Mục đích của ISO 27001:2022 Phụ lục A 8.10 – Xóa thông tin
Các tổ chức nên ý thức được nghĩa vụ xóa dữ liệu được lưu trữ trên máy chủ nội bộ, ổ cứng, mảng và ổ USB khi không còn cần thiết nữa. Điều này áp dụng cho dữ liệu được lưu giữ về nhân viên, người dùng, khách hàng và tổ chức.
Quyền sở hữu của Phụ lục A 8.10
ISO 27001:2022 Phụ lục A Kiểm soát 8.10 chủ yếu bao gồm các hoạt động bảo trì liên quan đến việc xóa và hủy dữ liệu và/hoặc tài sản CNTT, bao gồm việc sử dụng phần mềm chuyên dụng và liên lạc với các nhà cung cấp chuyên về xóa dữ liệu và thiết bị. Do đó, quyền sở hữu phải được trao cho Trưởng phòng CNTT hoặc tương đương.
Hướng dẫn chung về ISO 27001:2022 Phụ lục A 8.10 Tuân thủ
Có thể rất khó để xác định khi nào dữ liệu cần được xóa. Nhìn chung, ISO 27001:2022 Phụ lục A Kiểm soát 8.10 yêu cầu các tổ chức xóa dữ liệu khi không cần thiết để giảm nguy cơ tiết lộ không mong muốn. Nghĩa là dữ liệu bị những người không được phép truy cập nhìn thấy hoặc phân phối cho.
Khi đến thời điểm xóa dữ liệu, các tổ chức nên:
- Chọn phương pháp xóa phù hợp tuân thủ mọi luật hoặc quy định hiện hành. Các tùy chọn bao gồm xóa thông thường, ghi đè hoặc loại bỏ được mã hóa.
- Ghi lại kết quả của việc loại bỏ để tham khảo sau này.
- Đảm bảo rằng khi sử dụng nhà cung cấp dịch vụ xóa dữ liệu chuyên biệt, tổ chức phải có đủ bằng chứng (thường thông qua tài liệu) chứng minh rằng việc xóa đã được thực hiện.
- Các tổ chức cần nêu rõ nhu cầu của mình khi sử dụng nhà cung cấp bên thứ ba, bao gồm phương pháp xóa và khung thời gian, đồng thời phải đảm bảo rằng các hoạt động xóa được đưa vào hợp đồng ràng buộc.
Hướng dẫn chung – Phương pháp xóa cụ thể
Các tổ chức nên thiết kế một quy trình xóa bằng cách:
- Thiết lập hệ thống nội bộ để xóa dữ liệu và thông tin theo chính sách lưu giữ của công ty.
- Xác minh rằng bất kỳ hành động xóa nào cũng bao gồm các tệp tạm thời, thông tin được lưu trong bộ nhớ đệm, dữ liệu trùng lặp và các mô hình cũ.
- Hãy cân nhắc sử dụng các chương trình tiện ích xóa chuyên dụng để giảm thiểu rủi ro.
- Chỉ ký hợp đồng với các chuyên gia xóa dữ liệu được chứng nhận và có thể xác minh nếu cần dịch vụ của bên thứ ba.
- Thực hiện các biện pháp xóa vật lý phù hợp với thiết bị đang đề cập, chẳng hạn như khử từ phương tiện lưu trữ từ tính , khôi phục cài đặt gốc cho điện thoại thông minh hoặc tiêu hủy (xem Phụ lục A 7.14).
- Đảm bảo rằng các nhà cung cấp dịch vụ đám mây tuân thủ các yêu cầu xóa dữ liệu của tổ chức (càng nhiều càng tốt).
Thông tin bổ sung về Phụ lục A 8.10
Trước khi gửi đi bất kỳ máy chủ hoặc máy trạm nào, các tổ chức nên tháo bỏ mọi thiết bị lưu trữ bên trong hoặc bên ngoài.
Hướng dẫn hỗ trợ
- ISO 27001:2022 Phụ lục A 7.14
Những thay đổi và khác biệt so với ISO 27001:2013
Phụ lục A của ISO 27001:2022 Kiểm soát 8.10 không có nội dung tương ứng trong ISO 27001:2013 vì đây là nội dung bổ sung mới.
