Zbycie starego sprzętu IT z nieusuniętymi dyskami. Case study ISO/IEC 27001 A.7.14

›Zabezpieczenie A.7.14 załącznika A normy ISO/IEC 27001:2022 wymaga, aby przed zbyciem sprzętu lub przekazaniem go do ponownego użycia organizacja zweryfikowała zawartość nośników informacji i upewniła się, że wszystkie wrażliwe dane oraz licencjonowane programy zostały z nich usunięte lub bezpiecznie nadpisane. Wysłanie ciężarówki ze starymi komputerami wraz z zamontowanymi dyskami, bez takiej weryfikacji, stanowi niezgodność z A.7.14 i realne ryzyko ujawnienia danych osobowych oraz tajemnicy przedsiębiorstwa.

Co pokazuje komiks

Chochlik Random stoi na poboczu i z zadowoleniem patrzy na odjeżdżającą ciężarówkę wyładowaną stertą starych komputerów. Magazyn odzyskany, plan z głowy.
W kolejnej planszy Random melduje krasnalowi Normanowi: „W końcu pozbyliśmy się wszystkich starych komputerów”. Norman pyta spokojnie: „A co z dyskami?”. Random blednie. „Dysków też”. Dyski pojechały razem ze sprzętem, w nieznanym kierunku, z nieznaną zawartością, do nieznanego odbiorcy. Norman łapie się za głowę.
Random nie działał w złej wierze. Chciał być pomocny, uporządkować magazyn, załatwić temat szybko i samodzielnie. W tej jednej decyzji zamknął się mechanizm, który norma ISO/IEC 27001 adresuje wprost. Zamiast wydzielić nośniki i udokumentować sanityzację, wywiózł wszystko hurtem.

Wymaganie ISO/IEC 27001, którego dotyczy scenka

Zabezpieczenie A.7.14. Bezpieczne zbywanie i przekazywanie sprzętu do ponownego użycia
Zabezpieczenie A.7.14 załącznika A normy ISO/IEC 27001:2022 nakłada na organizację obowiązek sprawdzenia sprzętu pod kątem zawartości nośników informacji przed jego zbyciem lub przekazaniem do ponownego użycia. Przed oddaniem komputera, serwera, laptopa, drukarki czy urządzenia sieciowego organizacja upewnia się, że wszystkie wrażliwe dane i licencjonowane oprogramowanie zostały z tych nośników usunięte lub bezpiecznie nadpisane.
Zabezpieczenie obejmuje także sprzęt przekazywany wewnątrz organizacji (innemu pracownikowi, do innego działu) oraz sprzęt zwracany leasingodawcy lub producentowi. Każda sytuacja, w której sprzęt zawierający nośniki zmienia użytkownika lub opuszcza kontrolowaną strefę organizacji, uruchamia to wymaganie.

Zabezpieczenia powiązane A.7.10 i A.8.10

Scenka dotyka także dwóch innych zabezpieczeń załącznika A. A.7.10 wymaga zarządzania nośnikami w całym cyklu ich życia, od pozyskania po zbycie, zgodnie ze schematem klasyfikacji informacji. A.8.10 mówi o usuwaniu informacji z systemów i nośników, gdy przestają one być potrzebne. Oba zabezpieczenia pozostają kontekstem. Punktem centralnym dla scenki pozostaje A.7.14.

Dlaczego scena stanowi niezgodność z wymaganiem

Sprzęt opuścił organizację z nieusuniętymi nośnikami. W momencie załadunku nikt nie potwierdził, że dyski zostały wymontowane, wymazane lub fizycznie zniszczone. Nie powstał żaden zapis, który byłby dowodem, że sanityzacja miała miejsce.
Drugi element niezgodności to brak mechanizmu kontrolnego, który zatrzymałby proces przed wywiezieniem sprzętu. Random podjął decyzję samodzielnie. Żaden proces nie wymuszał, żeby przed wydaniem sprzętu ktoś odpowiedzialny podpisał się pod listą sprawdzonych nośników. Norma nie traktuje pojedynczego zdarzenia jako sedna problemu. Patrzy na to, czy organizacja ma w ogóle sposób kontrolowania takich sytuacji. Tutaj sposobu nie było.
Trzeci element to poziom wrażliwości danych na wywiezionych dyskach. Komputer biurowy w organizacji niemal nigdy nie jest pusty. Może zawierać informacje związane z wymianą korespondencji ze skrzynek pocztowych, dane kontrahentów, dokumenty finansowe, hasła zapisane w przeglądarkach, dostępy VPN, klucze do repozytoriów kodu. Stare komputery to skumulowana pamięć organizacyjna z kilku lat.

Konsekwencje i potencjalne konsekwencje

Konsekwencja pierwsza jest oczywista. Organizacja traci kontrolę nad nośnikami i nie potrafi określić, co dokładnie wypłynęło. Potencjalne konsekwencje kumulują się w kilku warstwach.

• Ujawnienie danych osobowych. Jeżeli na dyskach znajdowały się dane pracowników, klientów lub kontrahentów, organizacja ma do czynienia z naruszeniem ochrony danych osobowych w rozumieniu RODO (Rozporządzenia Ogólnego o Ochronie Danych). Powoduje to obowiązek powiadomienia organu nadzorczego w ciągu 72 godzin oraz ryzyko kary pieniężnej sięgającej 20 mln EUR lub 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego.
• Ujawnienie tajemnicy przedsiębiorstwa. Korespondencja handlowa, wyceny i know-how produkcyjny w rękach konkurencji uderzają w pozycję rynkową firmy.
• Naruszenie klauzul poufności. Umowy z klientami i partnerami często zawierają wymagania bezpiecznego usuwania danych po zakończeniu współpracy. Wraz z informacją wycieka wiarygodność kontraktowa.
• Pozorne skasowanie danych. Standardowe usunięcie pliku czy szybkie formatowanie dysku pozostawia dane możliwe do odzyskania narzędziami dostępnymi publicznie w Internecie.
• Wpływ na certyfikację. W organizacji certyfikowanej na ISO/IEC 27001 audytor wykrywa niezgodność tego typu i wymaga działań korygujących.
• Utrata zaufania rynku. Incydent, który trafia do wiadomości publicznej, uderza w markę podmiotu, relacje z klientami i rozmowy handlowe prowadzone w momencie ujawnienia.

Jak prawidłowo spełnić wymaganie A.7.14

W analogicznej sytuacji organizacja może sięgnąć po różne mechanizmy spełnienia wymagania.
Jednym ze sposobów jest opracowanie udokumentowanej procedury wycofywania sprzętu z eksploatacji. Procedura definiuje wszystkie etapy: zgłoszenie sprzętu, decyzję o sposobie postępowania z nośnikami, wykonanie sanityzacji, weryfikację jej skuteczności, udokumentowanie wyniku oraz fizyczne wydanie sprzętu poza organizację. Wymagane jest rozdzielenie ról między osobami zgłaszającymi, wykonującymi, weryfikującymi i wydającymi sprzęt.
Możliwym rozwiązaniem technicznym jest przyjęcie jednej z trzech kategorii sanityzacji zdefiniowanych w wytycznej NIST SP 800-88 Rev. 1: kategoria Clear (programowe nadpisanie dla sprzętu pozostającego pod kontrolą organizacji), kategoria Purge (głębokie nadpisanie lub demagnetyzacja dysków magnetycznych opuszczających organizację) oraz kategoria Destroy (fizyczne zniszczenie nośnika przez rozdrobnienie, spalenie lub mechaniczne zgniatanie). Dobór kategorii zależy od klasyfikacji informacji na nośniku i dalszego losu sprzętu.
Jedną z opcji organizacyjnych pozostaje korzystanie z certyfikowanego zewnętrznego usługodawcy utylizacji sprzętu IT. Usługodawca wykonuje sanityzację lub fizyczne niszczenie nośników i dostarcza pisemny certyfikat zniszczenia z numerami seryjnymi dysków. Certyfikat staje się dowodem audytowym spełnienia wymagania A.7.14. Przy wyborze usługodawcy organizacja weryfikuje jego uprawnienia, posiadane certyfikaty branżowe (np. R2, e-Stewards) oraz zasady łańcucha dozoru nośnika.
Innym podejściem pozostaje wprowadzenie rejestru wycofywanego sprzętu. Rejestr zawiera identyfikator urządzenia, numer seryjny nośnika, datę i metodę sanityzacji, osobę wykonującą i weryfikującą, datę wydania sprzętu, odbiorcę oraz numer certyfikatu zniszczenia.
Którąkolwiek z tych opcji organizacja wybierze, wspólnym mianownikiem pozostają trzy elementy: decyzja o sposobie postępowania z nośnikiem podjęta przed jego wydaniem, skuteczna sanityzacja lub zniszczenie wykonane zgodnie z klasyfikacją informacji oraz zapis dowodowy powstający w trakcie procesu.

Wsparcie Malon Group

Bezpieczne wycofywanie sprzętu z eksploatacji to jeden z obszarów, w których Malon Group wspiera organizacje wdrażające i utrzymujące system zarządzania bezpieczeństwem informacji zgodny z ISO/IEC 27001. Jeżeli chcesz omówić, jak zaprojektować ten proces w swojej firmie, skontaktuj się z nami.

Najczęściej zadawane pytania (FAQ):

Case study opracowany przez zespół Malon Group na podstawie komiksu ilustrującego wymagania ISO/IEC 27001:2022, załącznik A, zabezpieczenie A.7.14. Aktualizacja: kwiecień 2026.

Zapraszamy do korzystania z naszych usług w zakresie systemu zarządzania bezpieczeństwem informacji ISO/IEC 27001

• Wdrażanie systemu ISO/IEC 27001 czytaj więcej …

• Audyty systemów zarządzania czytaj więcej …

• Nadzorowanie systemów zarządzania (outsourcing Pełnomocnika) czytaj więcej …

• Szkolenia z zakresu bezpieczeństwa informacji ISO/IEC 27001 czytaj więcej …