Thiết bị CNTT không còn cần thiết phải được tiêu hủy, trả lại cho bên cho thuê, chuyển cho bên thứ ba, tái chế hoặc tái sử dụng cho các hoạt động kinh doanh khác.
Các tổ chức nên bảo vệ thông tin và phần mềm được cấp phép bằng cách đảm bảo xóa hoặc ghi đè thông tin trước khi thải bỏ hoặc tái sử dụng thiết bị. Điều này sẽ giúp bảo vệ tính bảo mật của dữ liệu được lưu trữ trên thiết bị.
Nếu một tổ chức thuê nhà cung cấp dịch vụ thanh lý tài sản CNTT bên ngoài để chuyển giao máy tính xách tay, máy in và ổ đĩa ngoài lỗi thời, nhà cung cấp này có thể truy cập trái phép vào dữ liệu được lưu trữ trên thiết bị.
Phụ lục A 7.14 của ISO 27001:2022 đề cập đến cách các tổ chức có thể bảo vệ tính bảo mật của dữ liệu được lưu trữ trên thiết bị được chỉ định để thải bỏ hoặc tái sử dụng, bằng cách triển khai các biện pháp và quy trình bảo mật hiệu quả.
Mục đích của ISO 27001:2022 Phụ lục A 7.14
Phụ lục A 7.14 của ISO 27001:2022 cho phép các tổ chức ngăn chặn truy cập trái phép vào dữ liệu nhạy cảm bằng cách xác minh rằng mọi thông tin và phần mềm được cấp phép trên thiết bị đều bị xóa hoặc ghi đè vĩnh viễn trước khi thiết bị bị loại bỏ hoặc giao cho bên thứ ba để tái sử dụng.
Quyền sở hữu của Phụ lục A 7.14
Để tuân thủ Phụ lục A 7.14 của ISO 27001:2022, phải thiết lập quy trình xử lý-tái sử dụng dữ liệu trên toàn tổ chức, bao gồm việc xác định tất cả các thiết bị và triển khai các cơ chế xử lý kỹ thuật phù hợp cũng như quy trình tái sử dụng.
Giám đốc thông tin phải chịu trách nhiệm thiết lập, ban hành và duy trì các hệ thống và quy trình để loại bỏ và tái sử dụng thiết bị.
Hướng dẫn về ISO 27001:2022 Phụ lục A 7.14 Tuân thủ
Phụ lục A 7.14 của ISO 27001:2022 nêu rõ bốn cân nhắc thiết yếu về việc tuân thủ mà các tổ chức cần ghi nhớ:
Nên áp dụng lập trường chủ động
Trước khi thải bỏ hoặc tái sử dụng, các tổ chức phải xác định xem thiết bị có bao gồm bất kỳ tài sản thông tin và phần mềm được cấp phép nào không và đảm bảo những thông tin này bị xóa vĩnh viễn.
Phá hủy vật lý hoặc xóa dữ liệu không thể phục hồi
Phụ lục A 7.14 của ISO 27001:2022 nêu rõ có thể thực hiện hai cách tiếp cận để đảm bảo xóa thông tin trên thiết bị một cách an toàn và vĩnh viễn:
- Thiết bị lưu trữ thông tin phải được phá hủy về mặt vật lý.
- Các tổ chức nên tham khảo Phụ lục A 7.10 và Phụ lục A 8.10 liên quan đến Phương tiện lưu trữ và Xóa thông tin để đảm bảo mọi dữ liệu được lưu trữ trên thiết bị đều bị xóa, ghi đè hoặc tiêu hủy theo cách ngăn chặn các bên có ý đồ xấu truy xuất.
Tất cả các nhãn và dấu hiệu phải được gỡ bỏ
Các thành phần thiết bị và dữ liệu chúng chứa có thể được dán nhãn hoặc đánh dấu để xác định tổ chức hoặc tiết lộ chủ sở hữu tài sản, mạng hoặc cấp độ phân loại của thông tin. Tất cả các nhãn và dấu hiệu này phải được hủy vĩnh viễn.
Xóa bỏ các điều khiển
Các tổ chức có thể cân nhắc gỡ bỏ các biện pháp kiểm soát an ninh, chẳng hạn như hạn chế ra vào hoặc hệ thống giám sát, khi rời khỏi cơ sở, nếu đáp ứng các điều kiện sau:
- Hợp đồng cho thuê quy định các yêu cầu về việc trả lại tài sản.
- Việc giảm thiểu rủi ro truy cập trái phép vào thông tin nhạy cảm của người thuê nhà trong tương lai là điều cần thiết.
- Liệu các biện pháp kiểm soát hiện tại có thể được sử dụng ở cơ sở sắp tới không?
Hướng dẫn bổ sung về Phụ lục A 7.14
Ngoài Hướng dẫn chung, Phụ lục A 7.14 của ISO 27001:2022 đưa ra ba khuyến nghị cụ thể cho các tổ chức.
Thiết bị bị hư hỏng
Khi thiết bị chứa dữ liệu được gửi đi sửa chữa, dữ liệu đó có thể bị bên thứ ba truy cập trái phép.
Các tổ chức nên tiến hành đánh giá rủi ro, tính đến mức độ nhạy cảm của dữ liệu và cân nhắc xem việc phá hủy thiết bị có phải là lựa chọn khả thi hơn so với việc sửa chữa hay không.
Mã hóa toàn bộ đĩa
Đảm bảo mã hóa toàn bộ ổ đĩa đáp ứng các tiêu chuẩn cao nhất là điều cần thiết để bảo vệ tính bảo mật của dữ liệu. Cần lưu ý rằng cần tuân thủ các điều sau:
- Mã hóa rất đáng tin cậy và bảo vệ mọi khía cạnh của đĩa, bao gồm cả không gian còn lại.
- Khóa mật mã phải có độ dài đủ để ngăn chặn các cuộc tấn công bằng vũ lực.
- Các tổ chức nên bảo vệ tính bí mật của khóa mật mã của họ. Ví dụ, khóa mã hóa không nên được lưu trữ trên cùng một ổ cứng.
Công cụ ghi đè
Các tổ chức nên lựa chọn phương pháp ghi đè khi xem xét các tiêu chí sau:
- Tài sản thông tin đã được cấp một mức độ phân loại nhất định.
- Loại phương tiện lưu trữ thông tin được sử dụng để lưu trữ thông tin là đã biết.
Những thay đổi và khác biệt so với ISO 27001:2013
ISO 27001:2022 Phụ lục A 7.14 thay thế ISO 27001:2013 Phụ lục A 11.2.7 trong tiêu chuẩn đã sửa đổi . Phiên bản ISO 27001:2022 thay thế phiên bản ISO 27001:2013 của tiêu chuẩn, với phiên bản mới nhất bao gồm các bản cập nhật cho Phụ lục A 7.14.
ISO 27001:2022 Phụ lục A 7.14 khá giống với phiên bản tương đương năm 2013. Tuy nhiên, phiên bản 2022 có các yêu cầu toàn diện hơn trong hướng dẫn chung.
So với ISO 27001:2013, phiên bản 2022 đưa ra những yêu cầu sau:
- Các tổ chức phải xóa tất cả các biển báo và thẻ ghi rõ tổ chức, mạng lưới và cấp độ phân loại của mình.
- Các tổ chức nên cân nhắc việc loại bỏ mọi biện pháp kiểm soát mà họ đã thiết lập tại cơ sở khi họ rời đi.
