הבטחת סילוק בטוח ושימוש חוזר בציוד: ISO 27002 בקרת 7.14 הסבר
כאשר אין עוד צורך בציוד IT כגון כוננים חיצוניים, כונני USB, מחשבים ניידים או מדפסות, הם נהרסים פיזית, מוחזרים בחזרה למושכר, מועברים לצד שלישי, ממוחזרים או זמינים לשימוש חוזר כדי לבצע עסקים אחרים פעולות.
בהתחשב בכך שציוד זה עשוי להכיל נכסי מידע ותוכנות ברישיון, ארגונים צריכים להבטיח שכל המידע והתוכנות המורשות יימחקו באופן בלתי הפיך או יוחלפו לפני ההשלכה או השימוש החוזר. זה יעזור לשמור על סודיות המידע הכלול בציוד זה.
לדוגמה, אם ארגון משתמש בספק חיצוני של שירותי סילוק נכסי IT ומעביר לספק זה מחשבים ניידים, מדפסות וכוננים חיצוניים ישנים, ספק שירות זה עלול לקבל גישה בלתי מורשית למידע המתארח בציוד זה.
בקרה 7.14 מתייחסת כיצד ארגונים יכולים לשמור על סודיות המידע המאוחסן על הציוד שייפטר או יעשה בו שימוש חוזר על ידי יישום אמצעי ונהלי אבטחה מתאימים.
מטרת הבקרה 7.14
בקרה 7.14 מאפשרת לארגונים למנוע גישה בלתי מורשית למידע רגיש על ידי אישור שכל המידע והתוכנות המורשות המאוחסנות בציוד נמחקים או נמחקים באופן בלתי הפיך לפני שהציוד נפטר או מסופק לצדדים שלישיים לשימוש חוזר.
טבלת בקרה של תכונות 7.14
בקרה 7.14 היא סוג מניעתי של בקרה דורש מארגונים לשמור על סודיות המידע מתארח בציוד שייפטר או ייפרס לשימוש חוזר על ידי קביעת ויישום נהלים ואמצעים מתאימים לסילוק ושימוש חוזר.
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לְהַגֵן | #ביטחון פיזי | #הֲגָנָה |
| #ניהול נכסים |
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
בעלות על שליטה 7.14
עמידה ב-Control 7.14 מחייבת הקמת נוהל סילוק נתונים-שימוש חוזר בארגון כולו, זיהוי כל הציוד והטמעת מנגנוני סילוק טכניים מתאימים ותהליך שימוש חוזר.
לפיכך, קצין המידע הראשי צריך להיות אחראי על הקמה, יישום ותחזוקה של נהלים ומנגנונים של סילוק ציוד ושימוש חוזר.
הנחיות כלליות בנושא ציות
ה-Control 7.14 מפרט ארבעה שיקולים מרכזיים שארגונים צריכים לקחת בחשבון לצורך תאימות:
- יש לאמץ גישה פרואקטיבית
לפני ביצוע השלכה או שהציוד זמין לשימוש חוזר, ארגונים חייבים לאשר אם הציוד מכיל כזה נכסי מידע ותוכנות מורשות ועליו להבטיח שמידע או תוכנה כאלה יימחקו לצמיתות.
- הרס פיזי או מחיקה בלתי ניתנת לשיחזור של מידע
בקרה 7.14 מפרטת שתי שיטות שבאמצעותן ניתן להסיר את המידע הכלול בציוד באופן מאובטח ולתמיד:
- יש להשמיד פיזית ציוד המארח התקני מדיה אחסון המכילים מידע.
- יש למחוק מידע המאוחסן בציוד, לדרוס או להרוס באופן שאינו ניתן לאחזור כך שגורמים זדוניים לא יוכלו לגשת למידע. מומלץ לארגונים לעיין ב-Control 7.10 על מדיית אחסון וב-Control 8.10 על מחיקת מידע.
- הסרת כל התוויות והסימונים
רכיבי הציוד והמידע הכלול בו יכולים להיות בעלי תוויות וסימונים המזהים את הארגון או שחושפים את שמו של בעל הנכס, הרשת או רמת סיווג המידע שהוקצתה.
יש להשמיד את כל התוויות והסימונים הללו באופן בלתי הפיך.
- הסרת בקרות
בהתחשב בתנאים הבאים, ארגונים עשויים לבחור להסיר את כל בקרות האבטחה כגון הגבלות גישה או מערכות מעקב כאשר הם מפנים מתקנים:
- תנאי הסכם השכירות התייחסו לתנאים שבהם יש להחזירו.
- ביטול והפחתת הסיכון של גישה לא מורשית למידע רגיש על ידי הדייר הבא.
- האם ניתן לעשות שימוש חוזר בבקרות הקיימות במתקן הבא.
הנחיות משלימות בקרה 7.14
בנוסף להנחיה הכללית, בקרה 7.14 טומנת בחובה שלוש המלצות ספציפיות לארגונים.
ציוד פגום
כאשר ציוד פגום המכיל מידע נשלח לתיקון, הוא עלול להיות חשוף לסיכון של גישה לא מורשית על ידי צדדים שלישיים.
ארגונים צריכים לבצע א הערכת סיכונים תוך התחשבות ברמת הרגישות של המידע ושקול אם השמדת הציוד היא אפשרות מעשית יותר מאשר תיקון.
הצפנת דיסק מלא
בעוד שטכניקת הצפנת הדיסק המלא ממזערת מאוד את הסיכונים לסודיות המידע, עליה לעמוד בסטנדרטים הבאים:
- ההצפנה חזקה והיא מכסה את כל חלקי הדיסק, כולל שטח רפוי.
- מפתחות קריפטוגרפיים צריכים להיות ארוכים מספיק כדי למנוע התקפות של כוח גס.
- ארגונים צריכים לשמור על סודיות מפתחות הצפנה. לדוגמה, מפתח ההצפנה לא אמור להיות מאוחסן באותו דיסק.
כלי כתיבה
ארגונים צריכים לבחור בטכניקת החלפה תוך התחשבות בקריטריונים הבאים:
- רמת סיווג המידע שהוקצה לנכס המידע.
- סוג אמצעי האחסון עליו נשמר המידע.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
שינויים והבדלים מ-ISO 27002:2013
27002:2022/7.14 replaces 27002:2013/(11.2.7)
ה-Control 7.14 דומה במידה רבה למקבילו בגרסת 2013. עם זאת, ה-Control 7.14 בגרסת 2022 כולל דרישות מקיפות יותר בהנחיות הכלליות.
בניגוד לגרסת 2013, גירסת 2022 מציגה את הדרישות הבאות:
- ארגונים צריכים להסיר את כל הסימונים והתוויות המזהים את הארגון, הרשת ורמת הסיווג.
- ארגונים צריכים לשקול את הסרת הבקרות המיושמות על מתקן כאשר הם מפנים מתקן זה.
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
ISMS.Online הוא פתרון מלא עבור ISO 27002 יישום.
זוהי מערכת מבוססת אינטרנט המאפשרת לך להראות כי שלך מערכת ניהול אבטחת מידע (ISMS) תואם את התקנים המאושרים תוך שימוש בתהליכים, נהלים ורשימות ביקורת.
צור קשר עוד היום כדי הזמן הדגמה.
