ISO 27002: 2022 - Steuerung 8.10 - Informationen Löschen

Zweck der Kontrolle 8.10

Neben der Verwaltung der laufenden Nutzung von Daten und Informationen auf internen Servern und Speichergeräten (HDDs, Arrays, USB-Laufwerke usw.) müssen sich Unternehmen auch ihrer Pflichten zur Entfernung und Löschung aller über Mitarbeiter, Benutzer und Kunden gespeicherten Daten bewusst sein oder Organisationen, wenn dies vernünftigerweise erforderlich ist (normalerweise, wenn es nicht mehr benötigt wird).

Attributtabelle der Steuerung 8.10

Kontrolle 8.10 ist ein vorbeugende Kontrolle zur Abwicklung, Integrierung, Speicherung und verändert das Risiko indem Sie einen Ansatz zur Datenlöschung skizzieren, der die bestehenden Richtlinien zur Datenaufbewahrung einer Organisation ergänzt und dafür sorgt, dass sie mit allen geltenden Gesetzen oder behördlichen Richtlinien vereinbar sind.

Eigentum an der Kontrolle 8.10

Control 8.10 befasst sich hauptsächlich mit Wartungsaufgaben im Zusammenhang mit der Löschung und Zerstörung von Daten und/oder IT-Ressourcen, einschließlich der Verwendung spezieller Software und der Zusammenarbeit mit Anbietern, die auf die Löschung von Daten und Geräten spezialisiert sind. Daher sollte die Verantwortung beim IT-Leiter oder einer gleichwertigen Organisation liegen.

Allgemeine Richtlinien zur Compliance

Es kann manchmal schwierig sein festzustellen, wann Daten gelöscht werden sollten. Als allgemeine Regel fordert Control 8.10 Organisationen dazu auf, Daten zu löschen, wenn sie nicht mehr benötigt werden, um die sogenannten Datenverluste zu minimieren unerwünschte Offenlegung – also die Einsichtnahme oder Weitergabe der Daten an Personen und Organisationen, die nicht zum Zugriff darauf berechtigt sind.

Gemäß dieser Richtlinie sollten Unternehmen beim Zeitpunkt der Datenlöschung Folgendes tun:

1. Entscheiden Sie sich für eine geeignete Löschmethode, die allen geltenden Gesetzen und Vorschriften entspricht. Zu den Techniken gehören Standardlöschung, Überschreiben oder verschlüsseltes Löschen.
2. Protokollieren Sie die Ergebnisse des Löschvorgangs zur späteren Bezugnahme.
3. Stellen Sie sicher, dass die Organisation bei der Nutzung eines spezialisierten Löschanbieters einen ausreichenden Nachweis (in der Regel durch Dokumentation) erhält, dass die Löschung durchgeführt wurde.
4. Wenn ein Drittanbieter eingesetzt wird, sollten Organisationen deren genaue Anforderungen, einschließlich Löschmethoden und Zeitpläne, festlegen und sicherstellen, dass die Löschaktivitäten durch eine verbindliche Vereinbarung abgedeckt sind.

Leitfaden – Spezifische Löschmethoden

Bei der Formulierung eines Löschvorgangs sollten Organisationen Folgendes tun:

1. Konfigurieren Sie interne Systeme zum Löschen von Daten und Informationen gemäß der themenspezifischen Aufbewahrungsrichtlinie der Organisation.
2. Stellen Sie sicher, dass sich die Löschung auf temporäre Dateien, zwischengespeicherte Informationen, Datenkopien und ältere Versionen erstreckt.
3. Erwägen Sie die Verwendung spezieller Hilfsprogramme zum Löschen, um das Risiko zu minimieren.
4. Beauftragen Sie zertifizierte und nachweisbare Löschspezialisten nur dann, wenn die Notwendigkeit besteht, einen Drittanbieter-Dienst in Anspruch zu nehmen.
5. Implementieren Sie physische Löschmaßnahmen, die für das betreffende Gerät geeignet sind (z. B Entmagnetisierung magnetische Speichermedien, Wiederherstellen der Werkseinstellungen eines Smartphones oder physische Zerstörung) (siehe Steuerung 7.14).
6. Stellen Sie sicher, dass Cloud-Dienstanbieter sich an die eigenen Löschanforderungen der Organisation halten (soweit möglich).

Ergänzende Informationen zur Steuerung 8.10

Beim Versand von Geräten (insbesondere Servern und Workstations) an Anbieter sollten Unternehmen vorher alle internen oder externen Speichergeräte entfernen.

Unterstützende Richtlinien

• 7.14

Änderungen und Unterschiede zu ISO 27002:2013

Keiner. Control 8.10 hat in ISO 27002:2013 keinen Präzedenzfall, da es neu ist.

Neue ISO 27002-Kontrollen

Wie ISMS.online hilft

Die ISMS.online-Plattform bietet eine Reihe leistungsstarker Tools, die Ihnen die Dokumentation, Implementierung, Wartung und Verbesserung Ihres Informationssicherheits-Managementsystems (ISMS) sowie die Einhaltung von ISO 27002 erleichtern.

Das umfassende Paket an Tools bietet Ihnen einen zentralen Ort, an dem Sie maßgeschneiderte Richtlinien und Verfahren erstellen können, die auf die spezifischen Risiken und Bedürfnisse Ihres Unternehmens abgestimmt sind. Es ermöglicht auch die Zusammenarbeit zwischen Kollegen sowie externen Partnern wie Lieferanten oder externen Prüfern.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.