Art. 9.2.7. Informatiebeveiligingsbeleid 2024-2027 — Veilig verwijderen of hergebruiken van apparatuur en opslagmedia

Definitie In deze paragraaf worden de termen verwijdering en vernietiging gebruikt. Deze termen hebben verschillende betekenissen: Verwijdering Onder verwijdering wordt verstaan dat de apparatuur niet langer gebruikt wordt voor werkzaamheden voor de gemeente en bijvoorbeeld verkocht of gedoneerd kan worden. Bij verwijdering van apparatuur wordt de apparatuur niet fysiek onklaar gemaakt. Vernietiging Vernietiging betreft het onklaar maken van de apparatuur. Dit betreft fysieke vernietiging van de apparatuur. Tevens wordt de term opslagmedia gebruikt. Opslagmedia zijn alle soorten gegevensdragers zoals bijvoorbeeld harde schijven, papieren documenten, notities, telefoons et cetera. 9.2.7.1.Licenties Alvorens er wordt overgegaan tot verwijdering of vernietiging van apparatuur dient de apparatuur te worden ontdaan van eventuele daaraan toegekende licenties. Deze licenties dienen binnen de gemeente te worden hergebruikt. 9.2.7.2.Opslagmedia Opslagmedia, zowel digitaal als fysiek, dat informatie (heeft) bevat met classificatieniveau Midden of hoger dient door een gecertificeerd bedrijf vernietigd te worden conform het reglement ‘Vernietiging opslagmedia’, conform de wettelijke bewaartermijnen. Digitale opslagmedia Digitale opslagmedia (bijv. harde schijven of telefoons) met classificatieniveau Laag of lager mag worden hergebruikt mits deze worden geformatteerd middels de ‘zero-fill’ methodiek en er wordt voldaan aan het reglement ‘Verwijdering opslagmedia’ en de wettelijke bewaartermijnen in acht worden genomen Fysieke opslagmedia Fysieke opslagmedia (bijv. papier) met classificatieniveau Laag of lager dient te worden vernietigd door versnippering of dient te worden gedeponeerd in een door de gemeente aangewezen container ter vernietiging. Reglementen De reglementen ‘Vernietiging opslagmedia’ en ‘Verwijdering opslagmedia’ dienen drie jaarlijks door het SMT, met advies van de CISO, te worden geëvalueerd. Het reglement ‘Vernietiging opslagmedia’ moet voldoen aan de ISO / IEC 21964. 9.2.7.3.Verwijderen apparatuur Voor het verwijderen van apparatuur is het reglement ‘Verwijderen apparatuur’ vastgesteld door het SMT. Tevens dient dit reglement jaarlijks door het SMT, met advies van de CISO, te worden geëvalueerd. Het reglement dient te voldoen aan alle eisen in deze paragraaf. Te verwijderen apparatuur en opslagmedia Apparatuur met een afneembaar opslagmedium mag enkel hergebruikt worden buiten de gemeente (d.m.v. bijv. verkoop of donatie) mits het opslagmedium niet meer aanwezig is in de apparatuur. Apparatuur waar het opslagmedium niet uit het apparaat gehaald kan worden én waar enkel informatie met classificatieniveau Laag of lager opgeslagen is dienen te worden hersteld naar de fabrieksinstellingen waarbij alle gegevens gewist worden. In het geval dat ‘zero-fill’ formattering toegepast kan worden mogen apparaten met een opslagmedium waar enkel informatie met classificatieniveau Midden of lager opgeslagen is geweest hergebruikt worden na formattering middels deze methode. Verwijderbesluit Voor alle te verwijderen apparatuur dient de verantwoordelijke voor het bedrijfsmiddel én de strategisch manager van de betreffende afdeling een verwijderbesluit te ondertekenen. In het verwijderbesluit dienen minimaal de volgende zaken te staan: Welke apparatuur wordt verwijderd; Waarom deze apparatuur wordt verwijderd; Of de apparatuur ontdaan is van opslagmedia; Zo ja, zijn deze vernietigd conform procedure? Zo nee, zijn deze verantwoord geschikt gemaakt voor hergebruik? Waar de apparatuur naar toe gaat. Het verwijderbesluit dient centraal vastgelegd te worden en dient inzichtelijk te zijn voor alle betrokkenen. Beschadigde apparatuur Beschadigde apparatuur dat een opslagmedium bevat mag enkel ter reparatie worden aangeboden nadat het opslagmedium is verwijderd. Indien het opslagmedium niet verwijderd kan worden en de apparatuur het niet toelaat om het opslagmedium op een veilige manier te wissen (zie bovenstaande ‘verwijderen apparatuur’) dan dient de apparatuur vernietigd te worden. Indien het opslagmedium voor het ter reparatie aan wordt geboden veilig gewist kan worden dient dit te gebeuren. Inleveren apparatuur Apparatuur zijn bedrijfsmiddelen en worden ingeleverd volgens de procedure (zie paragraaf 6.1.5). Servers Voor servers geldt: Bij buitengebruikstelling van servers/opslagmedia wordt te allen tijde informatie op deze servers/opslagmedia verwijderd dan wel vernietigd; Er worden technieken gebruikt waarmee informatie die niet meer nodig is, wordt vernietigd, overschreven, zodat oorspronkelijke informatie niet meer is terug te halen (zero-fill); Opslagmedia die niet meer nodig zijn en waar vertrouwelijke informatie dan wel auteursrechten op staan worden te allen tijde fysiek vernietigd. Van de fysieke vernietiging is altijd een bewijs en wordt centraal opgeslagen. Referentie: BIO versie 1.04zv beheersmaatregel 11.2.7.

Rechtspraak bij dit artikel