ISO 27002:2022 – Controle 7.10 – Opslagmedia

Veilig beheer van opslagmedia: bescherming van gevoelige informatie

Het gebruik van opslagmedia-apparaten zoals solid-state drives (SSD's), USB-sticks, externe schijven en mobiele telefoons is van vitaal belang voor veel kritieke informatieverwerkingsactiviteiten, zoals gegevensback-up, gegevensopslag en informatieoverdracht.

Echter, de opslag van gevoelige en kritische informatie over deze apparaten brengt risico's voor de integriteit met zich mee, vertrouwelijkheid en beschikbaarheid van informatiemiddelen. Deze risico's kunnen het verlies of de diefstal omvatten van opslagmedia die gevoelige informatie bevatten, de verspreiding van malware naar alle bedrijfscomputernetwerken via de opslagmedia, en het falen en degradatie van opslagmedia die worden gebruikt voor gegevensback-up.

Controle 7.10 behandelt hoe organisaties passende procedures, beleid en controles kunnen vaststellen om de veiligheid van opslagmedia gedurende de gehele levenscyclus ervan te handhaven, vanaf de aanschaf tot de verwijdering ervan.

Doel van de controle 7.10

Met Control 7.10 kunnen organisaties de risico's van ongeoorloofde toegang tot, gebruik, verwijdering, wijziging en overdracht van gevoelige informatie die op opslagmedia-apparaten wordt gehost, elimineren en beperken door procedures vast te stellen voor de omgang met opslagmedia gedurende de gehele levenscyclus.

Attributen Controletabel 7.10

Controle 7.10 is een preventieve vorm van controle waarbij organisaties procedures en maatregelen moeten creëren, implementeren en onderhouden om de veiligheid van opslagmedia-apparaten te garanderen, vanaf de aanschaf tot de beschikking ervan.

Welke opslagmedia omvat Control 7.10?

Controle 7.10 is van toepassing op zowel digitale als fysieke opslagmedia. Bijvoorbeeld opslag van informatie in fysieke bestanden valt ook onder Controle 7.10.

Bovendien vallen naast de verwijderbare opslagmedia ook vaste opslagmedia zoals harde schijven onder Controle 7.10.

Eigendom van zeggenschap 7.10

Controle 7.10 vereist dat organisaties passende procedures, technische controles en organisatiebreed beleid inzake het gebruik van opslagmedia creëren en implementeren, gebaseerd op het eigen classificatieschema van de organisatie en haar vereisten voor gegevensverwerking, zoals wettelijke en contractuele verplichtingen.

Dit in overweging nemend moeten informatiebeveiligingsmanagers verantwoordelijk zijn voor het gehele complianceproces.

Algemene richtlijnen voor naleving

Verwisselbare opslagmedia

Hoewel verwijderbare opslagmedia essentieel zijn voor veel bedrijfsactiviteiten en vaak door het meeste personeel worden gebruikt, vormen ze het grootste risico voor de gevoelige informatie.

Control 7.10 somt tien vereisten op waaraan organisaties zich moeten houden voor het beheer van verwijderbare opslagmedia gedurende de gehele levenscyclus:

1. Organisaties moeten een onderwerpspecifiek beleid opstellen voor de aanschaf, autorisatie, gebruik en verwijdering van verwijderbare opslagmedia. Dit beleid moet aan al het personeel en aan alle relevante partijen worden gecommuniceerd.
2. Als het praktisch en noodzakelijk is, moeten organisaties autorisatieprocedures invoeren voor de manier waarop verwijderbare opslagmedia uit bedrijfsruimten kunnen worden gehaald. Bovendien moeten organisaties logbestanden bijhouden van de verwijdering van opslagmedia voor audittraildoeleinden.
3. Alle verwijderbare opslagmedia moeten worden opgeslagen in een beveiligde ruimte, zoals een kluis, waarbij rekening moet worden gehouden met het informatieclassificatieniveau dat aan de informatie is toegewezen en de omgevings- en fysieke bedreigingen voor opslagmedia.
4. Als de vertrouwelijkheid en integriteit van informatie op verwijderbare opslagmedia van cruciaal belang zijn, moeten cryptografische technieken worden gebruikt om de opslagmedia te beschermen tegen ongeoorloofde toegang.
5. Om het risico van degradatie van verwijderbare opslagmedia en verlies van op de media opgeslagen informatie te voorkomen, moet de informatie worden overgebracht naar een nieuw opslagmedia-apparaat voordat een dergelijk risico zich voordoet.
6. Kritieke en gevoelige informatie moet worden gekopieerd en opgeslagen op meerdere opslagmedia om het risico op verlies van kritieke informatie te minimaliseren.
7. Om het risico van volledig verlies van informatie te beperken, kan registratie van verwijderbare opslagmedia een optie zijn om te overwegen.
8. Tenzij er een zakelijke reden is om poorten voor verwijderbare opslagmedia te gebruiken, zoals USB-poorten of SD-kaartsleuven, mogen deze niet worden toegestaan.
9. Er moet een monitoringmechanisme aanwezig zijn voor de overdracht van informatie naar verwijderbare opslagmedia.
10. Wanneer informatie op fysieke media, zoals papieren, via een koerier of post wordt overgedragen, bestaat er een groot risico op ongeoorloofde toegang tot deze informatie. Daarom moeten passende maatregelen worden toegepast.

Leidraad voor veilig hergebruik en verwijdering van opslagmedia

Control 7.10 biedt afzonderlijke richtlijnen voor het veilig hergebruiken en verwijderen van opslagmedia, zodat organisaties de risico's voor het in gevaar brengen van de vertrouwelijkheid van informatie kunnen beperken en elimineren.

Controle 7.10 benadrukt dat organisaties procedures voor het hergebruik en de verwijdering van opslagmedia moeten definiëren en toepassen, rekening houdend met het gevoeligheidsniveau van de informatie op de opslagmedia.

Bij het vaststellen van deze procedures moeten organisaties het volgende in overweging nemen:

1. Als een opslagmedium wordt hergebruikt door een interne partij binnen een organisatie, moet de gevoelige informatie die op dat opslagmedium wordt gehost onomkeerbaar worden verwijderd of opnieuw worden geformatteerd voordat deze wordt geautoriseerd voor hergebruik.
2. Opslagmedia waarop gevoelige informatie wordt gehost, moeten op een veilige manier worden vernietigd wanneer deze niet langer nodig is. Papieren documenten kunnen bijvoorbeeld worden versnipperd en digitale apparatuur kan fysiek worden vernietigd.
3. Er moet een procedure zijn voor de identificatie van opslagmedia-items die moeten worden weggegooid.
4. Wanneer organisaties ervoor kiezen om met een externe partij samen te werken om de inzameling en verwijdering van opslagmedia af te handelen, dienen zij de nodige maatregelen te nemen om ervoor te zorgen dat de gekozen leverancier competent is en zij implementeert passende controles.
5. Het bijhouden van een register van alle weggegooide spullen voor controlespoor.
6. Wanneer meerdere opslagmedia samen moeten worden weggegooid, moet rekening worden gehouden met het accumulatie-effect: het combineren van verschillende informatiestukken van elk opslagmedium kan niet-gevoelige informatie omzetten in gevoelige informatie.

Als laatste, maar daarom niet minder belangrijk, vereist Controle 7.10 dat organisaties een risicobeoordeling van beschadigde apparatuur waarin vertrouwelijke informatie wordt opgeslagen om te beslissen of de apparatuur moet worden vernietigd in plaats van gerepareerd.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022/7.10 vervangt 27002:2013/(08.3.1, 08.3.2, 08.3.3, 11.2.5)

Er zijn vier belangrijke verschillen die moeten worden benadrukt:

• Structurele veranderingen

Terwijl de versie uit 2013 er drie afzonderlijke bevatte controles op het beheer van media, verwijdering van media en fysieke mediaoverdracht combineert de 2022-versie deze drie bedieningselementen onder Controle 7.10.

• Versie 2022 bevat vereisten voor het hergebruik van opslagmedia

In tegenstelling tot de versie uit 2013 die alleen inging op het veilig weggooien van opslagmedia, gaat de Versie 2022 ook in op het veilig hergebruiken van opslagmedia.

• Versie 2013 bevat uitgebreidere vereisten voor de fysieke overdracht van opslagmedia

De versie van 2013 bracht uitgebreidere eisen met zich mee voor de fysieke overdracht van opslagmedia. De versie van 2013 bevatte bijvoorbeeld regels voor identiteitsverificatie voor koeriers en verpakkingsnormen.

Control 7.10 in de 2022-versie stelde daarentegen alleen dat organisaties zorgvuldig moeten handelen bij het kiezen van dienstverleners zoals koeriers.

• Versie 2022 vereist een onderwerpspecifiek beleid op verwijderbare opslagmedia

Hoewel de versies van 2022 en 2013 grotendeels vergelijkbaar zijn wat betreft de vereisten voor verwijderbare opslagmedia, introduceert de versie van 2022 de vereiste om een ​​onderwerpspecifiek beleid op te stellen voor verwijderbare opslagmedia. De versie uit 2013 voldeed daarentegen niet aan deze vereiste.

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

De ISMS.online-platform maakt gebruik van een op risico's gebaseerde aanpak in combinatie met toonaangevende best practices en sjablonen om u te helpen de risico's waarmee uw organisatie wordt geconfronteerd te identificeren en de controles die nodig zijn om deze risico's te beheersen. Hierdoor kunt u zowel uw risicoblootstelling als uw compliancekosten systematisch verminderen.

Neem vandaag nog contact op met boek een demo.