Przejdź do głównej zawartości

7.10 Nośniki danych

W skrócie: nośniki danych — od pendrive’a po dokumenty papierowe — są kontrolowane od zakupu, przez użycie i transport, aż po bezpieczne zniszczenie.

Cel: zapewnienie, że informacje na nośnikach są ujawniane, zmieniane, przenoszone lub niszczone tylko w sposób autoryzowany.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona)
Zdolności operacyjne#Asset_management (zarządzanie aktywami), #Physical_security (bezpieczeństwo fizyczne)
Domeny bezpieczeństwa#Protection (ochrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Nośniki zarządza się przez cały cykl życia — pozyskanie, użycie, transport, utylizację — zgodnie ze schematem klasyfikacji i wymaganiami postępowania.
  • Nośniki wymienne: polityka tematyczna, zgoda i rejestr przy wynoszeniu, bezpieczne przechowywanie zgodne z klasyfikacją i zaleceniami producenta, szyfrowanie, gdy ważna jest poufność lub integralność.
  • Ryzyko degradacji nośników: przenoszenie danych na nowe nośniki, zanim stare staną się nieczytelne; wiele kopii cennych informacji na osobnych nośnikach.
  • Porty nośników wymiennych (USB, karty SD) włącza się tylko wtedy, gdy jest uzasadnienie biznesowe. Gdy użycie jest konieczne, monitoruje się kopiowanie na nie.
  • Nośniki fizyczne w transporcie są narażone na nieuprawniony dostęp i uszkodzenie — stosuje się środki z 5.14.
  • Ponowne użycie i utylizacja: bezpieczne usuwanie danych lub formatowanie przed ponownym użyciem (8.10), bezpieczne niszczenie nośników niepotrzebnych, rejestr niszczenia, dobór sprawdzonego dostawcy usług niszczenia.
  • Przy gromadzeniu nośników do zniszczenia uwzględnia się efekt agregacji — duża ilość mało wrażliwych danych razem może być wrażliwa.
  • Uszkodzone urządzenia z wrażliwymi danymi wymagają oceny ryzyka: zniszczyć czy oddać do naprawy (7.14).

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Blokada zapisu na USB przez EDR lub GPO, z wyjątkami dla zatwierdzonych, szyfrowanych pendrive’ów.
  • Niszczenie nośników według PN-EN 15713 i DIN 66399 / ISO/IEC 21964 (kategorie nośników P, F, O, T, H, E i poziomy bezpieczeństwa 1–7, np. P-4 dla dokumentów, H-5 dla dysków twardych), z protokołem od firmy niszczącej.
  • Metody usuwania danych zgodne z NIST SP 800-88 (clear, purge, destroy) dobrane do typu nośnika.

Powiązania​