ISO 27001:2022 Vedlegg A Kontroll 7.10

Veiledning om ISO 27001:2022 vedlegg A 7.10 Samsvar

Flyttbare lagringsmedier

Flyttbare medier er uunnværlige for mange forretningsoperasjoner og er mye ansatt av personell. De utgjør imidlertid den største risikoen for sensitive data.

ISO 27001:2022 vedlegg A 7.10 angir ti betingelser som organisasjoner må overholde for håndtering av flyttbare lagringsmedier i løpet av livssyklusen:

1. Organisasjoner bør lage en policy som fokuserer på anskaffelse, autorisasjon, bruk og avhending av flyttbare lagringsmedier, og informere alt personell og relevante parter om dets eksistens.
2. Organisasjoner bør, der det er praktisk og nødvendig, implementere autorisasjonsprosedyrer for å ta flyttbare lagringsmedier ut av bedriftens lokaler. I tillegg bør det føres en logg over fjerninger revisjonssporing.
3. Oppbevar alle flyttbare lagringsmedier på et sikkert sted som en safe, tatt i betraktning informasjonsklassifisering nivå tildelt informasjonen og eventuelle miljømessige og fysiske trusler mot media.
4. Hvis det er av ytterste viktighet å opprettholde konfidensialiteten og påliteligheten til informasjonen på flyttbare medier, bør kryptografiske metoder brukes for å beskytte mediene mot uautorisert tilgang.
5. For å forhindre forringelse av flyttbare lagringsmedier og tap av data, bør informasjonen flyttes til en ny lagringsmedieenhet før risikoen oppstår.
6. Det er avgjørende å kopiere og lagre sensitive data på flere lagringsmedier for å redusere sjansen for at kritisk informasjon går tapt.
7. For å redusere muligheten for fullstendig tap av data, kan registrering av flyttbare lagringsmedieenheter være en levedyktig løsning.
8. Med mindre det er en forretningsmessig nødvendighet, bør ikke USB-porter og SD-kortspor brukes.
9. Det er nødvendig å overvåke overføringen av informasjon til eventuelle flyttbare lagringsmedieenheter.
10. Ved overføring av informasjon i fysiske dokumenter via post eller bud, er det stor sjanse for uautorisert tilgang. For å motvirke dette bør det iverksettes passende tiltak.

Veiledning om sikker gjenbruk og avhending av lagringsmedier

ISO 27001: 2022 Vedlegg A 7.10 gir veiledning om sikker gjenbruk og avhending av lagringsmedier for å hjelpe organisasjoner med å redusere og kvitte seg med faren for at konfidensialiteten til informasjon blir brutt.

Vedlegg A 7.10 sier at organisasjoner bør lage og gjennomføre planer for resirkulering og avhending av lagringsmedier, med tanke på sensitiviteten til dataene som lagres i lagringsmediene.

Organisasjoner bør vurdere følgende når de setter opp disse tiltakene:

• Hvis en organisasjons interne part skal gjenbruke et lagringsmedium, bør sensitiv informasjon som ligger på det slettes ugjenkallelig eller omformateres før autorisasjon.
• Sikker ødeleggelse av lagringsmedier som er vert for sensitiv informasjon er nødvendig når den ikke lenger er nødvendig. Papirdokumenter kan makuleres og digitalt utstyr kan bli fysisk ødelagt.
• Det bør utvikles et system for å identifisere lagringsmedier som må kasseres.
• Organisasjoner bør utføre due diligence når de velger en ekstern part til å samle inn og kaste lagringsmedier, og sørge for at den valgte leverandøren er kompetent og har de nødvendige kontrollene på plass.
• Dokumentere alle avhendede gjenstander for et revisjonsspor.
• Ved avhending av flere lagringsmedier sammen, bør den kumulative effekten tas i betraktning: Kombinering av ulike deler av data fra hvert lagringsmedium kan resultere i transformasjon av ikke-sensitiv informasjon til sensitivt materiale.

Til slutt gir ISO 27001:2022 vedlegg A 7.10 organisasjoner mandat til å evaluere risikoen for konfidensielle data lagret på skadet utstyr, for å avgjøre om utstyret skal ødelegges eller repareres.

Endringer og forskjeller fra ISO 27001:2013

ISO 27001:2022 vedlegg A 7.10 erstatter ISO 27001:2013 Vedlegg A 08.3.1, 08.3.2, 08.3.3 og 11.2.5.

Det er fire bemerkelsesverdige forskjeller.

Endringer i struktur

I motsetning til 2013-versjonen, som hadde tre separate kontroller for mediehåndtering, medieavhending og fysisk medieoverføring, kombinerer 2022-versjonen dem under vedlegg A 7.10.

Krav for gjenbruk av lagringsmedier lagt til 2022-versjonen

I motsetning til 2013-versjonen, som kun dekket sikker medieavhending, inkluderer 2022-versjonen også krav til sikker gjenbruk av medier.

Fysiske overføringskrav er mer omfattende i 2013-versjonen

2013-versjonen hadde mer omfattende krav til fysisk overføring av lagringsmedier, inkludert ID-verifisering for kurerer og emballasjestandarder. I motsetning til dette foreslår vedlegg A 7 7.10 i 2022-versjonen bare at organisasjoner opptrer med forsiktighet når de velger kurerer.

Emnespesifikk policy for flyttbare lagringsmedier kreves i 2022-versjonen

Mens 2022- og 2013-versjonene er like når det gjelder krav til flyttbare lagringsmedier, krever 2022-versjonen en emnespesifikk policy for flyttbare lagringsmedier. 2013-versjonen dekket ikke dette kravet.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A-kontroll.

Hvordan ISMS.online Hjelp

ISMS.online har en risikobasert tilnærming, ved å bruke bransjeledende beste praksis og maler, for å hjelpe deg med å oppdage risikoene organisasjonen din er utsatt for og kontrollene som trengs for å administrere dem. Dette bidrar til å redusere både risiko og etterlevelseskostnader.

Kontakt oss nå for å arrangere en demonstrasjon.