ISO 27701 – Lauseke 6.5.3 – Median käsittely

ISO 27701, lauseke 6.5.3: Median suojauksen parhaat käytännöt

ICT-media – olipa se irrotettava tai staattinen –, jota käytetään henkilökohtaisten tunnistetietojen tallentamiseen ja käsittelyyn, nähdään usein ensisijaisena ongelmana organisaatioille, jotka haluavat pysyä oikeudellisten, säädösten ja sopimusvelvoitteidensa mukaisesti.

Siirrettävien tietovälineiden – ja sen sisältämien henkilökohtaisten tunnistetietojen – hallinnan vaikeudet kasvavat räjähdysmäisesti organisaation koon ja tällaisten laitteiden käyttöön sallittujen työntekijöiden määrän myötä.

Operatiivisen käytön lisäksi tallennusvälineet on poistettava asianmukaisesti verkosta ja hävitettävä, kun niitä ei enää tarvita, ja organisaatioiden on varmistettava, ettei henkilökohtaisista tunnisteista tai yksityisyyteen liittyvistä tiedoista jää jäljelle ennen uudelleenkäyttöä.

Mitä ISO 27701:n lauseke 6.5.3 kattaa

Jokainen ISO 27701:n lauseke käsittelee henkilökohtaisten tunnistetietojen käsitettä tallennusvälineiden yhteydessä:

• ISO 27701 6.5.3.1 – Irrotettavan tietovälineen hallinta (viitteet ISO 27002 ohjaus 7.10)
• ISO 27701 6.5.3.2 – Tietovälineiden hävittäminen (viitteet ISO 27002 ohjaus 7.10)
• ISO 27701 6.5.3.3 – Fyysisen median siirto (viitteet ISO 27002 ohjaus 7.10)

ISO 27701:n lauseke 6.5.3 on yksi kolmen aikaisemman ISO 27002 -lausekkeen yhdistäminen, jotka on nyt konsolidoitu yhdeksi lausekkeeksi vuoden 2022 iteraatiossa – ISO 27002 7.10 (Storage Media).

Jokainen ohjausobjekti sisältää lisätietoihin liittyviä ohjeita, jotka ohjaavat organisaation lähestymistapaa tallennusvälineisiin.

Lisäksi jokainen alalauseke sisältää useita ohjeita, jotka liittyvät tiettyihin Yhdistyneen kuningaskunnan GDPR-lainsäädännön artikloihin.

Huomaa, että GDPR-viitteet ovat vain ohjeellisia. Organisaatioiden tulee tutkia lainsäädäntöä ja tehdä omat arvionsa siitä, mitä lain osia niihin sovelletaan.

ISO 27701, lauseke 6.5.3.1 – Irrotettavan tietovälineen hallinta

Viitteet ISO 27002 Control 7.10

Irrotettava tallennusväline

Kun kehitetään käytäntöjä, jotka ohjaavat henkilökohtaisten tunnistetietojen tallentamiseen liittyvien mediavarojen käsittelyä, organisaatioiden tulee:

• Kehitä ainutlaatuisia aihekohtaisia ​​käytäntöjä osastokohtaisten tai työhön perustuvien vaatimusten perusteella.
• Varmista, että asianmukainen valtuutus on haettu ja myönnetty, ennen kuin henkilökunta voi poistaa tallennusvälineitä verkosta (mukaan lukien tarkka ja ajantasainen kirjaus tällaisista toimista).
• Säilytä materiaalia valmistajan ohjeiden mukaisesti ilman ympäristövaurioita.
• Harkitse salauksen käyttöä pääsyn edellytyksenä tai, jos se ei ole mahdollista, fyysisten lisäturvatoimenpiteiden käyttöönottoa.
• Minimoi henkilötietojen vioittumisen riski siirtämällä tietoja tallennusvälineiden välillä tarpeen mukaan.
• Ota käyttöön henkilökohtaisten tunnistetietojen redundanssi tallentamalla suojattuja tietoja usealle omaisuudelle samanaikaisesti.
• Salli tallennusvälineiden käyttö vain hyväksytyissä tuloissa (esim. SD-kortit ja USB-portit) omaisuuskohtaisesti.
• Seuraa tarkasti henkilökohtaisten tunnistetietojen siirtoa tallennusvälineille mihin tahansa tarkoitukseen.
• Ota huomioon riskit, jotka liittyvät tallennusvälineiden fyysiseen siirtoon (ja valtakirjalla sen sisältämien henkilökohtaisten tunnistetietojen siirtämiseen), kun siirretään omaisuutta henkilöstön tai tilojen välillä (ks. ISO 27002 5.14).

Uudelleenkäyttö ja hävittäminen

Kun tallennusvälinettä käytetään uudelleen, käytetään uudelleen tai hävitetään, on otettava käyttöön vankat menettelyt sen varmistamiseksi, että henkilökohtaisiin tietoihin ei vaikuteta millään tavalla, mukaan lukien:

1. Tallennusvälineiden alustaminen ja sen varmistaminen, että kaikki henkilötiedot poistetaan ennen uudelleenkäyttöä (katso ISO 27002 8.10), mukaan lukien riittävän dokumentaation ylläpitäminen kaikista tällaisista toimista.
2. Sellaisten tietovälineiden turvallinen hävittäminen, joille organisaatiolla ei ole enää käyttöä ja joita on käytetty henkilökohtaisten tunnistetietojen tallentamiseen.
3. Jos hävittäminen edellyttää kolmannen osapuolen osallistumista, organisaation tulee huolehtia siitä, että se on sopiva ja asianmukainen kumppani tällaisten tehtävien suorittamiseen, mikä on organisaation vastuuta henkilökohtaisia ​​tunnistetietoja ja yksityisyyden suojaa kohtaan.
4. Toteutetaan menettelyt, jotka tunnistavat, mitkä tallennusvälineet ovat käytettävissä uudelleenkäyttöön tai ne voidaan hävittää vastaavasti.

Jos henkilökohtaisten tunnistetietojen tallentamiseen käytetyt laitteet vaurioituvat, organisaation tulee harkita huolellisesti, onko tarkoituksenmukaisempaa tuhota tietoväline tai lähettää se korjattavaksi (ennen puolella).

Muita henkilökohtaisia ​​tunnistetietoja koskevia ohjeita

ISO varoittaa organisaatioita käyttämästä salaamattomia tallennuslaitteita kaikissa henkilökohtaisiin tunnistetietoihin liittyvissä toimissa.

Asiaankuuluvat ISO 27002 -säätimet

• ISO 27002 -ohjaus 5.14

Sovellettavat GDPR-artikkelit

• 5 artikla – 1 kohdan f alakohta
• 32 artikla – 1 kohdan a alakohta

ISO 27701, kohta 6.5.3.2 – Materiaalin hävittäminen

Viitteet ISO 27002 Control 7.10

Katso ISO 27701 kohta 6.5.3.1.

Muita henkilökohtaisia ​​tunnistetietoja koskevia ohjeita

Jos media aiotaan hävittää aiemmin hallussa olevista henkilökohtaisista tiedoista, organisaatioiden tulee ottaa käyttöön menettelyt, jotka dokumentoivat henkilökohtaisten tunnistetietojen ja yksityisyyteen liittyvien tietojen tuhoamisen, mukaan lukien kategoriset takeet siitä, että ne eivät ole enää saatavilla.

Sovellettavat GDPR-artikkelit

• 5 artikla – 1 kohdan f alakohta

ISO 27701, lauseke 6.5.3.3 – Fyysinen median siirto

Viitteet ISO 27002 Control 7.10

Katso ISO 27701 kohta 6.5.3.1.

Muita henkilökohtaisia ​​tunnistetietoja koskevia ohjeita

Organisaatioiden tulee olla erityisen varovaisia ​​kuljettaessaan henkilökohtaisia ​​tunnistetietoja sisältäviä tallennusvälineitä vakiotietoluokista poiketen.

Kirjaa tulee säilyttää kaikista saapuvista ja lähtevistä tietovälineistä, jotka sisältävät henkilökohtaisia ​​tunnistetietoja, mukaan lukien:

1. Mediatyyppi (HDD, USB, SD-kortti jne.).
2. Valtuutetut lähettäjät ja sisäiset vastaanottajat.
3. Siirron päivämäärä ja kellonaika.
4. Siirrettävän fyysisen median määrä.

Sovellettavat GDPR-artikkelit

• 5 artikla – 1 kohdan f alakohta
• 32 artikla – 1 kohdan a alakohta

Tuetut ohjaimet ISO 27002:sta ja GDPR:stä

Miten ISMS.online auttaa

ISMS.online tekee henkilötietojen hallinnasta helppoa loistavalla pilvipohjaisella ratkaisulla, joka tukee ISO 27701 -yhteensopivuutta organisaatiossasi.

Tämän lisäksi meillä on käytettävissämme tietoturva-asiantuntijoita ja resursseja, jotka opastavat sinua ISO 27701 -akkreditointiprosessin läpi.

Lue lisää ja tutustu esittelyyn varata demo.