Wat houdt deze control in?
Voordat apparatuur wordt afgevoerd of hergebruikt, moet alle gevoelige informatie worden gewist of vernietigd.
Waarom is dit verplicht?
Onveilig afgevoerde apparatuur is een bewezen bron van datalekken bij overheidsorganisaties.
Praktische implementatie
- Gebruik gecertificeerde software voor veilig wissen (NIST 800-88)
- Vernietig opslagmedia fysiek als wissen niet mogelijk is
- Laat vernietiging uitvoeren door gecertificeerde leveranciers
- Registreer afgevoerde apparatuur in de inventaris
Aandachtspunten voor de overheid
Bewaar vernietigingscertificaten als bewijs voor audits.
Relatie met andere controls
Gerelateerd aan 7.10 (opslagmedia) en 8.10 (verwijdering informatie).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je wist of vernietigt alle gevoelige informatie voordat apparatuur wordt afgevoerd of hergebruikt. Onveilig afgevoerde apparatuur is een bewezen bron van datalekken bij overheidsorganisaties. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. Bewaar vernietigingscertificaten als bewijs voor audits.
Passende maatregelen
4 basismaatregelen.
- ›Gebruik gecertificeerde software voor veilig wissen (bijv. conform NIST 800-88).
- ›Vernietig opslagmedia fysiek als wissen niet mogelijk is.
- ›Registreer afgevoerde apparatuur in de inventaris.
- ›Laat vernietiging uitvoeren door gecertificeerde leveranciers en bewaar vernietigingscertificaten als auditbewijs.
Bewijs dat je kunt verzamelen
- ›Bewijs van veilig wissen (gecertificeerde software/methode)
- ›Vernietigingscertificaten van gecertificeerde leveranciers
- ›Registratie van afgevoerde apparatuur in de inventaris
- ›Procedure voor veilig verwijderen/hergebruiken
Wat je bij een audit moet kunnen aantonen
- ›Dat gevoelige informatie vóór afvoer/hergebruik wordt gewist of vernietigd
- ›Dat vernietiging door gecertificeerde partijen gebeurt
- ›Dat vernietigingscertificaten worden bewaard
- ›Dat afgevoerde apparatuur in de inventaris wordt bijgewerkt
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een procedure voor veilig wissen/vernietigen vastgesteld?
- ›Is registratie van afvoer in de inventaris belegd?
- ›Is gebruik van gecertificeerde partijen bepaald?
- ›Wordt apparatuur veilig gewist/vernietigd?
- ›Zijn vernietigingscertificaten aanwezig?
- ›Wordt afvoer in de inventaris bijgewerkt?
- ›Gebeurt veilig verwijderen consistent bij elke afvoer?
- ›Worden certificaten structureel bewaard?
- ›Blijft de inventaris actueel?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.