ISO 27002:2022, Kontroll 8.10 – Informationsradering

Allmän vägledning om efterlevnad

Det kan ibland vara svårt att avgöra när data ska raderas. Som en generell regel ber Control 8.10 organisationer att radera data när det inte längre behövs, för att minimera vad som kallas oönskat avslöjande – dvs. data som visas av, eller vidarebefordras till, individer och organisationer som inte har behörighet att komma åt dem.

I enlighet med denna riktlinje, när det är dags att radera data, bör organisationer:

1. Välj en lämplig raderingsmetod som uppfyller alla gällande lagar eller förordningar. Tekniker inkluderar standardradering, överskrivning eller krypterad radering.
2. Logga resultatet av borttagningen för framtida referens.
3. Se till att, om en specialiserad raderingsleverantör används, får organisationen tillräckliga bevis (vanligtvis via dokumentation) på att raderingen har genomförts.
4. Om en tredjepartsleverantör används bör organisationer fastställa deras exakta krav, inklusive raderingsmetoder och tidsskalor, och se till att raderingsaktiviteter omfattas av ett bindande avtal.

Vägledning – Specifika raderingsmetoder

När organisationer formulerar en raderingsprocess bör de:

1. Konfigurera interna system för att radera data och information i enlighet med organisationens ämnesspecifika policy för lagring.
2. Se till att raderingen omfattar temporära filer, cachad information, kopior av data och äldre versioner.
3. Överväg att använda specialiserade raderingsverktyg för att minimera risken.
4. Kontrakt endast ut till certifierade, verifierbara raderingsspecialister om det uppstår behov av att använda en tredjepartstjänst.
5. Implementera fysiska raderingsåtgärder som är lämpliga för enheten i fråga (t.ex avmagnetisering magnetiska lagringsmedia, återställning av fabriksinställningar på en smartphone eller fysisk förstörelse) (se Kontroll 7.14).
6. Se till att molntjänstleverantörer är anpassade till organisationens egna raderingskrav (så långt det är möjligt).

Kompletterande information om kontroll 8.10

När utrustning (särskilt servrar och arbetsstationer) skickas till leverantörer bör organisationer ta bort eventuella interna eller externa lagringsenheter innan de gör det.

Stödjande riktlinjer

• 7.14

Ändringar och skillnader från ISO 27002:2013

Ingen. Kontroll 8.10 har inget prejudikat i ISO 27002:2013 eftersom det är nytt.

Hur ISMS.online hjälper

ISMS.online-plattformen tillhandahåller en rad kraftfulla verktyg som förenklar hur du kan dokumentera, implementera, underhålla och förbättra ditt ledningssystem för informationssäkerhet (ISMS) och uppnå överensstämmelse med ISO 27002.

Det omfattande verktygspaketet ger dig en central plats där du kan skapa en skräddarsydd uppsättning policyer och procedurer som är anpassade till din organisations specifika risker och behov. Det möjliggör också samarbete mellan såväl kollegor som externa partners som leverantörer eller tredjepartsrevisorer.

Hör av dig idag för att boka en demo.