#iso27002/2022/NL
---
Standard: ISO 27002:2022 NL
---

+------------------------+----------------------+----------------------+-------------------------------------------------------+---------------------+
| **Type**             | **Informatie-**    | **Cybersecurity-** | **Operationele**                                    | **Beveiligings-** |
|                      |                    |                    |                                                     |                   |
| **beheersmaatregel** | **beveiligings-**  | **concepten**      | **capaciteiten**                                    | **domeinen**      |
|                        |                    |                      |                                                       |                     |
|                        | **eigenschappen**  |                      |                                                       |                     |
+========================+======================+======================+=======================================================+=====================+
| #Preventief          | #Vertrouwelijkheid | #Beschermen        | #Informatiebe- scherming #Juridisch_en_com- pliance | #Bescherming      |
+------------------------+----------------------+----------------------+-------------------------------------------------------+---------------------+

**Beheersmaatregel**

In informatiesystemen, apparaten of andere opslagmedia opgeslagen informatie behoort te worden gewist als deze niet langer nodig is.

**Doel**

Onnodige openbaarmaking van gevoelige informatie voorkomen en aan de eisen van wet- en regelgeving, statutaire en contractuele eisen voor het wissen van informatie voldoen.

**Richtlijn**

<u>Algemeen</u>

Om het risico op ongewenste openbaarmaking te beperken behoort gevoelige informatie niet langer te worden bewaard dan nodig is.

Bij het wissen van informatie van systemen, toepassingen en diensten behoort het volgende in overweging te worden genomen:

a) een wismethode (bijvlektronisch overschrijven of cryptografisch wissen) selecteren

overeenkomstig de bedrijfseisen en met inachtneming van de relevante wet- en regelgeving;

b) de resultaten van het wissen als bewijsmateriaal registreren;

c) wanneer gebruik wordt gemaakt van dienstverleners voor het wissen van informatie, bewijs van

het wissen van informatie van hen verkrijgen.




Indien derden de informatie van de organisatie namens de organisatie opslaan, behoort de organisatie te overwegen in de overeenkomsten met derden eisen inzake het wissen van informatie op te nemen, die tijdens en bij beëindiging van dergelijke diensten worden afgedwongen.

<u>Wismethoden</u>

In overeenstemming met het onderwerpspecifieke beleid van de organisatie inzake het bewaren van gegevens en met inachtneming van de desbetreffende wet- en regelgeving, behoort gevoelige informatie te worden gewist wanneer zij niet langer nodig is, door:

a) systemen dusdanig te configureren dat informatie op een beveiligde manier wordt vernietigd wanneer zij niet langer nodig is (bijva een gedefinieerde periode afhankelijk van het onderwerpspecifieke beleid inzake het bewaren van gegevens of op grond van een verzoek om toegang van een betrokkene);

b) verouderde versies, kopieën en tijdelijke bestanden te wissen, ongeacht waar deze zich bevinden;

c) gebruik te maken van goedgekeurde, veilige software voor het wissen waardoor informatie blijvend wordt gewist en wordt gegarandeerd dat de informatie niet met behulp van gespecialiseerde herstel- of forensische instrumenten kan worden hersteld;

d) gebruik te maken van erkende, gecertificeerde aanbieders van beveiligde verwijderingsdiensten;

e) gebruik te maken van verwijderingsmechanismen die geschikt zijn voor het type opslagmedia dat

wordt verwijderd (bijvoor vaste schijven en andere magnetische opslagmedia te degaussen).

Indien gebruik wordt gemaakt van clouddiensten, behoort de organisatie na te gaan of de door de aanbieder van de clouddienst geboden wismethode aanvaardbaar is en indien dit het geval is, behoort de organisatie deze te gebruiken, of de aanbieder van de clouddienst te verzoeken de informatie te wisseneze wisprocessen behoren te worden geautomatiseerd overeenkomstig onderwerpspecifieke beleidsregels, indien die beschikbaar en van toepassing zijnfhankelijk van de gevoeligheid van de gewiste informatie kan met logbestanden worden getraceerd of geverifieerd dat deze wisprocessen hebben plaatsgevonden.

Om onbedoelde openbaarmaking van gevoelige informatie te voorkomen wanneer apparatuur naar leveranciers wordt teruggestuurd, behoort gevoelige informatie te worden beschermd door hulpopslagfaciliteiten (bijvaste schijven) en geheugen te verwijderen voordat de apparatuur het gebouw en/of terrein van de organisatie verlaat.

Aangezien bepaalde apparaten (bijvmartphones) alleen veilig kunnen worden gewist door ze te vernietigen of door de in deze apparaten ingebouwde functies te gebruiken (bijvfabrieksinstellingen herstellen'), behoort de organisatie de geschikte methode te kiezen op basis van de classificatie van de informatie die door dergelijke apparaten wordt verwerkt.

De in 7 beschreven beheersmaatregelen behoren te worden toegepast om het opslagapparaat fysiek te vernietigen en tegelijkertijd de informatie erop te wissen.

Een officiële registratie van het wissen van informatie is nuttig om de oorzaak van een mogelijk lek van informatie te analyseren.

**Overige informatie**

Informatie over het wissen van gebruikersgegevens in clouddiensten is te vinden in ISO/IEC 27017nformatie over het wissen van persoonsgegevens is te vinden in ISO/IEC 27555.
