ISO 27001:2022 bilaga A 7.14 – Säker kassering eller återanvändning av utrustning

• Se ISO 27002:2022 Kontroll 7.14 för mer information.
• Se ISO 27001:2013 bilaga A 11.2.7 för mer information.

ISO 27001 bilaga A 7.14: Bästa praxis för säker kassering och återanvändning av utrustning

IT-utrustning som inte längre behövs måste antingen förstöras, återlämnas till leasegivaren, lämnas till tredje part, återvinnas eller återanvändas för annan affärsverksamhet.

Organisationer bör skydda information och licensierad programvara genom att se till att den raderas eller skrivs över innan utrustningen kasseras eller återanvänds. Detta kommer att hjälpa till att skydda sekretessen för data som lagras på enheten.

Om en organisation anlitar en extern tjänsteleverantör för bortskaffande av IT-tillgångar för att överföra föråldrade bärbara datorer, skrivare och externa enheter, kan denna leverantör få obehörig åtkomst till data som finns på utrustningen.

ISO 27001:2022 Annex A 7.14 handlar om hur organisationer kan bevara konfidentialitet för data som lagras på utrustning som är avsedd för bortskaffande eller återanvändning, genom att implementera effektiva säkerhetsåtgärder och procedurer.

Syftet med ISO 27001:2022 bilaga A 7.14

ISO 27001: 2022 Bilaga A 7.14 gör det möjligt för organisationer att förhindra obehörig åtkomst till känsliga data genom att verifiera att all information och programvara som är licensierad på utrustningen oåterkalleligt raderas eller skrivs över innan utrustningen kasseras eller överlämnas till en tredje part för återanvändning.

Äganderätt till bilaga A 7.14

I enlighet med ISO 27001:2022 bilaga A 7.14 måste ett organisationsomfattande databortskaffande-återanvändningsförfarande upprättas, inklusive identifiering av all utrustning och implementering av lämpliga tekniska bortskaffandemekanismer och återanvändningsprocesser.

Smakämnen Chief Information Officer bör vara ansvarig för att upprätta, införa och upprätthålla system och processer för att kassera och återanvända utrustning.

Vägledning om ISO 27001:2022 bilaga A 7.14 Överensstämmelse

ISO 27001:2022 bilaga A 7.14 specificerar fyra viktiga överväganden för efterlevnad som organisationer bör ha i åtanke:

Det är tillrådligt att inta en proaktiv hållning

Innan de kasseras eller återanvänds måste organisationer kontrollera om utrustningen innehåller någon informationstillgångar och licensierad programvara och se till att dessa raderas permanent.

Fysisk förstörelse eller oåterkallelig radering av data

ISO 27001:2022 bilaga A 7.14 anger att två tillvägagångssätt kan användas för att säkerställa säker och permanent radering av information om utrustning:

• Utrustning som innehåller lagringsmedieenheter som innehåller information ska förstöras fysiskt.
• Organisationer bör hänvisa till bilaga A 7.10 och bilaga A 8.10 angående Förvarings media respektive Informationsradering för att säkerställa att all data som lagras på utrustningen raderas, skrivs över eller förstörs på ett sätt som förhindrar återhämtning av illvilliga parter.

Alla etiketter och markeringar bör tas av

Utrustningskomponenter och data de innehåller kan märkas eller märkas för att identifiera organisationen eller avslöja tillgångsägaren, nätverket eller klassificeringsnivån för informationen. Alla dessa etiketter och märkningar ska förstöras permanent.

Borttagning av kontroller

Organisationer kan överväga att avinstallera säkerhetskontroller, till exempel åtkomstbegränsningar eller övervakningssystem, när de lämnar anläggningar, med tanke på följande villkor:

• Hyresavtalet ställer kraven för återlämnande av fastigheten.
• Det är viktigt att minska risken för eventuell obehörig åtkomst till känslig information av den framtida hyresgästen.
• Kan nuvarande kontroller utnyttjas på kommande anläggning.

Kompletterande vägledning om bilaga A 7.14

Utöver den allmänna vägledningen tillhandahåller ISO 27001:2022 Annex A 7.14 tre specifika rekommendationer för organisationer.

Skadad utrustning

När utrustning som innehåller data skickas för reparation kan den vara sårbar för obehörig åtkomst från tredje part.

Organisationer bör utföra en riskbedömning, med hänsyn till informationens känslighetsnivå, och överväga om att förstöra utrustningen skulle vara ett mer hållbart val än reparation.

Full-Disk Kryptering

Att säkerställa att heldiskkryptering uppfyller de högsta standarderna är avgörande för att skydda datakonfidentialitet. Det bör noteras att följande bör följas:

• Kryptering är tillförlitlig och skyddar alla aspekter av disken, inklusive överblivet utrymme.
• Kryptografiska nycklar bör vara tillräckligt långa för att förhindra brute force-attacker.
• Organisationer bör skydda sekretessen för sina kryptografiska nycklar. Till exempel bör krypteringsnyckeln inte lagras på samma hårddisk.

Överskrivningsverktyg

Organisationer bör välja en överskrivningsmetod samtidigt som de överväger följande kriterier:

• Informationstillgången har tilldelats en viss klassificering.
• Vilken typ av lagringsmedia där informationen förvaras är känd.

Ändringar och skillnader från ISO 27001:2013

ISO 27001:2022 bilaga A 7.14 ersätter ISO 27001:2013 bilaga A 11.2.7 i den reviderade standarden. ISO 27001:2022-versionen ersätter ISO 27001:2013-versionen av standarden, med den senaste versionen inklusive uppdateringar av bilaga A 7.14.

ISO 27001:2022 Annex A 7.14 är ungefär som dess motsvarighet från 2013. 2022-versionen har dock mer omfattande krav i den allmänna vägledningen.

I jämförelse med ISO 27001:2013 ställer 2022-versionen dessa krav:

• Organisationer bör radera alla skyltar och taggar som anger deras organisation, nätverk och klassificeringsnivå.
• Organisationer bör överväga att eliminera alla kontroller som de har etablerat vid en anläggning när de reser.

Tabell över alla ISO 27001:2022 bilaga A kontroller

I tabellen nedan hittar du mer information om varje individ ISO 27001:2022 bilaga A Kontrollera.

Hur ISMS.online Hjälp

ISMS.Online tillhandahåller en heltäckande metod för implementering av ISO 27001:2022. Den erbjuder en strömlinjeformad process som gör det möjligt för användare att snabbt och effektivt uppfylla standarderna för den internationella säkerhetsstandarden. Med sitt användarvänliga gränssnitt gör det det enkelt för organisationer att etablera och underhålla ett robust Informationssäkerhetshanteringssystem.

Detta webbaserade system gör det möjligt för dig att visa att ditt ISMS uppfyller de angivna kriterierna, genom effektiva processer, procedurer och checklistor.

Kontakta oss nu för att arrangera en demonstration.