- Weitere Informationen finden Sie auch in den ISO 27002:2022 Kontrolle 7.14 .
- Weitere Informationen finden Sie auch in den ISO 27001:2013 Anhang A 11.2.7 .
ISO 27001 Anhang A 7.14: Best Practices für die sichere Entsorgung und Wiederverwendung von Geräten
Nicht mehr benötigte IT-Geräte müssen entweder vernichtet, an den Mieter zurückgegeben, an Dritte weitergegeben, recycelt oder für einen anderen Geschäftsbetrieb wiederverwendet werden.
Organisationen sollten Informationen und lizenzierte Software schützen, indem sie sicherstellen, dass diese vor der Entsorgung oder Wiederverwendung der Geräte gelöscht oder überschrieben werden. Dies trägt dazu bei, die Vertraulichkeit der auf dem Gerät gespeicherten Daten zu schützen.
Wenn eine Organisation einen externen IT-Entsorgungsdienstleister mit der Übertragung veralteter Laptops, Drucker und externer Laufwerke beauftragt, kann dieser Anbieter unbefugten Zugriff auf die auf den Geräten gehosteten Daten erhalten.
In ISO 27001:2022 Anhang A 7.14 geht es darum, wie Organisationen die Vertraulichkeit von Daten wahren können, die auf zur Entsorgung oder Wiederverwendung vorgesehenen Geräten gespeichert sind, indem sie wirksame Sicherheitsmaßnahmen und -verfahren implementieren.
Zweck von ISO 27001:2022 Anhang A 7.14
ISO 27001:2022 Anhang A 7.14 ermöglicht es Organisationen, unbefugten Zugriff auf sensible Daten zu verhindern, indem sie überprüfen, ob alle auf Geräten lizenzierten Informationen und Software unwiderruflich gelöscht oder überschrieben werden, bevor die Geräte entsorgt oder zur Wiederverwendung an Dritte weitergegeben werden.
ISO 27001 leicht gemacht
Ein Vorsprung von 81 % vom ersten Tag an
Wir haben die harte Arbeit für Sie erledigt und Ihnen vom Moment Ihrer Anmeldung an einen Vorsprung von 81 % verschafft. Sie müssen nur noch die Lücken ausfüllen.
Eigentum an Anlage A 7.14
In Übereinstimmung mit ISO 27001:2022 Anhang A 7.14 muss ein organisationsweites Verfahren zur Datenentsorgung und -wiederverwendung eingerichtet werden, einschließlich der Identifizierung aller Geräte und der Implementierung geeigneter technischer Entsorgungsmechanismen und Wiederverwendungsprozesse.
Die Chief Information Officer sollten für die Einrichtung, Umsetzung und Aufrechterhaltung von Systemen und Prozessen zur Entsorgung und Wiederverwendung von Geräten verantwortlich sein.
Leitfaden zur Einhaltung von ISO 27001:2022 Anhang A 7.14
ISO 27001:2022 Anhang A 7.14 spezifiziert vier wesentliche Überlegungen zur Compliance, die Organisationen berücksichtigen sollten:
Es ist ratsam, eine proaktive Haltung einzunehmen
Vor der Entsorgung oder Wiederverwendung müssen Organisationen feststellen, ob die Ausrüstung welche enthält Informationsvermögen und lizenzierte Software und stellen Sie sicher, dass diese dauerhaft gelöscht werden.
Physische Zerstörung oder unwiederbringliche Löschung von Daten
ISO 27001:2022 Anhang A 7.14 besagt, dass zwei Ansätze verfolgt werden können, um eine sichere und dauerhafte Löschung von Informationen auf Geräten sicherzustellen:
- Geräte, die Speichermedien enthalten, die Informationen enthalten, sollten physisch zerstört werden.
- Organisationen sollten diesbezüglich auf Anhang A 7.10 und Anhang A 8.10 verweisen Speichermedien bzw. Informationslöschung, um sicherzustellen, dass alle auf Geräten gespeicherten Daten so gelöscht, überschrieben oder zerstört werden, dass ein Abruf durch böswillige Parteien ausgeschlossen ist.
Alle Etiketten und Markierungen sollten entfernt werden
Gerätekomponenten und die darin enthaltenen Daten können beschriftet oder markiert werden, um die Organisation zu identifizieren oder den Anlageneigentümer, das Netzwerk oder die Klassifizierungsebene der Informationen offenzulegen. Alle diese Etiketten und Markierungen sollten dauerhaft zerstört werden.
Entfernung von Kontrollen
Organisationen können beim Verlassen von Einrichtungen unter folgenden Bedingungen die Deinstallation von Sicherheitskontrollen wie Zugangsbeschränkungen oder Überwachungssystemen in Betracht ziehen:
- Im Mietvertrag werden die Voraussetzungen für die Rückgabe der Immobilie festgelegt.
- Es ist von entscheidender Bedeutung, das Risiko eines unbefugten Zugriffs des zukünftigen Mieters auf sensible Informationen zu mindern.
- Können die aktuellen Steuerungen in der kommenden Einrichtung genutzt werden?
Befreien Sie sich von einem Berg an Tabellenkalkulationen
Integrieren, erweitern und skalieren Sie Ihre Compliance, ohne dass es zu Problemen kommt. IO gibt Ihnen die Widerstandsfähigkeit und das Vertrauen, um sicher zu wachsen.
Ergänzende Hinweise zu Anhang A 7.14
Zusätzlich zu den allgemeinen Leitlinien enthält ISO 27001:2022 Anhang A 7.14 drei spezifische Empfehlungen für Organisationen.
Beschädigte Ausrüstung
Wenn Geräte, die Daten enthalten, zur Reparatur eingeschickt werden, besteht möglicherweise die Gefahr des unbefugten Zugriffs Dritter.
Unternehmen sollten eine Risikobewertung unter Berücksichtigung der Sensibilität der Daten durchführen und darüber nachdenken, ob die Zerstörung der Ausrüstung sinnvoller wäre als eine Reparatur.
Vollständige Festplattenverschlüsselung
Um die Vertraulichkeit der Daten zu gewährleisten, ist es wichtig sicherzustellen, dass die Festplattenverschlüsselung den höchsten Standards entspricht. Es ist zu beachten, dass Folgendes eingehalten werden sollte:
- Die Verschlüsselung ist zuverlässig und schützt jeden Aspekt der Festplatte, einschließlich des verbleibenden Speicherplatzes.
- Kryptografische Schlüssel sollten ausreichend lang sein, um Brute-Force-Angriffe abzuwehren.
- Organisationen sollten die Geheimhaltung ihrer kryptografischen Schlüssel schützen. Beispielsweise sollte der Verschlüsselungsschlüssel nicht auf derselben Festplatte gespeichert werden.
Überschreibwerkzeuge
Organisationen sollten einen Überschreibungsansatz wählen und dabei die folgenden Kriterien berücksichtigen:
- Dem Informationsgut wurde eine bestimmte Klassifizierungsstufe zuerkannt.
- Die Art des Speichermediums, auf dem die Informationen gespeichert sind, ist bekannt.
Änderungen und Unterschiede zu ISO 27001:2013
ISO 27001:2022 Anhang A 7.14 ersetzt ISO 27001:2013 Anhang A 11.2.7 in der überarbeiteten Norm. Die Version ISO 27001:2022 ersetzt die Version ISO 27001:2013 des Standards, wobei die neueste Version Aktualisierungen von Anhang A 7.14 enthält.
ISO 27001:2022 Anhang A 7.14 ähnelt weitgehend seinem Äquivalent aus dem Jahr 2013. Die Version 2022 enthält jedoch umfassendere Anforderungen in den allgemeinen Leitlinien.
Im Vergleich zur ISO 27001:2013 bringt die Version 2022 folgende Anforderungen mit sich:
- Organisationen sollten alle Schilder und Etiketten löschen, die ihre Organisation, ihr Netzwerk und ihre Klassifizierungsstufe angeben.
- Organisationen sollten darüber nachdenken, alle Kontrollen, die sie in einer Einrichtung eingerichtet haben, bei ihrer Abreise aufzuheben.
Tabelle aller ISO 27001:2022 Anhang A-Kontrollen
In der Tabelle unten finden Sie weitere Informationen zu den einzelnen Personen ISO 27001:2022 Anhang A Steuern.
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Organisatorische Kontrollen | Anhang A 5.1 |
Anhang A 5.1.1 Anhang A 5.1.2 |
Richtlinien zur Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.2 | Anhang A 6.1.1 | Rollen und Verantwortlichkeiten im Bereich Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.3 | Anhang A 6.1.2 | Aufgabentrennung |
| Organisatorische Kontrollen | Anhang A 5.4 | Anhang A 7.2.1 | Führungsaufgaben |
| Organisatorische Kontrollen | Anhang A 5.5 | Anhang A 6.1.3 | Kontakt mit Behörden |
| Organisatorische Kontrollen | Anhang A 5.6 | Anhang A 6.1.4 | Kontakt mit speziellen Interessengruppen |
| Organisatorische Kontrollen | Anhang A 5.7 | NEU | Threat Intelligence |
| Organisatorische Kontrollen | Anhang A 5.8 |
Anhang A 6.1.5 Anhang A 14.1.1 |
Informationssicherheit im Projektmanagement |
| Organisatorische Kontrollen | Anhang A 5.9 |
Anhang A 8.1.1 Anhang A 8.1.2 |
Inventar der Informationen und anderer damit verbundener Vermögenswerte |
| Organisatorische Kontrollen | Anhang A 5.10 |
Anhang A 8.1.3 Anhang A 8.2.3 |
Akzeptable Nutzung von Informationen und anderen damit verbundenen Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.11 | Anhang A 8.1.4 | Rückgabe von Vermögenswerten |
| Organisatorische Kontrollen | Anhang A 5.12 | Anhang A 8.2.1 | Klassifizierung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.13 | Anhang A 8.2.2 | Kennzeichnung von Informationen |
| Organisatorische Kontrollen | Anhang A 5.14 |
Anhang A 13.2.1 Anhang A 13.2.2 Anhang A 13.2.3 |
Informationsübertragung |
| Organisatorische Kontrollen | Anhang A 5.15 |
Anhang A 9.1.1 Anhang A 9.1.2 |
Zugangskontrolle |
| Organisatorische Kontrollen | Anhang A 5.16 | Anhang A 9.2.1 | Identitätsmanagement |
| Organisatorische Kontrollen | Anhang A 5.17 |
Anhang A 9.2.4 Anhang A 9.3.1 Anhang A 9.4.3 |
Authentifizierungsinformationen |
| Organisatorische Kontrollen | Anhang A 5.18 |
Anhang A 9.2.2 Anhang A 9.2.5 Anhang A 9.2.6 |
Zugangsrechte |
| Organisatorische Kontrollen | Anhang A 5.19 | Anhang A 15.1.1 | Informationssicherheit in Lieferantenbeziehungen |
| Organisatorische Kontrollen | Anhang A 5.20 | Anhang A 15.1.2 | Adressierung der Informationssicherheit in Lieferantenvereinbarungen |
| Organisatorische Kontrollen | Anhang A 5.21 | Anhang A 15.1.3 | Management der Informationssicherheit in der IKT-Lieferkette |
| Organisatorische Kontrollen | Anhang A 5.22 |
Anhang A 15.2.1 Anhang A 15.2.2 |
Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen |
| Organisatorische Kontrollen | Anhang A 5.23 | NEU | Informationssicherheit für die Nutzung von Cloud-Diensten |
| Organisatorische Kontrollen | Anhang A 5.24 | Anhang A 16.1.1 | Planung und Vorbereitung des Managements von Informationssicherheitsvorfällen |
| Organisatorische Kontrollen | Anhang A 5.25 | Anhang A 16.1.4 | Bewertung und Entscheidung zu Informationssicherheitsereignissen |
| Organisatorische Kontrollen | Anhang A 5.26 | Anhang A 16.1.5 | Reaktion auf Informationssicherheitsvorfälle |
| Organisatorische Kontrollen | Anhang A 5.27 | Anhang A 16.1.6 | Aus Informationssicherheitsvorfällen lernen |
| Organisatorische Kontrollen | Anhang A 5.28 | Anhang A 16.1.7 | Beweissammlung |
| Organisatorische Kontrollen | Anhang A 5.29 |
Anhang A 17.1.1 Anhang A 17.1.2 Anhang A 17.1.3 |
Informationssicherheit bei Störungen |
| Organisatorische Kontrollen | Anhang A 5.30 | NEU | IKT-Bereitschaft für Geschäftskontinuität |
| Organisatorische Kontrollen | Anhang A 5.31 |
Anhang A 18.1.1 Anhang A 18.1.5 |
Rechtliche, gesetzliche, behördliche und vertragliche Anforderungen |
| Organisatorische Kontrollen | Anhang A 5.32 | Anhang A 18.1.2 | Rechte an geistigem Eigentum |
| Organisatorische Kontrollen | Anhang A 5.33 | Anhang A 18.1.3 | Schutz von Aufzeichnungen |
| Organisatorische Kontrollen | Anhang A 5.34 | Anhang A 18.1.4 | Datenschutz und Schutz personenbezogener Daten |
| Organisatorische Kontrollen | Anhang A 5.35 | Anhang A 18.2.1 | Unabhängige Überprüfung der Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.36 |
Anhang A 18.2.2 Anhang A 18.2.3 |
Einhaltung von Richtlinien, Regeln und Standards für die Informationssicherheit |
| Organisatorische Kontrollen | Anhang A 5.37 | Anhang A 12.1.1 | Dokumentierte Betriebsabläufe |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Menschenkontrollen | Anhang A 6.1 | Anhang A 7.1.1 | Rekrutierung |
| Menschenkontrollen | Anhang A 6.2 | Anhang A 7.1.2 | Allgemeine Geschäftsbedingungen |
| Menschenkontrollen | Anhang A 6.3 | Anhang A 7.2.2 | Informationssicherheitsbewusstsein, Bildung und Schulung |
| Menschenkontrollen | Anhang A 6.4 | Anhang A 7.2.3 | Disziplinarverfahren |
| Menschenkontrollen | Anhang A 6.5 | Anhang A 7.3.1 | Verantwortlichkeiten nach Beendigung oder Wechsel des Arbeitsverhältnisses |
| Menschenkontrollen | Anhang A 6.6 | Anhang A 13.2.4 | Vertraulichkeits- oder Geheimhaltungsvereinbarungen |
| Menschenkontrollen | Anhang A 6.7 | Anhang A 6.2.2 | Fernarbeit |
| Menschenkontrollen | Anhang A 6.8 |
Anhang A 16.1.2 Anhang A 16.1.3 |
Berichterstattung über Informationssicherheitsereignisse |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Physikalische Kontrollen | Anhang A 7.1 | Anhang A 11.1.1 | Physische Sicherheitsbereiche |
| Physikalische Kontrollen | Anhang A 7.2 |
Anhang A 11.1.2 Anhang A 11.1.6 |
Physischer Eintritt |
| Physikalische Kontrollen | Anhang A 7.3 | Anhang A 11.1.3 | Sicherung von Büros, Räumen und Einrichtungen |
| Physikalische Kontrollen | Anhang A 7.4 | NEU | Physische Sicherheitsüberwachung |
| Physikalische Kontrollen | Anhang A 7.5 | Anhang A 11.1.4 | Schutz vor physischen und umweltbedingten Bedrohungen |
| Physikalische Kontrollen | Anhang A 7.6 | Anhang A 11.1.5 | Arbeiten in sicheren Bereichen |
| Physikalische Kontrollen | Anhang A 7.7 | Anhang A 11.2.9 | Klarer Schreibtisch und klarer Bildschirm |
| Physikalische Kontrollen | Anhang A 7.8 | Anhang A 11.2.1 | Standort und Schutz der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.9 | Anhang A 11.2.6 | Sicherheit von Vermögenswerten außerhalb des Betriebsgeländes |
| Physikalische Kontrollen | Anhang A 7.10 |
Anhang A 8.3.1 Anhang A 8.3.2 Anhang A 8.3.3 Anhang A 11.2.5 |
Speichermedien |
| Physikalische Kontrollen | Anhang A 7.11 | Anhang A 11.2.2 | Unterstützende Dienstprogramme |
| Physikalische Kontrollen | Anhang A 7.12 | Anhang A 11.2.3 | Verkabelungssicherheit |
| Physikalische Kontrollen | Anhang A 7.13 | Anhang A 11.2.4 | Wartung der Ausrüstung |
| Physikalische Kontrollen | Anhang A 7.14 | Anhang A 11.2.7 | Sichere Entsorgung oder Wiederverwendung von Geräten |
| Anhang A Kontrolltyp | ISO/IEC 27001:2022 Anhang A Kennung | ISO/IEC 27001:2013 Anhang A Kennung | Anhang A Name |
|---|---|---|---|
| Technologische Kontrollen | Anhang A 8.1 |
Anhang A 6.2.1 Anhang A 11.2.8 |
Benutzer-Endpunktgeräte |
| Technologische Kontrollen | Anhang A 8.2 | Anhang A 9.2.3 | Privilegierte Zugriffsrechte |
| Technologische Kontrollen | Anhang A 8.3 | Anhang A 9.4.1 | Beschränkung des Informationszugriffs |
| Technologische Kontrollen | Anhang A 8.4 | Anhang A 9.4.5 | Zugang zum Quellcode |
| Technologische Kontrollen | Anhang A 8.5 | Anhang A 9.4.2 | Sichere Authentifizierung |
| Technologische Kontrollen | Anhang A 8.6 | Anhang A 12.1.3 | Kapazitätsmanagement |
| Technologische Kontrollen | Anhang A 8.7 | Anhang A 12.2.1 | Schutz vor Malware |
| Technologische Kontrollen | Anhang A 8.8 |
Anhang A 12.6.1 Anhang A 18.2.3 |
Management technischer Schwachstellen |
| Technologische Kontrollen | Anhang A 8.9 | NEU | Configuration Management |
| Technologische Kontrollen | Anhang A 8.10 | NEU | Löschen von Informationen |
| Technologische Kontrollen | Anhang A 8.11 | NEU | Datenmaskierung |
| Technologische Kontrollen | Anhang A 8.12 | NEU | Verhinderung von Datenlecks |
| Technologische Kontrollen | Anhang A 8.13 | Anhang A 12.3.1 | Informationssicherung |
| Technologische Kontrollen | Anhang A 8.14 | Anhang A 17.2.1 | Redundanz von Informationsverarbeitungseinrichtungen |
| Technologische Kontrollen | Anhang A 8.15 |
Anhang A 12.4.1 Anhang A 12.4.2 Anhang A 12.4.3 |
Protokollierung |
| Technologische Kontrollen | Anhang A 8.16 | NEU | Überwachungsaktivitäten |
| Technologische Kontrollen | Anhang A 8.17 | Anhang A 12.4.4 | Uhrensynchronisation |
| Technologische Kontrollen | Anhang A 8.18 | Anhang A 9.4.4 | Nutzung privilegierter DienstprogrammeZugriffsrechte |
| Technologische Kontrollen | Anhang A 8.19 |
Anhang A 12.5.1 Anhang A 12.6.2 |
Installation von Software auf Betriebssystemen |
| Technologische Kontrollen | Anhang A 8.20 | Anhang A 13.1.1 | Netzwerksicherheit |
| Technologische Kontrollen | Anhang A 8.21 | Anhang A 13.1.2 | Sicherheit von Netzwerkdiensten |
| Technologische Kontrollen | Anhang A 8.22 | Anhang A 13.1.3 | Trennung von Netzwerken |
| Technologische Kontrollen | Anhang A 8.23 | NEU | Web-Filter |
| Technologische Kontrollen | Anhang A 8.24 |
Anhang A 10.1.1 Anhang A 10.1.2 |
Verwendung von Kryptographie |
| Technologische Kontrollen | Anhang A 8.25 | Anhang A 14.2.1 | Sicherer Entwicklungslebenszyklus |
| Technologische Kontrollen | Anhang A 8.26 |
Anhang A 14.1.2 Anhang A 14.1.3 |
Anforderungen an die Anwendungssicherheit |
| Technologische Kontrollen | Anhang A 8.27 | Anhang A 14.2.5 | Sichere Systemarchitektur und technische Prinzipien. Lernen aus Informationssicherheitsvorfällen. |
| Technologische Kontrollen | Anhang A 8.28 | NEU | Sichere Codierung |
| Technologische Kontrollen | Anhang A 8.29 |
Anhang A 14.2.8 Anhang A 14.2.9 |
Sicherheitstests in Entwicklung und Akzeptanz |
| Technologische Kontrollen | Anhang A 8.30 | Anhang A 14.2.7 | Ausgelagerte Entwicklung |
| Technologische Kontrollen | Anhang A 8.31 |
Anhang A 12.1.4 Anhang A 14.2.6 |
Trennung von Entwicklungs-, Test- und Produktionsumgebungen |
| Technologische Kontrollen | Anhang A 8.32 |
Anhang A 12.1.2 Anhang A 14.2.2 Anhang A 14.2.3 Anhang A 14.2.4 |
Change Control |
| Technologische Kontrollen | Anhang A 8.33 | Anhang A 14.3.1 | Testinformationen |
| Technologische Kontrollen | Anhang A 8.34 | Anhang A 12.7.1 | Schutz von Informationssystemen während Audittests |
Wie ISMS.online hilft
ISMS.Online bietet einen umfassenden Ansatz zur Implementierung von ISO 27001:2022. Es bietet einen optimierten Prozess, der es Benutzern ermöglicht, die Standards des internationalen Sicherheitsstandards schnell und effektiv zu erfüllen. Mit seiner benutzerfreundlichen Oberfläche erleichtert es Unternehmen die Einrichtung und Pflege eines robusten Systems Informationssicherheits-Managementsystem.
Mit diesem webbasierten System können Sie durch effektive Prozesse, Verfahren und Checklisten nachweisen, dass Ihr ISMS die festgelegten Kriterien erfüllt.
Kontaktieren Sie uns jetzt, um Vereinbaren Sie eine Vorführung.