Przejdź do głównej zawartości

5.14 Przekazywanie informacji

W skrócie: przekazywanie informacji — mailem, przez komunikatory, na nośnikach czy w rozmowie — odbywa się według ustalonych zasad, dopasowanych do klasyfikacji.

Cel: utrzymanie bezpieczeństwa informacji przekazywanych wewnątrz organizacji i do stron zewnętrznych.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona)
Zdolności operacyjne#Asset_management (zarządzanie aktywami), #Information_protection (ochrona informacji)
Domeny bezpieczeństwa#Protection (ochrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Organizacja ustanawia politykę tematyczną przekazywania informacji oraz procedury i umowy dla wszystkich rodzajów przekazu: elektronicznego, fizycznego (nośniki) i ustnego.
  • Ogólne zasady obejmują m.in. ochronę przed przechwyceniem, nieuprawnionym dostępem, kopiowaniem, zmianą, błędnym adresowaniem i zniszczeniem; śledzenie i niezaprzeczalność, gdy są potrzebne; wskazanie osób odpowiedzialnych.
  • Przy przekazywaniu do stron zewnętrznych zawiera się umowy o przekazywaniu informacji: obowiązki stron, sposób powiadamiania, klasyfikację i oznaczanie, standardy techniczne, odpowiedzialność przy incydentach, łańcuch nadzoru.
  • Przekaz elektroniczny: ochrona przed złośliwym oprogramowaniem, ochrona załączników, kryptografia tam, gdzie potrzebna, zasady korzystania z zewnętrznych usług (komunikatory, serwisy wymiany plików), ograniczenia automatycznego przekierowania poczty.
  • Nośniki fizyczne: zaufani przewoźnicy, opakowanie chroniące przed uszkodzeniem i manipulacją, rejestr przekazań.
  • Przekaz ustny: unikanie rozmów poufnych w miejscach publicznych i przez niezabezpieczone kanały, niepozostawianie poufnych wiadomości na pocztach głosowych, przypominanie rozmówcom o klasyfikacji.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Wymuszone TLS między serwerami poczty (MTA-STS), szyfrowanie wiadomości S/MIME lub PGP dla informacji poufnych.
  • Platforma do bezpiecznej wymiany plików z linkami wygasającymi w czasie zamiast załączników.
  • Umowa powierzenia przetwarzania (art. 28 RODO) jako szczególny przypadek umowy o przekazywaniu informacji.
  • Blokada automatycznego przekierowania poczty na adresy zewnętrzne w ustawieniach serwera.

Powiązania​