Mục đích của ISO 27001:2022 Phụ lục A 8.12
Rò rỉ dữ liệu có thể được định nghĩa là hành vi truy cập, truyền tải hoặc trích xuất thông tin trái phép của nhân viên và hệ thống nội bộ và bên ngoài, hoặc các thực thể độc hại nhắm vào hệ thống thông tin của tổ chức.
Rò rỉ dữ liệu là vấn đề thường gặp đối với các tổ chức quản lý lượng dữ liệu lớn, thuộc nhiều phân loại khác nhau, trên nhiều hệ thống CNTT, ứng dụng và máy chủ tệp riêng biệt và được kết nối với nhau.
Ai là người sở hữu Phụ lục A 8.12?
ISO 27001:2022 Phụ lục A 8.12 liên quan đến các hoạt động CNTT được thực hiện với quyền truy cập của quản trị viên hệ thống và nằm trong phạm vi quản lý và bảo trì mạng. Do đó, Trưởng phòng CNTT hoặc tương đương phải giám sát việc kiểm soát này.
Hướng dẫn về ISO 27001:2022 Phụ lục A 8.12 Tuân thủ
Rất khó để loại bỏ hoàn toàn tình trạng rò rỉ dữ liệu. Tuy nhiên, để giảm thiểu rủi ro chỉ liên quan đến hoạt động của mình, các tổ chức nên:
- Tổ chức dữ liệu theo tiêu chuẩn ngành (PII, dữ liệu thương mại, thông tin sản phẩm) để chỉ định các mức độ rủi ro khác nhau.
- Kiểm tra cẩn thận các ổ dữ liệu được sử dụng nhiều và dễ bị rò rỉ (ví dụ: email, truyền tệp đến và đi, thiết bị USB).
- Hãy chủ động bảo vệ dữ liệu khỏi bị lộ. Áp dụng các hạn chế tệp mạnh mẽ và thiết lập các phương pháp ủy quyền phù hợp.
- Hạn chế khả năng sao chép và dán dữ liệu (nếu có) của người dùng chỉ đến và từ một số nền tảng và hệ thống nhất định.
- Trước khi thực hiện bất kỳ hoạt động xuất khẩu quy mô lớn nào, hãy yêu cầu sự cho phép từ người nắm giữ dữ liệu.
- Hãy nghĩ đến việc quản lý hoặc ngăn chặn người dùng chụp ảnh màn hình hoặc chụp ảnh màn hình hiển thị các loại dữ liệu được bảo vệ.
- Mã hóa mọi bản sao lưu có dữ liệu nhạy cảm. Đảm bảo rằng mọi thông tin bí mật đều được bảo vệ.
- Xây dựng các biện pháp bảo mật cổng thông tin và phòng ngừa rò rỉ để bảo vệ chống lại các tác động bên ngoài, bao gồm (nhưng không giới hạn ở) gián điệp công nghiệp, phá hoại, can thiệp thương mại và trộm cắp IP.
Việc ngăn ngừa rò rỉ dữ liệu có liên quan chặt chẽ đến các hướng dẫn bảo mật ISO khác nhằm bảo vệ thông tin và dữ liệu trên toàn bộ mạng lưới của công ty, bao gồm kiểm soát truy cập (xem Phụ lục A, Kiểm soát 5.12 của ISO 27001:2022) và quản lý tài liệu an toàn (xem Phụ lục A, Kiểm soát 5.15 của ISO 27001:2022).
Hướng dẫn về Công cụ Rò rỉ Dữ liệu
Các tổ chức nên cân nhắc sử dụng các công cụ chống rò rỉ dữ liệu chuyên dụng và các chương trình tiện ích :
- Hợp tác với hệ thống phân loại dữ liệu của tổ chức và xác định khả năng rò rỉ dữ liệu trong các danh mục có rủi ro cao.
- Chủ động phát hiện và cảnh báo các hoạt động chuyển/tiết lộ dữ liệu, đặc biệt là tới các hệ thống, trang web chia sẻ tệp hoặc ứng dụng không được chấp thuận.
- Hãy lưu ý đến những rủi ro liên quan đến một số kỹ thuật truyền dữ liệu, ví dụ như chuyển dữ liệu tài chính từ cơ sở dữ liệu sang bảng tính.
Các công cụ ngăn ngừa rò rỉ dữ liệu có tính xâm phạm và phải được sử dụng và quản lý theo đúng các quy định hoặc luật hiện hành liên quan đến quyền riêng tư của người dùng.
Phụ lục A kèm theo Kiểm soát
- ISO 27001:2022 Phụ lục A 5.12
- ISO 27001:2022 Phụ lục A 5.15
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A 8.12 của ISO 27001:2022 là một biện pháp kiểm soát hiện đại không có trong ISO 27001:2013.
