Classificazione delle informazioni per la conformità ISO 27001

ISO 27001 è uno standard internazionale che si concentra sulla sicurezza delle informazioni. Questo standard guida l'istituzione, l'attuazione, la manutenzione e il miglioramento continuo di un sistema di gestione della sicurezza delle informazioni (ISMS). Per ottenere la compliance, è necessario:

• Comprendi quali asset di dati possiedi, il loro valore e chi sono i proprietari degli asset
• Dare priorità in modo efficace ai controlli di sicurezza e ai processi
• Proteggete adeguatamente i vostri asset critici, inclusa la loro riservatezza, integrità e disponibilità (il triade CIA)
• Implementate il risk management valutando l'importanza dei vostri dati e l'impatto nel caso specifici dati vengano persi, usati impropriamente o compromessi

Lo standard è volontario, ma le aziende di tutto il mondo scelgono di seguirlo. I requisiti sono adatti per organizzazioni di qualsiasi dimensione in tutti i settori, specialmente nell'ambiente ricco di dati ma rischioso di oggi. Conformarsi alla ISO 27001 mostra agli ispettori e ai clienti che un'azienda ha livelli adeguati di protezione in atto per le sue preziose informazioni. Aiuta anche le aziende a rispettare i requisiti legali, ottenere un vantaggio competitivo, migliorare la produttività e ridurre i costi.

ISO 27001 è suddivisa in allegati per affrontare aree specifiche. In questo articolo esploreremo i requisiti chiave dell'Allegato A.8, che regola la gestione delle risorse.

Allegato A.8: Asset Management

Allegato A.8 specifica i tipi di controlli che le organizzazioni devono implementare per garantire un'identificazione accurata degli asset di sicurezza delle informazioni, designare la responsabilità per la sicurezza e assicurare che gli asset dei dati siano protetti in base ai loro livelli di classificazione. I controlli definiti dalla normativa che sono suddivisi in controlli tecnici, organizzativi, legali, fisici e delle risorse umane.

Si noti che ISO 27001 non specifica un elenco esatto di asset sensibili; la vostra organizzazione prende quella decisione utilizzando il suo miglior giudizio.

L'allegato è suddiviso in tre principali sottoparti, che vengono descritte brevemente di seguito. Poi approfondiremo la seconda sottoparte, che riguarda la data classification.

A.8.1 Responsabilità per le risorse

L'obiettivo di A.8.1 è identificare le risorse di dati che rientrano nell'ambito di applicazione dell'ISMS e definire le responsabilità di protezione. Eseguire una scoperta per identificare tutte le risorse informative all'interno della propria organizzazione, come registrazioni cartacee, file digitali, dispositivi rimovibili e email. Quindi creare un registro delle risorse. Per ogni risorsa, assegnare a un proprietario dei dati la responsabilità di proteggerla.

A.8.2 Classificazione delle risorse

Classificare le proprie risorse è uno dei passi più importanti che si possano compiere per proteggere adeguatamente i propri dati e renderli accessibili a chi ne ha bisogno. La classificazione consente di proteggere ogni risorsa al livello di sicurezza appropriato: si impiegano meno risorse per i dati meno sensibili e si fornisce una protezione forte per le risorse più sensibili.

A.8.3 Procedure per dispositivi di memorizzazione

La Sottosezione A.8.3 è progettata per aiutare le organizzazioni a prevenire la divulgazione, la modifica, la rimozione o la distruzione non autorizzate delle informazioni memorizzate su supporti rimovibili, come pen drive, CD-ROM e hard disk rimovibili. Include anche controlli per lo smaltimento o il trasferimento appropriato di questi supporti per proteggere contro data breaches, come l'utilizzo di corrieri autorizzati e imballaggi sicuri e mantenendo un registro di tutto il contenuto dei dati e del suo livello di protezione.

Un'analisi approfondita dell'Allegato A.8.2: Classificazione delle Informazioni

Come discusso sopra, l'Allegato A.8.2 copre la classificazione dei dati e l'etichettatura di ogni risorsa in base alla sua sensibilità o importanza per la vostra organizzazione, in modo che possiate implementare le protezioni appropriate (come le restrizioni di accesso) basate su tali livelli. Ecco le sottoparti dell'Allegato A.8.2.

A.8.2.1 Classificazione delle informazioni

Lo schema di classificazione delle informazioni ideale è quello che riflette l'attività aziendale, piuttosto che inibirlo o complicarlo. Costruisci il tuo schema in base alla sensibilità dei tuoi dati, ai requisiti legali, alla criticità e al valore, in modo da poter fornire a ciascuna risorsa un livello adeguato di protezione.

La maggior parte delle aziende inizia con solo tre o quattro categorie. Ad esempio, lo schema di classificazione per l'Università di Bath nel Regno Unito suddivide le informazioni in questi gruppi:

• Altamente ristretto — Richiede significative misure di sicurezza con accesso strettamente controllato e limitato.
• Riservato — Richiede misure di sicurezza e accesso limitato ma non significativo o strettamente controllato.
• Uso interno — Non richiede protezioni aggiuntive.

Un esempio di schema di classificazione con quattro categorie è confidenziale, riservato, interno e pubblico.

A.8.2.2 Etichettatura dei dati

Entrambi gli asset fisici ed elettronici dovrebbero essere etichettati con le loro categorie. Le etichette dovrebbero essere facili da gestire in modo che i dipendenti le utilizzino in modo appropriato. Ad esempio, è possibile etichettare i documenti cartacei timbrandoli come “segreto” o “confidenziale”. I dati elettronici sono tipicamente etichettati utilizzando i metadati.

A.8.2.3 Gestione dei dati

La gestione dei dati si riferisce a come i dati possono essere utilizzati e da chi possono essere utilizzati. Ad esempio, puoi decidere che determinati asset di dati possono essere letti ma non copiati da certi gruppi di utenti.

Ci sono diversi controlli per far rispettare le politiche di gestione dei dati. Potresti richiedere che le tue risorse più sensibili siano criptate in modo che solo individui con una determinata autorizzazione possano aprirle. Gli asset fisici importanti possono essere conservati in un armadietto chiuso a chiave o in una cassaforte. Le procedure per i dispositivi multimediali dovrebbero essere conformi alla norma A.8.2.3.

Come Netwrix può aiutare

La Netwrix Data Security Platform ti aiuta a ottenere, mantenere e dimostrare la conformità ISO fornendo l'intelligenza sulla sicurezza di cui hai bisogno per:

• Scopri e classifica i dati nei tuoi vari repository.
• Identificare le lacune di sicurezza attraverso una valutazione continua dei rischi
• Rileva attività anomale
• Individua e indaga rapidamente i modelli di minaccia
• Stabilire una solida governance dell'accesso ai dati

Ancora meglio, la piattaforma supporta sia sistemi di dati on-premises che in cloud, sia dati strutturati che non strutturati.