ISO 27002:2022 – Controle 7.14 – Veilige verwijdering of hergebruik van apparatuur

Zorgen voor veilige verwijdering en hergebruik van apparatuur: ISO 27002-controle 7.14 uitgelegd

Wanneer IT-apparatuur zoals externe schijven, USB-schijven, laptops of printers niet langer nodig zijn, worden ze fysiek vernietigd, teruggestuurd naar de leaser, overgedragen aan een derde partij, gerecycled of beschikbaar gesteld voor hergebruik om andere zaken uit te voeren. activiteiten.

Gezien het feit dat deze apparatuur mogelijk bevat informatie-activa en gelicentieerde software moeten organisaties ervoor zorgen dat alle informatie en gelicentieerde software onherstelbaar wordt gewist of overschreven voordat verwijdering of hergebruik plaatsvindt. Dit helpt de vertrouwelijkheid van de informatie in deze apparatuur te behouden.

Als een organisatie bijvoorbeeld gebruik maakt van een externe dienstverlener voor de verwijdering van IT-middelen en oude laptops, printers en externe schijven overdraagt ​​aan deze dienstverlener, kan deze dienstverlener ongeautoriseerde toegang krijgen tot de informatie die op deze apparatuur wordt gehost.

Controle 7.14 behandelt hoe organisaties kunnen de vertrouwelijkheid van de opgeslagen informatie handhaven op de apparatuur die moet worden weggegooid of hergebruikt door passende beveiligingsmaatregelen en -procedures te implementeren.

Doel van de controle 7.14

Controle 7.14 stelt organisaties in staat ongeautoriseerde toegang tot gevoelige informatie te voorkomen door te bevestigen dat alle informatie en gelicentieerde software die op apparatuur is opgeslagen, onomkeerbaar worden verwijderd of overschreven voordat de apparatuur wordt weggegooid of aan derden wordt verstrekt voor hergebruik.

Attributen Controletabel 7.14

Controle 7.14 is een preventieve vorm van controle vereist dat organisaties de vertrouwelijkheid van informatie waarborgen gehost op de apparatuur die zal worden verwijderd of ingezet voor hergebruik, door passende procedures en maatregelen voor verwijdering en hergebruik vast te stellen en toe te passen.

Eigendom van zeggenschap 7.14

Naleving van Controle 7.14 vereist het opzetten van een organisatiebrede procedure voor het verwijderen en hergebruiken van gegevens, het identificeren van alle apparatuur en het implementeren van geschikte technische verwijderingsmechanismen en het hergebruikproces.

Daarom moet de Chief Information Officer verantwoordelijk zijn voor het opzetten, implementeren en onderhouden van procedures en mechanismen voor het verwijderen en hergebruiken van apparatuur.

Algemene richtlijnen voor naleving

Controle 7.14 somt vier belangrijke overwegingen op waarmee organisaties rekening moeten houden bij naleving:

• Er moet een proactieve aanpak worden gevolgd

Voordat verwijdering plaatsvindt of de apparatuur beschikbaar wordt gesteld voor hergebruik, moeten organisaties bevestigen of de apparatuur deze bevat informatiemiddelen en gelicentieerde software en moet ervoor zorgen dat dergelijke informatie of software permanent wordt verwijderd.

• Fysieke vernietiging of onherstelbare verwijdering van informatie

Controle 7.14 somt twee methoden op waarmee de informatie in apparatuur veilig en permanent kan worden verwijderd:

1. Apparatuur die opslagmedia-apparaten host die informatie bevatten, moet fysiek worden vernietigd.
2. Informatie die op de apparatuur is opgeslagen, moet op een niet-herstelbare manier worden gewist, overschreven of vernietigd, zodat kwaadwillende partijen geen toegang hebben tot informatie. Organisaties wordt aangeraden om Control 7.10 over opslagmedia en Control 8.10 over het verwijderen van informatie te bekijken.

• Verwijdering van alle labels en markeringen

Componenten van de apparatuur en de daarin opgenomen informatie kunnen labels en markeringen hebben die de organisatie identificeren of die de naam van de eigenaar van de activa, het netwerk of het toegekende informatieclassificatieniveau onthullen.

Al deze labels en markeringen moeten onherstelbaar worden vernietigd.

• Verwijdering van controles

Rekening houdend met de volgende omstandigheden kunnen organisaties ervoor kiezen om alle beveiligingsmaatregelen, zoals toegangsbeperkingen of bewakingssystemen, te verwijderen wanneer zij faciliteiten verlaten:

1. In de voorwaarden van de leaseovereenkomst stonden de voorwaarden waarop het geretourneerd moet worden.
2. Het elimineren en beperken van het risico van ongeautoriseerde toegang tot gevoelige informatie door de volgende huurder.
3. Of de bestaande bedieningselementen kunnen worden hergebruikt in de volgende vestiging.

Aanvullend richtsnoer voor controle 7.14

Naast de Algemene Leidraad omvat de Controle 7.14 drie specifieke aanbevelingen voor organisaties.

Beschadigde apparatuur

Wanneer beschadigde apparatuur met informatie ter reparatie wordt verzonden, kan deze worden blootgesteld aan het risico van ongeoorloofde toegang door derden.

Organisaties moeten een risicobeoordeling, waarbij rekening wordt gehouden met de mate van gevoeligheid van de informatie en overweeg of het vernietigen van de apparatuur een meer haalbare optie is dan reparatie.

Versleuteling op volledige schijf

Hoewel de coderingstechniek op volledige schijf de risico's voor de vertrouwelijkheid van informatie aanzienlijk minimaliseert, moet deze aan de volgende normen voldoen:

• De codering is robuust en bestrijkt alle delen van de schijf, inclusief vrije ruimte.
• Cryptografische sleutels moeten lang genoeg zijn om brute force-aanvallen te voorkomen.
• Organisaties moeten de vertrouwelijkheid van cryptografische sleutels handhaven. De coderingssleutel mag bijvoorbeeld niet op dezelfde schijf worden opgeslagen.

Hulpmiddelen voor overschrijven

Organisaties moeten een overschrijftechniek kiezen, rekening houdend met de volgende criteria:

• Niveau van informatieclassificatie toegewezen aan het informatiemiddel.
• Type opslagmedium waarop de informatie is opgeslagen.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

27002:2022/7.14 replaces 27002:2013/(11.2.7)

De Control 7.14 is grotendeels vergelijkbaar met zijn tegenhanger in de 2013-versie. De Control 7.14 in de versie van 2022 bevat echter uitgebreidere vereisten in de Algemene Richtlijnen.

In tegenstelling tot de versie 2013 introduceert de versie 2022 de volgende vereisten:

• Organisaties moeten alle markeringen en labels verwijderen die de organisatie, het netwerk en het classificatieniveau identificeren.
• Organisaties moeten overwegen de controles die op een faciliteit zijn geïmplementeerd te verwijderen wanneer zij die faciliteit verlaten.

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

ISMS.Online is een totaaloplossing voor ISO 27002 implementatie.

Het is een webgebaseerd systeem waarmee u kunt aantonen dat uw managementsysteem voor informatiebeveiliging (ISMS) voldoet aan de goedgekeurde normen met behulp van doordachte processen en procedures en checklists.

Neem vandaag nog contact op met boek een demo.