Sikre sikker avhending og gjenbruk av utstyr: ISO 27002 kontroll 7.14 forklart
Når IT-utstyr som eksterne stasjoner, USB-stasjoner, bærbare datamaskiner eller skrivere ikke lenger er nødvendig, blir de enten fysisk ødelagt, returnert tilbake til leieren, overført til en tredjepart, resirkulert eller gjort tilgjengelig for gjenbruk for å utføre annen virksomhet operasjoner.
Med tanke på at dette utstyret kan inneholde informasjonskapasitet og lisensiert programvare, bør organisasjoner sørge for at all informasjon og lisensiert programvare er ugjenkallelig fjernet eller overskrevet før avhending eller gjenbruk finner sted. Dette vil bidra til å opprettholde konfidensialiteten til informasjonen i dette utstyret.
For eksempel, hvis en organisasjon bruker en ekstern leverandør av IT-ressurstjenester og overfører gamle bærbare datamaskiner, skrivere og eksterne stasjoner til denne leverandøren, kan denne tjenesteleverandøren få uautorisert tilgang til informasjon som er vert for dette utstyret.
Kontroll 7.14 tar for seg hvordan organisasjoner kan opprettholde konfidensialiteten til informasjonen som er lagret på utstyret som skal kastes eller gjenbrukes ved å implementere passende sikkerhetstiltak og prosedyrer.
Formål med kontroll 7.14
Kontroll 7.14 gjør det mulig for organisasjoner å forhindre uautorisert tilgang til sensitiv informasjon ved å bekrefte at all informasjon og lisensiert programvare som er lagret på utstyr blir irreversibelt slettet eller overskrevet før utstyret kastes eller leveres til tredjeparter for gjenbruk.
Attributttabell for kontroll 7.14
Kontroll 7.14 er en forebyggende type kontroll som krever at organisasjoner opprettholder konfidensialiteten til informasjon vert på utstyret som skal kastes eller utplasseres for gjenbruk ved å etablere og anvende hensiktsmessige prosedyrer og tiltak for avhending og gjenbruk.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | #Fysisk sikkerhet | #Beskyttelse |
| # Asset Management |
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Eierskap til kontroll 7.14
Overholdelse av kontroll 7.14 krever etablering av en organisasjonsomfattende dataavhending-gjenbruksprosedyre, identifikasjon av alt utstyr og implementering av passende tekniske avhendingsmekanismer og gjenbruksprosess.
Derfor bør informasjonssjefen være ansvarlig for etablering, implementering og vedlikehold av prosedyrer og mekanismer for avhending av utstyr og gjenbruk.
Generell veiledning om samsvar
Kontroll 7.14 lister opp fire viktige hensyn som organisasjoner bør ta i betraktning for overholdelse:
- En proaktiv tilnærming bør tas i bruk
Før deponering finner sted eller utstyret gjøres tilgjengelig for gjenbruk, må organisasjoner bekrefte om utstyret inneholder noe informasjonsressurser og lisensiert programvare og bør sikre at slik informasjon eller programvare slettes permanent.
- Fysisk ødeleggelse eller uopprettelig sletting av informasjon
Kontroll 7.14 viser to metoder som kan brukes til å fjerne informasjonen i utstyr på en sikker og permanent måte:
- Utstyr som er vert for lagringsmedieenheter som inneholder informasjon, skal destrueres fysisk.
- Informasjon som er lagret på utstyret bør slettes, overskrives eller destrueres på en ikke-gjenvinnbar måte slik at ondsinnede parter ikke kan få tilgang til informasjon. Organisasjoner anbefales å se på kontroll 7.10 på lagringsmedier og kontroll 8.10 om sletting av informasjon.
- Fjerning av alle etiketter og merker
Komponenter av utstyret og informasjonen i det kan ha etiketter og merker som identifiserer organisasjonen eller som avslører navnet på eieren av eiendelen, nettverket eller informasjonsklassifiseringsnivået som er tildelt.
Alle disse etikettene og merkingene bør destrueres uopprettelig.
- Fjerning av kontroller
Med hensyn til følgende forhold kan organisasjoner velge å avinstallere alle sikkerhetskontroller som tilgangsbegrensninger eller overvåkingssystemer når de forlater fasiliteter:
- Betingelsene i leieavtalen knyttet til vilkår som må returneres på.
- Eliminere og redusere risikoen for uautorisert tilgang til sensitiv informasjon av neste leietaker.
- Om de eksisterende kontrollene kan gjenbrukes ved neste anlegg.
Supplerende veiledning om kontroll 7.14
Kontroll 7.14 innebærer i tillegg til den generelle veiledningen tre konkrete anbefalinger til organisasjoner.
Skadet utstyr
Når skadet utstyr som inneholder informasjon sendes til reparasjon, kan det bli utsatt for risiko for uautorisert tilgang fra tredjeparter.
Organisasjoner bør gjennomføre en risikovurdering som tar hensyn til informasjonens sensitivitetsnivå og vurder om å ødelegge utstyret er et mer levedyktig alternativ enn å reparere.
Full-disk kryptering
Mens krypteringsteknikken på full disk i stor grad minimerer risikoen for konfidensialitet av informasjon, bør den overholde følgende standarder:
- Kryptering er robust og dekker alle deler av disken, inkludert slakk plass.
- Kryptografiske nøkler bør være lange nok til å forhindre brute force-angrep.
- Organisasjoner bør opprettholde konfidensialiteten til kryptografiske nøkler. For eksempel skal ikke krypteringsnøkkelen lagres på samme disk.
Overskrivingsverktøy
Organisasjoner bør velge en overskrivingsteknikk som tar hensyn til følgende kriterier:
- Nivå av informasjonsklassifisering som er tildelt informasjonselementet.
- Type lagringsmedium som informasjonen er lagret på.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer og forskjeller fra ISO 27002:2013
27002:2022/7.14 replaces 27002:2013/(11.2.7)
Kontroll 7.14 ligner stort sett på motstykket i 2013-versjonen. Kontroll 7.14 i 2022-versjonen inkluderer imidlertid mer omfattende krav i den generelle veiledningen.
I motsetning til 2013-versjonen introduserer 2022-versjonen følgende krav:
- Organisasjoner bør fjerne alle merker og etiketter som identifiserer organisasjonen, nettverket og klassifiseringsnivået.
- Organisasjoner bør vurdere å fjerne kontroller implementert på et anlegg når de forlater det anlegget.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISMS.Online er en komplett løsning for ISO 27002 gjennomføring.
Det er et nettbasert system som lar deg vise at din styringssystem for informasjonssikkerhet (ISMS) er i samsvar med de godkjente standardene ved hjelp av gjennomtenkte prosesser og prosedyrer og sjekklister.
Ta kontakt i dag for å bestill en demo.
