Mục đích của Kiểm soát 8.11
Che giấu dữ liệu là một kỹ thuật được sử dụng để bảo vệ dữ liệu nhạy cảm – thường là bất kỳ dữ liệu nào có thể được coi là thông tin nhận dạng cá nhân (PII) – ngoài các giao thức bảo mật thông tin tiêu chuẩn của tổ chức như kiểm soát truy cập, v.v.
Việc che giấu dữ liệu thường được đề cập trong các hướng dẫn và luật pháp, quy định và luật định chi phối việc lưu trữ và truy cập thông tin của nhân viên, khách hàng, người dùng và nhà cung cấp.
Bảng Thuộc tính
Biện pháp kiểm soát 8.11 là biện pháp kiểm soát phòng ngừa giúp điều chỉnh rủi ro bằng cách đề xuất một loạt các kỹ thuật che giấu dữ liệu giúp bảo vệ PII và giúp tổ chức tuân thủ các yêu cầu của cơ quan pháp lý và cơ quan quản lý.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật | #Bảo vệ | #Bảo vệ thông tin | #Sự bảo vệ |
Quyền sở hữu kiểm soát 8.11
Che giấu dữ liệu là một quy trình kỹ thuật phức tạp liên quan đến việc thay đổi thông tin nhạy cảm và ngăn chặn người dùng xác định chủ thể dữ liệu thông qua nhiều biện pháp khác nhau.
Mặc dù đây là một nhiệm vụ hành chính, bản chất của việc che giấu dữ liệu có liên quan trực tiếp đến khả năng tuân thủ luật pháp, quy định và hướng dẫn theo luật định của tổ chức liên quan đến việc lưu trữ, truy cập và xử lý dữ liệu. Do đó, quyền sở hữu phải thuộc về Giám đốc An ninh Thông tin hoặc tổ chức tương đương.
Hướng dẫn chung về tuân thủ
Kiểm soát 8.11 yêu cầu các tổ chức xem xét việc che giấu dữ liệu thông qua phạm vi của hai kỹ thuật chính – giả danh hóa và/hoặc ẩn danh hóa . Cả hai phương pháp này đều được thiết kế để che giấu mục đích thực sự của PII thông qua việc tách biệt – tức là ẩn mối liên kết giữa dữ liệu thô và chủ thể (thường là một người).
Các tổ chức cần hết sức cẩn trọng để đảm bảo không có bất kỳ dữ liệu nào có thể gây tổn hại đến danh tính của chủ thể.
Khi sử dụng bất kỳ kỹ thuật nào trong số này, các tổ chức nên cân nhắc:
- Mức độ ẩn danh và/hoặc ẩn danh cần thiết, tùy theo bản chất của dữ liệu.
- Cách truy cập dữ liệu được che giấu.
- Bất kỳ thỏa thuận ràng buộc nào hạn chế việc sử dụng dữ liệu cần được che giấu.
- Giữ dữ liệu được che dấu tách biệt với bất kỳ loại dữ liệu nào khác để tránh việc chủ thể dữ liệu bị xác định dễ dàng.
- Ghi lại thời điểm dữ liệu được nhận và cách dữ liệu được cung cấp cho các nguồn nội bộ hoặc bên ngoài.
Hướng dẫn – Các kỹ thuật bổ sung
Việc ẩn danh và giả danh không phải là phương pháp duy nhất mà các tổ chức có thể sử dụng để che giấu PII hoặc dữ liệu nhạy cảm. Control 8.11 phác thảo 5 phương pháp khác có thể được sử dụng để tăng cường bảo mật dữ liệu:
- Mã hóa dựa trên khóa.
- Hủy hoặc xóa các ký tự trong tập dữ liệu.
- Số lượng và ngày tháng thay đổi.
- Thay thế các giá trị trong dữ liệu.
- Che dấu giá trị dựa trên hàm băm.
Hướng dẫn – Nguyên tắc che giấu dữ liệu
Che giấu dữ liệu là một phần quan trọng trong chính sách của tổ chức nhằm bảo vệ PII và bảo vệ danh tính của những cá nhân mà tổ chức lưu giữ dữ liệu.
Ngoài các kỹ thuật trên, các tổ chức nên cân nhắc những gợi ý dưới đây khi xây dựng chiến lược tiếp cận việc che giấu dữ liệu:
- Triển khai các kỹ thuật che giấu chỉ tiết lộ lượng dữ liệu tối thiểu cho bất kỳ ai sử dụng nó.
- ‘Làm mờ’ (ẩn) một số dữ liệu nhất định theo yêu cầu của chủ thể và chỉ cho phép một số nhân viên nhất định truy cập vào các phần có liên quan đến họ.
- Xây dựng hoạt động che giấu dữ liệu của họ xung quanh các hướng dẫn pháp lý và quy định cụ thể.
- Khi thực hiện ẩn danh, thuật toán được sử dụng để “gỡ bỏ mặt nạ” dữ liệu sẽ được giữ an toàn và bảo mật.
Những thay đổi và khác biệt so với ISO 27002:2013
Không có. Kiểm soát 8.11 không có tiền lệ trong ISO 27002:2013 vì nó là mới.
