ISO 27002:2022, Kontrol 8.10 – Informationssletning

Generel vejledning om overholdelse

Det kan nogle gange være svært at finde ud af, hvornår data skal slettes. Kontrol 8.10 beder som hovedregel organisationer om at slette data, når det ikke længere er påkrævet, for at minimere det, der omtales som uønsket afsløring – dvs. data, der ses af eller videregives til enkeltpersoner og organisationer, der ikke har adgang til dem.

I overensstemmelse med denne retningslinje, når tiden kommer til at slette data, bør organisationer:

1. Vælg en passende sletningsmetode, der opfylder alle gældende love eller regler. Teknikker omfatter standard sletning, overskrivning eller krypteret sletning.
2. Log resultaterne af sletningen til fremtidig reference.
3. Sørg for, at hvis der anvendes en specialiseret sletningsleverandør, opnår organisationen tilstrækkeligt bevis (normalt via dokumentation) for, at sletningen er blevet udført.
4. Hvis en tredjepartsleverandør bruges, bør organisationer fastlægge deres præcise krav, herunder sletningsmetoder og tidsplaner, og sikre, at sletningsaktiviteter er omfattet af en bindende aftale.

Vejledning – Specifikke sletningsmetoder

Når organisationer formulerer en sletningsproces, bør de:

1. Konfigurer interne systemer til at slette data og information i overensstemmelse med organisationens emnespecifikke politik om opbevaring.
2. Sørg for, at sletning omfatter midlertidige filer, cachelagrede oplysninger, kopier af data og ældre versioner.
3. Overvej at bruge specialiserede sletningsprogrammer for at minimere risikoen.
4. Udliciter kun til certificerede, verificerbare sletningsspecialister, hvis der opstår behov for at bruge en tredjepartstjeneste.
5. Implementer fysiske sletningsforanstaltninger, der er passende for den pågældende enhed (f afmagnetisering magnetiske lagermedier, gendannelse af fabriksindstillinger på en smartphone eller fysisk ødelæggelse) (se Kontrol 7.14).
6. Sikre, at cloud-tjenesteudbydere er tilpasset organisationens egne slettekrav (så vidt muligt).

Supplerende oplysninger om kontrol 8.10

Når man sender udstyr (især servere og arbejdsstationer) til leverandører, bør organisationer fjerne alle interne eller eksterne lagerenheder, før de gør det.

Understøttende retningslinjer

• 7.14

Ændringer og forskelle fra ISO 27002:2013

Ingen. Kontrol 8.10 har ingen præcedens i ISO 27002:2013, da den er ny.

Hvordan ISMS.online hjælper

ISMS.online platformen tilbyder en række kraftfulde værktøjer, der forenkler den måde, du kan dokumentere, implementere, vedligeholde og forbedre dit informationssikkerhedsstyringssystem (ISMS) på og opnå overholdelse af ISO 27002.

Den omfattende pakke af værktøjer giver dig ét centralt sted, hvor du kan skabe et skræddersyet sæt politikker og procedurer, der stemmer overens med din organisations specifikke risici og behov. Det giver også mulighed for samarbejde mellem kolleger såvel som eksterne partnere såsom leverandører eller tredjepartsrevisorer.

Kontakt i dag for book en demo.