ISO 27002:2022, Kontrolle 7.14 – Sichere Entsorgung oder Wiederverwendung von Geräten

Eigentum an der Kontrolle 7.14

Die Einhaltung von Control 7.14 erfordert die Einrichtung eines organisationsweiten Verfahrens zur Datenentsorgung und -wiederverwendung, die Identifizierung aller Geräte und die Implementierung geeigneter technischer Entsorgungsmechanismen und Wiederverwendungsverfahren.

Daher sollte der Chief Information Officer für die Einrichtung, Umsetzung und Wartung von Verfahren und Mechanismen zur Entsorgung und Wiederverwendung von Geräten verantwortlich sein.

Allgemeine Richtlinien zur Compliance

Die Control 7.14 listet vier wichtige Überlegungen auf, die Unternehmen bei der Einhaltung von Vorschriften berücksichtigen sollten:

• Es sollte ein proaktiver Ansatz gewählt werden

Bevor die Entsorgung erfolgt oder die Ausrüstung zur Wiederverwendung bereitgestellt wird, müssen Organisationen bestätigen, ob die Ausrüstung welche enthält Informationsressourcen und lizenzierte Software und sollte sicherstellen, dass solche Informationen oder Software dauerhaft gelöscht werden.

• Physische Zerstörung oder unwiederbringliche Löschung von Informationen

Control 7.14 listet zwei Methoden auf, mit denen die in Geräten enthaltenen Informationen sicher und dauerhaft entfernt werden können:

1. Geräte, auf denen sich Speichermedien befinden, die Informationen enthalten, sollten physisch zerstört werden.
2. Auf dem Gerät gespeicherte Informationen sollten unwiederbringlich gelöscht, überschrieben oder zerstört werden, damit böswillige Parteien keinen Zugriff auf die Informationen haben. Organisationen wird empfohlen, sich mit Control 7.10 zu Speichermedien und Control 8.10 zum Löschen von Informationen vertraut zu machen.

• Entfernung aller Etiketten und Markierungen

Komponenten der Ausrüstung und die darin enthaltenen Informationen können mit Etiketten und Markierungen versehen sein, die die Organisation identifizieren oder den Namen des Anlageneigentümers, das Netzwerk oder die zugewiesene Informationsklassifizierungsstufe offenlegen.

Alle diese Etiketten und Markierungen sollten unwiederbringlich zerstört werden.

• Entfernung von Kontrollen

Unter Berücksichtigung der folgenden Bedingungen können sich Organisationen dafür entscheiden, alle Sicherheitskontrollen wie Zugangsbeschränkungen oder Überwachungssysteme zu deinstallieren, wenn sie Einrichtungen verlassen:

1. Die Bedingungen des Mietvertrags beziehen sich auf die Bedingungen, zu denen die Rückgabe erfolgen muss.
2. Eliminierung und Minderung des Risikos eines unbefugten Zugriffs auf sensible Informationen durch den Nachmieter.
3. Ob die vorhandenen Steuerungen in der nächsten Anlage wiederverwendet werden können.

Ergänzende Leitlinien zur Kontrolle 7.14

Zusätzlich zu den allgemeinen Leitlinien enthält die Control 7.14 drei spezifische Empfehlungen für Organisationen.

Beschädigte Ausrüstung

Wenn beschädigte Geräte, die Informationen enthalten, zur Reparatur geschickt werden, besteht möglicherweise das Risiko eines unbefugten Zugriffs durch Dritte.

Organisationen sollten Folgendes durchführen: Risikobewertung unter Berücksichtigung der Sensibilität der Informationen und überlegen Sie, ob die Zerstörung der Ausrüstung eine praktikablere Option als die Reparatur ist.

Vollständige Festplattenverschlüsselung

Während die Technik der vollständigen Festplattenverschlüsselung die Risiken für die Vertraulichkeit von Informationen erheblich minimiert, sollte sie die folgenden Standards einhalten:

• Die Verschlüsselung ist robust und deckt alle Teile der Festplatte ab, einschließlich des freien Speicherplatzes.
• Kryptografische Schlüssel sollten lang genug sein, um Brute-Force-Angriffe zu verhindern.
• Organisationen sollten die Vertraulichkeit kryptografischer Schlüssel wahren. Beispielsweise sollte der Verschlüsselungsschlüssel nicht auf derselben Festplatte gespeichert werden.

Überschreibwerkzeuge

Organisationen sollten eine Überschreibtechnik unter Berücksichtigung der folgenden Kriterien wählen:

• Dem Informationsasset zugewiesene Informationsklassifizierungsstufe.
• Art des Speichermediums, auf dem die Informationen gespeichert sind.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022/7.14 replaces 27002:2013/(11.2.7)

Das Control 7.14 ähnelt weitgehend seinem Pendant in der 2013er Version. Das Control 7.14 in der Version 2022 enthält jedoch umfassendere Anforderungen in der General Guidance.

Im Gegensatz zur Version 2013 führt die Version 2022 folgende Anforderungen ein:

• Organisationen sollten alle Markierungen und Etiketten entfernen, die die Organisation, das Netzwerk und die Klassifizierungsebene identifizieren.
• Organisationen sollten die Aufhebung der in einer Einrichtung implementierten Kontrollen in Betracht ziehen, wenn sie diese Einrichtung verlassen.

Wie ISMS.online hilft

ISMS.Online ist eine Komplettlösung für ISO 27002 Umsetzung.

Es handelt sich um ein webbasiertes System, mit dem Sie zeigen können, dass Sie Informationssicherheits-Managementsystem (ISMS) erfüllt die anerkannten Standards mithilfe durchdachter Prozesse, Verfahren und Checklisten.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.