データ ストレージ デバイスの識別 [コア 6(a)(3)]

Q. コア要件 6.(a)(3) の下で、R2 施設は「すべてのデータ ストレージ デバイスを識別する」ための文書化されたプロセスを持つ必要があります。 R2 施設は、デバイスにデータ ストレージ機能があるかどうかをどのように判断する必要がありますか? 製造元の Web サイトから製品情報を確認するだけで、デバイスにデータが保存されているかどうかを知ることができますか?

製品メーカーからのデータ ストレージ仕様の確認は、デバイスのデータ ストレージ機能を理解するための有用なツールになる可能性がありますが、R2 施設はこの情報だけに頼るべきではありません。

R2施設は、デバイスが異なれば、同じデバイスでもモデルが異なれば、ハードウェアやデータストレージ機能が異なる場合が多いことを認識しておく必要があります。 そのため、メーカーからの情報は有用ですが、そのメーカーが特定した特定のデバイスにのみ適用する必要があり、機器のカテゴリ全体に広く解釈してはなりません。 特定のモデル、バージョン、オペレーティング システム、またはデバイスごとに異なる可能性があるその他の仕様を考慮する必要があり、その結果、他のデータ サニタイズが必要になる可能性があります。

データ ストレージ デバイスを特定する場合、考慮すべき重要な側面が XNUMX つあります。 

1. 1. 10 つ目は、デバイス自体にデータを含めることができるかどうかであり、したがって、物理的または論理的なデータ サニタイズが必要になります。 また、再利用する場合は、付録 B (XNUMX) に従って、適切なデータ サニタイズ ソフトウェアを使用してデバイスを論理的にサニタイズする必要があります。
   2. 考慮すべき 12 番目の要素は、デバイスがユーザー アカウントやその他のオンライン サービスに接続できるかどうかです。 これらの接続には、クラウドベースのアカウントやペアリングされたデバイスなど、デバイス以外の場所に保存されているユーザー データにアクセスする機能がある場合があります。 付録 B (XNUMX) では、リモート サービスへのすべての接続を削除して、アカウントや関連情報をデバイスに再入力できないようにする必要があります。

考慮すべきもう 2 つの側面は、データと一般情報の違いです。 R3vXNUMX では、「データ」を「電子デバイスに含まれるプライベート、個人を特定できる機密、ライセンス、または専有情報…」と定義しています。データには常にサニタイズが必要です。

「一般情報」とは、「公開されている情報、または製造元からオリジナルの電子機器とともに提供される情報」と定義されています。 一般情報はサニタイズを必要としません。

データと一般情報の違いを明確に理解することは、データ サニタイズ計画の策定とサニタイズ方法の実装の両方に役立ちます。

最後に、データ機能を特定するときは、デバイスのアップグレードや変更、およびメモリ カードなどのアクセサリも考慮してください。