Syfte med kontroll 8.10
Förutom att hantera den pågående användningen av data och information på interna servrar och lagringsenheter (hårddiskar, arrayer, USB-enheter etc.), måste organisationen vara mycket medveten om sina skyldigheter att ta bort och radera all data som finns på anställda, användare, kunder eller organisationer när det rimligen är nödvändigt att göra det (vanligtvis när det inte längre behövs).
Attributtabell för kontroll 8.10
Kontroll 8.10 är en förebyggande kontroll den där ändrar risken genom att beskriva ett tillvägagångssätt för radering av data som kompletterar en organisations befintliga datalagringspolicyer och håller dem i överensstämmelse med alla gällande lagar eller regulatoriska riktlinjer.
| Kontroll typ | Informationssäkerhetsegenskaper | Cybersäkerhetskoncept | Operativa förmågor | Säkerhetsdomäner |
|---|---|---|---|---|
| #Förebyggande | #Sekretess | #Skydda | #Informationsskydd | #Skydd |
| #Juridik och efterlevnad |
Äganderätt till kontroll 8.10
Kontroll 8.10 handlar till stor del om underhållsuppgifter relaterade till radering och förstörelse av data och/eller IT-tillgångar, inklusive användning av specialiserad programvara och kontakt med leverantörer som är specialiserade på radering av data och enheter. Som sådan bör ägandet ligga hos IT-chefen eller motsvarande i organisationen.
ISO 27001 på ett enkelt sätt
Ett försprång på 81 % från dag ett
Vi har gjort det hårda arbetet åt dig, vilket ger dig ett försprång på 81 % från det ögonblick du loggar in. Allt du behöver göra är att fylla i tomrummen.
Allmän vägledning om efterlevnad
Det kan ibland vara svårt att avgöra när data ska raderas. Som en generell regel ber Control 8.10 organisationer att radera data när det inte längre behövs, för att minimera vad som kallas oönskat avslöjande – dvs. data som visas av, eller vidarebefordras till, individer och organisationer som inte har behörighet att komma åt dem.
I enlighet med denna riktlinje, när det är dags att radera data, bör organisationer:
- Välj en lämplig raderingsmetod som uppfyller alla gällande lagar eller förordningar. Tekniker inkluderar standardradering, överskrivning eller krypterad radering.
- Logga resultatet av borttagningen för framtida referens.
- Se till att, om en specialiserad raderingsleverantör används, får organisationen tillräckliga bevis (vanligtvis via dokumentation) på att raderingen har genomförts.
- Om en tredjepartsleverantör används bör organisationer fastställa deras exakta krav, inklusive raderingsmetoder och tidsskalor, och se till att raderingsaktiviteter omfattas av ett bindande avtal.
Vägledning – Specifika raderingsmetoder
När organisationer formulerar en raderingsprocess bör de:
- Konfigurera interna system för att radera data och information i enlighet med organisationens ämnesspecifika policy för lagring.
- Se till att raderingen omfattar temporära filer, cachad information, kopior av data och äldre versioner.
- Överväg att använda specialiserade raderingsverktyg för att minimera risken.
- Kontrakt endast ut till certifierade, verifierbara raderingsspecialister om det uppstår behov av att använda en tredjepartstjänst.
- Implementera fysiska raderingsåtgärder som är lämpliga för enheten i fråga (t.ex avmagnetisering magnetiska lagringsmedia, återställning av fabriksinställningar på en smartphone eller fysisk förstörelse) (se Kontroll 7.14).
- Se till att molntjänstleverantörer är anpassade till organisationens egna raderingskrav (så långt det är möjligt).
Kompletterande information om kontroll 8.10
När utrustning (särskilt servrar och arbetsstationer) skickas till leverantörer bör organisationer ta bort eventuella interna eller externa lagringsenheter innan de gör det.
Stödjande riktlinjer
- 7.14
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Ändringar och skillnader från ISO 27002:2013
Ingen. Kontroll 8.10 har inget prejudikat i ISO 27002:2013 eftersom det är nytt.
Nya ISO 27002 kontroller
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 5.7 | NYA | Hot intelligens |
| 5.23 | NYA | Informationssäkerhet för användning av molntjänster |
| 5.30 | NYA | ICT-beredskap för kontinuitet i verksamheten |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 8.9 | NYA | Konfigurationshantering |
| 8.10 | NYA | Radering av information |
| 8.11 | NYA | Datamaskering |
| 8.12 | NYA | Förebyggande av dataläckage |
| 8.16 | NYA | Övervakningsaktiviteter |
| 8.23 | NYA | Webbfiltrering |
| 8.28 | NYA | Säker kodning |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Anställningsvillkor |
| 6.3 | 07.2.2 | Informationssäkerhetsmedvetenhet, utbildning och träning |
| 6.4 | 07.2.3 | Disciplinär process |
| 6.5 | 07.3.1 | Ansvar efter uppsägning eller byte av anställning |
| 6.6 | 13.2.4 | Sekretess- eller sekretessavtal |
| 6.7 | 06.2.2 | Fjärrbearbetning |
| 6.8 | 16.1.2, 16.1.3 | Händelserapportering för informationssäkerhet |
| ISO/IEC 27002:2022 Kontrollidentifierare | ISO/IEC 27002:2013 Kontrollidentifierare | Kontrollnamn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiska säkerhetsområden |
| 7.2 | 11.1.2, 11.1.6 | Fysiskt inträde |
| 7.3 | 11.1.3 | Säkra kontor, rum och lokaler |
| 7.4 | NYA | Fysisk säkerhetsövervakning |
| 7.5 | 11.1.4 | Skydd mot fysiska och miljömässiga hot |
| 7.6 | 11.1.5 | Arbeta i säkra områden |
| 7.7 | 11.2.9 | Tydligt skrivbord och tydlig skärm |
| 7.8 | 11.2.1 | Utrustningsplacering och skydd |
| 7.9 | 11.2.6 | Säkerhet av tillgångar utanför lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedia |
| 7.11 | 11.2.2 | Stöd till verktyg |
| 7.12 | 11.2.3 | Kabelsäkerhet |
| 7.13 | 11.2.4 | Utrustningsunderhåll |
| 7.14 | 11.2.7 | Säker kassering eller återanvändning av utrustning |
Hur ISMS.online hjälper
ISMS.online-plattformen tillhandahåller en rad kraftfulla verktyg som förenklar hur du kan dokumentera, implementera, underhålla och förbättra ditt ledningssystem för informationssäkerhet (ISMS) och uppnå överensstämmelse med ISO 27002.
Det omfattande verktygspaketet ger dig en central plats där du kan skapa en skräddarsydd uppsättning policyer och procedurer som är anpassade till din organisations specifika risker och behov. Det möjliggör också samarbete mellan såväl kollegor som externa partners som leverantörer eller tredjepartsrevisorer.
Hör av dig idag för att boka en demo.
