ISO 27002:2022 – Contrôle 8.10 – Suppression des informations

Objectif du contrôle 8.10

En plus de gérer l'utilisation continue des données et des informations sur les serveurs internes et les périphériques de stockage (disques durs, baies, clés USB, etc.), l'organisation doit être parfaitement consciente de ses obligations en matière de suppression de toutes les données détenues sur les employés, les utilisateurs et les clients. ou des organisations lorsque cela est raisonnablement nécessaire (généralement lorsque cela n’est plus nécessaire).

Attributs Table de contrôle 8.10

Le contrôle 8.10 est un contrôle préventif qui modifie le risque en décrivant une approche de suppression des données qui complète les politiques de conservation des données existantes d'une organisation et les maintient conformes aux lois ou directives réglementaires en vigueur.

Propriété du contrôle 8.10

Control 8.10 traite en grande partie des tâches de maintenance liées à la suppression et à la destruction de données et/ou d'actifs informatiques, y compris l'utilisation de logiciels spécialisés et la liaison avec des fournisseurs spécialisés dans la suppression de données et d'appareils. En tant que tel, la propriété doit appartenir au responsable informatique ou à son équivalent organisationnel.

Orientations générales sur la conformité

Il peut parfois être difficile de déterminer quand les données doivent être supprimées. En règle générale, le Contrôle 8.10 demande aux organisations de supprimer les données lorsqu'elles ne sont plus nécessaires, afin de minimiser ce que l'on appelle divulgation indésirable – c'est-à-dire que les données sont consultées ou transmises à des individus et à des organisations qui ne sont pas autorisés à y accéder.

Conformément à cette directive, lorsque vient le temps de supprimer des données, les organisations doivent :

1. Optez pour une méthode de suppression appropriée qui respecte toutes les lois ou réglementations en vigueur. Les techniques incluent la suppression standard, l’écrasement ou la suppression cryptée.
2. Enregistrez les résultats de la suppression pour référence future.
3. Assurez-vous que, si un fournisseur de suppression spécialisé est utilisé, l'organisation obtient une preuve adéquate (généralement via la documentation) que la suppression a été effectuée.
4. Si un fournisseur tiers est utilisé, les organisations doivent stipuler leurs exigences précises, y compris les méthodes et les délais de suppression, et garantir que les activités de suppression sont couvertes par un accord contraignant.

Conseils – Méthodes de suppression spécifiques

Lors de la formulation d’un processus de suppression, les organisations doivent :

1. Configurez les systèmes internes pour supprimer les données et les informations conformément à la politique de conservation spécifique à un sujet de l'organisation.
2. Assurez-vous que la suppression s'étend aux fichiers temporaires, aux informations mises en cache, aux copies de données et aux versions héritées.
3. Pensez à utiliser des applications utilitaires de suppression spécialisées pour minimiser les risques.
4. Ne faites appel à des spécialistes de suppression certifiés et vérifiables que s'il est nécessaire de recourir à un service tiers.
5. Mettre en œuvre des mesures de suppression physique adaptées à l'appareil en question (par exemple démagnétisation support de stockage magnétique, restauration des paramètres d'usine d'un smartphone ou destruction physique) (voir Contrôle 7.14).
6. Assurez-vous que les fournisseurs de services cloud sont alignés sur les propres exigences de suppression de l'organisation (dans la mesure du possible).

Informations supplémentaires sur le contrôle 8.10

Lors de l'expédition d'équipements (notamment des serveurs et des postes de travail) aux fournisseurs, les organisations doivent retirer tout périphérique de stockage interne ou externe avant de le faire.

Lignes directrices à l’appui

• 7.14

Modifications et différences par rapport à la norme ISO 27002:2013

Aucun. Le contrôle 8.10 n'a pas de précédent dans la norme ISO 27002:2013 car il est nouveau.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

La plateforme ISMS.online fournit une gamme d'outils puissants qui simplifient la façon dont vous pouvez documenter, mettre en œuvre, maintenir et améliorer votre système de gestion de la sécurité de l'information (ISMS) et atteindre la conformité à la norme ISO 27002.

L'ensemble complet d'outils vous offre un endroit central où vous pouvez créer un ensemble de politiques et de procédures sur mesure qui s'alignent sur les risques et les besoins spécifiques de votre organisation. Il permet également une collaboration entre collègues ainsi qu’avec des partenaires externes tels que des fournisseurs ou des auditeurs tiers.

Contactez-nous dès aujourd'hui pour réserver une démo.