7. Adatmaszkolás (A.8.11)
Az adatmaszkolás elsődleges célja a személyes adatok és a szervezet szempontjából kritikus üzleti vagy egyéb adatok titkosítása a jogosulatlan megismerés és hozzáférés megakadályozása érdekében.
Az adatmaszkolás különösen fontos a mai digitális korban, amikor a személyes és üzleti adatok védelme kritikus szerepet játszik. Az adatmaszkolás biztosítja, hogy az érzékeny információk védettek maradjanak a jogosulatlan hozzáférés ellen, miközben lehetővé teszi az üzleti folyamatok hatékony működését.
A szabvány ezen pontja előírja és megköveteli, hogy a szervezet az adatok maszkolását a hozzáférés-szabályozással együtt alkalmazza az érzékeny információk kitettségének korlátozása érdekében.
Ez a szabály elsősorban a személyes adatok védelméért felel, mivel ezeket az adatvédelmi előírások rendkívül szigorúan szabályozzák, azonban az érzékeny adatok más kategóriáira is kiterjedhet.
Technológia: a szervezetek használhatnak álnevesítésre vagy anonimizálásra szolgáló eszközöket az adatok elfedésére, ha ezt az adatvédelmi vagy egyéb előírások megkövetelik. Ezen kívül más módszerek is használhatóak az adatok elrejtésére, például titkosítás alkalmazása.
Az álnevesítés és az anonimizálás mellett a tokenizáció is egyre népszerűbb módszer az adatmaszkolás terén. Ez a technológia az érzékeny adatokat helyettesíti egy egyedi azonosítóval (tokennel), amely megőrzi az adat formátumát és felhasználhatóságát, miközben az eredeti adatokat biztonságosan tárolja.
Folyamat: a szervezeteknek olyan folyamatokat kell létrehoznia, amelyek meghatározzák, hogy mely adatokat kell elfedni, ki és milyen típusú adatokhoz férhet hozzá, mint felhasználó, illetve milyen módszereket használjanak az adatok elfedésére.
Az adatmaszkolási folyamatoknak része kell, hogy legyen a rendszeres felülvizsgálat és frissítés is. A technológiai fejlődés és az új típusú fenyegetések megjelenése miatt elengedhetetlen, hogy a szervezetek rendszeresen ellenőrizzék és aktualizálják adatmaszkolási stratégiáikat.
Humán erőforrás: a szervezetnek tudatosítania kell az alkalmazottakban, hogy miért fontos az adatok elrejtése, és képeznie kell őket arra, hogy mely adatokat kell elrejteni, milyen módon, milyen technológia segítségével.
Dokumentáció: az ISO 27001 szabvány nem ír elő külön dokumentációs kötelezettséget a szabványpont érvényesítésére, azonban az adatmaszkolásra vonatkozó szabályok a következő dokumentumokban kerülhetnek rögzítésre, amellyel a kontrollpontnak történő megfelelés kivitelezhető:
- Információosztályozási politika: meghatározza, hogy mely adatok minősülnek érzékenynek, és mely adatkategóriákat kell elfedni.
- Hozzáférés-szabályozás: meghatározza, hogy ki milyen típusú érzékeny adatokhoz férhet hozzá jogosultsági szintjéhez igazodva.
- Fejlesztési politika: meghatározza az adatok maszkolásának technológiáját.
A nagyobb létszámú vállalatoknak, illetve azoknak a cégeknek, amelyeknek meg kell felelniük az Európai Unió általános adatvédelmi rendeletének (GDPR) és hasonló adatvédelmi szabályoknak, a következő dokumentumokkal is rendelkezniük kell:
- Adatvédelmi szabályzat: az adatok elfedésével kapcsolatos általános felelősségi körök meghatározása.
- Anonimizálási szabályzat: az adatmaszkolás adatvédelmi szabályozással összefüggésben történő végrehajtásának részletei.
8. Az adatszivárgás megelőzése (A.8.12)
Leírás: a szervezetek szempontjából az adatszivárgás megelőzése kiemelten fontos, abból a szempontból, hogy ne kerüljenek szankcionálásra az illetékes hatóságok által, valamint biztosítsák a felhasználókat arról, hogy a személyes adataik megfelelően védve vannak a fenyegetésekkel, kockázatokkal szemben.
Azonban más szempontból is kiemelten fontos, hogy megtegyük a kellő intézkedéseket: a szervezet hírnevének megőrzése érdekében is. Az adatok kiszivárgása súlyosan károsíthatja a vállalat ügyfeleivel és partnereivel ápolt bizalmi kapcsolatot.
A szabvány ezen pontja előírja és megköveteli, hogy a szervezet különböző adatszivárgási intézkedéseket alkalmazzon az érzékeny információk jogosulatlan nyilvánosságra hozatalának elkerülése érdekében, valamint, ha ilyen jellegű incidensek fordulnak elő, abban az esetben azokat időben észlelje és mihamarabb kezelje.
Ez magában foglalja az informatikai rendszerekben, hálózatokban vagy bármilyen eszközön lévő információkat.
Technológia: a szervezet az adatszivárgás megelőzése céljából használhat olyan rendszereket, amelyekkel nyomon követheti a potenciális kiszivárgási csatornákat, ideértve az e-maileket, az eltávolítható tárolóeszközöket, a mobileszközöket stb., valamint olyan rendszereket, amelyek megakadályozzák az információk szivárgását (például: eltávolítható tárolóeszközökre történő letöltés letiltása, e-mail karantén, az adatok másolásának és beillesztésének korlátozása, az adatok külső rendszerekbe történő feltöltésének korlátozása, titkosítás stb.).
Az adatszivárgás megelőzésére irányuló rendszerek közé tartozik a Data Loss Prevention (DLP) megoldások alkalmazása, amelyek automatikusan észlelik és megakadályozzák az érzékeny adatok jogosulatlan mozgását. Ezen rendszerek integrálhatók a meglévő IT infrastruktúrával, hogy átfogó védelmet nyújtsanak.
Folyamat: a szervezetnek olyan folyamatokat kell kialakítania, amelyek meghatározzák az adatok érzékenységét, felmérik a különböző technológiák kockázatait (például: az érzékeny információk okostelefonos fényképezésének kockázatai), figyelemmel kísérik az adatszivárgás lehetőségével járó csatornákat, és meghatározzák, hogy milyen technológiát használjanak az érzékeny adatok kiszolgáltatottságának megakadályozására.
A folyamatok kialakításakor figyelembe kell venni az incidenskezelési protokollokat is, amelyek meghatározzák a teendőket adatszivárgás esetén. Ez magában foglalja az incidensek azonnali jelentését, a kivizsgálást, valamint a szükséges lépések megtételét a hasonló esetek jövőbeli elkerülése érdekében.
Humán erőforrás: a szervezetnek tájékoztatnia kell az alkalmazottakat arról, hogy milyen érzékeny adatokat kezelnek a vállalatnál, valamint, hogy miért fontos a kiszivárgások megelőzése a szervezet számára.
Továbbá a szervezetnek képeznie kell az alkalmazottakat arra, hogy mit szabad és mit nem szabad tenniük az érzékeny adatok kezelése során (pl.: az érzékeny adatok milyen módon továbbíthatóak, hová menthetik stb.).
Az alkalmazottak rendszeres képzése és a biztonságtudatossági programok bevezetése kulcsfontosságú az adatszivárgás megelőzésében. Ezek a programok segítenek az alkalmazottaknak felismerni a lehetséges fenyegetéseket és megfelelően reagálni rájuk.
Dokumentáció: az ISO 27001 szabvány nem ír elő külön dokumentációs kötelezettséget a szabványpont érvényesítésére, azonban az adatszivárgásra vonatkozó szabályok a következő dokumentumokban kerülhetnek rögzítésre, amellyel a kontrollpontnak történő megfelelés kivitelezhető:
- Információ minősítési politika: meghatározza, hogy minél érzékenyebbek az adatok, annál szigorúbb szabályokat kell alkalmazni.
- Üzemeltetési eljárások: megadja, hogy a rendszergazdáknak milyen felügyeleti és megelőzési rendszereket, technológiákat kell használniuk.
- Elfogadható használati szabályzat: meghatározza, hogy mi megengedett és mi nem a felhasználók számára az érzékeny adatok kezelése során.
Az ISO 27001 szabványátálláshoz kapcsolódó cikksorozat következő, egyben utolsó részében – a kontrollpontok páratlan számára tekintettel – három kontrollpont kerül prezentálásra, melyek a Figyelemmel kísérési tevékenységek, a Webszűrés és a Biztonságos kódolás kontrollpontok lesznek.
Abban az esetben, amennyiben az új kontrollpontokkal vagy az ISO 27001 szabványátállással összefüggésben merült fel kérdésed, lépj velünk kapcsolatba!
A sorozat korábbi részei:
