5.10 Dopuszczalne użycie informacji i innych powiązanych aktywów
W skrócie: wszyscy korzystający z informacji i sprzętu organizacji znają zasady, co wolno, a czego nie, i jak postępować z informacjami o różnej klasyfikacji.
Cel: zapewnienie, że informacje i inne powiązane aktywa są właściwie chronione, używane i obsługiwane.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona) |
| Zdolności operacyjne | #Asset_management (zarządzanie aktywami), #Information_protection (ochrona informacji) |
| Domeny bezpieczeństwa | #Governance_and_Ecosystem (ład i ekosystem), #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Pracownicy i użytkownicy zewnętrzni korzystający z aktywów organizacji znają wymagania bezpieczeństwa dotyczące tych aktywów.
- Organizacja ustanawia politykę tematyczną dopuszczalnego użycia, określającą oczekiwane i niedopuszczalne zachowania, dozwolone i zakazane użycie oraz monitorowanie wykonywane przez organizację.
- Procedury postępowania z informacjami opracowuje się dla całego cyklu życia, zgodnie z klasyfikacją (5.12).
- Procedury obejmują m.in. ograniczenia dostępu, rejestr upoważnionych odbiorców, ochronę kopii tymczasowych i trwałych, przechowywanie zgodne z zaleceniami producentów, oznaczanie kopii nośników dla upoważnionego odbiorcy oraz autoryzację usuwania i metody usuwania.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Regulamin korzystania z zasobów IT podpisywany przy zatrudnieniu, z jasno opisanym zakresem monitoringu poczty i stron (z uwzględnieniem art. 22³ Kodeksu pracy).
- Krótka tabela „co wolno” dla każdego poziomu klasyfikacji: drukowanie, wysyłka mailem, przechowywanie w chmurze prywatnej.
- Zasady dla narzędzi AI: czy wolno wklejać do nich informacje wewnętrzne i których klas informacji to nie dotyczy.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.5.10 — wykaz zabezpieczeń organizacyjnych.
- Pokrewne zabezpieczenia: 5.9 Inwentaryzacja informacji i innych powiązanych aktywów, 5.12 Klasyfikacja informacji, 5.13 Oznaczanie informacji, 6.2 Warunki zatrudnienia, 8.1 Urządzenia końcowe użytkowników.
- ISO/IEC 27002:2013: 8.1.3, 8.2.3.