ISO 27001:2022 Bilag A 7.14 – Sikker bortskaffelse eller genbrug af udstyr

• Se ISO 27002:2022 Kontrol 7.14 for mere information.
• Se ISO 27001:2013 Bilag A 11.2.7 for mere information.

ISO 27001 Annex A 7.14: Bedste praksis for sikker bortskaffelse og genbrug af udstyr

It-udstyr, der ikke længere er nødvendigt, skal enten destrueres, returneres til leasinggiver, videregives til tredjemand, genbruges eller genbruges til anden forretningsdrift.

Organisationer bør beskytte information og licenseret software ved at sikre, at den slettes eller overskrives før bortskaffelse eller genbrug af udstyret. Dette vil hjælpe med at beskytte fortroligheden af ​​de data, der er gemt på enheden.

Hvis en organisation beskæftiger en ekstern udbyder af bortskaffelse af it-aktiver til at overføre forældede bærbare computere, printere og eksterne drev, kan denne udbyder få uautoriseret adgang til data, der er hostet på udstyret.

ISO 27001:2022 Annex A 7.14 omhandler, hvordan organisationer kan bevare fortroligheden af ​​data, der er lagret på udstyr, der er udpeget til bortskaffelse eller genbrug, ved at implementere effektive sikkerhedsforanstaltninger og -procedurer.

Formål med ISO 27001:2022 bilag A 7.14

ISO 27001: 2022 Bilag A 7.14 gør det muligt for organisationer at udelukke uautoriseret adgang til sarte data ved at verificere, at al information og software, der er licenseret på udstyr, er uigenkaldeligt slettet eller overskrevet, før udstyret kasseres eller afleveres til en tredjepart til genbrug.

Ejerskab af bilag A 7.14

I overensstemmelse med ISO 27001:2022 bilag A 7.14 skal der etableres en organisationsdækkende procedure for databortskaffelse og genbrug, herunder identifikation af alt udstyr og implementering af passende tekniske bortskaffelsesmekanismer og genbrugsprocesser.

Chief Information Officer bør være ansvarlig for at opsætte, indføre og vedligeholde systemer og processer til kassering og genbrug af udstyr.

Vejledning om ISO 27001:2022 Bilag A 7.14 Overholdelse

ISO 27001:2022 Bilag A 7.14 specificerer fire væsentlige overvejelser for overholdelse, som organisationer bør huske på:

Det er tilrådeligt at indtage en proaktiv holdning

Forud for bortskaffelse eller genbrug skal organisationer konstatere, om udstyret indeholder evt informationsaktiver og licenseret software og sikre, at disse slettes permanent.

Fysisk ødelæggelse eller uigenkaldelig sletning af data

ISO 27001:2022 Annex A 7.14 angiver, at der kan tages to tilgange til at sikre sikker og permanent sletning af information om udstyr:

• Udstyr, der rummer lagringsmedieenheder, der indeholder information, bør destrueres fysisk.
• Organisationer bør henvise til bilag A 7.10 og bilag A 8.10 vedr Storage Media og informationssletning, henholdsvis for at sikre, at alle data, der er lagret på udstyr, slettes, overskrives eller destrueres på en måde, der udelukker genfinding af ondsindede parter.

Alle etiketter og markeringer bør fjernes

Udstyrskomponenter og de data, de indeholder, kan mærkes eller mærkes for at identificere organisationen eller afsløre aktivets ejer, netværk eller klassifikationsniveau for oplysningerne. Alle disse etiketter og markeringer bør destrueres permanent.

Fjernelse af kontroller

Organisationer kan overveje at afinstallere sikkerhedskontroller, såsom adgangsbegrænsninger eller overvågningssystemer, når de forlader faciliteter under følgende forhold:

• Lejeaftalen fastsætter kravene til tilbagelevering af ejendommen.
• Det er vigtigt at mindske risikoen for enhver uautoriseret adgang til følsomme oplysninger fra den fremtidige lejer.
• Kan de nuværende styringer udnyttes på det kommende anlæg.

Supplerende vejledning om bilag A 7.14

Ud over den generelle vejledning giver ISO 27001:2022 Annex A 7.14 tre specifikke anbefalinger til organisationer.

Beskadiget udstyr

Når udstyr, der indeholder data, sendes til reparation, kan det være sårbart over for uautoriseret adgang fra tredjeparter.

Organisationer bør udføre en risikoevaluering under hensyntagen til følsomhedsniveauet af dataene og overveje, om ødelæggelse af udstyret ville være et mere holdbart valg end reparation.

Fuld-disk kryptering

At sikre fuld-disk kryptering opfylder de højeste standarder er afgørende for at sikre fortroligheden af ​​data. Det skal bemærkes, at følgende skal overholdes:

• Kryptering er pålidelig og beskytter alle aspekter af disken, inklusive resterende plads.
• Kryptografiske nøgler skal have tilstrækkelig længde til at forhindre brute force-angreb.
• Organisationer bør beskytte hemmeligholdelsen af ​​deres kryptografiske nøgler. For eksempel bør krypteringsnøglen ikke gemmes på den samme harddisk.

Overskrivningsværktøjer

Organisationer bør vælge en overskrivningstilgang under hensyntagen til følgende kriterier:

• Informationsaktivet har fået en vis klassifikationsgrad.
• Den type lagringsmedie, hvor oplysningerne opbevares, er kendt.

Ændringer og forskelle fra ISO 27001:2013

ISO 27001:2022 Bilag A 7.14 erstatter ISO 27001:2013 Annex A 11.2.7 i den reviderede standard. ISO 27001:2022-versionen erstatter ISO 27001:2013-versionen af ​​standarden, med den seneste version inklusive opdateringer til Annex A 7.14.

ISO 27001:2022 Annex A 7.14 ligner meget dets 2013-ækvivalent. 2022-versionen har dog mere omfattende krav i den generelle vejledning.

I sammenligning med ISO 27001:2013 stiller 2022-versionen disse krav:

• Organisationer bør slette alle skilte og tags, der angiver deres organisation, netværk og klassifikationsniveau.
• Organisationer bør overveje at fjerne enhver kontrol, de har etableret på en facilitet, når de rejser.

Tabel over alle ISO 27001:2022 bilag A kontroller

I tabellen nedenfor finder du mere information om hver enkelt person ISO 27001:2022 Bilag A Kontrollere.

Hvordan ISMS.online Hjælp

ISMS.Online giver en omfattende tilgang til ISO 27001:2022 implementering. Det tilbyder en strømlinet proces, der giver brugerne mulighed for hurtigt og effektivt at opfylde standarderne for den internationale sikkerhedsstandard. Med sin brugervenlige grænseflade gør det det nemt for organisationer at etablere og vedligeholde en robust Informationssikkerhedsstyringssystem.

Dette webbaserede system giver dig mulighed for at demonstrere, at dit ISMS opfylder de specificerede kriterier, gennem effektive processer, procedurer og tjeklister.

Kontakt os nu for at arrangere en demonstration.