Przejdź do głównej zawartości

8.10 Usuwanie informacji ★

W skrócie: informacje, których organizacja już nie potrzebuje, są usuwane — skutecznie i w sposób, który da się wykazać.

Cel: zapobieganie niepotrzebnemu ujawnieniu wrażliwych informacji i zapewnienie zgodności z wymaganiami prawnymi, regulacyjnymi i umownymi dotyczącymi usuwania informacji.

★ Zabezpieczenie nowe w wydaniu 2022 — nie ma odpowiednika w ISO/IEC 27002:2013.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona)
Zdolności operacyjne#Information_protection (ochrona informacji), #Legal_and_compliance (prawo i zgodność)
Domeny bezpieczeństwa#Protection (ochrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Wrażliwych informacji nie przechowuje się dłużej, niż to konieczne — ogranicza to ryzyko ich ujawnienia.
  • Przy usuwaniu informacji z systemów, aplikacji i usług organizacja wybiera metodę (np. nadpisanie, kasowanie kryptograficzne) zgodną z wymaganiami biznesowymi i prawnymi.
  • Wyniki usunięcia zapisuje się jako dowód.
  • Gdy usuwanie zleca się dostawcy, organizacja uzyskuje od niego dowód usunięcia.
  • Uwzględnia się przechowywanie u stron trzecich: dostawca usług powinien usuwać informacje organizacji po zakończeniu umowy lub na żądanie, a organizacja powinna to wpisać w wymagania.
  • Gdzie to możliwe, usuwanie automatyzuje się zgodnie z polityką retencji. Usuwa się także kopie tymczasowe, przestarzałe wersje i kopie w różnych miejscach.
  • Przy oddaniu sprzętu do naprawy lub utylizacji usuwa się informacje lub nośnik (7.14). Usuwanie w chmurze wymaga sprawdzenia, czy metoda dostawcy jest akceptowalna.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Polityka retencji z automatycznym usuwaniem w systemach poczty i dokumentów — zamiast ręcznego sprzątania raz na kilka lat.
  • Kasowanie kryptograficzne: zniszczenie klucza czyni zaszyfrowane dane nieczytelnymi, także w kopiach zapasowych i u dostawcy chmury.
  • Obsługa żądania usunięcia danych z RODO (art. 17) obejmuje kopie, środowiska testowe i dane przekazane podmiotom przetwarzającym.

Powiązania​