TISAX® Kapitel 5.3.3
Inwieweit ist die Rückgabe und das sichere Entfernen von Informationswerten aus organisationsfremden IT-Diensten geregelt?
Erschlagen von den Anforderungen? Sie wissen nicht, wie ausführlich Sie bestimmte Anforderungen erfüllen müssen?
Testen Sie jetzt kostenlos & unverbindlich unser TISAX®-Vorlagenpaket.
Ziel
Um als Informationseigentümer die Hoheit über die Informationswerte sicherzustellen, ist es erforderlich, dass im Falle einer Beendigung des IT-Dienstes die Informationswerte wieder sicher entfernt werden können oder bei Bedarf zurückgegeben werden.
Anforderungen
- Muss
- Ein Verfahren zur Rückgabe und sicheren Entfernung von Informationswerten aus jedem organisationsfremden IT-Dienst ist definiert und umgesetzt.
- Sollte
- Eine Beschreibung des Terminierungsprozesses liegt vor, wird bei Änderungen angepasst und ist vertraglich geregelt.
Umsetzung
Umsetzung der Muss-Anforderungen zum sicheren Entfernen von Informationswerten
Um die definierten Anforderungen der TISAX-Norm im Bereich der Rückgabe und sicheren Entfernung von Informationswerten aus organisationsfremden IT-Diensten einzuhalten, beginnen Sie zunächst mit der Entwicklung und Implementierung eines umfassenden Verfahrens. Dieses Verfahren sollte detailliert beschreiben, wie Daten sicher gelöscht und physische Medien ordnungsgemäß entsorgt oder sicher zurückgegeben werden. Stellen Sie sicher, dass das Verfahren alle Arten von Daten und Datenträgern umfasst, die im Rahmen der IT-Dienstleistungen Ihrer Organisation genutzt werden.
Integrieren Sie dieses Verfahren in die bestehenden IT-Sicherheitsrichtlinien Ihrer Organisation und sorgen Sie für eine regelmäßige Überprüfung und Aktualisierung. Schulen Sie alle relevanten Mitarbeiter über die richtigen Verfahren zur Datenlöschung und die Handhabung von Datenträgern, um ein einheitliches und sicherheitskonformes Vorgehen zu gewährleisten.
Umsetzung der Sollte-Anforderungen zum Terminierungsprozess
Zur Erfüllung der Sollte-Anforderungen, die eine dokumentierte Beschreibung des Terminierungsprozesses vorschreiben, erstellen Sie ein detailliertes Dokument, das den gesamten Lebenszyklus der Datenbehandlung abdeckt. Dieses Dokument sollte alle Schritte der Deaktivierung und Löschung von Benutzerzugängen, die Rückgabe von Hardware sowie die sichere Löschung von Daten enthalten.
Ist dieses Dokument erstellt, binden Sie die Inhalte vertraglich in die Vereinbarungen mit Ihren IT-Dienstleistern ein. Sorgen Sie außerdem dafür, dass Anpassungen des Prozesses bei Bedarf vorgenommen und dokumentiert werden. Ein klarer und vertraglich abgesicherter Terminierungsprozess minimiert die Risiken, die sich aus dem Ende der Nutzung von organisationsfremden IT-Diensten ergeben können.
