ISO 27701 – Klousule 6.5.3 – Mediahantering

ISO 27701 Klousule 6.5.3: Beste praktyke vir mediasekuriteit

IKT-media – hetsy verwyderbaar of staties – wat gebruik word om PII te stoor en te verwerk, word dikwels beskou as die primêre pynpunt vir organisasies wat aan die regte kant van hul wetlike, regulatoriese en kontraktuele verpligtinge wil bly.

Die probleme met die bestuur van verwyderbare media – en die PII wat daarop vervat is – groei eksponensieel met die grootte van die organisasie en die aantal werknemers wat toegelaat word om sulke toestelle te gebruik.

Benewens hul operasionele gebruik, moet bergingsmedia voldoende van die netwerk verwyder word en weggedoen word wanneer dit nie meer nodig is nie, en organisasies moet verseker dat geen oorblywende spoor van enige PII of privaatheidverwante inligting gelaat word voor hergebruik nie.

Wat word gedek in ISO 27701 Klousule 6.5.3

Elke klousule binne ISO 27701 handel oor die konsep van PII, binne die konteks van bergingsmedia:

• ISO 27701 6.5.3.1 – Bestuur van verwyderbare media (Verwysings ISO 27002 beheer 7.10)
• ISO 27701 6.5.3.2 – Wegdoening van media (Verwysings ISO 27002 beheer 7.10)
• ISO 27701 6.5.3.3 – Fisiese media-oordrag (Verwysings ISO 27002 beheer 7.10)

ISO 27701 Klousule 6.5.3 is 'n samevoeging van drie vorige ISO 27002-klousules, wat nou in een enkele klousule in die 2022-iterasie gekonsolideer is – ISO 27002 7.10 (Storage Media).

Elke kontrole bevat bykomende PII-verwante leiding wat 'n organisasie se benadering tot bergingsmedia beheer.

Daarbenewens bevat elke subklousule verskeie riglyne wat verband hou met spesifieke artikels binne die Britse GDPR-wetgewing.

Neem asseblief kennis dat GDPR-aanhalings slegs vir aanduidingsdoeleindes is. Organisasies moet die wetgewing onder die loep neem en hul eie oordeel maak oor watter dele van die wet op hulle van toepassing is.

ISO 27701 Klousule 6.5.3.1 – Bestuur van verwyderbare media

Verwysings ISO 27002 Beheer 7.10

Verwyderbare bergingsmedia

Wanneer organisasies beleid ontwikkel wat die hantering van mediabates wat betrokke is by die berging van PII reguleer, moet organisasies:

• Ontwikkel unieke onderwerpspesifieke beleide gebaseer op departementele of posgebaseerde vereistes.
• Verseker dat behoorlike magtiging gesoek en verleen word, voordat personeel in staat is om bergingsmedia van die netwerk te verwyder (insluitend die hou van 'n akkurate en op datum rekord van sulke aktiwiteite).
• Berg media in ooreenstemming met die vervaardiger se spesifikasies, vry van enige omgewingskade.
• Oorweeg om enkripsie te gebruik as 'n voorvereiste om toegang te verkry, of waar dit nie moontlik is nie, om bykomende fisiese sekuriteitsmaatreëls te implementeer.
• Verminder die risiko dat PII beskadig word deur inligting tussen bergingsmedia oor te dra, soos vereis word.
• Stel PII-oortolligheid bekend deur beskermde inligting op verskeie bates op dieselfde tyd te stoor.
• Magtig slegs die gebruik van bergingsmedia op goedgekeurde insette (dws SD-kaarte en USB-poorte), op 'n bate-vir-bate basis.
• Monitor die oordrag van PII na stoormedia noukeurig, vir enige doel.
• Neem die risiko's wat inherent is aan die fisiese oordrag van bergingsmedia (en by volmag, die PII daarop vervat) in ag wanneer bates tussen personeel of persele verskuif word (sien ISO 27002 5.14).

Hergebruik en wegdoening

Wanneer bergingsmedia herdoel, hergebruik of weggedoen word, moet robuuste prosedures in plek gestel word om te verseker dat PII nie op enige manier geraak word nie, insluitend:

1. Formateer die stoormedia, en verseker dat alle PII verwyder word voor hergebruik (sien ISO 27002 8.10), insluitend die handhawing van voldoende dokumentasie van al sulke aktiwiteite.
2. Veilig wegdoen van enige media waarvoor die organisasie geen verdere gebruik het nie, en gebruik is om PII te stoor.
3. Indien wegdoening die betrokkenheid van 'n derdeparty vereis, moet organisasies groot sorg dra om te verseker dat hulle 'n geskikte en gepaste vennoot is om sulke pligte uit te voer, in lyn met die organisasie se verantwoordelikheid teenoor PII en privaatheidbeskerming.
4. Implementering van prosedures wat identifiseer watter bergingsmedia beskikbaar is vir hergebruik, of dienooreenkomstig weggedoen kan word.

As toestelle wat gebruik is om PII te stoor beskadig raak, moet organisasies sorgvuldig oorweeg of dit meer gepas is om sulke media te vernietig of nie vir herstel te stuur (fout aan die kant van eersgenoemde).

Bykomende PII-verwante leiding

ISO waarsku organisasies teen die gebruik van ongeënkripteerde bergingstoestelle vir enige PII-verwante aktiwiteite.

Relevante ISO 27002-kontroles

• ISO 27002 Beheer 5.14

Toepaslike GDPR-artikels

• Artikel 5 – (1)(f)
• Artikel 32 – (1)(a)

ISO 27701 Klousule 6.5.3.2 – Wegdoening van media

Verwysings ISO 27002 Beheer 7.10

Sien ISO 27701 Klousule 6.5.3.1.

Bykomende PII-verwante leiding

As media ontslae geraak wil word van daardie PII wat voorheen gehou is, moet organisasies prosedures implementeer wat die vernietiging van PII en privaatheidverwante data dokumenteer, insluitend kategoriese versekering dat dit nie meer beskikbaar is nie.

Toepaslike GDPR-artikels

• Artikel 5 – (1)(f)

ISO 27701 Klousule 6.5.3.3 – Fisiese media-oordrag

Verwysings ISO 27002 Beheer 7.10

Sien ISO 27701 Klousule 6.5.3.1.

Bykomende PII-verwante leiding

Organisasies moet ekstra versigtig wees wanneer hulle bergingsmedia vervoer wat PII bevat, anders as standaard datakategorieë.

Rekords moet gehou word van alle inkomende en uitgaande media wat PII bevat, insluitend:

1. Mediatipe (HDD, USB, SD-kaart, ens.).
2. Gemagtigde senders en interne ontvangers.
3. Datum en tyd van oordrag.
4. Die hoeveelheid fisiese media wat oorgedra moet word.

Toepaslike GDPR-artikels

• Artikel 5 – (1)(f)
• Artikel 32 – (1)(a)

Ondersteunende kontroles vanaf ISO 27002 en GDPR

Hoe ISMS.online help

ISMS.online maak persoonlike inligtingbestuur maklik deur 'n wonderlike wolkgebaseerde oplossing om ISO 27701-voldoening in jou organisasie te ondersteun.

Boonop het ons inligtingsekuriteitskundiges en hulpbronne beskikbaar om jou deur die ISO 27701-akkreditasieproses te lei.

Vind meer uit en kry 'n praktiese demonstrasie deur bespreek 'n demo.