ISO 27002:2022 – Kontrolle 7.14 – Sichere Entsorgung oder Wiederverwendung von Geräten

Sichere Entsorgung und Wiederverwendung von Geräten gewährleisten: Erläuterung der ISO 27002-Kontrolle 7.14

Wenn IT-Geräte wie externe Laufwerke, USB-Laufwerke, Laptops oder Drucker nicht mehr benötigt werden, werden sie entweder physisch zerstört, an den Mieter zurückgegeben, an Dritte weitergegeben, recycelt oder zur Wiederverwendung für andere Geschäfte bereitgestellt Operationen.

In Anbetracht dessen, dass dieses Gerät Folgendes enthalten kann Informationsvermögen und lizenzierter Software sollten Organisationen sicherstellen, dass alle Informationen und lizenzierte Software unwiederbringlich gelöscht oder überschrieben werden, bevor sie entsorgt oder wiederverwendet werden. Dies trägt dazu bei, die Vertraulichkeit der in diesem Gerät enthaltenen Informationen zu wahren.

Wenn eine Organisation beispielsweise einen externen Dienstleister für die Entsorgung von IT-Ressourcen in Anspruch nimmt und alte Laptops, Drucker und externe Laufwerke an diesen Anbieter überträgt, kann dieser Dienstleister unbefugten Zugriff auf die auf diesen Geräten gehosteten Informationen erhalten.

Control 7.14 befasst sich mit dem Wie Organisationen können die Vertraulichkeit der gespeicherten Informationen wahren über die Geräte, die entsorgt oder wiederverwendet werden sollen, durch die Umsetzung geeigneter Sicherheitsmaßnahmen und -verfahren.

Zweck der Kontrolle 7.14

Control 7.14 ermöglicht es Organisationen, unbefugten Zugriff auf sensible Informationen zu verhindern, indem bestätigt wird, dass alle auf Geräten gespeicherten Informationen und lizenzierten Software unwiderruflich gelöscht oder überschrieben werden, bevor die Geräte entsorgt oder an Dritte zur Wiederverwendung weitergegeben werden.

Attributtabelle der Steuerung 7.14

Bei der Kontrolle 7.14 handelt es sich um eine vorbeugende Art der Kontrolle verlangt von Organisationen, die Vertraulichkeit von Informationen zu wahren auf der Ausrüstung gehostet, die entsorgt oder zur Wiederverwendung eingesetzt wird, indem geeignete Verfahren und Maßnahmen für die Entsorgung und Wiederverwendung festgelegt und angewendet werden.

Eigentum an der Kontrolle 7.14

Die Einhaltung von Control 7.14 erfordert die Einrichtung eines organisationsweiten Verfahrens zur Datenentsorgung und -wiederverwendung, die Identifizierung aller Geräte und die Implementierung geeigneter technischer Entsorgungsmechanismen und Wiederverwendungsverfahren.

Daher sollte der Chief Information Officer für die Einrichtung, Umsetzung und Wartung von Verfahren und Mechanismen zur Entsorgung und Wiederverwendung von Geräten verantwortlich sein.

Allgemeine Richtlinien zur Compliance

Die Control 7.14 listet vier wichtige Überlegungen auf, die Unternehmen bei der Einhaltung von Vorschriften berücksichtigen sollten:

• Es sollte ein proaktiver Ansatz gewählt werden

Bevor die Entsorgung erfolgt oder die Ausrüstung zur Wiederverwendung bereitgestellt wird, müssen Organisationen bestätigen, ob die Ausrüstung welche enthält Informationsressourcen und lizenzierte Software und sollte sicherstellen, dass solche Informationen oder Software dauerhaft gelöscht werden.

• Physische Zerstörung oder unwiederbringliche Löschung von Informationen

Control 7.14 listet zwei Methoden auf, mit denen die in Geräten enthaltenen Informationen sicher und dauerhaft entfernt werden können:

1. Geräte, auf denen sich Speichermedien befinden, die Informationen enthalten, sollten physisch zerstört werden.
2. Auf dem Gerät gespeicherte Informationen sollten unwiederbringlich gelöscht, überschrieben oder zerstört werden, damit böswillige Parteien keinen Zugriff auf die Informationen haben. Organisationen wird empfohlen, sich mit Control 7.10 zu Speichermedien und Control 8.10 zum Löschen von Informationen vertraut zu machen.

• Entfernung aller Etiketten und Markierungen

Komponenten der Ausrüstung und die darin enthaltenen Informationen können mit Etiketten und Markierungen versehen sein, die die Organisation identifizieren oder den Namen des Anlageneigentümers, das Netzwerk oder die zugewiesene Informationsklassifizierungsstufe offenlegen.

Alle diese Etiketten und Markierungen sollten unwiederbringlich zerstört werden.

• Entfernung von Kontrollen

Unter Berücksichtigung der folgenden Bedingungen können sich Organisationen dafür entscheiden, alle Sicherheitskontrollen wie Zugangsbeschränkungen oder Überwachungssysteme zu deinstallieren, wenn sie Einrichtungen verlassen:

1. Die Bedingungen des Mietvertrags beziehen sich auf die Bedingungen, zu denen die Rückgabe erfolgen muss.
2. Eliminierung und Minderung des Risikos eines unbefugten Zugriffs auf sensible Informationen durch den Nachmieter.
3. Ob die vorhandenen Steuerungen in der nächsten Anlage wiederverwendet werden können.

Ergänzende Leitlinien zur Kontrolle 7.14

Zusätzlich zu den allgemeinen Leitlinien enthält die Control 7.14 drei spezifische Empfehlungen für Organisationen.

Beschädigte Ausrüstung

Wenn beschädigte Geräte, die Informationen enthalten, zur Reparatur geschickt werden, besteht möglicherweise das Risiko eines unbefugten Zugriffs durch Dritte.

Organisationen sollten Folgendes durchführen: Risikobewertung unter Berücksichtigung der Sensibilität der Informationen und überlegen Sie, ob die Zerstörung der Ausrüstung eine praktikablere Option als die Reparatur ist.

Vollständige Festplattenverschlüsselung

Während die Technik der vollständigen Festplattenverschlüsselung die Risiken für die Vertraulichkeit von Informationen erheblich minimiert, sollte sie die folgenden Standards einhalten:

• Die Verschlüsselung ist robust und deckt alle Teile der Festplatte ab, einschließlich des freien Speicherplatzes.
• Kryptografische Schlüssel sollten lang genug sein, um Brute-Force-Angriffe zu verhindern.
• Organisationen sollten die Vertraulichkeit kryptografischer Schlüssel wahren. Beispielsweise sollte der Verschlüsselungsschlüssel nicht auf derselben Festplatte gespeichert werden.

Überschreibwerkzeuge

Organisationen sollten eine Überschreibtechnik unter Berücksichtigung der folgenden Kriterien wählen:

• Dem Informationsasset zugewiesene Informationsklassifizierungsstufe.
• Art des Speichermediums, auf dem die Informationen gespeichert sind.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/7.14 replaces 27002:2013/(11.2.7)

Das Control 7.14 ähnelt weitgehend seinem Pendant in der 2013er Version. Das Control 7.14 in der Version 2022 enthält jedoch umfassendere Anforderungen in der General Guidance.

Im Gegensatz zur Version 2013 führt die Version 2022 folgende Anforderungen ein:

• Organisationen sollten alle Markierungen und Etiketten entfernen, die die Organisation, das Netzwerk und die Klassifizierungsebene identifizieren.
• Organisationen sollten die Aufhebung der in einer Einrichtung implementierten Kontrollen in Betracht ziehen, wenn sie diese Einrichtung verlassen.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

ISMS.Online ist eine Komplettlösung für ISO 27002 Umsetzung.

Es handelt sich um ein webbasiertes System, mit dem Sie zeigen können, dass Sie Informationssicherheits-Managementsystem (ISMS) erfüllt die anerkannten Standards mithilfe durchdachter Prozesse, Verfahren und Checklisten.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.