ISO 27002:2022, Kontroll 7.10 – Lagringsmedia

Vilket lagringsmedium täcker Control 7.10?

Kontroll 7.10 gäller både digitala och fysiska lagringsmedier. Till exempel lagring av information på fysiska filer omfattas också av kontroll 7.10.

Förutom de flyttbara lagringsmedierna är fasta lagringsmedier såsom hårddiskar också föremål för kontroll 7.10.

Äganderätt till kontroll 7.10

Kontroll 7.10 kräver att organisationer skapar och implementerar lämpliga förfaranden, tekniska kontroller och organisationsövergripande policyer för användningen av lagringsmedier baserat på organisationens eget klassificeringssystem och dess krav på datahantering såsom juridiska och avtalsenliga skyldigheter.

Med tanke på detta bör chefer för informationssäkerhet ansvara för hela efterlevnadsprocessen.

Allmän vägledning om efterlevnad

Flyttbart lagringsmedia

Även om flyttbara lagringsmedier är väsentliga för många affärsverksamheter och de ofta används av de flesta anställda, utgör de den högsta risken för den känsliga informationen.

Kontroll 7.10 listar tio krav som organisationer bör följa för hanteringen av flyttbara lagringsmedia under hela dess livscykel:

1. Organisationer bör upprätta en ämnesspecifik policy för anskaffning, auktorisering, användning och kassering av flyttbara lagringsmedia. Denna policy bör kommuniceras till all personal och till alla relevanta parter.
2. Om det är praktiskt och nödvändigt bör organisationer införa tillståndsförfaranden för hur flyttbara lagringsmedier kan tas ut från företagets lokaler. Organisationer bör dessutom föra loggregister över borttagandet av lagringsmedia för granskningsspår.
3. Alla flyttbara lagringsmedier bör förvaras i ett säkert område, t.ex. ett kassaskåp, med hänsyn till den informationsklassificeringsnivå som tilldelats informationen och de miljömässiga och fysiska hoten mot lagringsmedier.
4. Om konfidentialitet och integritet för information som finns på flyttbara lagringsmedier är av avgörande betydelse, bör kryptografiska tekniker användas för att skydda lagringsmediet mot obehörig åtkomst.
5. Mot risken för försämring av flyttbara lagringsmedier och förlust av information lagrad på mediet bör informationen överföras till en ny lagringsmedieenhet innan sådan risk uppstår.
6. Kritisk och känslig information bör kopieras och lagras på flera lagringsmedier för att minimera risken för förlust av viktig information.
7. För att minska risken för fullständig förlust av information kan registrering av flyttbara lagringsmedieenheter vara ett alternativ att överväga.
8. Om det inte finns en affärsrelaterad anledning att använda flyttbara lagringsmediaportar som USB-portar eller SD-kortplatser, bör de inte tillåtas.
9. Det måste finnas en övervakningsmekanism på plats för överföring av information till flyttbara lagringsmedier.
10. När information som finns i fysiska medier såsom papper överförs via bud eller post finns det en hög risk för obehörig åtkomst till denna information. Därför bör lämpliga åtgärder vidtas.

Vägledning om säker återanvändning och kassering av lagringsmedia

Kontroll 7.10 tillhandahåller separat vägledning om säker återanvändning och kassering av lagringsmedia så att organisationer kan minska och eliminera risker för att äventyra informationens konfidentialitet.

Kontroll 7.10 understryker att organisationer bör definiera och tillämpa procedurer för återanvändning och bortskaffande av lagringsmedier, med hänsyn till känslighetsnivån för information som finns i lagringsmediet.

När de upprättar dessa procedurer bör organisationer överväga följande:

1. Om ett lagringsmedium kommer att återanvändas av en intern part inom en organisation, bör den känsliga informationen på det lagringsmediet oåterkalleligt raderas eller formateras om innan den godkänns för återanvändning.
2. Lagringsmedia som innehåller känslig information bör förstöras på ett säkert sätt när den inte längre behövs. Till exempel kan pappersdokument strimlas och digital utrustning kan förstöras fysiskt.
3. Det bör finnas ett förfarande för identifiering av lagringsmedieobjekt som behöver kasseras.
4. När organisationer väljer att samarbeta med en extern part för att sköta insamling och bortskaffande av lagringsmedia bör de genomföra pga noggrannhet för att säkerställa att den valda leverantören är kompetent och den implementerar lämpliga kontroller.
5. Upprätthålla ett register över alla kasserade föremål för revisionsspår.
6. När flera lagringsmedier ska kasseras tillsammans bör ackumuleringseffekten beaktas: Att kombinera olika informationsbitar från varje lagringsmedium kan omvandla okänslig information till känslig information.

Sist men inte minst kräver Control 7.10 att organisationer utför en riskbedömning av skadad utrustning som lagrar konfidentiell information att besluta om utrustningen ska förstöras istället för att repareras.

Ändringar och skillnader från ISO 27002:2013

27002:2022/7.10 ersätter 27002:2013/(08.3.1, 08.3.2, 08.3.3, 11.2.5)

Det finns fyra viktiga skillnader som måste belysas:

• Strukturella förändringar

Medan 2013 års version innehöll tre separata kontroller av förvaltningen av media, kassering av media och fysisk medieöverföring, 2022-versionen kombinerar dessa tre kontroller under kontroll 7.10.

• 2022-versionen innehåller krav på återanvändning av lagringsmedia

Till skillnad från 2013-versionen som endast tog upp säker kassering av lagringsmedia, handlar 2022-versionen även om säker återanvändning av lagringsmedia.

• 2013 års version innehåller mer omfattande krav för fysisk överföring av lagringsmedia

2013 års version innebar mer omfattande krav på fysisk överföring av lagringsmedia. Till exempel inkluderade 2013 års version regler om ID-verifiering för kurirer och förpackningsstandarder.

Kontroll 7.10 i 2022 års version, å andra sidan, angav endast att organisationer bör agera med omsorg när de väljer tjänsteleverantörer som kurirer.

• 2022-versionen kräver en ämnesspecifik policy för flyttbara lagringsmedia

Medan 2022- och 2013-versionerna i stor utsträckning liknar kraven på flyttbara lagringsmedier, introducerar 2022-versionen kravet på att upprätta en ämnesspecifik policy för flyttbara lagringsmedier. 2013 års version täckte å andra sidan inte detta krav.

Hur ISMS.online hjälper

Smakämnen ISMS.online-plattform använder ett riskbaserat tillvägagångssätt kombinerat med branschledande bästa praxis och mallar för att hjälpa dig identifiera de risker som din organisation står inför och de kontroller som behövs för att hantera dessa risker. Detta gör att du systematiskt kan minska både din riskexponering och dina efterlevnadskostnader.

Hör av dig idag för att boka en demo.