AM-07 Außerbetriebnahme von Hardware

Der Cloud-Anbieter definiert, dokumentiert und implementiert ein Verfahren für die Außerbetriebnahme von Hardware, die verwendet wird, um Systemkomponenten zu betreiben, die die Produktionsumgebung des Cloud-Dienstes unterstützen und in der Verantwortung des Cloud-Anbieters liegen. Im Rahmen dieses Verfahrens ist eine Genehmigung durch autorisiertes Personal des Cloud-Anbieters auf der Grundlage der anwendbaren Richtlinien erforderlich.

Ergänzende Informationen

Das Verfahren zur Außerbetriebnahme umfasst typischerweise:

1. die Verifizierung, dass das Asset für den operativen Einsatz nicht mehr benötigt wird;

2. die Bewertung zugehöriger Risiken und Abhängigkeiten;

3. die Genehmigung durch autorisiertes Personal auf der Grundlage interner Richtlinien;

4. die Durchführung sicherer Datenlöschungs- oder Bereinigungsprozesse;

5. die Aktualisierung des Asset-Inventars, um den Status der Außerbetriebnahme widerzuspiegeln; und

6. die Entsorgung oder Umwidmung der Hardware in Übereinstimmung mit Umwelt- und Sicherheitsrichtlinien.

Ergänzende Informationen

Dieses Kriterium ist nicht anwendbar auf Hardware-Komponenten, die keine Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten, Cloud-Anbieterdaten oder Kontodaten speichern (z. B. Monitore, Router oder Tastaturen).

Die Außerbetriebnahme umfasst entweder:

1. Die vollständige und unwiderrufliche Löschung aller Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten, Cloud-Anbieterdaten und Kontodaten; oder

2. Die ordnungsgemäße Vernichtung der Datenträger.

Kontodaten müssen zumindest in Fällen gelöscht werden, in denen sich die Daten in der Produktionsumgebung für den Betrieb von Systemkomponenten befinden.

Ergänzende Informationen

Die Löschung von Daten bzw. physische Vernichtung von Datenträgern kann z. B. gemäß DIN 66399 oder BSI IT-Grundschutz-Baustein CON.6 erfolgen

Ergänzende Informationen

Dieses Kriterium ist nicht anwendbar auf Hardware-Komponenten, die keine Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten, Cloud-Anbieterdaten oder Kontodaten speichern (z. B. Monitore, Router oder Tastaturen).

Die Vernichtung von Daten auf Hardware-Komponenten erfolgt in einer solchen Weise, dass eine Datenwiederherstellung als unmöglich angesehen werden kann.

Ergänzende Informationen

Die Löschung von Daten bzw. physische Vernichtung von Datenträgern kann z. B. gemäß DIN 66399 oder BSI IT-Grundschutz-Baustein CON.6 erfolgen

Ergänzende Informationen

Dieser Genehmigungsprozess stellt sicher, dass außerhalb des Standorts durchgeführte Entsorgungsaktivitäten den Sicherheits-, Compliance- und Umweltrichtlinien der Organisation entsprechen. Er umfasst typischerweise:

1. die Verifizierung von Asset-Eigentum und Nutzungshistorie;

2. die Bewertung der Anforderungen an die Datenbereinigung;

3. die Auswahl genehmigter Entsorgungsdienstleister oder -methoden;

4. die Dokumentation der Entsorgungsmaßnahmen und Genehmigungen; und

5. die Bestätigung der sicheren Datenlöschung oder Vernichtung des Datenträgers.

Ergänzende Informationen

Dieses Kriterium ist nicht anwendbar auf Hardware-Komponenten, die keine Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten, Cloud-Anbieterdaten oder Kontodaten speichern (z. B. Monitore, Router oder Tastaturen).

Der Cloud-Anbieter definiert, dokumentiert und implementiert ein Verfahren für die Außerbetriebnahme von Hardware, die verwendet wird, um Systemkomponenten zu betreiben, die die Produktions-, Entwicklungs-, Test- oder Staging-Umgebung des Cloud-Dienstes unterstützen und in der Verantwortung des Cloud-Anbieters liegen. Im Rahmen dieses Verfahrens ist eine Genehmigung durch autorisiertes Personal des Cloud-Anbieters auf der Grundlage der anwendbaren Richtlinien erforderlich.

Ergänzende Informationen

Dieses Kriterium ist nicht anwendbar auf Hardware-Komponenten, die keine Cloud-Kundendaten, abgeleiteten Cloud-Dienstdaten, Cloud-Anbieterdaten oder Kontodaten speichern (z. B. Monitore, Router oder Tastaturen).