ISO 21964 Datenträgervernichtung
ISO/IEC 21964: Schutzklasse und Sicherheitsstufe richtig einordnen
Ein sicherer Vernichtungsauftrag braucht mehr als die Angabe „nach ISO“. Schutzbedarf, Datenträgerart, Sicherheitsstufe und dokumentierter Ablauf müssen zusammenpassen. Hier erfahren Sie, welche Angaben für die Abstimmung mit ProCoReX wichtig sind.
Symbolfoto · Foto: benjamin lehman / Unsplash
Schutzklasse und Sicherheitsstufe sind zwei verschiedene Angaben
Die Schutzklasse beschreibt, wie schutzbedürftig die Informationen sind. Die Sicherheitsstufe benennt das Vernichtungsniveau für eine bestimmte Materialart. Deshalb ersetzt „Schutzklasse 3“ nicht die Festlegung einer passenden Stufe wie H-5 oder E-5.
Die Entscheidung beginnt bei Ihrem Datenbestand: Welche Informationen befinden sich auf den Medien? Welche Folgen hätte ein unbefugter Zugriff? Welche Anforderungen ergeben sich aus internen Regeln oder Kundenvereinbarungen? Diese Fragen helfen Ihrer verantwortlichen Stelle, den Schutzbedarf festzulegen.
Drei Schutzklassen als Orientierung
Schutzklasse 1: Normaler Schutzbedarf
Diese Einordnung betrifft interne Informationen mit normalem Schutzbedarf. Ob sie für einen konkreten Bestand genügt, sollte aus der Bewertung der enthaltenen Daten hervorgehen.
Schutzklasse 2: Hoher Schutzbedarf
Bei vertraulichen Informationen und erhöhten Anforderungen an den Zugriffsschutz ist ein hoher Schutzbedarf zu betrachten. Die Einstufung wird nicht allein anhand des Gerätetyps vorgenommen.
Schutzklasse 3: Sehr hoher Schutzbedarf
Besonders vertrauliche oder geheime Informationen können einen sehr hohen Schutzbedarf haben. Das hinterlegte ProCoReX-Zertifikat weist Schutzklasse 3 aus. Das bedeutet nicht, dass alle Datenträger ohne Prüfung dieselbe Sicherheitsstufe erhalten.
Der Buchstabe kennzeichnet den Datenträger
H steht für magnetische Festplatten, E für elektronische Speichermedien, O für optische Datenträger und T für magnetische Bänder. Ein Notebook kann beispielsweise eine HDD oder eine SSD enthalten; äußerlich ähnliche Geräte können deshalb unterschiedliche Zuordnungen benötigen.
Im hinterlegten Zertifikat sind H-5, E-5, O-5 und T-6 genannt. Zahlen aus verschiedenen Materialklassen sind keine allgemeine Rangliste für sämtliche Speicher. Für Ihren Auftrag werden Materialklasse, Stufe und Verfahren gemeinsam festgelegt. Ausgewiesene Zertifikatsangaben.
Technische und organisatorische Maßnahmen entlang des Auftrags
Vor der Übernahme klären wir Zuständigkeiten, Ansprechpartner, Übergabepunkte und die Zuordnung des Materials. Für Abholung und Transport werden Verpackung, Behälter, Verladung und weitere Schutzmaßnahmen entsprechend dem vereinbarten Ablauf abgestimmt.
Während der weiteren Bearbeitung bleiben Zuordnung und Zugriffsschutz relevant. Die Vernichtung und der dokumentierte Abschluss bilden die letzten Schritte dieser Kette. Besondere Maßnahmen wie Plomben, gesonderte Transportorganisation oder zusätzliche Dokumentation werden auftragsbezogen vereinbart.
Welche Rolle spielt ISO/IEC 21964-3?
Teil 3 der Normreihe beschreibt Anforderungen an den Prozess der Datenträgervernichtung und bezieht die verantwortliche Stelle sowie beteiligte Parteien ein. Die Norm ist damit eine Grundlage für die Organisation des Prozesses. Eine konkrete Zertifizierung gilt für den im Zertifikat ausgewiesenen Bereich.
Antworten für die Auftragsklärung
Ist H-5 automatisch die richtige Wahl für alle Datenträger?
Nein. H-5 gehört zur Materialklasse magnetischer Festplatten. Elektronische Speicher oder Bänder benötigen eine eigene Zuordnung.
Reicht es, Dateien zu löschen?
Ein gewöhnlicher Löschvorgang entfernt nicht zwangsläufig alle gespeicherten Informationen sicher. Wenn Medien physisch vernichtet werden sollen, wird das gewünschte Verfahren ausdrücklich beauftragt.
Macht ein Zertifikat jeden Auftrag automatisch passend?
Der ausgewiesene Geltungsbereich muss zu Ihrem Bedarf passen. Zusätzlich sind Material, Sicherheitsniveau, Zuständigkeiten und Nachweise im konkreten Auftrag festzulegen.
Anforderungen vor Beginn abstimmen
Sie kennen Ihre Daten und internen Vorgaben; wir bringen die Organisation der Vernichtungsleistung ein. Gemeinsam legen wir die relevanten Eckdaten fest. Sicherheitsniveau besprechen.
Ihr Projekt. Ihr Sicherheitsbedarf. Unser gemeinsamer Plan.
Beschreiben Sie uns Datenträger, Standort und gewünschten Nachweisumfang. Wir stimmen die passende Leistung mit Ihnen ab.