Worum geht es?
In vielen Komponenten einer IT-Infrastruktur werden Daten gespeichert. An diversen Stellen ist dies offensichtlich, an anderen nicht. Jedem dürfte klar sein, dass externe Datenspeicher wie USB-Sticks, DVDs, Speicherbänder oder Wechselfestplatten Informationen enthalten – und dass diese deswegen weder einfach so entsorgt oder weitergegeben werden sollten.
Bereits aber bei den in üblichen Endgeräten verbauten Speichern lässt dieses Bewusstsein deutlich nach. So ist es nicht unüblich, dass Geräte eines ausgeschiedenen Mitarbeiters einfach an den neuen Kollegen weitergegeben werden und dieser dann mit dem Notebook und Smartphone weiterarbeitet. Dass in Druckern, aktiven Netzwerkgeräten und auch auf defekten und nicht mehr direkt nutzbaren Datenspeichern noch Informationen liegen können, wird schnell übersehen. Gelegentlich ist noch nicht einmal bekannt, dass ein Datenspeicher in einem Gerät verbaut ist.
Wird das Vorhandensein von Informationen übersehen oder ignoriert, kann dies schnell zu einem Sicherheitsproblem werden, wenn nur Gerät und Datenträger in die falschen Hände geraten.
Was empfiehlt die ISO 27002?
Im Kapitel 7.14 der Norm finden sich erfreulich knappe und im Grunde einfach umzusetzende Maßnahmen.
- Es muss zuallererst einmal bekannt sein, wo überhaupt Informationen abgespeichert sein können. In welchen Geräten und Komponenten sind Speicher verbaut?
- Ergänzend könnte es hilfreich sein, zu wissen, welche Art von Informationen möglicherweise betroffen sind. Im Ergebnis wichtig ist, dass vertrauliche oder beispielsweise urheberrechtlich geschützte Informationen nicht verbreitet werden. Aus praktischer Sicht kann es aber einfacher und weniger fehleranfällig sein, schlichtweg alle Speicher gleich zu behandeln.
- Vor Entsorgung oder Wiederverwertung sollte sichergestellt werden, dass keine oder zumindest keine sensiblen Informationen mehr ausgelesen werden können. Auch hier macht es möglicherweise die tägliche Arbeit einfacher, nicht nach einzelnen zu löschenden Daten zu suchen, sondern den gesamten Datenspeicher zu behandeln. Ob der Datenspeicher zerstört werden muss oder sicher gelöscht werden kann, ist sowohl eine technische Frage als auch vom damit verbundenen Aufwand abhängig. Ein sicherer Löschvorgang kann in Abhängigkeit der zu löschenden Volumen erhebliche Zeit dauern. Ein defekter Datenträger muss zudem gegebenenfalls erst wieder zum Leben erweckt werden. Unterm Strich kann es die schnellere und vielleicht auch günstigere Alternative sein, den Datenträger zu vernichten. Hinweise zur sicheren Löschung und Vernichtung sind beim BSI zu finden oder aber auch in der DIN/ISO 27040 bzw. 21964 enthalten. Auch beim Einsatz von Dienstleistern sollte dringend Wert darauf gelegt werden, dass diese entsprechend der genannten Normen vorgehen und insbesondere eine ausreichende Sicherheitsstufe bedienen können. Die Umsetzung sollte sich in jedem Einzelfall über eine detaillierte Dokumentation nachweisen lassen.
- Für den Fall, fest verbauter und sonst nicht zugänglicher Datenträger, die durch das eigene Personal nicht gelöscht werden können, muss gegebenenfalls die Hilfe eines Dienstleisters oder des Herstellers in Anspruch genommen werden.
- Als Alternative bei Datenträgern, die für eine Wiederverwertung vorgesehen sind, kann auch deren sichere Vollverschlüsselung gesehen werden. In diesen Fällen genügt es, den Schlüssel zu zerstören – oder die Festplatte schlichtweg in ein anderes ebenfalls wieder zu verwendendes System einzubauen – und den Datenträger dann für neue Benutzung zu initialisieren/formatieren. Im Falle der Entsorgung eines Datenträgers genügt es ebenfalls, eine ausreichend sichere Verschlüsselung zu wählen und den Schlüssel einzubehalten/zu vernichten. Im Falle etwa von Verschlüsselung über TPM sind hier gegebenenfalls Zusatzmaßnahmen notwendig.
- Ergänzend sollte daran gedacht werden, dass auch an entsorgten Geräten angebrachte Informationen möglicherweise sicherheitsrelevante Rückschlüsse zulassen. Daher sollten sämtliche Etiketten und Beschriftungen, etc., die auf die Organisation, das Netzwerk oder anderes hinweisen, entfernt werden.
- Ganz zum Abschluss noch der Hinweis darauf, dass auch im Zuge eines Auszugs aus einem Gebäude möglicherweise Informationen zurückgelassen werden, die missbraucht werden könnten. Organisationen sollten sich daher auch Gedanken machen über im ehemaligen Gebäude verbleibende Videoüberwachung, Alarmierungssysteme, Schließanlagen und Berechtigungslisten etc.
Fazit
Wie bei vielen anderen Gelegenheiten auch, sensibilisiert die Norm ISO 27002 hier für einen Bereich, in dem es durch Unachtsamkeit und Unaufmerksamkeit leicht zu Sicherheitsproblemen kommen kann. Das Bewusstsein etwa, dass auch ein defektes Gerät ein Sicherheitsproblem darstellen kann, ist nicht selbstverständlich. Meist steht in diesen Fällen auch zu sehr im Vordergrund, den ursprünglichen Benutzer wieder arbeitsfähig zu machen. Dass, wie eingangs gezeigt, oftmals gar nicht bekannt ist, dass ein Gerät Informationen speichert oder zumindest zwischenspeichert, verschärft die Situation.
Organisationen sollten daher dafür Sorge tragen, dass es zu solchen Nachlässigkeiten nicht kommen kann. Zu oft liest man selbst von namhaften Stellen, dass deren Daten auf dem Flohmarkt oder in der Tauschecke des örtlichen Wertstoffhofs gelandet sind.
Übrigens: Die Hinweise gelten auch für die Entsorgung von Papier. Wobei in diesem Zusammenhang besonders wichtig ist, dass nur korrekt entsorgt wird, was auch in der richtigen Tonne landet.