Việc sử dụng các thiết bị lưu trữ như ổ đĩa thể rắn (SSD), ổ USB, ổ đĩa ngoài và điện thoại di động rất quan trọng đối với nhiều hoạt động xử lý thông tin quan trọng như sao lưu dữ liệu, lưu trữ dữ liệu và truyền thông tin.
Tuy nhiên, việc lưu trữ thông tin nhạy cảm và quan trọng trên các thiết bị này gây ra rủi ro cho tính toàn vẹn , tính bảo mật và tính khả dụng của tài sản thông tin. Những rủi ro này có thể bao gồm mất hoặc bị đánh cắp phương tiện lưu trữ chứa thông tin nhạy cảm, phát tán phần mềm độc hại vào tất cả các mạng máy tính của công ty thông qua phương tiện lưu trữ và hỏng hóc và xuống cấp của các thiết bị phương tiện lưu trữ được sử dụng để sao lưu dữ liệu.
Kiểm soát 7.10 đề cập đến cách các tổ chức có thể thiết lập các quy trình, chính sách và biện pháp kiểm soát phù hợp để duy trì tính bảo mật của phương tiện lưu trữ trong suốt vòng đời của nó, từ khi mua vào cho đến khi thải bỏ.
Mục đích của Kiểm soát 7.10
Tiêu chuẩn Kiểm soát 7.10 cho phép các tổ chức loại bỏ và giảm thiểu rủi ro truy cập, sử dụng, xóa, sửa đổi và chuyển giao thông tin nhạy cảm được lưu trữ trên thiết bị lưu trữ bằng cách thiết lập các quy trình xử lý phương tiện lưu trữ trong toàn bộ vòng đời của phương tiện đó.
Bảng Thuộc tính
Kiểm soát 7.10 là loại kiểm soát mang tính phòng ngừa yêu cầu các tổ chức phải tạo, triển khai và duy trì các quy trình và biện pháp để đảm bảo an toàn cho các thiết bị lưu trữ từ khi mua vào cho đến khi thải bỏ.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật #Toàn vẹn #Khả dụng | #Bảo vệ | #An ninh vật lý #Quản lý tài sản | #Sự bảo vệ |
Control 7.10 bao gồm những phương tiện lưu trữ nào?
Kiểm soát 7.10 áp dụng cho cả phương tiện lưu trữ kỹ thuật số và vật lý. Ví dụ, việc lưu trữ thông tin trên các tệp vật lý cũng được bao gồm trong Kiểm soát 7.10.
Ngoài ra, bên cạnh phương tiện lưu trữ di động, phương tiện lưu trữ cố định như ổ cứng cũng phải tuân theo Kiểm soát 7.10.
Quyền sở hữu kiểm soát 7.10
Biện pháp kiểm soát 7.10 yêu cầu các tổ chức phải tạo và triển khai các quy trình, biện pháp kiểm soát kỹ thuật và chính sách phù hợp trên toàn tổ chức về việc sử dụng phương tiện lưu trữ dựa trên lược đồ phân loại của riêng tổ chức và các yêu cầu xử lý dữ liệu như nghĩa vụ pháp lý và hợp đồng.
Xem xét điều này, người quản lý bảo mật thông tin phải chịu trách nhiệm cho toàn bộ quá trình tuân thủ.
Hướng dẫn chung về tuân thủ
Phương tiện lưu trữ có thể tháo rời
Mặc dù phương tiện lưu trữ di động rất cần thiết cho nhiều hoạt động kinh doanh và được hầu hết nhân viên sử dụng phổ biến, nhưng chúng lại có mức độ rủi ro cao nhất đối với thông tin nhạy cảm.
Tiêu chuẩn kiểm soát 7.10 liệt kê mười yêu cầu mà các tổ chức phải tuân thủ để quản lý phương tiện lưu trữ di động trong suốt vòng đời của nó:
- Các tổ chức nên thiết lập chính sách theo chủ đề cụ thể về việc mua lại, cấp phép, sử dụng và xử lý phương tiện lưu trữ di động. Chính sách này nên được truyền đạt cho tất cả nhân viên và tất cả các bên liên quan.
- Nếu thực tế và cần thiết, các tổ chức nên đưa ra các thủ tục ủy quyền về cách thức có thể mang phương tiện lưu trữ di động ra khỏi cơ sở của công ty. Hơn nữa, các tổ chức nên lưu giữ hồ sơ nhật ký về việc loại bỏ phương tiện lưu trữ để phục vụ mục đích kiểm toán.
- Tất cả các phương tiện lưu trữ di động phải được lưu trữ ở nơi an toàn như két sắt, lưu ý đến mức độ phân loại thông tin được chỉ định cho thông tin đó cũng như các mối đe dọa về mặt vật lý và môi trường đối với phương tiện lưu trữ.
- Nếu tính bảo mật và toàn vẹn của thông tin chứa trong phương tiện lưu trữ di động có tầm quan trọng đặc biệt thì cần sử dụng các kỹ thuật mật mã để bảo vệ phương tiện lưu trữ khỏi sự truy cập trái phép.
- Để tránh nguy cơ suy thoái phương tiện lưu trữ di động và mất thông tin được lưu trữ trên phương tiện, thông tin nên được chuyển sang thiết bị lưu trữ mới trước khi rủi ro đó xảy ra.
- Thông tin quan trọng và nhạy cảm nên được sao chép và lưu trữ trên nhiều phương tiện lưu trữ để giảm thiểu rủi ro mất thông tin quan trọng.
- Để giảm thiểu rủi ro mất thông tin hoàn toàn, việc đăng ký thiết bị lưu trữ di động có thể là một lựa chọn cần cân nhắc.
- Trừ khi có lý do liên quan đến công việc để sử dụng các cổng phương tiện lưu trữ di động như cổng USB hoặc khe cắm thẻ SD, chúng không được phép sử dụng.
- Cần phải có cơ chế giám sát việc chuyển thông tin sang các thiết bị lưu trữ di động.
- Khi thông tin chứa trong các phương tiện vật lý như giấy tờ được chuyển qua dịch vụ chuyển phát nhanh hoặc bưu chính, có nguy cơ cao về việc truy cập trái phép vào thông tin này. Do đó, cần áp dụng các biện pháp thích hợp.
Hướng dẫn về Tái sử dụng và Xử lý An toàn Phương tiện Lưu trữ
Tiêu chuẩn 7.10 cung cấp hướng dẫn riêng về việc tái sử dụng và xử lý phương tiện lưu trữ một cách an toàn để các tổ chức có thể giảm thiểu và loại bỏ rủi ro xâm phạm tính bảo mật của thông tin.
Tiêu chuẩn kiểm soát 7.10 nhấn mạnh rằng các tổ chức phải xác định và áp dụng các quy trình tái sử dụng và xử lý phương tiện lưu trữ, có tính đến mức độ nhạy cảm của thông tin chứa trong phương tiện lưu trữ.
Khi thiết lập các quy trình này, các tổ chức nên cân nhắc những điều sau:
- Nếu phương tiện lưu trữ được một bên nội bộ trong tổ chức tái sử dụng, thông tin nhạy cảm được lưu trữ trên phương tiện lưu trữ đó phải bị xóa vĩnh viễn hoặc định dạng lại trước khi được phép tái sử dụng.
- Phương tiện lưu trữ lưu trữ thông tin nhạy cảm nên được hủy theo cách an toàn khi không còn cần thiết nữa. Ví dụ, tài liệu giấy có thể bị hủy và thiết bị kỹ thuật số có thể bị hủy vật lý.
- Cần phải có quy trình để xác định các phương tiện lưu trữ cần phải loại bỏ.
- Khi các tổ chức quyết định hợp tác với bên ngoài để xử lý việc thu thập và xử lý phương tiện lưu trữ, họ nên tiến hành thẩm định để đảm bảo rằng nhà cung cấp được chọn có đủ năng lực và thực hiện các biện pháp kiểm soát phù hợp.
- Lưu giữ hồ sơ về tất cả các mặt hàng đã loại bỏ để kiểm tra .
- Khi phải loại bỏ nhiều phương tiện lưu trữ cùng lúc, cần phải tính đến hiệu ứng tích lũy: Việc kết hợp các thông tin khác nhau từ mỗi phương tiện lưu trữ có thể biến thông tin không nhạy cảm thành thông tin nhạy cảm.
Cuối cùng nhưng không kém phần quan trọng, Kiểm soát 7.10 yêu cầu các tổ chức phải tiến hành đánh giá rủi ro đối với thiết bị lưu trữ thông tin bí mật bị hư hỏng để quyết định xem có nên phá hủy thiết bị hay sửa chữa.
Những thay đổi và khác biệt so với ISO 27002:2013
27002:2022/7.10 thay thế 27002:2013/(08.3.1, 08.3.2, 08.3.3, 11.2.5)
Có bốn điểm khác biệt chính cần được nêu bật:
- Những thay đổi về cấu trúc
Trong khi phiên bản năm 2013 chứa ba biện pháp kiểm soát riêng biệt về quản lý phương tiện, xử lý phương tiện và chuyển giao phương tiện vật lý, thì Phiên bản năm 2022 kết hợp ba biện pháp kiểm soát này theo Biện pháp kiểm soát 7.10.
- Phiên bản 2022 bao gồm các yêu cầu về việc tái sử dụng phương tiện lưu trữ
Ngược lại với phiên bản năm 2013 chỉ đề cập đến việc xử lý phương tiện lưu trữ một cách an toàn, Phiên bản năm 2022 còn đề cập đến việc tái sử dụng phương tiện lưu trữ một cách an toàn.
- Phiên bản 2013 có các yêu cầu toàn diện hơn về việc chuyển giao vật lý phương tiện lưu trữ
Phiên bản 2013 bao gồm các yêu cầu toàn diện hơn đối với việc chuyển giao vật lý phương tiện lưu trữ. Ví dụ, Phiên bản 2013 bao gồm các quy tắc về xác minh ID cho người chuyển phát nhanh và tiêu chuẩn đóng gói.
Ngược lại, Mục 7.10 trong Phiên bản 2022 chỉ nêu rõ rằng các tổ chức phải hành động một cách siêng năng khi lựa chọn nhà cung cấp dịch vụ như công ty chuyển phát nhanh.
- Phiên bản 2022 yêu cầu chính sách cụ thể về phương tiện lưu trữ di động
Trong khi Phiên bản 2022 và 2013 có nhiều điểm tương đồng về yêu cầu đối với phương tiện lưu trữ di động, Phiên bản 2022 đưa ra yêu cầu thiết lập chính sách cụ thể theo chủ đề về phương tiện lưu trữ di động. Mặt khác, phiên bản 2013 không đề cập đến yêu cầu này.
