Likvidácia citlivých informácií a údajov uložených na diskoch počítačov

komentár:
V prípade, že plánujete  vymeniť svoje počítače a notebooky ako celok, je potrebné si uvedomiť, že  na diskoch v týchto zariadeniach sú však uložené citlivé informácie a dôverné firemné údaje. Zaujíma Vás , ako prakticky zrealizovať bezpečnú likvidáciu informácií uložených na pamäťových diskoch umiestnených v odovzdávaných, resp. predávaných zariadeniach tak, aby nemohlo dôjsť k zneužitiu údajov? Na čo všetko je potrebné z pohľadu informačnej a kybernetickej bezpečnosti dávať pozor? Čo musíte prakticky vykonať?
Požiadavka na formálne ustanovený a bezpečný spôsob likvidácie médií (a teda aj citlivých a dôverných informácií a údajov na nich uložených) je definovaná v systéme riadenia informačnej bezpečnosti (ISMS – Information Security Management System), konkrétne v prílohe A.8.3 normy STN ISO/IEC 27001:2014.
Z pohľadu informačnej a kybernetickej bezpečnosti je požiadavka na vymazávanie, vyraďovanie a likvidovanie zariadení sietí a informačných systémov a všetkých typov relevantných záloh súčasťou bezpečnostných opatrení v oblasti fyzickej bezpečnosti sietí a informačných systémov zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti § 20 ods. 3 písm. l)a vyhlášky č. 362/2018 Z. z., ktorou sa ustanovuje obsah bezpečnostných opatrení, obsah a štruktúra bezpečnostnej dokumentácie a rozsah všeobecných bezpečnostných opatrení, a to konkrétne v § 16.
Z pohľadu bezpečnostných opatrení informačných technológií verejnej správy sa témou likvidácie médií zaoberá vyhláška ÚPVII č.179/2020 Z. z., ktorou sa ustanovuje spôsob kategorizácie a obsah bezpečnostných opatrení informačných technológií verejnej správy. Konkrétne bezpečnostné opatrenia sú rozdelené na tri kategórie (Kategória I., Kategória II. a Kategória III.), a to:
•	v písmene „B. Riadenie rizík kybernetickej bezpečnosti a informačnej bezpečnosti“ je v bezpečnostných opatreniach Kategórie II. v bode b) uvedená povinnosť „zaradenia informačných aktív podľa definovaných požiadaviek na ich dôvernosť, dostupnosť a integritu do určených klasifikačných stupňov, pre ktoré sú určené bezpečnostné opatrenia najmenej na ich označovanie, ukladanie, prenos, zverejňovanie a likvidáciu“;
•	v písmene „L. Fyzická bezpečnosť a bezpečnosť prostredia“ je v bezpečnostných opatreniach  uvedená povinnosť „vypracovania a implementovania interného riadiaceho aktu, ktorý upravuje prácu v zabezpečených priestoroch, ako aj pravidiel vymazávania, vyraďovania a likvidovania zariadení informačných technológií verejnej správy a všetkých typov relevantných záloh“.
Kľúčová zodpovednosť za túto oblasť je pridelená vlastníkovi daného aktíva, ktorého povinnosťou je aktívum primeraným spôsobom zmazať alebo zlikvidovať. Konkrétne postupy pre bezpečnú likvidáciu musia byť v organizácii formálne zavedené a schválené bezpečnostným manažérom (v prípade vrcholového dokumentu v tejto oblasti aj vedením organizácie).
 
Odporúčanie:
Pri výmene stacionárnych a prenosných počítačov  na základe praxe odporúčame vyňať z nich úložné disky a tieto najprv bezpečne zmazať a následne fyzicky zničiť (napr. zlikvidovať prevŕtaním disku, zošrotovaním a pod.). Ak tieto kroky nemôže organizácia realizovať vlastnými silami, je možné na tento účel kontrahovať externú firmu ponúkajúcu služby zberu a bezpečnej likvidácie médií. Pri tom je dôležité preveriť, či pre konkrétne citlivé informácie určené na likvidáciu nie je potrebné mimoriadne posúdenie rizík, na základe čoho je možné určiť, či je potrebné aplikovať fyzické zničenie média alebo stačí jeho bezpečné premazanie.
Každú jednu likvidáciu citlivých informácií alebo médií je potrebné zaznamenať a zdokumentovať pre účely zabezpečenia záznamu pre interné a externé audity. Na to je dobré v organizácii zaviesť jednotnú formu napr. formulára pre bezpečnú likvidáciu aktív.

vzor formulára na bezpečnú likvidáciu aktív :
Záznam o likvidácii osobných údajov
1. Identifikačné údaje dotknutej osoby - fyzickej osoby
Meno a priezvisko: .......................................................
Adresa trvalého pobytu (alebo iného) pobytu: ...............................................
2. Identifikačné údaje prevádzkovateľa
V prípade, ak ide o prevádzkovateľa - fyzickú osobu
Meno a priezvisko: ............................................
Adresa: ............................
V prípade, ak ide o prevádzkovateľa - právnickú osobu
Obchodné meno (názov): ...........................................
Identifikačné číslo: .............................................
Adresa sídla: ...............................................
Register: ..............................................
Číslo registrácie: .................................
Prítomní zástupcovia za Prevádzkovateľa: ......................................
3. Likvidácia osobných údajov
Dňa...........................bola (na základe žiadosti dotknutej osoby zo dňa.......................) vykonaná likvidácia nasledujúcich údajov o dotknutej osobe (spracúvaných / archivovaných) v (automatizovanej / manuálnej) forme.
Kategória osobných údajov: ......................................
Počet osobných údajov k likvidácii: .......................................
Zdroj osobných údajov: ...............................
Miesto likvidácie: .....................................
Dôvod likvidácie: .....................................
Spôsob likvidácie: .....................................
Poznámka: ....................................(rpípadne popísať ďalšie relevantné skutočnosti)

V........................ dňa................................

___________________________
(meno, priezvisko a funkcia)
V prípade, že sa likvidácia vykonáva za prítomnosti dotknutej osoby...................(dotknutá osoba)

________________________
(meno a priezvisko)