8.10 Usuwanie informacji

Rodzaj kontroli: Informacja
Właściwości bezpieczeństwa: Prewencyjne, Poufność
Koncepcje cyberbezpieczeństwa: Ochrona, Ochrona informacji, Zgodność prawna i regulacyjna
Obszary operacyjne: Ochrona

Kontrola

Informacje przechowywane w systemach informatycznych, urządzeniach lub na innych nośnikach danych powinny być usuwane, gdy nie są już wymagane.

Cel

Zapobieganie niepotrzebnemu ujawnieniu poufnych informacji oraz zapewnienie zgodności z wymaganiami prawnymi, ustawowymi, regulacyjnymi i umownymi dotyczącymi usuwania informacji.

Wytyczne

Ogólne zasady

Poufne informacje nie powinny być przechowywane dłużej, niż jest to konieczne, aby ograniczyć ryzyko ich niepożądanego ujawnienia.

Podczas usuwania informacji z systemów, aplikacji i usług należy uwzględnić:

• a) wybór odpowiedniej metody usuwania informacji (np. elektroniczne nadpisywanie, kryptograficzne usuwanie) zgodnie z wymaganiami biznesowymi oraz uwzględniając obowiązujące przepisy i regulacje;
• b) rejestrowanie wyników procesu usuwania jako dowodu jego wykonania;
• c) uzyskiwanie potwierdzenia usunięcia informacji od dostawców zewnętrznych świadczących usługi usuwania danych.

W przypadku przechowywania informacji organizacji przez podmioty trzecie, organizacja powinna włączyć wymagania dotyczące usuwania informacji do umów z tymi podmiotami, aby zapewnić ich realizację zarówno w trakcie, jak i po zakończeniu świadczenia usług.

Metody usuwania informacji

Zgodnie z polityką organizacji dotyczącą przechowywania danych oraz obowiązującymi przepisami, poufne informacje powinny być usuwane, gdy nie są już wymagane, poprzez:

• a) konfigurację systemów tak, aby automatycznie niszczyły informacje, gdy nie są już wymagane (np. po określonym czasie zgodnie z polityką przechowywania danych lub na wniosek użytkownika);
• b) usuwanie nieaktualnych wersji, kopii i plików tymczasowych niezależnie od miejsca ich przechowywania;
• c) stosowanie zatwierdzonego, bezpiecznego oprogramowania do trwałego usuwania informacji, aby uniemożliwić odzyskanie danych przy użyciu narzędzi informatyki śledczej;
• d) korzystanie z usług certyfikowanych dostawców oferujących bezpieczne usuwanie informacji;
• e) stosowanie metod usuwania dostosowanych do rodzaju nośnika danych (np. demagnetyzacja dysków twardych i innych nośników magnetycznych).

W przypadku korzystania z usług chmurowych organizacja powinna zweryfikować, czy metoda usuwania danych oferowana przez dostawcę usług chmurowych jest akceptowalna. W razie spełnienia wymagań organizacja powinna korzystać z tej metody lub zażądać od dostawcy usunięcia informacji. Procesy usuwania danych w środowiskach chmurowych powinny być automatyzowane i zgodne z politykami organizacji. W zależności od stopnia poufności usuwanych informacji, logi powinny rejestrować proces ich usunięcia w celu jego weryfikacji.

Aby zapobiec przypadkowemu ujawnieniu poufnych informacji przy zwrocie sprzętu do dostawców, przed opuszczeniem siedziby organizacji należy usunąć dodatkowe nośniki danych (np. dyski twarde) oraz pamięć operacyjną urządzeń.

Ponieważ niektóre urządzenia (np. smartfony) można skutecznie wyczyścić jedynie poprzez fizyczne zniszczenie lub wykorzystanie wbudowanych funkcji (np. „przywracanie ustawień fabrycznych”), organizacja powinna wybrać odpowiednią metodę usuwania w zależności od klasyfikacji informacji przetwarzanych przez dane urządzenie.

Środki kontrolne opisane w punkcie 7.14 powinny być stosowane w celu fizycznego zniszczenia nośników danych oraz jednoczesnego usunięcia przechowywanych na nich informacji.

Posiadanie oficjalnej dokumentacji dotyczącej usuwania informacji może być przydatne przy analizie potencjalnych przypadków wycieku danych.

Inne informacje

• Informacje na temat usuwania danych użytkownika w usługach chmurowych można znaleźć w normie ISO/IEC 27017.
• Informacje dotyczące usuwania danych osobowych (PII) znajdują się w normie ISO/IEC 27555.