Khi các thiết bị CNTT như ổ đĩa ngoài, ổ USB, máy tính xách tay hoặc máy in không còn cần thiết nữa, chúng sẽ được tiêu hủy, trả lại cho bên cho thuê, chuyển giao cho bên thứ ba, tái chế hoặc tái sử dụng để thực hiện các hoạt động kinh doanh khác.
Xem xét rằng thiết bị này có thể chứa tài sản thông tin và phần mềm được cấp phép, các tổ chức nên đảm bảo rằng tất cả thông tin và phần mềm được cấp phép được xóa hoặc ghi đè không thể phục hồi trước khi việc xử lý hoặc tái sử dụng diễn ra. Điều này sẽ giúp duy trì tính bảo mật của thông tin có trong thiết bị này.
Ví dụ, nếu một tổ chức sử dụng nhà cung cấp dịch vụ thanh lý tài sản CNTT bên ngoài và chuyển máy tính xách tay, máy in và ổ đĩa ngoài cũ cho nhà cung cấp này, nhà cung cấp dịch vụ này có thể truy cập trái phép vào thông tin được lưu trữ trên thiết bị này.
Tiêu chuẩn kiểm soát 7.14 đề cập đến cách các tổ chức có thể duy trì tính bảo mật của thông tin được lưu trữ trên thiết bị để loại bỏ hoặc tái sử dụng bằng cách triển khai các biện pháp và quy trình bảo mật phù hợp.
Mục đích của Kiểm soát 7.14
Kiểm soát 7.14 cho phép các tổ chức ngăn chặn truy cập trái phép vào thông tin nhạy cảm bằng cách xác nhận rằng mọi thông tin và phần mềm được cấp phép lưu trữ trên thiết bị đều bị xóa hoặc ghi đè vĩnh viễn trước khi thiết bị bị loại bỏ hoặc được cung cấp cho bên thứ ba để tái sử dụng.
Bảng Thuộc tính
Biện pháp kiểm soát 7.14 là loại biện pháp kiểm soát mang tính phòng ngừa, yêu cầu các tổ chức phải duy trì tính bảo mật của thông tin được lưu trữ trên thiết bị sẽ bị loại bỏ hoặc triển khai để tái sử dụng bằng cách thiết lập và áp dụng các quy trình và biện pháp thích hợp để loại bỏ và tái sử dụng.
| Loại điều khiển | Thuộc tính bảo mật thông tin | Các khái niệm về an ninh mạng | Khả năng hoạt động | Miền bảo mật |
|---|---|---|---|---|
| #Phòng ngừa | #Bảo mật | #Bảo vệ | #An ninh vật lý #Quản lý tài sản | #Sự bảo vệ |
Quyền sở hữu kiểm soát 7.14
Việc tuân thủ Kiểm soát 7.14 yêu cầu phải thiết lập quy trình xử lý-tái sử dụng dữ liệu trên toàn tổ chức, xác định tất cả các thiết bị và triển khai các cơ chế xử lý kỹ thuật phù hợp cũng như quy trình tái sử dụng.
Do đó, Giám đốc thông tin phải chịu trách nhiệm thiết lập, triển khai và duy trì các quy trình và cơ chế xử lý và tái sử dụng thiết bị.
Hướng dẫn chung về tuân thủ
Tiêu chuẩn Kiểm soát 7.14 liệt kê bốn cân nhắc chính mà các tổ chức cần lưu ý để tuân thủ:
- Nên áp dụng một cách tiếp cận chủ động
Trước khi tiến hành xử lý hoặc thiết bị được cung cấp để tái sử dụng, các tổ chức phải xác nhận xem thiết bị có chứa bất kỳ tài sản thông tin và phần mềm được cấp phép nào không và phải đảm bảo rằng thông tin hoặc phần mềm đó sẽ bị xóa vĩnh viễn.
- Sự phá hủy vật lý hoặc xóa thông tin không thể phục hồi
Điều khiển 7.14 liệt kê hai phương pháp mà thông tin chứa trong thiết bị có thể được xóa một cách an toàn và vĩnh viễn:
- Thiết bị lưu trữ thông tin phải được phá hủy về mặt vật lý.
- Thông tin được lưu trữ trên thiết bị phải được xóa, ghi đè hoặc hủy theo cách không thể khôi phục được để các bên có ý đồ xấu không thể truy cập thông tin. Các tổ chức được khuyến nghị xem xét Kiểm soát 7.10 về Phương tiện lưu trữ và Kiểm soát 8.10 về việc xóa Thông tin.
- Xóa bỏ tất cả các nhãn và dấu hiệu
Các thành phần của thiết bị và thông tin chứa trong đó có thể có nhãn và ký hiệu để nhận dạng tổ chức hoặc tiết lộ tên của chủ sở hữu tài sản, mạng hoặc cấp độ phân loại thông tin được chỉ định.
Tất cả các nhãn hiệu và dấu hiệu này phải bị phá hủy hoàn toàn.
- Xóa bỏ các điều khiển
Xét đến các điều kiện sau, các tổ chức có thể chọn gỡ bỏ mọi biện pháp kiểm soát an ninh như hạn chế ra vào hoặc hệ thống giám sát khi họ rời khỏi cơ sở:
- Các điều khoản của hợp đồng cho thuê liên quan đến các điều kiện cần phải trả lại.
- Loại bỏ và giảm thiểu rủi ro truy cập trái phép vào thông tin nhạy cảm của người thuê tiếp theo.
- Liệu các biện pháp kiểm soát hiện tại có thể được tái sử dụng ở cơ sở tiếp theo hay không.
Hướng dẫn bổ sung về Kiểm soát 7.14
Ngoài Hướng dẫn chung, Kiểm soát 7.14 đưa ra ba khuyến nghị cụ thể cho các tổ chức.
Thiết bị bị hư hỏng
Khi thiết bị chứa thông tin bị hư hỏng được gửi đi sửa chữa, thiết bị đó có thể phải đối mặt với nguy cơ bị bên thứ ba truy cập trái phép.
Các tổ chức nên tiến hành đánh giá rủi ro có tính đến mức độ nhạy cảm của thông tin và cân nhắc liệu việc phá hủy thiết bị có phải là giải pháp khả thi hơn so với việc sửa chữa hay không.
Mã hóa toàn bộ đĩa
Mặc dù kỹ thuật mã hóa toàn bộ ổ đĩa có thể giảm thiểu đáng kể rủi ro về tính bảo mật của thông tin nhưng vẫn phải tuân thủ các tiêu chuẩn sau:
- Mã hóa rất mạnh mẽ và bao phủ toàn bộ các phần của đĩa, kể cả không gian trống.
- Khóa mật mã phải đủ dài để ngăn chặn các cuộc tấn công bằng vũ lực.
- Các tổ chức phải duy trì tính bảo mật của khóa mật mã. Ví dụ, khóa mã hóa không được lưu trữ trên cùng một đĩa.
Công cụ ghi đè
Các tổ chức nên chọn kỹ thuật ghi đè có tính đến các tiêu chí sau:
- Mức độ phân loại thông tin được chỉ định cho tài sản thông tin.
- Loại phương tiện lưu trữ thông tin.
Những thay đổi và khác biệt so với ISO 27002:2013
27002:2022/7.14 thay thế 27002:2013/(11.2.7)
Tiêu chuẩn Control 7.14 khá giống với tiêu chuẩn tương ứng trong Phiên bản 2013. Tuy nhiên, Tiêu chuẩn Control 7.14 trong phiên bản 2022 bao gồm các yêu cầu toàn diện hơn trong Hướng dẫn chung.
Ngược lại với Phiên bản 2013, Phiên bản 2022 đưa ra các yêu cầu sau:
- Các tổ chức phải xóa bỏ mọi dấu hiệu và nhãn hiệu nhận dạng tổ chức, mạng lưới và cấp độ phân loại.
- Các tổ chức nên cân nhắc việc gỡ bỏ các biện pháp kiểm soát đã áp dụng tại một cơ sở khi họ rời khỏi cơ sở đó.
