ISO 27002:2022, Kontroll 8.10 – Informasjonssletting

Generell veiledning om samsvar

Noen ganger kan det være vanskelig å finne ut når data skal slettes. Som en generell regel ber Control 8.10 organisasjoner om å slette data når det ikke lenger er nødvendig, for å minimere det som omtales som uønsket avsløring – dvs. data som blir sett av, eller videreformidlet til, enkeltpersoner og organisasjoner som ikke har tilgang til dem.

I samsvar med denne retningslinjen, når tiden er inne for å slette data, bør organisasjoner:

1. Velg en passende slettemetode som oppfyller alle gjeldende lover eller forskrifter. Teknikker inkluderer standard sletting, overskriving eller kryptert sletting.
2. Logg resultatene av slettingen for fremtidig referanse.
3. Sørg for at, hvis en spesialisert slettingsleverandør brukes, får organisasjonen tilstrekkelig bevis (vanligvis via dokumentasjon) på at slettingen er utført.
4. Hvis en tredjepartsleverandør brukes, bør organisasjoner fastsette deres nøyaktige krav, inkludert slettingsmetoder og tidsfrister, og sikre at slettingsaktiviteter dekkes av en bindende avtale.

Veiledning – spesifikke slettingsmetoder

Når organisasjoner formulerer en sletteprosess, bør:

1. Konfigurer interne systemer for å slette data og informasjon i samsvar med organisasjonens temaspesifikke retningslinjer for oppbevaring.
2. Sørg for at slettingen omfatter midlertidige filer, bufret informasjon, kopier av data og eldre versjoner.
3. Vurder å bruke spesialiserte slettingsverktøy for å minimere risikoen.
4. Kontrakt kun ut til sertifiserte, verifiserbare slettingsspesialister hvis det oppstår behov for å bruke en tredjepartstjeneste.
5. Implementer fysiske slettingstiltak som er passende for den aktuelle enheten (f.eks avmagnetisering magnetiske lagringsmedier, gjenoppretting av fabrikkinnstillinger på en smarttelefon eller fysisk ødeleggelse) (se Kontroll 7.14).
6. Sørge for at skytjenesteleverandører er på linje med organisasjonens egne slettingskrav (så langt det er mulig).

Tilleggsinformasjon om kontroll 8.10

Når du sender utstyr (spesielt servere og arbeidsstasjoner) til leverandører, bør organisasjoner fjerne eventuelle interne eller eksterne lagringsenheter før de gjør det.

Støttende retningslinjer

• 7.14

Endringer og forskjeller fra ISO 27002:2013

Ingen. Kontroll 8.10 har ingen presedens i ISO 27002:2013 da den er ny.

Hvordan ISMS.online hjelper

ISMS.online-plattformen tilbyr en rekke kraftige verktøy som forenkler måten du kan dokumentere, implementere, vedlikeholde og forbedre ditt styringssystem for informasjonssikkerhet (ISMS) og oppnå samsvar med ISO 27002.

Den omfattende pakken med verktøy gir deg ett sentralt sted hvor du kan lage et skreddersydd sett med retningslinjer og prosedyrer som stemmer overens med organisasjonens spesifikke risikoer og behov. Det åpner også for samarbeid mellom kolleger så vel som eksterne partnere som leverandører eller tredjepartsrevisorer.

Ta kontakt i dag for å bestill en demo.