Säkerställa säker kassering och återanvändning av utrustning: ISO 27002 kontroll 7.14 förklaras
När IT-utrustning som externa enheter, USB-enheter, bärbara datorer eller skrivare inte längre behövs förstörs de antingen fysiskt, returneras tillbaka till leasegivaren, överförs till tredje part, återvinns eller görs tillgängliga för återanvändning för att utföra andra affärer operationer.
Med tanke på att denna utrustning kan innehålla informationstillgångar och licensierad programvara, bör organisationer se till att all information och licensierad programvara oåterkalleligt rensas bort eller skrivs över innan kassering eller återanvändning sker. Detta hjälper till att upprätthålla konfidentialiteten för informationen i denna utrustning.
Till exempel, om en organisation använder en extern tjänsteleverantör för bortskaffande av IT-tillgångar och överför gamla bärbara datorer, skrivare och externa enheter till denna leverantör, kan denna tjänsteleverantör få obehörig åtkomst till information som finns på denna utrustning.
Kontroll 7.14 tar upp hur organisationer kan upprätthålla konfidentialiteten för den lagrade informationen på utrustningen som ska kasseras eller återanvändas genom att lämpliga säkerhetsåtgärder och -procedurer implementeras.
Syfte med kontroll 7.14
Kontroll 7.14 gör det möjligt för organisationer att förhindra obehörig åtkomst till känslig information genom att bekräfta att all information och licensierad programvara som lagras på utrustning raderas eller skrivs över innan utrustningen kasseras eller tillhandahålls till tredje part för att kunna återanvändas.
Attributtabell för kontroll 7.14
Kontroll 7.14 är en förebyggande typ av kontroll som kräver att organisationer upprätthåller konfidentiell information värd på utrustningen som kommer att kasseras eller användas för att återanvändas genom att upprätta och tillämpa lämpliga förfaranden och åtgärder för kassering och återanvändning.
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande | #Sekretess | #Skydda | #Fysisk säkerhet | #Skydd |
| #Asset Management |
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
Äganderätt till kontroll 7.14
Överensstämmelse med kontroll 7.14 kräver inrättande av ett organisationsomfattande databortskaffande-återanvändningsförfarande, identifiering av all utrustning och implementering av lämpliga tekniska bortskaffandemekanismer och återanvändningsprocess.
Därför bör Chief Information Officer ansvara för upprättande, implementering och underhåll av förfaranden och mekanismer för bortskaffande av utrustning och återanvändning.
Allmän vägledning om efterlevnad
Kontroll 7.14 listar fyra viktiga överväganden som organisationer bör ta hänsyn till för efterlevnad:
- Ett proaktivt tillvägagångssätt bör antas
Innan kassering sker eller utrustningen görs tillgänglig för återanvändning måste organisationer bekräfta om utrustningen innehåller något informationstillgångar och licensierad programvara och bör säkerställa att sådan information eller programvara raderas permanent.
- Fysisk förstörelse eller oåterkallelig radering av information
Kontroll 7.14 listar två metoder genom vilka informationen i utrustningen säkert och permanent kan tas bort:
- Utrustning som är värd för lagringsmedieenheter som innehåller information ska förstöras fysiskt.
- Information som lagras på utrustningen bör raderas, skrivas över eller förstöras på ett icke-återställbart sätt så att skadliga parter inte kan komma åt information. Organisationer rekommenderas att undersöka kontroll 7.10 på lagringsmedia och kontroll 8.10 om radering av information.
- Borttagning av alla etiketter och markeringar
Komponenter i utrustningen och informationen i den kan ha etiketter och markeringar som identifierar organisationen eller som avslöjar namnet på tillgångsägaren, nätverket eller informationsklassificeringsnivån som tilldelats.
Alla dessa etiketter och märkningar bör oåterkalleligen förstöras.
- Borttagning av kontroller
Med hänsyn till följande villkor kan organisationer välja att avinstallera alla säkerhetskontroller såsom åtkomstbegränsningar eller övervakningssystem när de lämnar lokaler:
- Villkoren i hyresavtalet gällde villkor på vilka det måste återlämnas.
- Eliminera och minska risken för obehörig åtkomst till känslig information av nästa hyresgäst.
- Om de befintliga kontrollerna kan återanvändas vid nästa anläggning.
Kompletterande vägledning om kontroll 7.14
Utöver de allmänna råden innehåller kontroll 7.14 tre specifika rekommendationer för organisationer.
Skadad utrustning
När skadad utrustning som innehåller information skickas för reparation kan den utsättas för risken för obehörig åtkomst av tredje part.
Organisationer bör utföra en riskbedömning med hänsyn till informationens känslighetsnivå och överväg om att förstöra utrustningen är ett mer lönsamt alternativ än reparation.
Full-Disk Kryptering
Medan krypteringstekniken för full disk avsevärt minimerar riskerna för informationens konfidentialitet, bör den följa följande standarder:
- Kryptering är robust och den täcker alla delar av disken, inklusive slappt utrymme.
- Kryptografiska nycklar bör vara tillräckligt långa för att förhindra brute force-attacker.
- Organisationer bör upprätthålla konfidentialitet för kryptografiska nycklar. Till exempel bör krypteringsnyckeln inte lagras på samma disk.
Överskrivningsverktyg
Organisationer bör välja en överskrivningsteknik med hänsyn till följande kriterier:
- Nivå av informationsklassificering som tilldelats informationstillgången.
- Typ av lagringsmedia som informationen lagras på.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Ändringar och skillnader från ISO 27002:2013
27002:2022/7.14 replaces 27002:2013/(11.2.7)
Control 7.14 liknar till stor del sin motsvarighet i 2013 års version. Kontroll 7.14 i 2022-versionen innehåller dock mer omfattande krav i den allmänna vägledningen.
Till skillnad från 2013-versionen inför 2022-versionen följande krav:
- Organisationer bör ta bort alla märkningar och etiketter som identifierar organisationen, nätverket och klassificeringsnivån.
- Organisationer bör överväga att ta bort kontroller som implementerats på en anläggning när de lämnar den anläggningen.
Nya ISO 27002 kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | NYA | Hot intelligens |
| 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| 5.30 | NYA | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 8.9 | NYA | Konfigurationshantering |
| 8.10 | NYA | Radering av information |
| 8.11 | NYA | Datamaskering |
| 8.12 | NYA | Förebyggande av dataläckage |
| 8.16 | NYA | Övervakningsaktiviteter |
| 8.23 | NYA | Webbfiltrering |
| 8.28 | NYA | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
Hur ISMS.online hjälper
ISMS.Online är en komplett lösning för ISO 27002 genomförande.
Det är ett webbaserat system som låter dig visa att din ledningssystem för informationssäkerhet (ISMS) är kompatibel med de godkända standarderna med hjälp av väl genomtänkta processer och procedurer och checklistor.
Hör av dig idag för att boka en demo.
