ISO 27002:2022 – Kontroll 8.10 – Informationsradering

Syfte med kontroll 8.10

Förutom att hantera den pågående användningen av data och information på interna servrar och lagringsenheter (hårddiskar, arrayer, USB-enheter etc.), måste organisationen vara mycket medveten om sina skyldigheter att ta bort och radera all data som finns på anställda, användare, kunder eller organisationer när det rimligen är nödvändigt att göra det (vanligtvis när det inte längre behövs).

Attributtabell för kontroll 8.10

Kontroll 8.10 är en förebyggande kontroll den där ändrar risken genom att beskriva ett tillvägagångssätt för radering av data som kompletterar en organisations befintliga datalagringspolicyer och håller dem i överensstämmelse med alla gällande lagar eller regulatoriska riktlinjer.

Äganderätt till kontroll 8.10

Kontroll 8.10 handlar till stor del om underhållsuppgifter relaterade till radering och förstörelse av data och/eller IT-tillgångar, inklusive användning av specialiserad programvara och kontakt med leverantörer som är specialiserade på radering av data och enheter. Som sådan bör ägandet ligga hos IT-chefen eller motsvarande i organisationen.

Allmän vägledning om efterlevnad

Det kan ibland vara svårt att avgöra när data ska raderas. Som en generell regel ber Control 8.10 organisationer att radera data när det inte längre behövs, för att minimera vad som kallas oönskat avslöjande – dvs. data som visas av, eller vidarebefordras till, individer och organisationer som inte har behörighet att komma åt dem.

I enlighet med denna riktlinje, när det är dags att radera data, bör organisationer:

1. Välj en lämplig raderingsmetod som uppfyller alla gällande lagar eller förordningar. Tekniker inkluderar standardradering, överskrivning eller krypterad radering.
2. Logga resultatet av borttagningen för framtida referens.
3. Se till att, om en specialiserad raderingsleverantör används, får organisationen tillräckliga bevis (vanligtvis via dokumentation) på att raderingen har genomförts.
4. Om en tredjepartsleverantör används bör organisationer fastställa deras exakta krav, inklusive raderingsmetoder och tidsskalor, och se till att raderingsaktiviteter omfattas av ett bindande avtal.

Vägledning – Specifika raderingsmetoder

När organisationer formulerar en raderingsprocess bör de:

1. Konfigurera interna system för att radera data och information i enlighet med organisationens ämnesspecifika policy för lagring.
2. Se till att raderingen omfattar temporära filer, cachad information, kopior av data och äldre versioner.
3. Överväg att använda specialiserade raderingsverktyg för att minimera risken.
4. Kontrakt endast ut till certifierade, verifierbara raderingsspecialister om det uppstår behov av att använda en tredjepartstjänst.
5. Implementera fysiska raderingsåtgärder som är lämpliga för enheten i fråga (t.ex avmagnetisering magnetiska lagringsmedia, återställning av fabriksinställningar på en smartphone eller fysisk förstörelse) (se Kontroll 7.14).
6. Se till att molntjänstleverantörer är anpassade till organisationens egna raderingskrav (så långt det är möjligt).

Kompletterande information om kontroll 8.10

När utrustning (särskilt servrar och arbetsstationer) skickas till leverantörer bör organisationer ta bort eventuella interna eller externa lagringsenheter innan de gör det.

Stödjande riktlinjer

• 7.14

Ändringar och skillnader från ISO 27002:2013

Ingen. Kontroll 8.10 har inget prejudikat i ISO 27002:2013 eftersom det är nytt.

Nya ISO 27002 kontroller

Hur ISMS.online hjälper

ISMS.online-plattformen tillhandahåller en rad kraftfulla verktyg som förenklar hur du kan dokumentera, implementera, underhålla och förbättra ditt ledningssystem för informationssäkerhet (ISMS) och uppnå överensstämmelse med ISO 27002.

Det omfattande verktygspaketet ger dig en central plats där du kan skapa en skräddarsydd uppsättning policyer och procedurer som är anpassade till din organisations specifika risker och behov. Det möjliggör också samarbete mellan såväl kollegor som externa partners som leverantörer eller tredjepartsrevisorer.

Hör av dig idag för att boka en demo.