ISO 27002:2022 – Kontrol 8.10 – Informationssletning

Formål med kontrol 8.10

Ud over at styre den løbende brug af data og information på interne servere og lagerenheder (HDD'er, arrays, USB-drev osv.), er organisationens behov for at være meget opmærksomme på deres forpligtelser med hensyn til at fjerne og slette alle data, der opbevares om medarbejdere, brugere, kunder eller organisationer, når det med rimelighed er nødvendigt at gøre det (normalt når det ikke længere er nødvendigt).

Attributter Kontroltabel 8.10

Kontrol 8.10 er en forebyggende kontrol at ændrer risikoen ved at skitsere en tilgang til datasletning, der supplerer en organisations eksisterende dataopbevaringspolitikker og holder dem i overensstemmelse med gældende love eller regulatoriske retningslinjer.

Ejerskab af kontrol 8.10

Kontrol 8.10 beskæftiger sig i vid udstrækning med vedligeholdelsesopgaver i forbindelse med sletning og destruktion af data og/eller it-aktiver, herunder brug af specialiseret software og kontakt til leverandører, der er specialiseret i sletning af data og enheder. Som sådan bør ejerskabet ligge hos IT-chefen eller tilsvarende organisatorisk.

Generel vejledning om overholdelse

Det kan nogle gange være svært at finde ud af, hvornår data skal slettes. Kontrol 8.10 beder som hovedregel organisationer om at slette data, når det ikke længere er påkrævet, for at minimere det, der omtales som uønsket afsløring – dvs. data, der ses af eller videregives til enkeltpersoner og organisationer, der ikke har adgang til dem.

I overensstemmelse med denne retningslinje, når tiden kommer til at slette data, bør organisationer:

1. Vælg en passende sletningsmetode, der opfylder alle gældende love eller regler. Teknikker omfatter standard sletning, overskrivning eller krypteret sletning.
2. Log resultaterne af sletningen til fremtidig reference.
3. Sørg for, at hvis der anvendes en specialiseret sletningsleverandør, opnår organisationen tilstrækkeligt bevis (normalt via dokumentation) for, at sletningen er blevet udført.
4. Hvis en tredjepartsleverandør bruges, bør organisationer fastlægge deres præcise krav, herunder sletningsmetoder og tidsplaner, og sikre, at sletningsaktiviteter er omfattet af en bindende aftale.

Vejledning – Specifikke sletningsmetoder

Når organisationer formulerer en sletningsproces, bør de:

1. Konfigurer interne systemer til at slette data og information i overensstemmelse med organisationens emnespecifikke politik om opbevaring.
2. Sørg for, at sletning omfatter midlertidige filer, cachelagrede oplysninger, kopier af data og ældre versioner.
3. Overvej at bruge specialiserede sletningsprogrammer for at minimere risikoen.
4. Udliciter kun til certificerede, verificerbare sletningsspecialister, hvis der opstår behov for at bruge en tredjepartstjeneste.
5. Implementer fysiske sletningsforanstaltninger, der er passende for den pågældende enhed (f afmagnetisering magnetiske lagermedier, gendannelse af fabriksindstillinger på en smartphone eller fysisk ødelæggelse) (se Kontrol 7.14).
6. Sikre, at cloud-tjenesteudbydere er tilpasset organisationens egne slettekrav (så vidt muligt).

Supplerende oplysninger om kontrol 8.10

Når man sender udstyr (især servere og arbejdsstationer) til leverandører, bør organisationer fjerne alle interne eller eksterne lagerenheder, før de gør det.

Understøttende retningslinjer

• 7.14

Ændringer og forskelle fra ISO 27002:2013

Ingen. Kontrol 8.10 har ingen præcedens i ISO 27002:2013, da den er ny.

Nye ISO 27002 kontroller

Hvordan ISMS.online hjælper

ISMS.online platformen tilbyder en række kraftfulde værktøjer, der forenkler den måde, du kan dokumentere, implementere, vedligeholde og forbedre dit informationssikkerhedsstyringssystem (ISMS) på og opnå overholdelse af ISO 27002.

Den omfattende pakke af værktøjer giver dig ét centralt sted, hvor du kan skabe et skræddersyet sæt politikker og procedurer, der stemmer overens med din organisations specifikke risici og behov. Det giver også mulighed for samarbejde mellem kolleger såvel som eksterne partnere såsom leverandører eller tredjepartsrevisorer.

Kontakt i dag for book en demo.