La ISO/IEC 27001:2013 “Sistemi di gestione della sicurezza dell’informazione – Requisiti”, tratta anche del tema dello smaltimento dei supporti che contengono dati, nello specifico il controllo A.8.3.2 – dismissione dei supporti (nella ISO/IEC 27002:2022 controllo 7.10), ove si specifica che la dismissione deve avvenire in modo sicuro attraverso l’utilizzo di procedure formali.
(Nella foto: Monica Perego, docente del Corso di alta formazione sui Sistemi di Gestione della Privacy)
Ovviamente, la dismissione dei supporti si riferisce non solo a quelli elettronici, ma anche a quelli cartacei e più in generale a ogni forma di supporto contenente dati. L’articolo si concentra sulla dismissione dei supporti elettronici e cartacei dove di norma sono conservati dati personali, a riprova del fatto che la ISO/IEC 27001:2013 è da considerare come una validissima misura di accountability in relazione alla protezione dei dati personali.
Il controllo 7.10 della ISO/IEC 27002:2022 – Il controllo 7.10 “Storage media” – Supporti di memorizzazione – Supporti rimovibili, fornisce misure relative al ciclo di vita dei supporti che contengono dati, misure tra le quali figura la gestione dei supporti ed ovviamente le modalità del loro smaltimento, che deve essere effettuato tenendo conto del livello di classificazione delle informazioni che vi sono contenute (come indicato dal controllo 5.12 “Classification of information”).
Lo scopo del controllo è quello di garantire la divulgazione, la modifica, la rimozione o la distruzione, sulla base delle autorizzazioni delle informazioni circa l’archiviazione su tali supporti.
Approfondendo quanto riportato nella linea guida ISO/IEC 27002:2022 – controllo 7.10, in relazione agli aspetti relativi al riutilizzo e smaltimento sicuro, sono fornite preziose indicazioni, di seguito riportate, con alcune note integrativa a cura dell’autrice.
Linee guida per il riutilizzo e lo smaltimento sicuro dei supporti – Per tali necessità dovrebbero essere stabilite delle procedure, per ridurre al minimo il rischio di accesso ad informazioni riservate da parte di persone non autorizzate. Le procedure dovrebbero essere congruenti con il livello di classificazione delle informazioni contenute. Bisogna considerare i seguenti elementi:
Altre informazioni – È importante sottolineare che la distruzione di un supporto non necessariamente implica la distruzione dei dati, che potrebbero essere migrati su altri supporti; ad esempio, un supporto cartaceo può essere digitalizzato per conservare i dati e successivamente distrutto.
I controlli 8.10 e 7.14 della ISO/IEC 27001:2022 – Il controllo 7.10 “Storage media” non va confuso con il controllo 8.10 “Information deletion” – Cancellazione delle informazioni -, che tratta del controllo delle informazioni che devono essere cancellate quando non più richieste; informazioni memorizzate nei sistemi informatici, nei dispositivi, o in qualsiasi altro supporto di memorizzazione, Il controllo 8.10 è stato introdotto con la pubblicazione della ISO/IEC 27002:2022; non esiste un controllo corrispondente nella precedente versione della linea guida.
Il controllo 7.14 “Secure disposal or re-use of equipment” affronta il tema della verifica delle apparecchiature che contengono supporti di memorizzazione, verifica da effettuare per garantire che “…eventuali dati sensibili ed il software concesso in licenza siano stati rimossi o sovrascritti in modo sicuro prima dello smaltimento o del riutilizzo”. Tale controllo presenta quindi significativi punti in comune con il controllo 7.10, che peraltro lo richiama.
Conclusione – Le implicazioni connesse alla dismissione dei supporti contenenti dati (non solo personali) presentano una serie di sfaccettature non sempre evidenti. Ovviamente, le misure da mettere in atto devono considerare i rischi connessi alla perdita dei dati (ad esempio a seguito di una migrazione parziale degli stessi), o quelli collegati ad un’inadeguata gestione dei supporti. In ogni caso, se si hanno dei dubbi, è opportuno attivare procedure che garantiscano la dismissione sicura di tutti i supporti, piuttosto che effettuare un’operazione di censimento dei soli supporti critici da avviare a dismissione sicura.
Nota: per le parti della ISO/IEC 27002, libera traduzione ed integrazioni a cura dell’autrice
