Informationen müssen gelöscht werden, wenn sie nicht mehr benötigt werden oder gesetzliche, vertragliche oder organisatorische Vorgaben dies verlangen. Unzureichende oder unsachgemäße Löschung kann dazu führen, dass Informationen unbefugt wiederhergestellt oder offengelegt werden. Dieses Control stellt sicher, dass Informationen systematisch, sicher und nachvollziehbar gelöscht werden.
Zweck des Controls
A 8.10 soll gewährleisten, dass Informationen vollständig und sicher gelöscht werden, wenn sie nicht mehr erforderlich sind. Ziel ist es, die Vertraulichkeit von Informationen zu schützen, Risiken durch Datenreste zu minimieren und rechtliche sowie organisatorische Anforderungen zu erfüllen.
Anforderungen und Maßnahmen
1. Festlegung von Löschanforderungen
Organisationen müssen Anforderungen für die Löschung von Informationen definieren, insbesondere:
Kriterien für den Löschzeitpunkt
gesetzliche und vertragliche Aufbewahrungsfristen
Schutzbedarf der Informationen
betroffene Systeme und Speichermedien
Die Anforderungen müssen dokumentiert sein.
2. Klassifizierung und Identifikation zu löschender Informationen
Zu löschende Informationen müssen identifiziert werden:
Berücksichtigung der Informationsklassifizierung
Identifikation in Systemen, Anwendungen und Backups
Trennung von zu löschenden und aufzubewahrenden Daten
Nachvollziehbare Kennzeichnung
Dies bildet die Grundlage für eine sichere Löschung.
Die Wirksamkeit der Löschung muss überprüft werden:
technische Prüfungen
Stichprobenkontrollen
Bestätigung der erfolgreichen Löschung
Dokumentation der Ergebnisse
So wird Sicherheit nachgewiesen.
6. Rollen und Verantwortlichkeiten
Zuständigkeiten für Löschung müssen klar geregelt sein:
Verantwortliche für Freigabe und Durchführung
Trennung von Aufgaben
Kontrolle der Löschprozesse
Eskalation bei Problemen
Dies erhöht Transparenz und Sicherheit.
7. Umgang mit Ausnahmen und Sonderfällen
Ausnahmen von der Löschung müssen geregelt sein:
rechtliche oder organisatorische Gründe
dokumentierte Freigaben
zusätzliche Schutzmaßnahmen
regelmäßige Neubewertung
So werden Restrisiken kontrolliert.
8. Dokumentation und Integration ins ISMS
Löschprozesse müssen dokumentiert sein:
Richtlinien und Verfahren
Nachweise über Löschvorgänge
Verantwortlichkeiten
Integration in Risiko- und Sicherheitsprozesse
Die Dokumentation unterstützt Audits und Compliance.
Zusammenfassung
A 8.10 fordert, dass Organisationen Informationen systematisch und sicher löschen, wenn sie nicht mehr benötigt werden. Durch klare Löschanforderungen, geeignete Löschverfahren, Berücksichtigung von Backups, klare Verantwortlichkeiten sowie Überprüfung und Dokumentation wird sichergestellt, dass Informationen nicht unbefugt wiederhergestellt oder offengelegt werden können. Das Control ist ein zentraler Bestandteil der technischen Sicherheitsmaßnahmen im Informationssicherheitsmanagementsystem.
Leave a comment