ポッドキャストのトランスクリプト:

データ セキュリティとデータ サニタイズは、R2 認定プロセスの重要な部分であるため、毎年の内部監査が義務付けられています。 今日は、Ask the R2 Guru のエピソードで、SERI のエグゼクティブ ディレクターである Corey Dehmey にインタビューします。 SERI – エレクトロニクスの持続可能性チャンピオンの RG です。

Corey Dehmey はエレクトロニクス業界で 20 年以上の経験があり、IT サポート、ITAD、データ破壊、リバース ロジスティクス、再利用、リサイクルなど、エレクトロニクスのライフサイクル全体に及ぶ多様なバックグラウンドを持っています。 この幅広い経験が、Corey にエレクトロニクスの持続可能性への挑戦に対する広い視野を与え、それが SERI のエグゼクティブ ディレクターの役割に彼を導いたのです。 データ セキュリティとサニタイゼーションの内部監査について話すゲストとして誰を招待すべきかを話し合っていたとき、Corey は完璧な選択でした。 インタビューを開始する際に、彼のバックグラウンドについて詳しく話してもらいます。

*********

ロジャー・グレイブ：  Corey さん、Ask the R2 Guru のエピソードにご参加いただきありがとうございます。 まず、あなたのバックグラウンドについて、データ セキュリティとサニタイゼーションの内部監査というこのトピックにどのように関連しているかについて少しお話しましょう。

コーリー・デーメイ：  こんにちは、ロジャー。 お招きいただきありがとうございます。 つまり、私のバックグラウンドは実際には IT です。IT の大学に通いました。コンピューター情報システムの学士号を取得しており、IT 業界で 12 年間、システム管理のデスクトップ サポートを行ってきました。 ですから、私はより技術的な角度からこれをたくさん出てきます。 私の歴史の一部は、海軍省のためにデータのサニタイズを行う方法を理解しなければならなかったことでもありました。 国防総省 5220.22-M への言及はすべて、そこに私が数年間住んで息を吹き込んだ場所です。 そうです、私のバックグラウンドは IT とデータ セキュリティであり、それは私がこのリバース ロジスティクス/返品/リサイクル業界で取り組んできたことです。

RG：  この点については十分に理解されていると思いますが、これまで見てきたデータ セキュリティの主な変化はどのようなものでしたか?

CD：  人々はより賢くなり、データはより大きくなり、ストレージが増え、データが増え、分散が進んでいます。 最大の要因の XNUMX つは、スマート デバイスの数です。 過去 XNUMX 年間、人々を結び付け、デバイスを接続することに費やされてきましたが、今では、ますます多くの種類のデバイスがデータとテクノロジーを統合するスマートな世界に突入しています。 今では、テレビを介して接続するようなものです。これは、以前は一種のダム デバイスでしたが、今ではスマート テレビです。 これらは、私が見たデータ セキュリティの最大の変化です。

そして、人々はデータがどこに保存されているかを認識しています。 ある日のことを思い出してください。テレビのパレットがリサイクル施設でトラックの後部から降ろされ、裏蓋が外され、テレビの後部にピカピカのハード ドライブがありました。 そして、私たちのテレビがデータストレージ機能を備えていることに初めて気づきました. これらが最大の変化であり、現在施行されている法律だと思います。たとえば、GDPR や、米国のいくつかの州で施行された同様の法律は、個人のデータ プライバシーに重点を置いています。 これは非常に重要であり、これらすべてのデバイス上のデータをより認識しなければならない重要な理由です。

RG： Corey さん、R2 施設がデータのセキュリティとサニタイズに関する内部監査を行う際に直面している主な問題や課題は何だと思いますか?

CD：   これは非常に複雑なトピックであり、本質的に非常に技術的であることを認識する必要があると思います。 テクノロジーに関する私のバックグラウンドから考えると、データ サニタイズにおけるすべてのニュアンスを理解することは、私にとってさらに複雑です。 ですから、私たちは、知るべきことがたくさんあるという認識を持って、この問題に取り組む必要があると思います。世界が変わり、新しいデバイスが登場するにつれて、デバイスはよりスマートになっているという認識です。 ここには多くの要因が関係しているため、ここでの課題を本当に理解するには、施設内の技術的能力が本当に必要です. これは、ハード ドライブを細断処理す​​るだけの単純なものではありません。 他のタイプのストレージ、暗号化、暗号化されていないファイル、CoC を使用して、SSD を使用してハード ドライブを消去するだけでも簡単ではありません。 そのプロセス全体の記録、説明責任、トレーサビリティについて話します。 ここには非常に多くの要因があり、これは非常に複雑な問題であることを念頭に置いておく必要があると思います. それに適切なリソースを適用する必要がありますが、それらは従来のリソースとは異なる場合があります。 これは私たちが話す顧客にとって最も重要なことなので、これを最前線に置く必要があります。

RG：  あなたは、標準の以前のバージョンである R2:2013 を作成し、TAC と協力してそれを長年使用されている標準に発展させることに大きな役割を果たしました。 当時と業界におけるデータ サニタイズに関して、そのバージョンの課題は何でしたか?

CD：   そのバージョンでは、NIST 800-88 などの他の標準が存在していたため、データ サニタイズの専門家になることを意図したものではありませんでした。 しかし、実装と監査で私たちが見た課題は、他の何かが参照されるたびに、必ずしも十分に監査されていないか、または必ずしも十分に実装されていないということです. したがって、NIST 800-88 は優れており、多くの優れた被害者情報が含まれています。 しかし、人々はすぐに付録 A に進んでいるのを見ました。さまざまなデバイスの消去コマンドは何ですか? これは良いことですが、製品を管理するために NIST 800-88 で指定されているすべてのセキュリティ管理を忘れており、プロセス全体でその管理の連鎖が行われています。

R2:2013 バージョンでの課題は、NIST 800-88 へのこの参照に埋もれているすべてのデータ セキュリティであったと思います。 そして、それが R2V3 の機会であり、R2V3 がデータ セキュリティとデータ サニタイズに関して非常に具体的である理由だと思います。 これらの要件は非常に重要であるため、すべての要件を前面に押し出すためです。 そして、それらの要件が監査されていることを確認します 具体的には また、監査人は、データ セキュリティおよびデータ サニタイズ操作の一部と見なされるべき特定の要件に対する不適合を書く機会を持っていること。

RG： そのため、現在、世界中で使用されている新しい標準 R2v3 があります。 このバージョンは、元の R2:2013 バージョンよりももちろん強力であった R2:2008 よりも、データ セキュリティに関するさまざまな懸念に対してさらに強力であるように思われます。 この新しい標準が、世界中の施設のデータ セキュリティにとってなぜそれほど重要なのでしょうか?

CD：  新しい R2v3 標準は、私が話した課題 (課題と能力、および他の標準との関連における課題) を認識しています。 R2v3 はそのすべてを前進させたと私は信じています。 そこで、計画の作成から始めました。 そして実際には、施設が受け取っているさまざまな種類のすべての機器と、適用されている消毒方法をレイアウトするように施設​​に要求することで、さまざまな種類と種類のすべての機器に対処するための知識と再現可能な知識を得ることができます。 、ハード ドライブだけではありません。 したがって、(R2)v3 のコア要件に記載されていることは、ここで非常に重要だと思います。 そして、そのプロセスにそれらの制御層を配置し、データの無害化の責任者、つまりデータ保護担当者、および安全な環境を確保するためだけに運用に必要なすべてのものを確保します.

しかし、付録 B では、これらの施設をさらに一歩進めて、データのサニタイズ、論理的なサニタイズ、またはデバイスのワイプのレベルを強化しています。 したがって、それは仮定ではなく、実際には詳細を追って確認する必要があります。 だからこそ、この移行を行うには R2V3 が非常に重要だと思います。

RG： ですから、この一連の内部監査について話し合っているので、最後の数分で実際のアプリケーションについても話しましょう。 R2V3 標準の要件では、少なくとも年 XNUMX 回のデータ セキュリティとデータ サニタイズ監査が必要です。 したがって、このレベルの専門知識を備えたこの監査を行う人を見つける必要がありますが、施設内の誰かが毎日それを行うことはできません. 施設は、データのサニタイズとデータ セキュリティに関するこのレベルの内部監査を行うのに十分な人物を見つけるにはどうすればよいでしょうか?

CD：   規模によっては課題があると思いますが、社内に多くのリソースを持っていない小規模な企業にとってはなおさらです。 大企業では、実際にデータのサニタイズを行っている人物やその機能の責任者ではない限り、データのサニタイズに精通しており、その能力を示している誰かと社内で行うことができます. 外部的には、多くの場合、外部の監査人またはコンサルタントを探す必要があります。この分野のスキルがあり、より技術的な性質を持ち、データセキュリティを理解し、データのサニタイズを理解し、トレーニングを完了しているか、それを評価できる実務経験がある人です。 . 客観的になれるように、彼らが独立していることが重要です。

この内部監査を行うプロセスは、実際に 施設. プロセスやその実装および実行方法に穴がないことを保証するために、データ侵害からそれらを保護します。 そして、それは施設だけでなく、その施設の顧客にとっても非常に重要です。 ここでの最大の懸念は、データのセキュリティと侵害のリスクです。 内部監査を行うこのプロセス全体は、実際には抜け穴がないことを確認する機会と見なすことができ、データ侵害の可能性を防ぐために強化、改善できる領域を特定します。

RG：  R2 が何年にもわたって開発され、世界中のより多くの場所で実装されているように思われますが、R2 が懸念され、R2 が役立つことができる主な領域が XNUMX つあります。次に、労働者の安全と施設が配置されている地域社会の保護ですが、XNUMX 番目でほぼ同等に重要なのがデータ セキュリティの問題です。 デバイスを含むこれらすべてのデータを受信する企業が、それらを送信している人々のデータを保護する能力を持っていることを確認し、これらの企業が責任を持って資料を処理することを信頼します. RXNUMX が私たちの使命に対するこの XNUMX 部構成の懸念を前進させるにつれて、何か変化が見られますか?

CD： いいえ、それらは私たちが常に集中しなければならない堅実で優れた慣行だと思います。 繰り返しになりますが、R2認定施設が基準を満たしていることを確認することは、顧客にとって重要であるため、非常に重要だと思います.

RG： もう XNUMX つ、コーリー。 たとえば、企業が内部監査のために誰かを選ぶとき、データセキュリティおよびサニテーションの監査人は法令順守の監査人とどのように違うのでしょうか?

CD：、両方とも異なるコア コンピテンシーを必要とするため、必ずしもひとくくりにすることはできません。 必要なすべての能力を XNUMX 人で持つことができます。 または、施設には、健康と安全、および施設内のリスクと危険を調べることに熟練した人がいて、物事の技術的側面とデータセキュリティとデータ無害化のプロセスを調べることに熟練した別の人がいる場合があります。 したがって、能力は異なると思います。施設内で誰を採用するか、または誰を使用するかを評価する際に、それを指摘することが非常に重要です。 データのサニタイズ監査を行うには、IT ディレクターの方がデータのサニタイズ作業に長けている可能性があります。 したがって、これらは、求めている最高の結果を確実に得るために、プロセスで強調すべき重要な違いだと思います.

RG： コーリー、今日はお時間を割いていただき、ありがとうございました。 私たちは本当に感謝しており、コメントを返し、この非常に重要なトピックについてこの議論を続けることを楽しみにしています.

CD： ありがとう、ロジャー。

*********

RG： 前に述べたように、SERI では、内部監査プログラムがいかに重要であるかを認識しているため、これらのポッドキャストに加えて、新しいビデオ、情報シート、サンプル フォームなど、役立つ新しいトレーニング ツールを開発しています。 新しいものはすべて、SERI Web サイトで発表されます。 を検索 最近追加された ナレッジ ベース ページのコラム。

R2 Guru に聞くのエピソードは以上です。 聞いてくれてありがとう。Corey Dehmey と、いつものように、このポッドキャストの制作を支援してくれた SERI チームに感謝します。 Corey との会話の完全なトランスクリプトは、ポッドキャストのセクションにあります。 R2ナレッジベース セリのサイトで。 それは、sustainable electronic.org で見つけることができます。