mục đích sử dụng và quyền truy cập mà bên kia được phép.
Giải thích về Thỏa thuận bảo mật hoặc không tiết lộ
Thỏa thuận bảo mật hoặc không tiết lộ thông tin (NDA) là một văn bản pháp lý cấm tiết lộ bí mật thương mại và các thông tin bí mật khác.
Thông tin bí mật có thể bao gồm kế hoạch kinh doanh, số liệu tài chính, danh sách khách hàng và các chi tiết độc quyền khác của công ty. Các hợp đồng này được sử dụng trong nhiều trường hợp khác nhau, chẳng hạn như:
- Thỏa thuận bảo mật có thể là một phần của hợp đồng lao động đối với nhân viên mới tuyển dụng. Điều này đảm bảo rằng nhân viên không tiết lộ bất kỳ thông tin bí mật nào liên quan đến doanh nghiệp, sản phẩm hoặc dịch vụ, nhân sự hoặc nhà cung cấp. Các doanh nghiệp cũng áp dụng các thỏa thuận không tiết lộ để ngăn cản nhân viên cũ tiết lộ thông tin nhạy cảm sau khi nghỉ việc.
- Các thỏa thuận bảo mật thường được đưa vào các giao dịch kinh doanh, như mua một công ty, sáp nhập với một công ty khác hoặc bán một doanh nghiệp. Các thỏa thuận này được thiết kế để ngăn chặn cả hai bên tiết lộ bất kỳ thông tin bí mật nào có được trong quá trình giao dịch.
- Quan hệ đối tác liên quan đến việc sử dụng các thỏa thuận bảo mật khi một bên muốn bảo vệ mối quan hệ khách hàng hoặc nhà cung cấp hiện tại của mình khỏi bị tiết lộ cho một đối tác mới. Ví dụ, nếu một doanh nghiệp yêu cầu tài trợ từ các nhà đầu tư mạo hiểm, doanh nghiệp có thể yêu cầu các nhà đầu tư này ký NDA để bảo mật dữ liệu bí mật liên quan đến các sản phẩm hoặc dịch vụ của công ty.
Các quan hệ đối tác thường có các điều khoản bảo mật trong thỏa thuận hợp tác, theo đó mỗi đối tác đồng ý giữ bí mật hoàn toàn mọi thông tin bí mật có được trong quá trình hợp tác.
Mục đích của Thỏa thuận bảo mật
Các thỏa thuận bảo mật thường được cá nhân và doanh nghiệp sử dụng. Chúng phục vụ nhiều mục đích, bao gồm:
- Bảo vệ bí mật thương mại và thông tin độc quyền của họ khỏi các đối thủ cạnh tranh có thể khai thác chúng.
- Ngăn chặn nhân viên tiết lộ dữ liệu nhạy cảm của công ty cho các tổ chức khác.
- Bảo đảm quyền sở hữu trí tuệ như bằng sáng chế và bản quyền.
Mục đích của Phụ lục A 6.6 của ISO 27001:2022 là gì?
Phụ lục A 6.6 của ISO 27001:2022 phải được áp dụng để đảm bảo an toàn dữ liệu khi nhân viên, đối tác và nhà cung cấp cộng tác với một tổ chức.
Kiểm soát này được thiết kế để bảo vệ dữ liệu của tổ chức và thông báo cho những người ký kết về nghĩa vụ quản lý và bảo vệ thông tin một cách có trách nhiệm và hợp pháp. Nó cũng đóng vai trò là công cụ bảo vệ quyền sở hữu trí tuệ, ví dụ như bằng sáng chế, nhãn hiệu, bí mật thương mại và bản quyền.
Người sử dụng lao động phải đảm bảo có Thỏa thuận không tiết lộ thông tin trước khi tiết lộ bất kỳ thông tin bí mật nào cho nhân viên hoặc nhà thầu. Thỏa thuận sẽ làm rõ trách nhiệm của cá nhân trong việc duy trì tính bảo mật của thông tin và thời hạn bảo mật sau khi việc làm kết thúc.
Phụ lục A 6.6 Giải thích
ISO 27001:2022 Phụ lục A Kiểm soát 6.6 được thiết kế để bảo vệ tài sản trí tuệ và lợi ích kinh doanh của tổ chức bạn bằng cách ngăn chặn việc tiết lộ dữ liệu bí mật cho bên thứ ba. Nó liên quan đến việc thiết lập một thỏa thuận hoặc sắp xếp pháp lý giữa tổ chức của bạn và nhân viên, cộng sự, nhà thầu, nhà cung cấp và những bên ngoài khác, nhằm kiểm soát việc sử dụng thông tin được phân loại.
Thông tin bí mật là bất kỳ dữ liệu nào chưa được công khai hoặc chia sẻ với các tổ chức khác trong cùng lĩnh vực. Điều này bao gồm bí mật thương mại, sổ đăng ký khách hàng, công thức và chiến lược kinh doanh.
Đánh giá kiểm soát khi quyết định xem bên thứ ba có được phép truy cập vào dữ liệu cá nhân nhạy cảm hay không và liệu có cần thực hiện các bước để đảm bảo bên thứ ba không giữ hoặc tiếp tục truy cập vào dữ liệu cá nhân nhạy cảm của tổ chức khi họ rời đi hay không.
Khi bên thứ ba rời khỏi tổ chức và có khả năng dữ liệu nhạy cảm bị tiết lộ, tổ chức phải thực hiện các bước cần thiết để ngăn chặn việc tiết lộ trước hoặc ngay sau khi họ rời đi.
Bao gồm những gì và làm thế nào để đáp ứng các yêu cầu
ISO 27001:2022 Phụ lục A 6.6 yêu cầu các bên tham gia thỏa thuận không được tiết lộ thông tin bí mật nằm trong phạm vi của thỏa thuận. Cần có sự đồng ý của tổ chức trong mọi trường hợp cần tiết lộ, trừ khi có lệnh của tòa án. Quy định này rất cần thiết để bảo vệ dữ liệu liên quan đến hoạt động kinh doanh, sở hữu trí tuệ và nghiên cứu và phát triển.
Để tuân thủ Phụ lục A 6.6, một thỏa thuận/hợp đồng bảo mật và không tiết lộ phải được chuẩn bị một cách chính xác để bảo vệ tất cả các bí mật thương mại và dữ liệu/thông tin nhạy cảm liên quan đến các hoạt động và giao dịch của công ty. Điều cần thiết là cả hai bên phải hiểu rõ các nhiệm vụ và trách nhiệm của mình theo thỏa thuận trong và sau khi kết thúc quan hệ đối tác kinh doanh.
Điều khoản bảo mật có thể được đưa vào hợp đồng vượt ra ngoài phạm vi tuyển dụng của nhân viên hoặc sự tham gia của bên thứ ba. Điều này nên được thực hiện để đảm bảo thông tin vẫn được bảo mật.
Điều cần thiết là khi một nhân viên nghỉ việc hoặc thay đổi công việc, các nhiệm vụ và trách nhiệm về an ninh của họ phải được chuyển giao cho người mới, đồng thời xóa mọi thông tin đăng nhập và tạo thông tin mới.
Khi đánh giá các thỏa thuận bảo mật và không tiết lộ thông tin, người ta cần lưu ý một số yếu tố sau:
- Dữ liệu bí mật phải được bảo vệ.
- Thời hạn của Thỏa thuận, bao gồm cả những trường hợp phải duy trì tính bảo mật vĩnh viễn hoặc cho đến khi dữ liệu được công khai, sẽ được xác định.
- Trong trường hợp chấm dứt thỏa thuận, các bước cần thiết phải được thực hiện.
- Người ký kết phải thực hiện mọi hành động cần thiết để ngăn chặn việc tiết lộ thông tin trái phép.
- Quyền sở hữu dữ liệu, kiến thức kinh doanh bí mật và sở hữu trí tuệ có ảnh hưởng đến tính bảo mật.
- Người ký có quyền sử dụng thông tin bí mật theo sự ủy quyền.
- Quyền giám sát hoặc đánh giá các hoạt động liên quan đến dữ liệu cực kỳ bí mật.
- Phải tuân thủ quy trình thông báo và báo cáo về việc tiết lộ hoặc rò rỉ thông tin riêng tư chưa được chấp thuận.
- Khi thỏa thuận này chấm dứt, mọi dữ liệu hoặc thông tin được chia sẻ giữa các bên phải được trả lại hoặc hủy bỏ.
- Nếu thỏa thuận không được tuân thủ, những biện pháp nào sẽ được thực hiện?
Tổ chức phải đảm bảo rằng các thỏa thuận bảo mật và không tiết lộ thông tin tuân thủ luật pháp của khu vực pháp lý có liên quan.
Định kỳ và khi có thay đổi ảnh hưởng đến yêu cầu của mình, cần phải xem xét lại các thỏa thuận bảo mật và không tiết lộ thông tin.
Bạn có thể tìm hiểu thêm thông tin chi tiết về quy trình này trong tiêu chuẩn ISO 27001:2022.
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 6.6 của ISO 27001:2022 là bản sửa đổi của Phụ lục A 13.2.4 của ISO 27001:2013, chứ không phải là một biện pháp kiểm soát mới.
Hai Kiểm soát Phụ lục A có nhiều điểm tương đồng, mặc dù chúng không giống hệt nhau. Ví dụ, hướng dẫn triển khai của cả hai đều giống nhau, mặc dù không giống hệt nhau.
Phần đầu tiên của hướng dẫn triển khai ISO 27001:2013, Phụ lục A 13.2.4, nhấn mạnh rằng:
“Các thỏa thuận bảo mật hoặc không tiết lộ phải giải quyết yêu cầu bảo vệ thông tin bí mật bằng các điều khoản có thể thực thi theo luật định. Các thỏa thuận bảo mật hoặc không tiết lộ áp dụng cho các bên bên ngoài hoặc nhân viên của tổ chức.
Các yếu tố phải được lựa chọn hoặc thêm vào khi xem xét loại bên kia và quyền truy cập hoặc xử lý thông tin bí mật được phép của bên đó.”
Phụ lục A 6.6 của ISO 27001:2022 tuyên bố rằng bất kỳ tổ chức nào cũng phải thực hiện các biện pháp thích hợp để:
“Các thỏa thuận bảo mật hoặc không tiết lộ phải giải quyết yêu cầu bảo vệ thông tin bí mật bằng các điều khoản có thể thực thi theo luật định. Các thỏa thuận bảo mật hoặc không tiết lộ được áp dụng cho các bên quan tâm và nhân viên của tổ chức.
Dựa trên các yêu cầu về bảo mật thông tin của tổ chức, các điều khoản trong các thỏa thuận phải được xác định bằng cách xem xét loại thông tin sẽ được xử lý, mức độ phân loại, cách sử dụng và quyền truy cập được phép của bên kia.”
Cả hai điều khiển đều có cấu trúc và chức năng tương tự trong ngữ cảnh riêng của chúng, mặc dù chúng khác nhau về ý nghĩa ngữ nghĩa. Phụ lục A 6.6 sử dụng ngôn ngữ trực tiếp hơn, thân thiện với người dùng, giúp dễ hiểu nội dung và ngữ cảnh hơn. Do đó, người dùng có thể dễ dàng xác định tiêu chuẩn hơn.
Phiên bản ISO 27001 năm 2022 bao gồm các tuyên bố về mục đích và bảng thuộc tính theo Phụ lục A Kiểm soát, để hỗ trợ việc hiểu và triển khai thành công. Phiên bản năm 2013 không cung cấp nội dung này.
