- Se ISO 27002:2022 Kontrol 7.14 for mere information.
- Se ISO 27001:2013 Bilag A 11.2.7 for mere information.
ISO 27001 Annex A 7.14: Bedste praksis for sikker bortskaffelse og genbrug af udstyr
It-udstyr, der ikke længere er nødvendigt, skal enten destrueres, returneres til leasinggiver, videregives til tredjemand, genbruges eller genbruges til anden forretningsdrift.
Organisationer bør beskytte information og licenseret software ved at sikre, at den slettes eller overskrives før bortskaffelse eller genbrug af udstyret. Dette vil hjælpe med at beskytte fortroligheden af de data, der er gemt på enheden.
Hvis en organisation beskæftiger en ekstern udbyder af bortskaffelse af it-aktiver til at overføre forældede bærbare computere, printere og eksterne drev, kan denne udbyder få uautoriseret adgang til data, der er hostet på udstyret.
ISO 27001:2022 Annex A 7.14 omhandler, hvordan organisationer kan bevare fortroligheden af data, der er lagret på udstyr, der er udpeget til bortskaffelse eller genbrug, ved at implementere effektive sikkerhedsforanstaltninger og -procedurer.
Formål med ISO 27001:2022 bilag A 7.14
ISO 27001: 2022 Bilag A 7.14 gør det muligt for organisationer at udelukke uautoriseret adgang til sarte data ved at verificere, at al information og software, der er licenseret på udstyr, er uigenkaldeligt slettet eller overskrevet, før udstyret kasseres eller afleveres til en tredjepart til genbrug.
ISO 27001 gjort nemt
Et forspring på 81% fra dag ét
Vi har gjort det hårde arbejde for dig, hvilket giver dig en 81% forspring fra det øjeblik, du logger på. Alt du skal gøre er at udfylde de tomme felter.
Ejerskab af bilag A 7.14
I overensstemmelse med ISO 27001:2022 bilag A 7.14 skal der etableres en organisationsdækkende procedure for databortskaffelse og genbrug, herunder identifikation af alt udstyr og implementering af passende tekniske bortskaffelsesmekanismer og genbrugsprocesser.
Chief Information Officer bør være ansvarlig for at opsætte, indføre og vedligeholde systemer og processer til kassering og genbrug af udstyr.
Vejledning om ISO 27001:2022 Bilag A 7.14 Overholdelse
ISO 27001:2022 Bilag A 7.14 specificerer fire væsentlige overvejelser for overholdelse, som organisationer bør huske på:
Det er tilrådeligt at indtage en proaktiv holdning
Forud for bortskaffelse eller genbrug skal organisationer konstatere, om udstyret indeholder evt informationsaktiver og licenseret software og sikre, at disse slettes permanent.
Fysisk ødelæggelse eller uigenkaldelig sletning af data
ISO 27001:2022 Annex A 7.14 angiver, at der kan tages to tilgange til at sikre sikker og permanent sletning af information om udstyr:
- Udstyr, der rummer lagringsmedieenheder, der indeholder information, bør destrueres fysisk.
- Organisationer bør henvise til bilag A 7.10 og bilag A 8.10 vedr Storage Media og informationssletning, henholdsvis for at sikre, at alle data, der er lagret på udstyr, slettes, overskrives eller destrueres på en måde, der udelukker genfinding af ondsindede parter.
Alle etiketter og markeringer bør fjernes
Udstyrskomponenter og de data, de indeholder, kan mærkes eller mærkes for at identificere organisationen eller afsløre aktivets ejer, netværk eller klassifikationsniveau for oplysningerne. Alle disse etiketter og markeringer bør destrueres permanent.
Fjernelse af kontroller
Organisationer kan overveje at afinstallere sikkerhedskontroller, såsom adgangsbegrænsninger eller overvågningssystemer, når de forlader faciliteter under følgende forhold:
- Lejeaftalen fastsætter kravene til tilbagelevering af ejendommen.
- Det er vigtigt at mindske risikoen for enhver uautoriseret adgang til følsomme oplysninger fra den fremtidige lejer.
- Kan de nuværende styringer udnyttes på det kommende anlæg.
Frigør dig selv fra et bjerg af regneark
Integrer, udvid og skaler din compliance uden besvær. IO giver dig robustheden og selvtilliden til at vokse sikkert.
Supplerende vejledning om bilag A 7.14
Ud over den generelle vejledning giver ISO 27001:2022 Annex A 7.14 tre specifikke anbefalinger til organisationer.
Beskadiget udstyr
Når udstyr, der indeholder data, sendes til reparation, kan det være sårbart over for uautoriseret adgang fra tredjeparter.
Organisationer bør udføre en risikoevaluering under hensyntagen til følsomhedsniveauet af dataene og overveje, om ødelæggelse af udstyret ville være et mere holdbart valg end reparation.
Fuld-disk kryptering
At sikre fuld-disk kryptering opfylder de højeste standarder er afgørende for at sikre fortroligheden af data. Det skal bemærkes, at følgende skal overholdes:
- Kryptering er pålidelig og beskytter alle aspekter af disken, inklusive resterende plads.
- Kryptografiske nøgler skal have tilstrækkelig længde til at forhindre brute force-angreb.
- Organisationer bør beskytte hemmeligholdelsen af deres kryptografiske nøgler. For eksempel bør krypteringsnøglen ikke gemmes på den samme harddisk.
Overskrivningsværktøjer
Organisationer bør vælge en overskrivningstilgang under hensyntagen til følgende kriterier:
- Informationsaktivet har fået en vis klassifikationsgrad.
- Den type lagringsmedie, hvor oplysningerne opbevares, er kendt.
Ændringer og forskelle fra ISO 27001:2013
ISO 27001:2022 Bilag A 7.14 erstatter ISO 27001:2013 Annex A 11.2.7 i den reviderede standard. ISO 27001:2022-versionen erstatter ISO 27001:2013-versionen af standarden, med den seneste version inklusive opdateringer til Annex A 7.14.
ISO 27001:2022 Annex A 7.14 ligner meget dets 2013-ækvivalent. 2022-versionen har dog mere omfattende krav i den generelle vejledning.
I sammenligning med ISO 27001:2013 stiller 2022-versionen disse krav:
- Organisationer bør slette alle skilte og tags, der angiver deres organisation, netværk og klassifikationsniveau.
- Organisationer bør overveje at fjerne enhver kontrol, de har etableret på en facilitet, når de rejser.
Tabel over alle ISO 27001:2022 bilag A kontroller
I tabellen nedenfor finder du mere information om hver enkelt person ISO 27001:2022 Bilag A Kontrollere.
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| Organisatoriske kontroller | Bilag A 5.1 |
Bilag A 5.1.1 Bilag A 5.1.2 |
Politikker for informationssikkerhed |
| Organisatoriske kontroller | Bilag A 5.2 | Bilag A 6.1.1 | Informationssikkerhedsroller og -ansvar |
| Organisatoriske kontroller | Bilag A 5.3 | Bilag A 6.1.2 | Adskillelse af opgaver |
| Organisatoriske kontroller | Bilag A 5.4 | Bilag A 7.2.1 | Ledelsesansvar |
| Organisatoriske kontroller | Bilag A 5.5 | Bilag A 6.1.3 | Kontakt med myndigheder |
| Organisatoriske kontroller | Bilag A 5.6 | Bilag A 6.1.4 | Kontakt med særlige interessegrupper |
| Organisatoriske kontroller | Bilag A 5.7 | NY | Threat Intelligence |
| Organisatoriske kontroller | Bilag A 5.8 |
Bilag A 6.1.5 Bilag A 14.1.1 |
Informationssikkerhed i projektledelse |
| Organisatoriske kontroller | Bilag A 5.9 |
Bilag A 8.1.1 Bilag A 8.1.2 |
Fortegnelse over oplysninger og andre tilknyttede aktiver |
| Organisatoriske kontroller | Bilag A 5.10 |
Bilag A 8.1.3 Bilag A 8.2.3 |
Acceptabel brug af oplysninger og andre tilknyttede aktiver |
| Organisatoriske kontroller | Bilag A 5.11 | Bilag A 8.1.4 | Tilbagelevering af aktiver |
| Organisatoriske kontroller | Bilag A 5.12 | Bilag A 8.2.1 | Klassificering af oplysninger |
| Organisatoriske kontroller | Bilag A 5.13 | Bilag A 8.2.2 | Mærkning af information |
| Organisatoriske kontroller | Bilag A 5.14 |
Bilag A 13.2.1 Bilag A 13.2.2 Bilag A 13.2.3 |
Informationsoverførsel |
| Organisatoriske kontroller | Bilag A 5.15 |
Bilag A 9.1.1 Bilag A 9.1.2 |
Adgangskontrol |
| Organisatoriske kontroller | Bilag A 5.16 | Bilag A 9.2.1 | Identitetsstyring |
| Organisatoriske kontroller | Bilag A 5.17 |
Bilag A 9.2.4 Bilag A 9.3.1 Bilag A 9.4.3 |
Autentificeringsoplysninger |
| Organisatoriske kontroller | Bilag A 5.18 |
Bilag A 9.2.2 Bilag A 9.2.5 Bilag A 9.2.6 |
Adgangsrettigheder |
| Organisatoriske kontroller | Bilag A 5.19 | Bilag A 15.1.1 | Informationssikkerhed i leverandørforhold |
| Organisatoriske kontroller | Bilag A 5.20 | Bilag A 15.1.2 | Håndtering af informationssikkerhed inden for leverandøraftaler |
| Organisatoriske kontroller | Bilag A 5.21 | Bilag A 15.1.3 | Håndtering af informationssikkerhed i IKT-forsyningskæden |
| Organisatoriske kontroller | Bilag A 5.22 |
Bilag A 15.2.1 Bilag A 15.2.2 |
Overvågning, gennemgang og ændringsstyring af leverandørservices |
| Organisatoriske kontroller | Bilag A 5.23 | NY | Informationssikkerhed til brug af skytjenester |
| Organisatoriske kontroller | Bilag A 5.24 | Bilag A 16.1.1 | Informationssikkerhed Incident Management Planlægning og forberedelse |
| Organisatoriske kontroller | Bilag A 5.25 | Bilag A 16.1.4 | Vurdering og beslutning om informationssikkerhedshændelser |
| Organisatoriske kontroller | Bilag A 5.26 | Bilag A 16.1.5 | Reaktion på informationssikkerhedshændelser |
| Organisatoriske kontroller | Bilag A 5.27 | Bilag A 16.1.6 | Lær af informationssikkerhedshændelser |
| Organisatoriske kontroller | Bilag A 5.28 | Bilag A 16.1.7 | Indsamling af beviser |
| Organisatoriske kontroller | Bilag A 5.29 |
Bilag A 17.1.1 Bilag A 17.1.2 Bilag A 17.1.3 |
Informationssikkerhed under afbrydelse |
| Organisatoriske kontroller | Bilag A 5.30 | NY | IKT-beredskab til forretningskontinuitet |
| Organisatoriske kontroller | Bilag A 5.31 |
Bilag A 18.1.1 Bilag A 18.1.5 |
Juridiske, lovpligtige, regulatoriske og kontraktlige krav |
| Organisatoriske kontroller | Bilag A 5.32 | Bilag A 18.1.2 | Intellektuelle ejendomsrettigheder |
| Organisatoriske kontroller | Bilag A 5.33 | Bilag A 18.1.3 | Beskyttelse af optegnelser |
| Organisatoriske kontroller | Bilag A 5.34 | Bilag A 18.1.4 | Privatliv og beskyttelse af PII |
| Organisatoriske kontroller | Bilag A 5.35 | Bilag A 18.2.1 | Uafhængig gennemgang af informationssikkerhed |
| Organisatoriske kontroller | Bilag A 5.36 |
Bilag A 18.2.2 Bilag A 18.2.3 |
Overholdelse af politikker, regler og standarder for informationssikkerhed |
| Organisatoriske kontroller | Bilag A 5.37 | Bilag A 12.1.1 | Dokumenterede driftsprocedurer |
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| People Controls | Bilag A 6.1 | Bilag A 7.1.1 | Screening |
| People Controls | Bilag A 6.2 | Bilag A 7.1.2 | Ansættelsesvilkår |
| People Controls | Bilag A 6.3 | Bilag A 7.2.2 | Informationssikkerhedsbevidsthed, uddannelse og træning |
| People Controls | Bilag A 6.4 | Bilag A 7.2.3 | Disciplinær proces |
| People Controls | Bilag A 6.5 | Bilag A 7.3.1 | Ansvar efter opsigelse eller ændring af ansættelse |
| People Controls | Bilag A 6.6 | Bilag A 13.2.4 | Aftaler om fortrolighed eller tavshedspligt |
| People Controls | Bilag A 6.7 | Bilag A 6.2.2 | Fjernbetjening |
| People Controls | Bilag A 6.8 |
Bilag A 16.1.2 Bilag A 16.1.3 |
Informationssikkerhed begivenhedsrapportering |
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| Fysiske kontroller | Bilag A 7.1 | Bilag A 11.1.1 | Fysiske sikkerhedsomkredse |
| Fysiske kontroller | Bilag A 7.2 |
Bilag A 11.1.2 Bilag A 11.1.6 |
Fysisk adgang |
| Fysiske kontroller | Bilag A 7.3 | Bilag A 11.1.3 | Sikring af kontorer, lokaler og faciliteter |
| Fysiske kontroller | Bilag A 7.4 | NY | Fysisk sikkerhedsovervågning |
| Fysiske kontroller | Bilag A 7.5 | Bilag A 11.1.4 | Beskyttelse mod fysiske og miljømæssige trusler |
| Fysiske kontroller | Bilag A 7.6 | Bilag A 11.1.5 | Arbejde i sikre områder |
| Fysiske kontroller | Bilag A 7.7 | Bilag A 11.2.9 | Clear Desk og Clear Screen |
| Fysiske kontroller | Bilag A 7.8 | Bilag A 11.2.1 | Udstyrsplacering og beskyttelse |
| Fysiske kontroller | Bilag A 7.9 | Bilag A 11.2.6 | Sikkerhed af aktiver uden for lokalerne |
| Fysiske kontroller | Bilag A 7.10 |
Bilag A 8.3.1 Bilag A 8.3.2 Bilag A 8.3.3 Bilag A 11.2.5 |
Storage Media |
| Fysiske kontroller | Bilag A 7.11 | Bilag A 11.2.2 | Understøttende hjælpeprogrammer |
| Fysiske kontroller | Bilag A 7.12 | Bilag A 11.2.3 | Kabler sikkerhed |
| Fysiske kontroller | Bilag A 7.13 | Bilag A 11.2.4 | Vedligeholdelse af udstyr |
| Fysiske kontroller | Bilag A 7.14 | Bilag A 11.2.7 | Sikker bortskaffelse eller genbrug af udstyr |
| Bilag A Kontroltype | ISO/IEC 27001:2022 Bilag A Identifikator | ISO/IEC 27001:2013 Bilag A Identifikator | Bilag A Navn |
|---|---|---|---|
| Teknologisk kontrol | Bilag A 8.1 |
Bilag A 6.2.1 Bilag A 11.2.8 |
Brugerendepunktsenheder |
| Teknologisk kontrol | Bilag A 8.2 | Bilag A 9.2.3 | Privilegerede adgangsrettigheder |
| Teknologisk kontrol | Bilag A 8.3 | Bilag A 9.4.1 | Begrænsning af informationsadgang |
| Teknologisk kontrol | Bilag A 8.4 | Bilag A 9.4.5 | Adgang til kildekode |
| Teknologisk kontrol | Bilag A 8.5 | Bilag A 9.4.2 | Sikker godkendelse |
| Teknologisk kontrol | Bilag A 8.6 | Bilag A 12.1.3 | Kapacitetsstyring |
| Teknologisk kontrol | Bilag A 8.7 | Bilag A 12.2.1 | Beskyttelse mod malware |
| Teknologisk kontrol | Bilag A 8.8 |
Bilag A 12.6.1 Bilag A 18.2.3 |
Håndtering af tekniske sårbarheder |
| Teknologisk kontrol | Bilag A 8.9 | NY | Configuration Management |
| Teknologisk kontrol | Bilag A 8.10 | NY | Sletning af oplysninger |
| Teknologisk kontrol | Bilag A 8.11 | NY | Datamaskering |
| Teknologisk kontrol | Bilag A 8.12 | NY | Forebyggelse af datalækage |
| Teknologisk kontrol | Bilag A 8.13 | Bilag A 12.3.1 | Backup af information |
| Teknologisk kontrol | Bilag A 8.14 | Bilag A 17.2.1 | Redundans af informationsbehandlingsfaciliteter |
| Teknologisk kontrol | Bilag A 8.15 |
Bilag A 12.4.1 Bilag A 12.4.2 Bilag A 12.4.3 |
Logning |
| Teknologisk kontrol | Bilag A 8.16 | NY | Overvågningsaktiviteter |
| Teknologisk kontrol | Bilag A 8.17 | Bilag A 12.4.4 | Ursynkronisering |
| Teknologisk kontrol | Bilag A 8.18 | Bilag A 9.4.4 | Brug af privilegerede hjælpeprogrammer Adgangsrettigheder |
| Teknologisk kontrol | Bilag A 8.19 |
Bilag A 12.5.1 Bilag A 12.6.2 |
Installation af software på operationelle systemer |
| Teknologisk kontrol | Bilag A 8.20 | Bilag A 13.1.1 | Netværkssikkerhed |
| Teknologisk kontrol | Bilag A 8.21 | Bilag A 13.1.2 | Sikkerhed af netværkstjenester |
| Teknologisk kontrol | Bilag A 8.22 | Bilag A 13.1.3 | Adskillelse af netværk |
| Teknologisk kontrol | Bilag A 8.23 | NY | Webfiltrering |
| Teknologisk kontrol | Bilag A 8.24 |
Bilag A 10.1.1 Bilag A 10.1.2 |
Brug af kryptografi |
| Teknologisk kontrol | Bilag A 8.25 | Bilag A 14.2.1 | Sikker udviklingslivscyklus |
| Teknologisk kontrol | Bilag A 8.26 |
Bilag A 14.1.2 Bilag A 14.1.3 |
Applikationssikkerhedskrav |
| Teknologisk kontrol | Bilag A 8.27 | Bilag A 14.2.5 | Principper for sikker systemarkitektur og -teknikLæring af informationssikkerhedshændelser |
| Teknologisk kontrol | Bilag A 8.28 | NY | Sikker kodning |
| Teknologisk kontrol | Bilag A 8.29 |
Bilag A 14.2.8 Bilag A 14.2.9 |
Sikkerhedstest i udvikling og accept |
| Teknologisk kontrol | Bilag A 8.30 | Bilag A 14.2.7 | Udliciteret udvikling |
| Teknologisk kontrol | Bilag A 8.31 |
Bilag A 12.1.4 Bilag A 14.2.6 |
Adskillelse af udviklings-, test- og produktionsmiljøer |
| Teknologisk kontrol | Bilag A 8.32 |
Bilag A 12.1.2 Bilag A 14.2.2 Bilag A 14.2.3 Bilag A 14.2.4 |
Change Management |
| Teknologisk kontrol | Bilag A 8.33 | Bilag A 14.3.1 | Testinformation |
| Teknologisk kontrol | Bilag A 8.34 | Bilag A 12.7.1 | Beskyttelse af informationssystemer under revisionstest |
Hvordan ISMS.online Hjælp
ISMS.Online giver en omfattende tilgang til ISO 27001:2022 implementering. Det tilbyder en strømlinet proces, der giver brugerne mulighed for hurtigt og effektivt at opfylde standarderne for den internationale sikkerhedsstandard. Med sin brugervenlige grænseflade gør det det nemt for organisationer at etablere og vedligeholde en robust Informationssikkerhedsstyringssystem.
Dette webbaserede system giver dig mulighed for at demonstrere, at dit ISMS opfylder de specificerede kriterier, gennem effektive processer, procedurer og tjeklister.
Kontakt os nu for at arrangere en demonstration.