A.7.14 סילוק או שימוש חוזר מאובטח של ציוד
מטרה
מטרת הנוהל היא להבטיח שכל תהליך סילוק או שימוש חוזר בציוד ארגוני מתבצע בצורה מאובטחת, תוך הגנה על המידע הרגיש המאוחסן בציוד ומניעת גישה לא מורשית אליו לאחר שהציוד אינו בשימוש.
תחום יישום
הנוהל חל על כל סוגי הציוד הארגוני, כולל מחשבים, שרתים, התקני אחסון ניידים, מדפסות, טלפונים חכמים וציוד אחר המכיל או עשוי להכיל מידע רגיש.
הגדרות
- סילוק ציוד: תהליך של הוצאת ציוד מהשימוש בארגון, בין אם על ידי השמדה, מיחזור או העברה לגורם חיצוני.
- שימוש חוזר בציוד: תהליך בו ציוד שאינו בשימוש מועבר לשימוש חוזר בתוך הארגון או נמכר לגורם חיצוני.
- סילוק מאובטח: פעולות שננקטות כדי להבטיח שמידע המאוחסן בציוד נמחק בצורה בלתי הפיכה לפני שהציוד מסולק או מועבר לשימוש חוזר.
אחריות
- מחלקת IT: אחראית על ניהול תהליך סילוק ושימוש חוזר מאובטח של ציוד, כולל מחיקת נתונים וביצוע השמדה מאובטחת של הציוד במידת הצורך.
- מנהלים ישירים: אחראים לוודא שהציוד שבאחריותם מסולק או מועבר לשימוש חוזר בהתאם לנוהלי הארגון.
- ספקי שירות חיצוניים: אם סילוק הציוד מבוצע על ידי גורם חיצוני, יש לוודא שהוא עומד בדרישות האבטחה של הארגון.
תהליך
1. זיהוי ציוד לסילוק או לשימוש חוזר
- מחלקת IT תזהה ציוד שאינו בשימוש או ציוד שמתוכנן לסילוק או לשימוש חוזר, ותרכז רשימה מפורטת של פריטי הציוד.
- יש לוודא שכל הציוד הרשום ברשימה מאובטח עד להסרתו או מיחזורו.
2. מחיקת נתונים
- לפני סילוק או שימוש חוזר בציוד, יש לוודא שכל הנתונים המאוחסנים בו נמחקים בצורה בלתי הפיכה, באמצעות כלים ייעודיים למחיקת נתונים או על ידי השמדה פיזית של המדיה המאחסנת.
- מחיקת הנתונים תבוצע על פי מדיניות האבטחה של הארגון, ותתועד לצורך ביקורת ומעקב.
3. סילוק מאובטח
- ציוד המיועד לסילוק יושמד בצורה מאובטחת או יועבר למיחזור באמצעות גורם חיצוני המאושר על ידי הארגון.
- כל ציוד המכיל מידע רגיש או שניתן לשחזר ממנו מידע יאובטח או יושמד פיזית כדי למנוע גישה לא מורשית.
4. שימוש חוזר מאובטח
- ציוד המיועד לשימוש חוזר ייבדק ויוכנס לשימוש בארגון רק לאחר מחיקת נתונים מאובטחת והתקנה מחדש של התוכנות הנדרשות.
- במידה והציוד נמכר או מועבר לגורם חיצוני, יש לוודא שהגורם עומד בדרישות האבטחה ומתחייב למחיקת נתונים מאובטחת.
5. תיעוד ובקרה
- כל תהליך סילוק או שימוש חוזר בציוד יתועד, כולל פרטי הציוד, תאריך המחיקה, שיטת המחיקה והגורם המטפל בתהליך.
- תיעוד זה יישמר במערכת ניהול תחזוקה לצורך ביקורת ובקרה עתידית.
6. סקירה ועדכון נהלים
- הארגון יבצע סקירה תקופתית של נהלי הסילוק והשימוש החוזר בציוד, ויעדכן אותם בהתאם לשינויים טכנולוגיים, סיכונים חדשים או דרישות רגולטוריות.
הערות
הארגון יבצע ביקורות תקופתיות על יישום הנוהל בנוגע לסילוק ושימוש חוזר מאובטח של ציוד, ויבצע התאמות ושיפורים בהתאם לצורך ולשינויים רגולטוריים או טכנולוגיים.