ISO 27002:2022 – Control 8.10 – Eliminación de información

Propósito del Control 8.10

Además de gestionar el uso continuo de datos e información en servidores internos y dispositivos de almacenamiento (HDD, matrices, unidades USB, etc.), las organizaciones deben ser muy conscientes de sus obligaciones con respecto a la eliminación y eliminación de cualquier dato que se encuentre en poder de empleados, usuarios y clientes. u organizaciones cuando sea razonablemente necesario hacerlo (normalmente cuando ya no sea necesario).

Tabla de Atributos de Control 8.10

Control 8.10 es un control preventivo que modifica el riesgo al delinear un enfoque para la eliminación de datos que complemente las políticas de retención de datos existentes de una organización y las mantenga cumpliendo con las leyes o pautas regulatorias vigentes.

Propiedad del Control 8.10

Control 8.10 se ocupa en gran medida de las tareas de mantenimiento relacionadas con la eliminación y destrucción de datos y/o activos de TI, incluido el uso de software especializado y el enlace con proveedores que se especializan en la eliminación de datos y dispositivos. Como tal, la propiedad debe residir en el Jefe de TI o su equivalente organizacional.

Orientación general sobre cumplimiento

A veces puede resultar difícil determinar cuándo se deben eliminar los datos. Como regla general, el Control 8.10 solicita a las organizaciones que eliminen los datos cuando ya no sean necesarios, con el fin de minimizar lo que se conoce como divulgación indeseable – es decir, datos vistos o transmitidos a personas y organizaciones que no están autorizadas a acceder a ellos.

De acuerdo con esta directriz, cuando llegue el momento de eliminar datos, las organizaciones deberían:

1. Opte por un método de eliminación adecuado que cumpla con las leyes o regulaciones vigentes. Las técnicas incluyen eliminación estándar, sobrescritura o eliminación cifrada.
2. Registre los resultados de la eliminación para referencia futura.
3. Asegúrese de que, si se utiliza un proveedor de eliminación especializado, la organización obtenga pruebas adecuadas (normalmente mediante documentación) de que se ha llevado a cabo la eliminación.
4. Si se utiliza un proveedor externo, las organizaciones deben estipular sus requisitos precisos, incluidos los métodos y plazos de eliminación, y garantizar que las actividades de eliminación estén cubiertas por un acuerdo vinculante.

Orientación: métodos de eliminación específicos

Al formular un proceso de eliminación, las organizaciones deberían:

1. Configurar sistemas internos para eliminar datos e información de acuerdo con la política de retención específica del tema de la organización.
2. Asegúrese de que la eliminación se extienda a archivos temporales, información almacenada en caché, copias de datos y versiones heredadas.
3. Considere la posibilidad de utilizar aplicaciones de utilidad de eliminación especializadas para minimizar el riesgo.
4. Contrate únicamente especialistas en eliminación certificados y verificables, si surge la necesidad de utilizar un servicio de terceros.
5. Implementar medidas de eliminación física que sean apropiadas para el dispositivo en cuestión (p. ej. desmagnetización medios de almacenamiento magnéticos, restauración de la configuración de fábrica en un teléfono inteligente o destrucción física) (ver Control 7.14).
6. Asegúrese de que los proveedores de servicios en la nube estén alineados con los requisitos de eliminación propios de la organización (en la medida de lo posible).

Información complementaria sobre control 8.10

Al enviar equipos (en particular servidores y estaciones de trabajo) a proveedores, las organizaciones deben retirar cualquier dispositivo de almacenamiento interno o externo antes de hacerlo.

Directrices de apoyo

• 7.14

Cambios y diferencias con respecto a ISO 27002:2013

Ninguno. Control 8.10 no tiene precedentes en ISO 27002:2013 ya que es nuevo.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

La plataforma ISMS.online proporciona una gama de potentes herramientas que simplifican la forma en que puede documentar, implementar, mantener y mejorar su sistema de gestión de seguridad de la información (SGSI) y lograr el cumplimiento de la norma ISO 27002.

El paquete integral de herramientas le brinda un lugar central donde puede crear un conjunto personalizado de políticas y procedimientos que se alineen con los riesgos y necesidades específicos de su organización. También permite la colaboración entre colegas y socios externos, como proveedores o auditores externos.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.