Für eine sichere Löschung von Datenträgern spielt der Standard ISO/IEC 27040 eine große Rolle. Hier stehen aber wichtige Änderungen an. Wir klären die Zusammenhänge auf und erläutern die bevorstehenden Anpassungen.
Daten sind einer der wichtigsten Rohstoffe der modernen Welt. Aber es geht nicht mehr nur darum, sie sicher aufzubewahren, sondern auch darum, sie später wieder sicher zu löschen. Unternehmen benötigen daher nicht nur ein Information Security Management System (ISMS), um die von ihnen verarbeiteten und gespeicherten Daten vor Missbrauch zu schützen, sondern auch Verfahren, um Daten sicher zu entfernen. Um diese Ziele erfüllen zu können, wurden in den vergangenen Jahren mehrere Standards durch Gremien wie die Internationale Organisation für Normung (ISO) und die Internationale Elektrotechnische Kommission (IEC) entwickelt.
Zu den bekanntesten gehört sicherlich ISO 27001. Diese Norm unterstützt Unternehmen dabei, Cyberangriffe abzuwehren und ihre Daten vor Diebstahl oder Verlust zu schützen. Mit einer Zertifizierung durch einen geeigneten Partner können sie zudem nachweisen, dass sie die wesentlichen Anforderungen an ihre Informationssicherheit erfüllen und Maßnahmen zum Schutz ihrer Daten durchgeführt haben. In Zeiten der Datenschutz-Grundverordnung (DSGVO) ist das ein wichtiger Punkt.
ISO 27001 bietet mehrere Vorteile. So lassen sich damit
- vertrauliche Daten vor Missbrauch schützen,
- Haftung- und Geschäftsrisiken senken,
- Cyber-Gefahren erkennen und verhindern,
- IT-Prozesse optimieren und sicherer gestalten sowie
- die Wettbewerbsfähigkeit erhöhen und Vertrauen bei Kunden und Partnern schaffen.
ISO 27001 ist aber nicht die einzige relevante Norm, wenn es um Daten geht. Daneben existieren noch zahlreiche weitere Standards, die für Unternehmen eine Bedeutung haben. Man spricht daher auch von einer ganzen Normenfamilie. So ist etwa ISO 27701 ein Leitfaden zum Management und Schutz personenbezogener Daten und ISO 27017 eine Hilfe bei der Absicherung von Cloud-Diensten. In der ebenfalls wichtigen ISO/IEC 27040 werden zudem IT-Sicherheitsverfahren zur Speichersicherheit beschrieben. Die Norm spielt eine große Rolle bei der sicheren Löschung von Daten. Daher gehen wir im Folgenden ausführlicher auf sie ein.
ISO/IEC 27040 für mehr Storage-Sicherheit
Mit der Arbeit an ISO/IEC 27040 begann das zuständige Subcommitee 27 (SC27) bereits 2010. Anfang 2015 wurde der bis heute gültige Standard veröffentlicht. Zu seinen wichtigsten Zielen gehören Hilfen bei der Absicherung von Storage-Systemen sowie der Schutz der darin gespeicherten Daten. ISO/IEC 27040 soll Risiken reduzieren und beim Schutz der Daten unterstützend zur Seite stehen. Gleichzeitig bildet der Standard eine Grundlage für Design und Auditing von Sicherheitsmaßnahmen im Storage-Bereich.
Ein Problem ist jedoch, dass sich dieser Storage-Bereich momentan enorm schnell weiterentwickelt. Experten gehen davon aus, dass er sich alle 18 Monate grundlegend ändert. Die fünf Jahre Entwicklungszeit, die für ISO/IEC 27040 benötigt wurden, zeigen aber, dass die internationalen Standardisierungsgremien bei diesem Tempo nicht mithalten können. Richtlinien wie NIST 800-88 Rev. 1 „Guidelines for Media Sanitization“ beschreiben, wie sich Daten von elektronischen Medien sicher löschen lassen. Sie sollen damit so effektiv gesäubert werden können, dass sich später keinerlei Daten mehr wiederherstellen lassen. NIST 800-88 lässt sich auf magnetische und Flash-basierte Medien anwenden. Der Standard wurde erstmals 2006 veröffentlicht. Revision 1 (Rev. 1) erfolgte dann 2014. Der Standard DoD 5220.22-M stammt ebenfalls aus dem Jahr 2006, wurde aber seitdem nicht mehr überarbeitet. Er gilt heute als unzureichend bei der Bereinigung von SSDs.
Kombination von IEEE P2883 und ISO/IEC 27040
Abhilfe versprechen der kommende Standard IEEE P2883 (PDF) sowie eine Aktualisierung von ISO/IEC 27040. Sie beschreiben nicht nur, wann ein Medium bereinigt werden muss, sondern auch wie. Wenn alles nach Plan geht, dann wird IEEE P2883 voraussichtlich Mitte des kommenden Jahres verabschiedet. Der Standard soll nicht nur auf aktuelle Technologien eingehen, sondern auch Anforderungen festlegen, die für Konformitätszwecke verwendet werden können. Zudem wird er Methoden zur Bereinigung logischer und physischer Speicher definieren. Ein weiterer Vorteil ist, dass Standards des Institute of Electrical and Electronics Engineers (IEEE) in der Regel häufiger aktualisiert werden als andere Vorgaben. IEEE P2883 wird sich also leichter an technologische Neuerungen anpassen lassen.
Zusätzlich wird derzeit auch eine Aktualisierung von ISO/IEC 27040 vorbereitet: ISO/IEC DIS 27040. Die Neufassung wird vor allem beschreiben, wann Daten sicher gelöscht werden müssen, also etwa dann, wenn ein Medium seinen „End-of-Life“ erreicht hat und gewartet oder entsorgt werden muss. Die neue Version soll einen stärker systemorientierten Ansatz verfolgen, der die Anforderungen von Informationssicherheitsmanagementsystemen nach ISO 27001 erfüllt, und zudem sowohl logische als auch Cloud-basierte Speicher abdecken.
Geräte-spezifische Hinweise werden dagegen aller Voraussicht nach entfernt. Stattdessen wird der neue Standard in diesen Teilen künftig auf IEEE P2883 verweisen. Darüber hinaus soll er genauere Vorgaben enthalten, wie sich etwa die Einhaltung der Compliance-Vorgaben und eine ordnungsgemäße Bereinigung von Datenträgern belegen lassen. Die überarbeitete Version von ISO/IEC 27040 soll nach der Veröffentlichung von IEEE P2883 erscheinen.