Wat houdt deze control in?
Control 7.10 gaat over de hele levenscyclus van opslagmedia: usb-sticks, externe schijven, back-uptapes en geheugenkaarten. Gebruik, registratie, transport, hergebruik en vernietiging moeten zo geregeld zijn dat er geen informatie in verkeerde handen komt.
Waarom is dit verplicht?
Opslagmedia zijn klein en raken makkelijk zoek. Een schijf die zonder goede verwijdering de organisatie verlaat, kan nog jaren leesbare informatie bevatten. Omgekeerd kan een besmette usb-stick malware binnenbrengen.
Voor 7.10 gelden drie overheidsmaatregelen:
- 7.10.01: bij herbruikbare media die de organisatie verlaten, is de bedrijfsgevoelige inhoud onherstelbaar verwijderd.
- 7.10.02: er wordt gecontroleerd of alle data onherstelbaar is verwijderd, en daar wordt verslag van gemaakt. Waar mogelijk worden producten gebruikt met een positief inzetadvies van het NBV (AIVD).
- 7.10.03: koeriers en transporteurs van geclassificeerde informatie voldoen aan vooraf opgestelde betrouwbaarheidseisen.
Praktische implementatie
- Beleid: bepaal welke opslagmedia zijn toegestaan en voor welke informatie (zie 5.10).
- Technische beperking: blokkeer usb-opslag standaard via GPO (Group Policy Object) of Intune en sta alleen versleutelde media toe die de organisatie zelf uitgeeft.
- Versleuteling: kies waar mogelijk producten met een positief inzetadvies van het NBV.
- Malwarescan: scan bestanden van opslagmedia vóór gebruik (overheidsmaatregel 8.07.04).
- Registratie: registreer media met gevoelige informatie, zoals back-uptapes, en label ze volgens je classificatie (5.13).
- Wissen en verslag (7.10.01/02): wis herbruikbare media voordat ze de organisatie verlaten, controleer het resultaat en leg dat vast, bijvoorbeeld met een wisrapport per serienummer.
- Vernietiging: laat media vernietigen door een gecertificeerd bedrijf. Eis een vernietigingscertificaat en verwijs naar NEN-EN 15713 en DIN 66399.
Aandachtspunten voor de overheid
- Transport van geclassificeerde informatie (7.10.03): stel vooraf betrouwbaarheidseisen op voor koeriers en neem die op in het contract (5.20). Denk aan screening van personeel, verzegelde verpakking en een sluitende overdrachtsregistratie.
- Back-uptapes: tapes bevatten vaak grote hoeveelheden persoonsgegevens, waaronder BSN’s. Regel versleuteling, veilig transport naar de uitwijklocatie (8.13) en bewaartermijnen (5.33).
- Toon werking aan: wisrapporten, vernietigingscertificaten en de mediaregistratie zijn het bewijs dat een auditor wil zien. Bewaar ze centraal.
Relatie met andere controls
- 7.14 – Veilig verwijderen of hergebruiken van apparatuur
- 8.10 – Verwijderen van informatie
- 7.7 – Clear desk / clear screen: media opbergen
- 7.9 – Bedrijfsmiddelen buiten het terrein
- 5.13 – Labelen van informatie
- 8.7 – Bescherming tegen malware (8.07.04)
- 8.13 – Back-up
- 8.24 – Cryptografie
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je beheert opslagmedia, beveiligt ze bij transport en vernietigt ze veilig aan het einde van de levensduur. De overheidsmaatregelen vereisen dat de verwijderinstructie borgt dat herbruikbare verwijderbare media die de organisatie verlaten onherstelbaar zijn gewist, dat onherstelbaar wissen wordt gecontroleerd én vastgelegd (bij voorkeur met AIVD/NBV-goedgekeurde producten), en dat transport van geclassificeerde informatie via koeriers voldoet aan vooraf opgestelde betrouwbaarheidseisen. Onbeheerde opslagmedia zijn een veelgebruikt middel voor datadiefstal.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Neem in de verwijderinstructie op dat herbruikbare verwijderbare media die de organisatie verlaten, onherstelbaar zijn gewist.
- ›Controleer of alle data onherstelbaar is verwijderd, maak hiervan verslag en gebruik waar mogelijk producten met AIVD/NBV-inzetadvies.
- ›Zorg dat transport van geclassificeerde informatie via koeriers/transporteurs voldoet aan vooraf opgestelde betrouwbaarheidseisen.
- ›Stel beleid op voor gebruik van verwijderbare media en versleutel gevoelige data op externe media.
- ›Overweeg blokkering van USB-poorten via groepsbeleid en vernietig media via gecertificeerde vernietiging.verdieping
Bewijs dat je kunt verzamelen
- ›Verwijderinstructie met de eis van onherstelbaar wissen
- ›Verslagen van controle op onherstelbare verwijdering (incl. gebruikte producten)
- ›Betrouwbaarheidseisen en afspraken voor transport van geclassificeerde informatie
- ›Beleid voor verwijderbare media en bewijs van encryptie/vernietiging
Wat je bij een audit moet kunnen aantonen
- ›Dat verwijderbare media onherstelbaar worden gewist voordat ze de organisatie verlaten
- ›Dat verwijdering wordt gecontroleerd en vastgelegd
- ›Dat transport van geclassificeerde informatie aan betrouwbaarheidseisen voldoet
- ›Dat media veilig worden vernietigd aan het einde van de levensduur
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een verwijderinstructie met onherstelbaar wissen vastgesteld?
- ›Is controle-en-verslag belegd?
- ›Zijn transporteisen voor geclassificeerde informatie bepaald?
- ›Wordt onherstelbaar wissen toegepast en vastgelegd?
- ›Worden AIVD/NBV-producten gebruikt waar mogelijk?
- ›Voldoet transport aan de betrouwbaarheidseisen?
- ›Wordt verwijdering consistent gecontroleerd en gerapporteerd?
- ›Wordt media veilig vernietigd?
- ›Blijven transportafspraken nageleefd?
Gekoppelde overheidsmaatregel(en)
Hiervan wordt verslag gemaakt.
Er wordt waar mogelijk gebruik gemaakt van producten waarvoor de Unit Weerbaarheid van het Nationaal Bureau voor Verbindingsbeveiliging (NBV) van de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) een positief inzetadvies afgegeven heeft.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.