発効日: 29 年 2022 月 XNUMX 日

R2 標準コンセンサス機関は、R10 標準開発および ANSI 標準開発プロセスのポリシーと手順に関する SERI マニュアルの第 2 条 – 解釈ポリシーに沿って、この正式な解釈を承認しました。 この正式な解釈は、SERI によって公開され、29 年 2022 月 XNUMX 日に発効します。

質問
付録 B の論理サニタイズでは、要件 (10) および (11) での「ソフトウェア」の使用について言及しています。 「ソフトウェア」は、論理的な無害化プロセスを自動化し、無害化の記録を作成するアプリケーションに限定されていますか?

正式な解釈
「ソフトウェア」とは、一意の識別子ごとにデータの無害化の結果を自動化、制御、および記録するアプリケーションを意味することを意図しています。 製造元が提供する工場出荷時設定へのリセットをデバイスで直接実行しても、必ずしも市販のソフトウェアでデータを回復できないとは限らないため、ソフトウェアによるサニタイズは、論理的なサニタイズの主要な方法でなければなりません。 ただし、一部のデバイスでは、製造元が提供する出荷時設定へのリセットが唯一の利用可能なオプションである場合があります (デバイスが機能しており、損傷していない場合)。 データを含む特定のデバイスについて、データのサニタイズ結果を完全に自動化、制御、および記録するソフトウェアが存在しない場合、「ソフトウェア」は拡張して、手動ワークフローを指示、制御、および記録してデータをサニタイズするアプリケーションを含めることができます。メーカー提供の指示 (「メーカー リセット」)。 メーカーが規定するデータ サニタイズ プロセスを促進し、その結果を記録するソフトウェアは、付録 B(11) のデータ サニタイズ ソフトウェア要件および付録 B(10) の記録要件を満たすことが実証されるものとします。

付録 B(13) の「商用ソフトウェア」とは、サンプリング方法に適用されるデータ回復技術のレベルを指します。 商用ソフトウェアは、データの基本的な目視検査と科学捜査研究所の分析の間のレベルです。 これは、通常のユーザーがデバイスからデータを回復するためにダウンロードまたは購入して使用できるデータ回復用に設計されたソフトウェアによってデータを回復できないレベルを意味します。

制限
この正式な解釈は、ソフトウェアが存在する状況には適用されませんが、デバイスが損傷しており、リモート コンピューターに接続してソフトウェアでサニタイズすることができません。 一例として、IO ポートが破損した Android フォンがあります。 これらのデバイスのサニタイズ プロセスをリモート コンピューターから自動化および制御できるソフトウェアがあることは広く知られています。 このような場合、R2 Equipment Categorization に従って「非データ」デバイスとして分類されるには、ソフトウェアでサニタイズされているため、最初に IO ポートを修復して、利用可能なソフトウェアで接続およびサニタイズする必要があります。 そうしないと、たとえソフトウェア アプリケーションによって指示、制御、および記録されたとしても、手動リセットは要件を満たしていません。 修復しないという選択は、サニタイズ プロセスを自動化するソフトウェアを使用しない理由にはなりません。

背景
付録 B の「ソフトウェア」の正式な解釈のこの要求は、要件の実装における業界全体の課題を認識した後、SERI によって行われました。

考察
ガイダンスを参照してください – R2v3 における論理データ サニタイズに関するディスカッション

お申込み
サニタイズおよび商用リカバリ ソフトウェアを備えていない可能性のあるデバイスを含む一般的なデータには、次のものが含まれますが、これらに限定されません。

• スマートスピーカー
• スマートテレビ
• スマートウォッチ
• フィットネストラッカー
• ハードドライブではなくメモリチップを内蔵したゲームコンソール
• テレビスティック/ボックス
• 固定電話
• ハードドライブではなくメモリチップを内蔵したプリンタ
• スマートサーモスタット
• IP 接続されたホーム セキュリティ デバイス
• モバイルルーター/MiFi/ホットスポット
• モバイルフィーチャーフォン
• スイッチ
• Chromebooks

R2 認定施設は、所有するすべてのデバイスの「データ」に責任を負います。 ステップ 1 では、デバイスにデータを保存できるかどうかを判断します。 デバイスには不揮発性ストレージ機能がありますか?

XNUMX つ目の違いは、デバイスにサニタイズが必要な「データ」が含まれているか、サニタイズが不要な「一般情報」のみが含まれているかです。

R2 標準では、データを次のように定義しています。

「データ」とは、電子デバイスまたはメモリ コンポーネントに含まれる個人情報、個人を特定できる機密情報、ライセンスされた情報、または専有情報であり、この規格に基づく安全な管理とサニタイズが必要です。 データには、R2 標準で定義されている一般情報は含まれていません

この規格では、一般情報も次のように定義されています。

「一般情報」とは、公的に入手可能な情報、またはメーカーからオリジナルの電子機器とともに提供される情報です。 一般情報はサニタイズを必要としません。

12 番目の考慮事項は、デバイスが実際にデータをローカルに保存するか、データを PC、サーバー、クラウドなどにリモートで保存するかです。リンクされたデータはデバイスに保存されないため、デバイスはデータのサニタイズを必要としません。 ただし、このような場合は、リモート ストレージへの接続を付録 B (XNUMX) で削除する必要があることが重要です。

最後の考慮事項は、データの無害化プロセスを自動化するソフトウェアが存在するかどうかです。 これは、ソフトウェアを使用するかどうかの選択ではありません。 ソフトウェアが存在する場合は、ソフトウェア ソリューションを実装する必要があります。

サニタイズ プロセスを自動化するためのソフトウェアが利用できない場合、製造者の指示をソフトウェア プラットフォームに組み込んでワークフローを制御し、製造者の指示を実装して各デバイスの完了の詳細な記録を作成することができます。 製造元のリセット命令の実装は、購入可能な商用ソフトウェア (市販のソフトウェア) に見られることがあります。 このソフトウェアには、ソフトウェアがプロセスを自動化できないデバイス用のこれらの手順が組み込まれていることがわかっています。 このソフトウェアは、すべての論理サニタイズ機能を同じプラットフォーム上で整理および制御することにより、論理サニタイズへのハイブリッド アプローチになります。 データの無害化のために購入したソフトウェアは、この解釈の目的のために必ずしも必要ではありません。 ワークフロー ステップの統合は、施設の ERP システムまたは別のプラットフォームを通じて実現でき、カスタム ソフトウェア ソリューションを作成できます。

監査
手動リセットに依存しない自動化されたソフトウェア ソリューションは、この要件の意図であり、ソフトウェアが利用可能な場合に必要となります。 自動化されたソフトウェア ソリューションが利用できない場合、プロセスのワークフローを制御する堅牢なソフトウェア システムと、各デバイスのデータ サニタイズ イベントに関する透明性と説明責任を提供するサニタイズの詳細な記録が期待されます。

この解釈では、自動化されたソフトウェア サニタイズが可能な場合に、壊れたデバイスが手動のメーカー リセット手順を使用することはできません。

付録 B(10) で要求される記録の評価
たとえば、オペレータがスプレッドシートに作成した単純な記録は、エラーや疑わしい結果に対して脆弱であるため、ソフトウェア サニタイズの許容可能な記録とは見なされません。 以下は、NIST SP 800-88 Rev.1 セクション 4.8 に基づいてモデル化されたデータ サニタイズ レコードの推奨データ ポイントです。

• デバイス/メディア メーカー
• デバイス/メディア モデル
• デバイス/メディアのシリアル番号 (できればソフトウェアで読み取り、手動で入力しないでください)
• 割り当てられた一意の識別子 (できればラベルからスキャン)
• メディアの種類 (つまり、磁気、フラッシュ メモリ、ハイブリッドなど)
• メディア ソース (つまり、メディアの送信元のユーザーまたはコンピューター)
• デバイス/メディアの容量 (つまり、LBA の数とサイズ)
• サニタイズ タイプ (クリア、パージ、破棄)
• 使用された方法 (つまり、上書き、ブロック消去、暗号消去など)
• 使用ツール（バージョン含む）
• 消毒担当者
  • 人の名前
  • 役職・役職
  • 日時（システムから自動記録）
  • 所在地
  • 電話またはその他の連絡先情報
  • 署名
• 検証方法（つまり、サニタイズ成功記録の検証、サンプリングなど）
• 検証者
  • 人の名前
  • 役職・役職
  • 日時（システムから自動記録）
  • 所在地
  • 電話またはその他の連絡先情報
  • 署名

付録 B(11) で要求される手動のメーカー リセット手順を統合するソフトウェアの評価 

まず、製造元のリセット手順を評価して、デバイスの構成をリセットするだけではなく、データにアクセスできないと判断していることを確認する必要があります。 これは、付録 B (11)(a) を満たす上で重要な違いです。

第 11 に、付録 B (XNUMX)(b) を満たすために、サニタイズ プロセス中に中断が発生した場合、または効果のないクリアに関連する障害が発生した場合にプロセスが失敗するようにワークフローを構成する必要があります。

第 11 に、「ソフトウェア パッチによる保守」は、製造元の変更に合わせてソフトウェアの指示を更新することで実現されます。 更新をチェックするための自動化されたプロセスまたは手動のスケジュール、および指示の更新の記録を書面で文書化することは、付録 B (XNUMX)(c) を満たす証拠を提示する方法である可能性があります。

製造元のリセット命令を使用して現在サポートされているバージョンを確認することは、最新の命令が実装されていることを確認することを意味します。 これには、製造元の Web サイトまたはその他のソースで更新プログラムを定期的にチェックするプロセスが必要です。 使用した指示のバージョンまたは日付は、各デバイスの消毒記録に記録する必要があります。 メーカーの説明書に不具合が見つかった場合、これを記録に残すことで、施設は脆弱で修正が必要なデバイスを特定できます。