Formål med kontroll 8.10
I tillegg til å administrere den løpende bruken av data og informasjon på interne servere og lagringsenheter (HDDer, arrays, USB-stasjoner osv.), må organisasjonen være svært klar over deres forpliktelser til å fjerne og slette data som er lagret på ansatte, brukere, kunder eller organisasjoner når det er rimelig nødvendig å gjøre det (vanligvis når det ikke lenger er nødvendig).
Attributttabell for kontroll 8.10
Kontroll 8.10 er en forebyggende kontroll Det endrer risiko ved å skissere en tilnærming til sletting av data som utfyller en organisasjons eksisterende retningslinjer for datalagring, og holder dem i samsvar med gjeldende lover eller regulatoriske retningslinjer.
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Beskytte | #Informasjonsbeskyttelse | #Beskyttelse |
| #Juridisk og overholdelse |
Eierskap til kontroll 8.10
Kontroll 8.10 omhandler i stor grad vedlikeholdsoppgaver knyttet til sletting og destruksjon av data og/eller IT-ressurser, inkludert bruk av spesialisert programvare og kontakt med leverandører som spesialiserer seg på sletting av data og enheter. Som sådan bør eierskapet ligge hos IT-sjefen, eller tilsvarende organisatorisk.
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Generell veiledning om samsvar
Noen ganger kan det være vanskelig å finne ut når data skal slettes. Som en generell regel ber Control 8.10 organisasjoner om å slette data når det ikke lenger er nødvendig, for å minimere det som omtales som uønsket avsløring – dvs. data som blir sett av, eller videreformidlet til, enkeltpersoner og organisasjoner som ikke har tilgang til dem.
I samsvar med denne retningslinjen, når tiden er inne for å slette data, bør organisasjoner:
- Velg en passende slettemetode som oppfyller alle gjeldende lover eller forskrifter. Teknikker inkluderer standard sletting, overskriving eller kryptert sletting.
- Logg resultatene av slettingen for fremtidig referanse.
- Sørg for at, hvis en spesialisert slettingsleverandør brukes, får organisasjonen tilstrekkelig bevis (vanligvis via dokumentasjon) på at slettingen er utført.
- Hvis en tredjepartsleverandør brukes, bør organisasjoner fastsette deres nøyaktige krav, inkludert slettingsmetoder og tidsfrister, og sikre at slettingsaktiviteter dekkes av en bindende avtale.
Veiledning – spesifikke slettingsmetoder
Når organisasjoner formulerer en sletteprosess, bør:
- Konfigurer interne systemer for å slette data og informasjon i samsvar med organisasjonens temaspesifikke retningslinjer for oppbevaring.
- Sørg for at slettingen omfatter midlertidige filer, bufret informasjon, kopier av data og eldre versjoner.
- Vurder å bruke spesialiserte slettingsverktøy for å minimere risikoen.
- Kontrakt kun ut til sertifiserte, verifiserbare slettingsspesialister hvis det oppstår behov for å bruke en tredjepartstjeneste.
- Implementer fysiske slettingstiltak som er passende for den aktuelle enheten (f.eks avmagnetisering magnetiske lagringsmedier, gjenoppretting av fabrikkinnstillinger på en smarttelefon eller fysisk ødeleggelse) (se Kontroll 7.14).
- Sørge for at skytjenesteleverandører er på linje med organisasjonens egne slettingskrav (så langt det er mulig).
Tilleggsinformasjon om kontroll 8.10
Når du sender utstyr (spesielt servere og arbeidsstasjoner) til leverandører, bør organisasjoner fjerne eventuelle interne eller eksterne lagringsenheter før de gjør det.
Støttende retningslinjer
- 7.14
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Endringer og forskjeller fra ISO 27002:2013
Ingen. Kontroll 8.10 har ingen presedens i ISO 27002:2013 da den er ny.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISMS.online-plattformen tilbyr en rekke kraftige verktøy som forenkler måten du kan dokumentere, implementere, vedlikeholde og forbedre ditt styringssystem for informasjonssikkerhet (ISMS) og oppnå samsvar med ISO 27002.
Den omfattende pakken med verktøy gir deg ett sentralt sted hvor du kan lage et skreddersydd sett med retningslinjer og prosedyrer som stemmer overens med organisasjonens spesifikke risikoer og behov. Det åpner også for samarbeid mellom kolleger så vel som eksterne partnere som leverandører eller tredjepartsrevisorer.
Ta kontakt i dag for å bestill en demo.
