ISO 27002:2022 – Kontrol 7.10 – Lagermedier

Sikker lagringsmediestyring: Beskyttelse af følsomme oplysninger

Brug af lagringsmedieenheder såsom solid-state-drev (SSD'er), USB-sticks, eksterne drev og mobiltelefoner er afgørende for mange kritiske informationsbehandlingsoperationer såsom sikkerhedskopiering af data, datalagring og informationsoverførsel.

Men opbevaring af følsomme og kritiske oplysninger om disse enheder indebærer risici for integriteten, fortrolighed og tilgængelighed af informationsaktiver. Disse risici kan omfatte tab eller tyveri af lagringsmedier, der indeholder følsomme oplysninger, spredning af malware til alle virksomhedens computernetværk via lagringsmediet og svigt og forringelse af lagringsmedieenheder, der bruges til sikkerhedskopiering af data.

Kontrol 7.10 omhandler, hvordan organisationer kan etablere passende procedurer, politikker og kontroller for at opretholde sikkerheden for lagringsmedier i hele dets livscyklus, fra dets erhvervelse til dets bortskaffelse.

Formål med kontrol 7.10

Kontrol 7.10 gør det muligt for organisationer at eliminere og mindske risici for uautoriseret adgang til, brug, sletning, ændring og overførsel af følsomme oplysninger, der er hostet på lagermedieenheder, ved at fastlægge procedurer for håndtering af lagermedier i hele dets livscyklus.

Attributter Kontroltabel 7.10

Kontrol 7.10 er en forebyggende form for kontrol, der kræver, at organisationer oprette, implementere og vedligeholde procedurer og foranstaltninger for at sikre sikkerheden af ​​lagringsmedieenheder fra deres erhvervelse til deres bortskaffelse.

Hvilket lagermedie dækker Control 7.10?

Kontrol 7.10 gælder både for digitale og fysiske lagringsmedier. For eksempel opbevaring af oplysninger på fysiske filer er også omfattet af kontrol 7.10.

Ud over de flytbare lagermedier er faste lagermedier såsom harddiske desuden underlagt kontrol 7.10.

Ejerskab af kontrol 7.10

Kontrol 7.10 kræver, at organisationer opretter og implementerer passende procedurer, tekniske kontroller og organisationsdækkende politikker for brugen af ​​lagringsmedier baseret på organisationens eget klassifikationssystem og dens datahåndteringskrav, såsom juridiske og kontraktlige forpligtelser.

I betragtning af dette bør informationssikkerhedsansvarlige være ansvarlige for hele overholdelsesprocessen.

Generel vejledning om overholdelse

Aftageligt lagringsmedie

Selvom flytbare lagringsmedier er afgørende for mange forretningsaktiviteter, og de almindeligvis bruges af de fleste medarbejdere, udgør de den højeste grad af risiko for de følsomme oplysninger.

Kontrol 7.10 angiver ti krav, som organisationer skal overholde til styring af flytbare lagermedier gennem hele dets livscyklus:

1. Organisationer bør etablere en emnespecifik politik for erhvervelse, godkendelse, brug og bortskaffelse af flytbare lagermedier. Denne politik bør kommunikeres til alt personale og til alle relevante parter.
2. Hvis det er praktisk og nødvendigt, bør organisationer indføre godkendelsesprocedurer for, hvordan flytbare lagermedier kan tages ud af virksomhedens lokaler. Ydermere bør organisationer føre logoptegnelser over fjernelse af lagermedier til revisionssporformål.
3. Alle flytbare lagringsmedier bør opbevares i et sikkert område, såsom et pengeskab, under hensyntagen til det informationsklassificeringsniveau, der er tildelt informationen, og de miljømæssige og fysiske trusler mod lagringsmedier.
4. Hvis fortrolighed og integritet af oplysninger indeholdt på flytbare lagermedier er af afgørende betydning, bør kryptografiske teknikker anvendes til at beskytte lagermedierne mod uautoriseret adgang.
5. I modsætning til risikoen for nedbrydning af flytbare lagermedier og tab af information lagret på mediet, bør informationen overføres til en ny lagermedieenhed, før en sådan risiko opstår.
6. Kritiske og følsomme oplysninger bør kopieres og opbevares på flere lagringsmedier for at minimere risikoen for tab af kritisk information.
7. For at mindske risikoen for fuldstændigt tab af information kan registrering af flytbare lagermedieenheder være en mulighed at overveje.
8. Medmindre der er en forretningsrelateret grund til at bruge flytbare lagringsmedieporte såsom USB-porte eller SD-kortpladser, bør de ikke tillades.
9. Der skal være en overvågningsmekanisme på plads til overførsel af information til flytbare lagermedieenheder.
10. Når oplysninger indeholdt i fysiske medier såsom papirer overføres via kurer eller post, er der en høj risiko for uautoriseret adgang til disse oplysninger. Der bør derfor træffes passende foranstaltninger.

Vejledning om sikker genbrug og bortskaffelse af lagermedier

Kontrol 7.10 giver separat vejledning om sikker genbrug og bortskaffelse af lagringsmedier, så organisationer kan mindske og eliminere risici for kompromittering af oplysningernes fortrolighed.

Kontrol 7.10 fremhæver, at organisationer bør definere og anvende procedurer for genbrug og bortskaffelse af lagringsmedier under hensyntagen til følsomhedsniveauet for information indeholdt i lagringsmediet.

Ved etablering af disse procedurer bør organisationer overveje følgende:

1. Hvis et lagringsmedie vil blive genbrugt af en intern part i en organisation, skal de følsomme oplysninger, der er hostet på det lagringsmedie, slettes irreversibelt eller omformateres, før det godkendes til genbrug.
2. Lagermedier, der hoster følsomme oplysninger, bør destrueres på en sikker måde, når det ikke længere er nødvendigt. For eksempel kan papirdokumenter makuleres, og digitalt udstyr kan fysisk ødelægges.
3. Der bør være en procedure for identifikation af lagermedieelementer, der skal bortskaffes.
4. Når organisationer vælger at samarbejde med en ekstern part om at håndtere indsamling og bortskaffelse af lagermedier, bør de forholde sig pga omhu for at sikre, at den valgte leverandør er kompetent og den implementerer passende kontroller.
5. Vedligeholdelse af en fortegnelse over alle bortskaffede genstande til revisionsspor.
6. Når flere lagringsmedier skal bortskaffes sammen, bør akkumuleringseffekten tages i betragtning: Kombination af forskellige informationsstykker fra hvert lagringsmedie kan omdanne ikke-følsomme oplysninger til følsomme oplysninger.

Sidst, men ikke mindst, kræver Control 7.10, at organisationer udfører en risikovurdering af beskadiget udstyr, der opbevarer fortrolige oplysninger at beslutte, om udstyret skal destrueres i stedet for at blive repareret.

Ændringer og forskelle fra ISO 27002:2013

27002:2022/7.10 erstatter 27002:2013/(08.3.1, 08.3.2, 08.3.3, 11.2.5)

Der er fire vigtige forskelle, der skal fremhæves:

• Strukturelle ændringer

Hvorimod 2013-versionen indeholdt tre separate kontrol med ledelsen af medier, bortskaffelse af medier og fysisk medieoverførsel, kombinerer 2022-versionen disse tre kontroller under kontrol 7.10.

• 2022-versionen indeholder krav til genbrug af lagermedier

I modsætning til 2013-versionen, der kun omhandlede sikker bortskaffelse af lagringsmedier, omhandler 2022-versionen også sikker genbrug af lagringsmedier.

• 2013-versionen indeholder mere omfattende krav til fysisk overførsel af lagermedier

2013-versionen indebar mere omfattende krav til fysisk overførsel af lagermedier. For eksempel indeholdt 2013-versionen regler om ID-bekræftelse for kurerer og emballagestandarder.

Kontrol 7.10 i 2022-versionen sagde på den anden side kun, at organisationer skulle handle med omhu, når de vælger tjenesteudbydere såsom kurerer.

• 2022-versionen kræver en emnespecifik politik for flytbare lagermedier

Mens 2022- og 2013-versionerne i høj grad ligner hinanden med hensyn til krav til flytbare lagringsmedier, introducerer 2022-versionen kravet om at etablere en emnespecifik politik for flytbare lagringsmedier. 2013-versionen dækkede derimod ikke dette krav.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

ISMS.online platform bruger en risikobaseret tilgang kombineret med brancheførende bedste praksis og skabeloner for at hjælpe dig med at identificere de risici, din organisation står over for, og de kontroller, der er nødvendige for at håndtere disse risici. Dette giver dig mulighed for systematisk at reducere både din risikoeksponering og dine complianceomkostninger.

Kontakt i dag for book en demo.