ISO 27701 – Abschnitt 6.5.3 – Medienhandhabung

ISO 27701 Abschnitt 6.5.3: Best Practices für Mediensicherheit

IKT-Medien – ob entfernbar oder statisch –, die zur Speicherung und Verarbeitung personenbezogener Daten verwendet werden, werden oft als Hauptproblem für Unternehmen angesehen, die ihren gesetzlichen, behördlichen und vertraglichen Verpflichtungen nachkommen wollen.

Die Schwierigkeiten bei der Verwaltung von Wechseldatenträgern – und den darauf enthaltenen personenbezogenen Daten – wachsen exponentiell mit der Größe des Unternehmens und der Anzahl der Mitarbeiter, die solche Geräte verwenden dürfen.

Zusätzlich zu ihrer betrieblichen Nutzung müssen Speichermedien ordnungsgemäß aus dem Netzwerk entfernt und entsorgt werden, wenn sie nicht mehr benötigt werden. Außerdem müssen Unternehmen sicherstellen, dass vor der Wiederverwendung keine Rückstände von personenbezogenen Daten oder datenschutzrelevanten Informationen zurückbleiben.

Was in ISO 27701 Abschnitt 6.5.3 behandelt wird

Jeder Abschnitt in ISO 27701 befasst sich mit dem Konzept von PII im Kontext von Speichermedien:

• ISO 27701 6.5.3.1 – Verwaltung von Wechselmedien (Referenzen ISO 27002 Kontrolle 7.10)
• ISO 27701 6.5.3.2 – Entsorgung von Medien (Referenzen ISO 27002 Kontrolle 7.10)
• ISO 27701 6.5.3.3 – Physische Medienübertragung (Referenzen ISO 27002-Steuerung 7.10)

ISO 27701 Abschnitt 6.5.3 ist eine Zusammenführung von drei früheren ISO 27002-Klauseln, die nun in der Iteration 2022 in einer einzigen Klausel zusammengefasst wurden – ISO 27002 7.10 (Speichermedien).

Jede Steuerung enthält zusätzliche PII-bezogene Leitlinien, die den Ansatz einer Organisation in Bezug auf Speichermedien regeln.

Darüber hinaus enthält jeder Unterabschnitt mehrere Leitpunkte, die sich auf bestimmte Artikel der britischen DSGVO-Gesetzgebung beziehen.

Bitte beachten Sie, dass DSGVO-Zitate nur zu Informationszwecken dienen. Organisationen sollten die Gesetzgebung prüfen und selbst beurteilen, welche Teile des Gesetzes für sie gelten.

ISO 27701 Abschnitt 6.5.3.1 – Verwaltung von Wechselmedien

Referenzen ISO 27002-Steuerung 7.10

Wechselbare Speichermedien

Bei der Entwicklung von Richtlinien, die den Umgang mit Medienbeständen im Zusammenhang mit der Speicherung personenbezogener Daten regeln, sollten Organisationen Folgendes tun:

• Entwickeln Sie einzigartige themenspezifische Richtlinien basierend auf abteilungs- oder berufsbezogenen Anforderungen.
• Stellen Sie sicher, dass die entsprechende Genehmigung eingeholt und erteilt wird, bevor das Personal Speichermedien aus dem Netzwerk entfernen kann (einschließlich der Führung einer genauen und aktuellen Aufzeichnung dieser Aktivitäten).
• Lagern Sie Medien gemäß den Herstellerangaben und frei von Umweltschäden.
• Erwägen Sie den Einsatz von Verschlüsselung als Voraussetzung für den Zugriff oder die Implementierung zusätzlicher physischer Sicherheitsmaßnahmen, wenn dies nicht möglich ist.
• Minimieren Sie das Risiko, dass personenbezogene Daten beschädigt werden, indem Sie Informationen wie erforderlich zwischen Speichermedien übertragen.
• Führen Sie PII-Redundanz ein, indem Sie geschützte Informationen auf mehreren Assets gleichzeitig speichern.
• Genehmigen Sie die Verwendung von Speichermedien nur an genehmigten Eingängen (z. B. SD-Karten und USB-Anschlüsse) für jedes einzelne Gerät.
• Überwachen Sie die Übertragung personenbezogener Daten auf Speichermedien zu jedem Zweck genau.
• Berücksichtigen Sie die Risiken, die mit der physischen Übertragung von Speichermedien (und stellvertretend auch der darauf enthaltenen PII) verbunden sind, wenn Sie Vermögenswerte zwischen Mitarbeitern oder Räumlichkeiten bewegen (siehe ISO 27002 5.14).

Wiederverwendung und Entsorgung

Bei der Umnutzung, Wiederverwendung oder Entsorgung von Speichermedien sollten strenge Verfahren eingeführt werden, um sicherzustellen, dass personenbezogene Daten in keiner Weise beeinträchtigt werden, einschließlich:

1. Formatieren Sie die Speichermedien und stellen Sie sicher, dass alle personenbezogenen Daten vor der Wiederverwendung entfernt werden (siehe ISO 27002 8.10), einschließlich der Aufrechterhaltung einer angemessenen Dokumentation aller dieser Aktivitäten.
2. Sichere Entsorgung aller Medien, für die die Organisation keine weitere Verwendung hat und die zur Speicherung personenbezogener Daten verwendet wurden.
3. Wenn die Entsorgung die Einschaltung Dritter erfordert, sollten Organisationen große Sorgfalt darauf verwenden, sicherzustellen, dass sie ein geeigneter und geeigneter Partner für die Erfüllung dieser Aufgaben sind, im Einklang mit der Verantwortung der Organisation für personenbezogene Daten und den Schutz der Privatsphäre.
4. Implementierung von Verfahren, die ermitteln, welche Speichermedien zur Wiederverwendung verfügbar sind oder entsprechend entsorgt werden können.

Wenn Geräte, die zur Speicherung personenbezogener Daten verwendet wurden, beschädigt werden, sollten Organisationen sorgfältig abwägen, ob es angemessener ist, diese Medien zu vernichten oder sie zur Reparatur einzusenden (wobei Ersteres einen Fehler macht).

Zusätzliche PII-bezogene Anleitungen

ISO warnt Unternehmen davor, unverschlüsselte Speichergeräte für PII-bezogene Aktivitäten zu verwenden.

Relevante ISO 27002-Kontrollen

• ISO 27002-Steuerung 5.14

Anwendbare DSGVO-Artikel

• Artikel 5 – (1)(f)
• Artikel 32 – (1)(a)

ISO 27701 Abschnitt 6.5.3.2 – Entsorgung von Medien

Referenzen ISO 27002-Steuerung 7.10

Siehe ISO 27701 Abschnitt 6.5.3.1.

Zusätzliche PII-bezogene Anleitungen

Wenn Medien mit zuvor gespeicherten PII entsorgt werden sollen, sollten Organisationen Verfahren implementieren, die die Vernichtung PII und datenschutzrelevanter Daten dokumentieren, einschließlich der kategorischen Zusicherung, dass sie nicht mehr verfügbar sind.

Anwendbare DSGVO-Artikel

• Artikel 5 – (1)(f)

ISO 27701 Abschnitt 6.5.3.3 – Physische Medienübertragung

Referenzen ISO 27002-Steuerung 7.10

Siehe ISO 27701 Abschnitt 6.5.3.1.

Zusätzliche PII-bezogene Anleitungen

Unternehmen sollten beim Transport von Speichermedien, die PII enthalten, im Gegensatz zu Standarddatenkategorien, besondere Vorsicht walten lassen.

Es sollten Aufzeichnungen über alle ein- und ausgehenden Medien geführt werden, die PII enthalten, einschließlich:

1. Medientyp (Festplatte, USB, SD-Karte usw.).
2. Autorisierte Absender und interne Empfänger.
3. Datum und Uhrzeit der Übertragung.
4. Die Menge der zu übertragenden physischen Medien.

Anwendbare DSGVO-Artikel

• Artikel 5 – (1)(f)
• Artikel 32 – (1)(a)

Unterstützende Kontrollen von ISO 27002 und DSGVO

Wie ISMS.online hilft

ISMS.online erleichtert die Verwaltung persönlicher Informationen durch eine großartige cloudbasierte Lösung zur Unterstützung der ISO 27701-Konformität in Ihrem Unternehmen.

Darüber hinaus verfügen wir über Experten und Ressourcen für Informationssicherheit, die Sie durch den ISO 27701-Akkreditierungsprozess begleiten.

Erfahren Sie mehr und erhalten Sie eine praktische Vorführung von eine Demo buchen.