Przejdź do głównej zawartości

7.14 Bezpieczna utylizacja lub ponowne użycie sprzętu

W skrócie: zanim sprzęt zostanie sprzedany, oddany, zezłomowany lub przekazany innemu użytkownikowi, sprawdza się, czy na pewno nie ma na nim danych ani licencji organizacji.

Cel: zapobieganie wyciekowi informacji ze sprzętu przeznaczonego do utylizacji lub ponownego użycia.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona)
Zdolności operacyjne#Asset_management (zarządzanie aktywami), #Physical_security (bezpieczeństwo fizyczne)
Domeny bezpieczeństwa#Protection (ochrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Przed utylizacją lub ponownym użyciem sprawdza się, czy sprzęt zawiera nośniki danych.
  • Nośniki z informacjami poufnymi lub objętymi prawami autorskimi niszczy się fizycznie albo usuwa z nich dane metodami uniemożliwiającymi odzyskanie, a nie zwykłym usuwaniem plików (zob. 7.10, 8.10).
  • Przed utylizacją, sprzedażą lub przekazaniem usuwa się etykiety i oznaczenia identyfikujące organizację, klasyfikację, właściciela, system lub sieć.
  • Przy opuszczaniu lokalu (np. koniec najmu) rozważa się demontaż zabezpieczeń — kontroli dostępu, monitoringu — biorąc pod uwagę wymagania umowy najmu, ryzyko pozostawienia danych (listy użytkowników, nagrania) i możliwość ponownego użycia.
  • Uszkodzony sprzęt z nośnikami wymaga oceny ryzyka: zniszczyć czy naprawić.
  • Szyfrowanie całego dysku zmniejsza ryzyko ujawnienia przy utylizacji, jeśli szyfrowanie jest silne, obejmuje cały dysk, a klucze są wystarczająco długie i przechowywane osobno (zob. 8.24).
  • Techniki nadpisywania różnią się w zależności od technologii nośnika. Narzędzia do nadpisywania warto okresowo sprawdzać.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Dyski SSD: nadpisywanie nie daje pewności usunięcia (kontroler przenosi zapisy między komórkami pamięci) — stosuje się kasowanie kryptograficzne (crypto erase), polecenia producenta (secure erase, sanitize) albo fizyczne zniszczenie.
  • Certyfikat usunięcia danych lub zniszczenia od firmy utylizującej, z numerami seryjnymi.
  • Drukarki i urządzenia wielofunkcyjne też mają dyski — często pomijane przy zwrocie sprzętu z leasingu.

Powiązania​