ISO 27002:2022 – Kontrolle 7.10 – Speichermedien

Sichere Speichermedienverwaltung: Schutz vertraulicher Informationen

Die Verwendung von Speichermedien wie Solid-State-Laufwerken (SSDs), USB-Sticks, externen Laufwerken und Mobiltelefonen ist für viele wichtige Informationsverarbeitungsvorgänge wie Datensicherung, Datenspeicherung und Informationsübertragung von entscheidender Bedeutung.

Allerdings ist die Speicherung sensibel und kritisch Informationen auf diesen Geräten bergen Risiken für die Integrität, Vertraulichkeit und Verfügbarkeit von Informationsressourcen. Zu diesen Risiken können der Verlust oder Diebstahl von Speichermedien mit vertraulichen Informationen, die Verbreitung von Malware über die Speichermedien in allen Computernetzwerken des Unternehmens sowie der Ausfall und die Verschlechterung der für die Datensicherung verwendeten Speichermedien gehören.

Control 7.10 befasst sich mit der Frage, wie Unternehmen geeignete Verfahren, Richtlinien und Kontrollen einrichten können, um die Sicherheit von Speichermedien während ihres gesamten Lebenszyklus, vom Erwerb bis zur Entsorgung, aufrechtzuerhalten.

Zweck der Kontrolle 7.10

Control 7.10 ermöglicht es Unternehmen, Risiken des unbefugten Zugriffs auf, der Nutzung, Löschung, Änderung und Übertragung sensibler Informationen, die auf Speichermediengeräten gehostet werden, zu eliminieren und zu mindern, indem Verfahren für den Umgang mit Speichermedien über ihren gesamten Lebenszyklus hinweg festgelegt werden.

Attributtabelle der Steuerung 7.10

Kontrolle 7.10 ist eine präventive Art der Kontrolle, die von Organisationen verlangt, Verfahren und Maßnahmen zu erstellen, umzusetzen und aufrechtzuerhalten, um die Sicherheit von Speichermediengeräten vom Erwerb bis zur Entsorgung zu gewährleisten.

Welche Speichermedien deckt Control 7.10 ab?

Control 7.10 gilt sowohl für digitale als auch für physische Speichermedien. Zum Beispiel Speicherung von Informationen in physischen Dateien wird auch durch Control 7.10 abgedeckt.

Darüber hinaus unterliegen neben den Wechselspeichermedien auch feste Speichermedien wie Festplatten der Regelung 7.10.

Eigentum an der Kontrolle 7.10

Control 7.10 verlangt von Organisationen, geeignete Verfahren, technische Kontrollen und organisationsweite Richtlinien für die Nutzung von Speichermedien zu erstellen und umzusetzen, die auf dem eigenen Klassifizierungsschema der Organisation und ihren Datenverarbeitungsanforderungen wie gesetzlichen und vertraglichen Verpflichtungen basieren.

Vor diesem Hintergrund sollten Informationssicherheitsmanager für den gesamten Compliance-Prozess verantwortlich sein.

Allgemeine Richtlinien zur Compliance

Wechselbare Speichermedien

Während Wechselspeichermedien für viele Geschäftsabläufe unerlässlich sind und von den meisten Mitarbeitern häufig verwendet werden, stellen sie das höchste Risiko für vertrauliche Informationen dar.

Control 7.10 listet zehn Anforderungen auf, die Unternehmen für die Verwaltung von Wechselspeichermedien während ihres gesamten Lebenszyklus einhalten sollten:

1. Organisationen sollten eine themenspezifische Richtlinie für den Erwerb, die Autorisierung, die Verwendung und die Entsorgung von Wechselspeichermedien festlegen. Diese Richtlinie sollte allen Mitarbeitern und allen relevanten Parteien mitgeteilt werden.
2. Wenn es praktikabel und notwendig ist, sollten Organisationen Genehmigungsverfahren für die Mitnahme von Wechselspeichermedien aus dem Firmengelände einführen. Darüber hinaus sollten Organisationen Protokollaufzeichnungen über die Entfernung von Speichermedien für Audit-Trail-Zwecke führen.
3. Alle Wechselspeichermedien sollten in einem sicheren Bereich, z. B. einem Safe, aufbewahrt werden, wobei die den Informationen zugewiesene Informationsklassifizierungsstufe sowie die Umwelt- und physischen Bedrohungen für Speichermedien zu berücksichtigen sind.
4. Wenn Vertraulichkeit und Integrität der auf Wechselspeichermedien enthaltenen Informationen von entscheidender Bedeutung sind, sollten kryptografische Techniken eingesetzt werden, um die Speichermedien vor unbefugtem Zugriff zu schützen.
5. Um das Risiko einer Verschlechterung der Wechselspeichermedien und des Verlusts der auf den Medien gespeicherten Informationen zu vermeiden, sollten die Informationen auf ein neues Speichermedium übertragen werden, bevor dieses Risiko eintritt.
6. Kritische und sensible Informationen sollten kopiert und auf mehreren Speichermedien gespeichert werden, um das Risiko des Verlusts kritischer Informationen zu minimieren.
7. Um das Risiko eines vollständigen Informationsverlusts zu verringern, kann die Registrierung von Wechselspeichermedien eine erwägenswerte Option sein.
8. Sofern kein geschäftlicher Grund für die Verwendung von Wechselspeichermedienanschlüssen wie USB-Anschlüssen oder SD-Kartensteckplätzen besteht, sollten diese nicht zulässig sein.
9. Es muss ein Überwachungsmechanismus für die Übertragung von Informationen auf Wechselspeichermedien vorhanden sein.
10. Wenn Informationen, die in physischen Datenträgern wie Papieren enthalten sind, per Kurier oder Post übermittelt werden, besteht ein hohes Risiko eines unbefugten Zugriffs auf diese Informationen. Daher sollten geeignete Maßnahmen ergriffen werden.

Leitfaden zur sicheren Wiederverwendung und Entsorgung von Speichermedien

Control 7.10 bietet separate Leitlinien zur sicheren Wiederverwendung und Entsorgung von Speichermedien, damit Unternehmen Risiken für die Gefährdung der Vertraulichkeit von Informationen mindern und beseitigen können.

Control 7.10 betont, dass Organisationen Verfahren für die Wiederverwendung und Entsorgung von Speichermedien definieren und anwenden sollten, wobei der Sensibilitätsgrad der in den Speichermedien enthaltenen Informationen zu berücksichtigen ist.

Bei der Festlegung dieser Verfahren sollten Organisationen Folgendes berücksichtigen:

1. Wenn ein Speichermedium von einer internen Partei innerhalb einer Organisation wiederverwendet wird, sollten die auf diesem Speichermedium gehosteten sensiblen Informationen unwiderruflich gelöscht oder neu formatiert werden, bevor sie zur Wiederverwendung freigegeben werden.
2. Speichermedien, auf denen vertrauliche Informationen gespeichert sind, sollten auf sichere Weise vernichtet werden, wenn sie nicht mehr benötigt werden. Beispielsweise können Papierdokumente geschreddert und digitale Geräte physisch zerstört werden.
3. Es sollte ein Verfahren zur Identifizierung von Speichermedienelementen vorhanden sein, die entsorgt werden müssen.
4. Wenn Unternehmen sich dafür entscheiden, mit einer externen Partei zusammenzuarbeiten, um die Sammlung und Entsorgung von Speichermedien zu übernehmen, sollten sie sich gebührend verhalten Sorgfalt, um sicherzustellen, dass der ausgewählte Anbieter kompetent ist und es implementiert entsprechende Kontrollen.
5. Führung einer Aufzeichnung aller entsorgten Gegenstände für Prüfpfad.
6. Wenn mehrere Speichermedien zusammen entsorgt werden sollen, sollte der Akkumulationseffekt berücksichtigt werden: Durch die Kombination verschiedener Informationsteile von jedem Speichermedium können nicht sensible Informationen in sensible Informationen umgewandelt werden.

Last but not least verlangt Control 7.10 von Organisationen, dass sie Folgendes durchführen: Risikobewertung beschädigter Geräte, auf denen vertrauliche Informationen gespeichert sind zu entscheiden, ob die Ausrüstung zerstört statt repariert werden sollte.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/7.10 ersetzt 27002:2013/(08.3.1, 08.3.2, 08.3.3, 11.2.5)

Es gibt vier wesentliche Unterschiede, die hervorgehoben werden müssen:

• Strukturelle Veränderungen

Während die Version von 2013 drei separate enthielt Kontrollen des Managements In der Version 2022 werden diese drei Steuerelemente unter Control 7.10 zusammengefasst: Medienverwaltung, Medienentsorgung und physische Medienübertragung.

• Die Version 2022 enthält Anforderungen für die Wiederverwendung von Speichermedien

Im Gegensatz zur Version 2013, in der es nur um die sichere Entsorgung von Speichermedien ging, befasst sich die Version 2022 auch mit der sicheren Wiederverwendung von Speichermedien.

• Die Version 2013 enthält umfassendere Anforderungen an die physische Übertragung von Speichermedien

Mit der Version 2013 wurden umfassendere Anforderungen an die physische Übertragung von Speichermedien gestellt. Beispielsweise enthielt die Version 2013 Regeln zur Identitätsprüfung für Kuriere und Verpackungsstandards.

Control 7.10 in der Version 2022 hingegen besagte lediglich, dass Organisationen bei der Auswahl von Dienstleistern wie Kurieren mit Sorgfalt vorgehen sollten.

• Die Version 2022 erfordert eine themenspezifische Richtlinie für Wechselspeichermedien

Während sich die Versionen 2022 und 2013 hinsichtlich der Anforderungen an Wechselspeichermedien weitgehend ähneln, führt die Version 2022 die Anforderung ein, eine themenspezifische Richtlinie für Wechselspeichermedien festzulegen. Die Version von 2013 deckte diese Anforderung hingegen nicht ab.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

Das ISMS.online-Plattform verwendet einen risikobasierten Ansatz in Kombination mit branchenführenden Best Practices und Vorlagen, um Ihnen dabei zu helfen, die Risiken zu identifizieren, denen Ihr Unternehmen ausgesetzt ist, und die Kontrollen, die zur Bewältigung dieser Risiken erforderlich sind. Dadurch können Sie sowohl Ihre Risikoexposition als auch Ihren Compliance-Aufwand systematisch reduzieren.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.