ISO 27001:2022 Annexe A 7.14 – Élimination ou réutilisation sécurisée de l'équipement

• See ISO 27002:2022 Contrôle 7.14 pour plus d'informations.
• See ISO 27001:2013 Annexe A 11.2.7 pour plus d'informations.

ISO 27001 Annexe A 7.14 : Bonnes pratiques pour l'élimination et la réutilisation sécurisées des équipements

Le matériel informatique qui n'est plus nécessaire doit être soit détruit, restitué au locataire, transmis à un tiers, recyclé ou réutilisé pour d'autres opérations commerciales.

Les organisations doivent protéger les informations et les logiciels sous licence en veillant à ce qu'ils soient effacés ou écrasés avant la mise au rebut ou la réutilisation de l'équipement. Cela contribuera à protéger la confidentialité des données stockées sur l'appareil.

Si une organisation fait appel à un fournisseur de services externe d'élimination des actifs informatiques pour transférer des ordinateurs portables, des imprimantes et des disques externes obsolètes, ce fournisseur peut obtenir un accès non autorisé aux données hébergées sur l'équipement.

L'Annexe A 27001 de l'ISO 2022 : 7.14 traite de la manière dont les organisations peuvent préserver la confidentialité des données stockées sur les équipements destinés à être éliminés ou réutilisés, en mettant en œuvre des mesures et des procédures de sécurité efficaces.

Objet de la norme ISO 27001:2022 Annexe A 7.14

ISO 27001: 2022 L'Annexe A 7.14 permet aux organisations d'empêcher l'accès non autorisé aux données délicates en vérifiant que toutes les informations et tous les logiciels sous licence sur l'équipement sont irrévocablement effacés ou écrasés avant que l'équipement ne soit jeté ou remis à un tiers pour réutilisation.

Propriété de l'annexe A 7.14

Conformément à la norme ISO 27001:2022 Annexe A 7.14, une procédure d'élimination-réutilisation des données à l'échelle de l'organisation doit être établie, comprenant l'identification de tous les équipements et la mise en œuvre de mécanismes techniques d'élimination et de processus de réutilisation appropriés.

La série Directeur des systèmes d'information devrait être responsable de la mise en place, de la mise en œuvre et du maintien de systèmes et de processus de mise au rebut et de réutilisation des équipements.

Guide sur la conformité à la norme ISO 27001:2022 Annexe A 7.14

L'Annexe A 27001 de la norme ISO 2022 :7.14 spécifie quatre considérations essentielles à la conformité que les organisations doivent garder à l'esprit :

Adopter une position proactive est conseillé

Avant l'élimination ou la réutilisation, les organisations doivent vérifier si l'équipement comprend des actifs informationnels et les logiciels sous licence et assurez-vous qu'ils sont définitivement effacés.

Destruction physique ou effacement irrémédiable des données

La norme ISO 27001 : 2022, annexe A 7.14, indique que deux approches peuvent être adoptées pour garantir un effacement sécurisé et permanent des informations sur les équipements :

• L'équipement contenant des supports de stockage contenant des informations doit être physiquement détruit.
• Les organisations doivent se référer à l'Annexe A 7.10 et à l'Annexe A 8.10 concernant stockage des médias et Suppression des informations, respectivement, afin de garantir que toutes les données stockées sur l'équipement sont effacées, écrasées ou détruites de manière à empêcher leur récupération par des parties malveillantes.

Toutes les étiquettes et marquages ​​doivent être retirés

Les composants de l'équipement et les données qu'ils contiennent peuvent être étiquetés ou marqués pour identifier l'organisation ou révéler le propriétaire de l'actif, le réseau ou le niveau de classification des informations. Toutes ces étiquettes et marquages ​​doivent être définitivement détruits.

Suppression des contrôles

Les organisations peuvent envisager de désinstaller les contrôles de sécurité, tels que les restrictions d’accès ou les systèmes de surveillance, lorsqu’elles quittent les installations, dans les conditions suivantes :

• Le contrat de location précise les conditions de restitution du bien.
• Atténuer le risque de tout accès non autorisé à des informations sensibles par le futur locataire est essentiel.
• Les contrôles actuels peuvent-ils être utilisés dans la prochaine installation ?

Orientations supplémentaires sur l'Annexe A 7.14

En plus des lignes directrices générales, l'Annexe A 27001 de la norme ISO 2022 :7.14 fournit trois recommandations spécifiques aux organisations.

Équipement endommagé

Lorsqu’un équipement contenant des données est envoyé en réparation, il peut être vulnérable à un accès non autorisé de tiers.

Les organisations doivent effectuer une évaluation des risques, en tenant compte du niveau de sensibilité des données, et se demander si la destruction de l'équipement serait un choix plus viable que la réparation.

Chiffrement complet du disque

Il est essentiel de garantir que le chiffrement complet du disque répond aux normes les plus élevées pour garantir la confidentialité des données. Il convient de noter que les points suivants doivent être respectés :

• Le chiffrement est fiable et protège tous les aspects du disque, y compris l'espace restant.
• Les clés cryptographiques doivent être suffisamment longues pour contrecarrer les attaques par force brute.
• Les organisations doivent protéger le secret de leurs clés cryptographiques. Par exemple, la clé de cryptage ne doit pas être stockée sur le même disque dur.

Outils d'écrasement

Les organisations doivent choisir une approche de remplacement en tenant compte des critères suivants :

• L'actif informationnel s'est vu attribuer un certain niveau de classification.
• Le type de support de stockage sur lequel les informations sont conservées est connu.

Modifications et différences par rapport à la norme ISO 27001:2013

ISO 27001:2022 Annexe A 7.14 remplace l'ISO 27001:2013 Annexe A 11.2.7 dans la norme révisée. La version ISO 27001:2022 remplace la version ISO 27001:2013 de la norme, la version la plus récente comprenant des mises à jour de l'annexe A 7.14.

La norme ISO 27001 : 2022, annexe A 7.14, ressemble beaucoup à son équivalent de 2013. Cependant, la version 2022 comporte des exigences plus complètes dans les orientations générales.

Par rapport à la norme ISO 27001:2013, la version 2022 apporte les exigences suivantes :

• Les organisations doivent effacer tous les panneaux et étiquettes spécifiant leur organisation, leur réseau et leur niveau de classification.
• Les organisations devraient envisager d’éliminer tous les contrôles qu’elles ont établis dans une installation à leur départ.

Tableau de tous les contrôles ISO 27001:2022 Annexe A

Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque individu ISO 27001:2022 Annexe A Contrôle.

Comment l'aide d'ISMS.online

ISMS.Online propose une approche globale de la mise en œuvre de la norme ISO 27001:2022. Il offre un processus rationalisé, permettant aux utilisateurs de répondre rapidement et efficacement aux normes de sécurité internationales. Grâce à son interface conviviale, il permet aux organisations d'établir et de maintenir facilement un système robuste. Système de gestion de la sécurité de l'information.

Ce système basé sur le Web vous permet de démontrer que votre SMSI répond aux critères spécifiés, grâce à des processus, procédures et listes de contrôle efficaces.

Contactez-nous maintenant pour organiser une démonstration.