ISO 27002:2022, Kontroll 7.10 – Lagringsmedier

Hvilket lagringsmedium dekker Control 7.10?

Kontroll 7.10 gjelder både digitale og fysiske lagringsmedier. For eksempel lagring av informasjon på fysiske filer er også omfattet av kontroll 7.10.

I tillegg til de flyttbare lagringsmediene er faste lagringsmedier som harddisker også underlagt kontroll 7.10.

Eierskap til kontroll 7.10

Kontroll 7.10 krever at organisasjoner oppretter og implementerer hensiktsmessige prosedyrer, tekniske kontroller og organisasjonsomfattende retningslinjer for bruk av lagringsmedier basert på organisasjonens eget klassifiseringsskjema og dens datahåndteringskrav som juridiske og kontraktsmessige forpliktelser.

Med tanke på dette bør informasjonssikkerhetsledere være ansvarlige for hele compliance-prosessen.

Generell veiledning om samsvar

Flyttbare lagringsmedier

Selv om flyttbare lagringsmedier er avgjørende for mange forretningsoperasjoner, og de brukes ofte av de fleste ansatte, utgjør de den høyeste grad av risiko for den sensitive informasjonen.

Kontroll 7.10 viser ti krav som organisasjoner bør overholde for administrasjon av flyttbare lagringsmedier gjennom hele livssyklusen:

1. Organisasjoner bør etablere en temaspesifikk policy for anskaffelse, autorisasjon, bruk og avhending av flyttbare lagringsmedier. Denne policyen bør kommuniseres til alt personell og til alle relevante parter.
2. Hvis det er praktisk og nødvendig, bør organisasjoner etablere autorisasjonsprosedyrer for hvordan flyttbare lagringsmedier kan tas ut av bedriftens lokaler. Videre bør organisasjoner føre loggoppføringer over fjerning av lagringsmedier for revisjonssporformål.
3. Alle flyttbare lagringsmedier bør lagres på et sikkert område, for eksempel en safe, med tanke på informasjonsklassifiseringsnivået som er tildelt informasjonen og de miljømessige og fysiske truslene mot lagringsmedier.
4. Hvis konfidensialitet og integritet til informasjonen på flyttbare lagringsmedier er av avgjørende betydning, bør kryptografiske teknikker brukes for å beskytte lagringsmediene mot uautorisert tilgang.
5. Mot risikoen for forringelse av flyttbare lagringsmedier og tap av informasjon som er lagret på mediet, bør informasjonen overføres til en ny lagringsmedieenhet før slik risiko oppstår.
6. Kritisk og sensitiv informasjon bør kopieres og lagres på flere lagringsmedier for å minimere risikoen for tap av kritisk informasjon.
7. For å redusere risikoen for fullstendig tap av informasjon, kan registrering av flyttbare lagringsmedieenheter være et alternativ å vurdere.
8. Med mindre det er en forretningsrelatert grunn til å bruke flyttbare lagringsmedieporter som USB-porter eller SD-kortspor, bør de ikke tillates.
9. Det må være en overvåkingsmekanisme på plass for overføring av informasjon til flyttbare lagringsmedieenheter.
10. Når informasjon i fysiske medier som papirer overføres via bud eller post, er det stor risiko for uautorisert tilgang til denne informasjonen. Derfor bør passende tiltak iverksettes.

Veiledning om sikker gjenbruk og avhending av lagringsmedier

Kontroll 7.10 gir egen veiledning for sikker gjenbruk og avhending av lagringsmedier slik at organisasjoner kan redusere og eliminere risikoen for kompromittering av konfidensialiteten til informasjon.

Kontroll 7.10 fremhever at organisasjoner bør definere og anvende prosedyrer for gjenbruk og avhending av lagringsmedier, under hensyntagen til sensitivitetsnivået til informasjonen i lagringsmediet.

Ved å etablere disse prosedyrene bør organisasjoner vurdere følgende:

1. Hvis et lagringsmedium skal gjenbrukes av en intern part i en organisasjon, bør den sensitive informasjonen som ligger på det lagringsmediet slettes irreversibelt eller formateres på nytt før den godkjennes for gjenbruk.
2. Lagringsmedier som er vert for sensitiv informasjon bør destrueres på en sikker måte når den ikke lenger er nødvendig. For eksempel kan papirdokumenter makuleres og digitalt utstyr kan ødelegges fysisk.
3. Det bør være en prosedyre for identifisering av lagringsmedieelementer som må kasseres.
4. Når organisasjoner velger å samarbeide med en ekstern part for å håndtere innsamling og avhending av lagringsmedier, bør de gjennomføre pga omhu for å sikre at den valgte leverandøren er kompetent og den implementerer passende kontroller.
5. Opprettholde en oversikt over alle kasserte gjenstander for revisjonsspor.
6. Når flere lagringsmedier skal kastes sammen, bør akkumuleringseffekten tas i betraktning: Kombinering av ulike informasjonsbiter fra hvert lagringsmedium kan forvandle ikke-sensitiv informasjon til sensitiv informasjon.

Sist men ikke minst krever Control 7.10 at organisasjoner utfører en risikovurdering på skadet utstyr som lagrer konfidensiell informasjon å avgjøre om utstyret skal destrueres i stedet for å repareres.

Endringer og forskjeller fra ISO 27002:2013

27002:2022/7.10 erstatter 27002:2013/(08.3.1, 08.3.2, 08.3.3, 11.2.5)

Det er fire hovedforskjeller som må fremheves:

• Strukturelle endringer

Mens 2013-versjonen inneholdt tre separate kontroller på ledelsen av media, avhending av media og fysisk medieoverføring, kombinerer 2022-versjonen disse tre kontrollene under kontroll 7.10.

• 2022-versjonen inkluderer krav til gjenbruk av lagringsmedier

I motsetning til 2013-versjonen som kun tok for seg sikker avhending av lagringsmedier, omhandler 2022-versjonen også sikker gjenbruk av lagringsmedier.

• 2013-versjonen inneholder mer omfattende krav til fysisk overføring av lagringsmedier

2013-versjonen innebar mer omfattende krav til fysisk overføring av lagringsmedier. For eksempel inkluderte 2013-versjonen regler om ID-verifisering for kurerer og emballasjestandarder.

Kontroll 7.10 i 2022-versjonen sa derimot bare at organisasjoner skulle opptre med aktsomhet når de velger tjenesteleverandører som kurerer.

• 2022-versjonen krever en emnespesifikk policy for flyttbare lagringsmedier

Mens 2022- og 2013-versjonene i stor grad ligner på krav til flyttbare lagringsmedier, introduserer 2022-versjonen kravet om å etablere en emnespesifikk policy for flyttbare lagringsmedier. 2013-versjonen dekket derimot ikke dette kravet.

Hvordan ISMS.online hjelper

De ISMS.online plattform bruker en risikobasert tilnærming kombinert med bransjeledende beste praksis og maler for å hjelpe deg med å identifisere risikoene organisasjonen står overfor og kontrollene som er nødvendige for å håndtere disse risikoene. Dette lar deg systematisk redusere både risikoeksponeringen og etterlevelseskostnadene.

Ta kontakt i dag for å bestill en demo.