Tietoturvallinen arkistointi ja tuhoaminen

Tiedonhallintamallin tulee sisältää kuvaus tietoaineiston säilytysajasta sekä arkistoon siirtämisestä, arkistointitavasta ja arkistopaikasta tai tuhoamisesta. Tietoaineiston säilytysajan päättymisen jälkeen tietoaineistot on arkistoitava tai tuhottava viipymättä tietoturvallisella tavalla.

Tietoaineiston arkistointi- tai tuhoamisprosessi määritellään dokumentaation yhteydessä ja tietoaineiston omistaja vastaa sen toteutuksesta.

Organisaatiolla tulee olla kuvaus tietoaineiston sisällön säilytysajasta sekä arkistoon siirtämisestä, arkistointitavasta ja arkistopaikasta tai tuhoamisesta. Tietoaineiston säilytysajan päättymisen jälkeen tietoaineistot on arkistoitava tai tuhottava viipymättä tietoturvallisella tavalla.

Kun tuhotaan tietojärjestelmien sisältämiä tietoja, seuraavat seikat olisi huomioitava:

• sopiva tuhoamistapa (esim. ylikirjoitus, kryptografinen pyyhintä) valitaan toiminnalliset ja lakisääteiset vaatimukset huomioiden
• tarpeellisuus todisteiden säilyttämiselle tiedon tuhoamisesta käsitellään
• hyödynnettäessä kolmansia osapuolia tietojen tuhoamiseen käsitellään todisteiden vaatiminen sekä tuhoamisvaatimusten sisällyttäminen toimittajasopimuksiin

Tietoaineiston arkistointi- tai tuhoamisprosessi määritellään dokumentaation yhteydessä ja tietoaineiston omistaja vastaa sen toteutuksesta.

Organisaatiolla on oltava toimenpiteet ja toimintatavat tulevan tiedon, käsittelyssä olevan tiedon ja ulos tulevan tiedon turvallista säilytystä varten. Säilytyksessä tulisi ottaa huomioon:

• Säilytettävien tietojen suojaaminen
• Järjestelmälokien arkistointi
• Säilytettävien tietojen kokonaisuus
• Tietojen säilytyksen toimenpiteiden lokin ylläpito

Kaikki säilytettävä tieto tulee suojata varkaudelta, muokkaamiselta ja tuhoamiselta tai muulta tapahtumalta, joka vaikuttaa niiden luottamuksellisuuteen, eheyteen tai saatavuuteen.

Tietoaineistojen tuhoaminen tulee huomioida myös osana laitteiden elinkaaren hallintaa. Myös oheislaitteet ja muistivälineet tulee huomioida.

Tämä voidaan toteuttaa esimerkiksi:

Lisäämällä laitteistojen (kiintolevyt, muistit, muistikortit, tms.) sisältämän tiedon tietoturvallinen luotettava tuhoaminen osaksi käytöstä poiston, huoltoon lähetyksen ja uusiokäytön prosesseja.