Der Standard “Responsible Use and Recycling“ (R2) konzentriert sich auf die Regulierung der Auswirkungen der Wiederaufbereitung und des Recyclings von Elektronikgeräten auf die Umwelt und die Arbeitnehmer in der E-Recycling-Branche. Der Standard wurde 2008 in Nordamerika eingeführt und wird von Elektronikrecyclern, darunter IT-Asset-Entsorgungsunternehmen (ITADs), Wiederaufbereiter und Wiederverkäufer, für ein nachhaltiges und umweltfreundliches Elektronikrecycling in den Phasen Prüfung, Reparatur, Wiederverwendung und Recycling eingesetzt.
R2v3, veröffentlicht im Juli 2020 von Sustainable Electronics Recycling International (SERI), ist die zweite größere Überarbeitung oder Aktualisierung der R2-Praktiken seit 2013, als die erste Überarbeitung veröffentlicht wurde. Gemäß der Dokumentation zu R2 Version 3.0 (© SERI, 2020: The R2 Standard by SERI Version 3 (R2v3)) kann die R2-Zertifizierung IT-Asset-Managern, Käufern von Dienstleistungen zur Vernichtung, Aufarbeitung und Wiedervermarktung von IT-Assets sowie Recyclingunternehmen dabei helfen, das Vertrauen in die nachhaltige und sichere Entsorgung gebrauchter Elektronikgeräte zu stärken. Darüber hinaus sind ITAD-Unternehmen mit R2v3-Zertifizierung besser in der Lage, ihren Kunden die Wirksamkeit ihrer Datenvernichtungsmaßnahmen zu garantieren.
Dieser Artikel beschreibt die Kernanforderungen von R2v3 und konzentriert sich dabei auf die Anforderung “Datensicherheit“, die für die IT-Asset-Vernichtungsbranche von besonderer Bedeutung ist.
Einführung in R2v3 – Die Kernanforderungen
Die Anforderungen von R2v3 umfassen zehn verschiedene Bereiche, die vom Anwendungsbereich über Strategien für ein verantwortungsbewusstes E-Abfallmanagement und gesetzliche Anforderungen bis hin zur Datensicherheit, Anforderungen an die Einrichtungen und mehr reichen. Nachfolgend finden Sie einen kurzen Überblick über die neuesten R2v3-Anforderungen:
1. Geltungsbereich
Diese Anforderung schreibt vor, dass eine R2-Einrichtung die von ihr verwalteten Prozesse, elektronischen Geräte, Komponenten und Materialflüsse definieren und zertifizieren muss. Aktivitäten wie die Sammlung, Aufarbeitung, Reparatur, Wiedervermarktung, Zerkleinerung, Rückgewinnung von Wertstoffen, Vermittlung und das Recycling von gebrauchten elektronischen Geräten fallen ebenfalls in den Geltungsbereich der R2v3-Zertifizierung.
2. Hierarchie der Strategien für verantwortungsbewusstes Management
Dieser Anforderungsbereich schreibt vor, dass eine Richtlinie für die Entsorgung von gebrauchten und ausgedienten elektronischen Geräten, Komponenten und Materialien entwickelt und eingehalten werden muss. Die Richtlinie muss hierarchische und verantwortungsbewusste Entsorgungsstrategien enthalten, die der Wiederverwendung Vorrang einräumen, gefolgt von Verwertung und Recycling.
3. EH&S-Managementsystem
Dieser Anforderungsbereich in R2v3 verlangt von der R2-Einrichtung die Aufrechterhaltung eines zertifizierten Umwelt-, Gesundheits- und Sicherheitsmanagementsystems (EHSMS), das die Planung, Umsetzung und Überwachung von Umwelt-, Gesundheits- und Sicherheitspraktiken im Zusammenhang mit der Sicherheit von Arbeitnehmern, der Öffentlichkeit und der Umwelt sowohl unter normalen als auch unter außergewöhnlichen Umständen ermöglicht. Es verlangt von einer R2-Einrichtung, die damit verbundenen Risiken der Exposition gegenüber gefährlichen Stoffen wie Quecksilber, Blei, Beryllium, Cadmium usw. regelmäßig zu überprüfen und zu bewerten.
4. Rechtliche und sonstige Anforderungen
Diese Anforderung des R2v3-Standards konzentriert sich auf die Einhaltung der geltenden Gesetze zu Umweltsicherheit, Gesundheit und Datensicherheit in Bezug auf die Verarbeitung, den Transport und den Import oder Export von elektronischen Geräten, Komponenten und Materialien.
5. Nachverfolgung des Durchsatzes
Im Rahmen dieses Anforderungsbereichs muss eine R2-Einrichtung den Durchsatz aller elektronischen Geräte, Komponenten und Materialien erfassen und verwalten sowie eine angemessene Dokumentation führen, in der die Bewegungen aller elektronischen Artikel detailliert aufgeführt sind.
6. Sortierung, Kategorisierung und Verarbeitung
Dieser Bereich definiert die Anforderungen für die Bewertung, Organisation und Kategorisierung von elektronischen Geräten gemäß der R2-Referenz für die Kategorisierung von Geräten. Eine R2-Einrichtung muss ein Prozessdokument erstellen und pflegen, um die Sortierung und Kategorisierung von elektronischen Geräten vor der Verarbeitung durchzuführen. Darüber hinaus müssen Anweisungen und Kriterien definiert werden, um zu beurteilen, ob Komponenten aufgrund ihres physischen Zustands und ihrer Funktionalität wiederverwendet werden können.
7. Datensicherheit
Diese R2-Einrichtung muss hohe Standards der Datensicherheit einhalten, indem sie ein hohes Maß an Sicherheit und Bereinigung aller Datenspeichergeräte auf der Grundlage des Gerätetyps und der Datenempfindlichkeit gewährleistet. Die Einhaltung der R2v3-Anforderung „Datensicherheit” ist entscheidend für die Erzielung sicherer und konformer Ergebnisse bei der Datenvernichtung. Daher ist diese Anforderung ein wichtiger Aspekt für ITAD-Unternehmen, die ihre Praktiken ausweiten und die Konformität mit R2 Version 3 erreichen möchten. In einem späteren Abschnitt werden wir die R2v3-Anforderung zur Datensicherheit erörtern, einschließlich wichtiger Aktualisierungen, die sich auf den ITAD-Betrieb auswirken.
8. Fokusmaterialien
Diese Anforderung betrifft die Verwaltung von Vor-Ort-Prozessen und die Beauftragung von E-Recycling-Anbietern, um sicherzustellen, dass die Fokusmaterialien, die die Anlage durchlaufen, die Gesundheit und Sicherheit der Mitarbeiter, der Öffentlichkeit und der Umwelt nicht gefährden.
9. Anforderungen an die Anlage
Gemäß dieser Anforderung sollte die R2-Anlage elektronische Geräte, Komponenten und Materialien in einer Weise verarbeiten und lagern, die den gesetzlichen Bestimmungen entspricht. Darüber hinaus sollte die Verarbeitung und Lagerung von elektronischen Geräten keine Auswirkungen auf die Gesundheit und Sicherheit der Mitarbeiter, der Öffentlichkeit und der Umwelt haben.
10. Transport
In diesem Abschnitt werden die Standards für den sicheren und vorschriftsmäßigen Transport von elektronischen Geräten, Komponenten und Materialien festgelegt, wobei physische Medien und Datensicherheit, die Gesundheit und Sicherheit der Mitarbeiter sowie die Auswirkungen auf die Umwelt berücksichtigt werden.
Entmystifizierung der R2v3-Datensicherheitsanforderungen für ITAD-Unternehmen
Die Datensicherheitsanforderung (Core 7) identifiziert vier Bereiche für die R2-Konformität, nämlich:
1) Dokumentation
Dieser Aspekt betont die Notwendigkeit einer detaillierten Dokumentation des Datenbereinigungsplans und der Verfahren. Die Dokumentation sollte die folgenden Informationen enthalten:
- Sicherheitsmechanismen zum Schutz der Daten unter der Kontrolle der R2-Einrichtung, einschließlich der Identifizierung sicherer und zugangsbeschränkter Bereiche, die für die Datenbereinigung vorgesehen sind.
- Arten von Datenspeichergeräten und Daten, die von der R2-Einrichtung bereinigt werden.
- Das Vorhandensein von Netzwerkdiensten, die die Daten auf den Geräten automatisch wiederherstellen könnten.
- Methoden der Datenbereinigung je nach Art des Geräts
- Geplante Dauer für die Vernichtung der Daten nach deren Erhalt.
- Mit der Datenbereinigung beauftragte Drittunternehmen, einschließlich solcher, die Dienstleistungen in einem anderen Land erbringen.
- Dokumentierte Aufzeichnungen, die die Wirksamkeit der Datenbereinigungs- und Verifizierungsmethoden belegen. Verfahren zur Autorisierung und Überwachung von Mitarbeitern, Besuchern usw., die Zugang zu datentragenden Geräten haben.
Die Anforderung schreibt auch eine schriftliche und gepflegte Datensicherheitsrichtlinie vor, die die folgenden Maßnahmen regelt:
- Verbot des unbefugten Zugriffs auf Datenspeichergeräte
- Ernennung eines kompetenten Datenschutzbeauftragten mit Gesamtverantwortung und Befugnissen für die Datensicherheit und die Einhaltung der Vorschriften in der R2-Einrichtung
- Meldung bekannter und vermuteter Daten- und Sicherheitsverletzungen an den Datenschutzbeauftragten
- Schulung und Autorisierung von Mitarbeitern, bevor sie mit Datenspeichergeräten umgehen
- Festlegung von Strafen für die Nichteinhaltung der Datensicherheitsrichtlinie
2) Sicherheit
Der Sicherheitsaspekt von R2v3 befasst sich mit der Kontrolle des physischen Zugriffs auf Datenspeichergeräte in einer R2-Einrichtung gemäß den folgenden Richtlinien:
- Eine R2-Einrichtung sollte ein Sicherheitsprogramm zur Kontrolle des Zugriffs auf Datenspeichergeräte implementieren, das auf den elektronischen Geräten, der Sensibilität der Daten und den Anforderungen der Anbieter basiert.
- Die R2-Einrichtung sollte Sicherheitsfreigabestufen implementieren, um den Zugang für Mitarbeiter, Besucher usw. auf der Grundlage des Datenspeichergerätetyps und der Datenempfindlichkeit zu kontrollieren.
- Die R2-Einrichtung sollte eine schriftliche Verantwortungserklärung von Personen aufbewahren, denen Zugang zu Sperrbereichen gewährt wurde.
- Implementieren Sie ein Verfahren zur Reaktion auf Vorfälle, um Datenverstöße zu untersuchen und diese gemäß den gesetzlichen Bestimmungen an Lieferanten, Justizbehörden und andere betroffene Parteien zu melden.
3) Prozess
Dieser Aspekt konzentriert sich auf die Definition der Prozesse für die Entgegennahme und Bereinigung von Datenspeichergeräten, einschließlich der Prozessüberprüfung, wie folgt:
- Die R2-Einrichtung, die datentragende Geräte oder Komponenten entgegennimmt, sollte dem Lieferanten eine Empfangsbestätigung für diese Geräte ausstellen.
- Die R2-Einrichtung sollte außerdem Informationen über die Methode zur Datenbereinigung für die Geräte bereitstellen und angeben, ob die Datenbereinigung intern oder durch einen Anbieter durchgeführt wird.
- Alle Daten müssen gelöscht werden, sofern der Lieferant gemäß dem R2-Standard nichts anderes verlangt. Alle Datenspeichergeräte sollten unverzüglich und effektiv auf der Grundlage der Methoden gelöscht werden, die dem Lieferanten bei Erhalt der Geräte mitgeteilt wurden. Die R2v3-Dokumentation verlangt die Löschung von Daten gemäß Anhang B – Datenlöschung.
- Bei physischen Vernichtungsmethoden sollte die R2-Einrichtung die Richtlinien des NIST SP 800-88 befolgen und die Ergebnisse überprüfen, um eine 100-prozentige Wirksamkeit der Datenvernichtungsmethode sicherzustellen.
- Bei Datenspeichergeräten, die an einen Anbieter gesendet werden, sollte die R2-Einrichtung überprüfen, ob der Anbieter über die erforderlichen Fähigkeiten verfügt, um die Medien gemäß der geplanten Methode zu bereinigen.
- Führen Sie mindestens einmal jährlich eine Prüfung der Datensicherheit und -bereinigung durch einen kompetenten Prüfer durch, um die Wirksamkeit des Prozesses und die Einhaltung des R2-Standards, der gesetzlichen Standards und des Datenbereinigungsplans zu überprüfen.
4) Benachrichtigungen
Dieser Aspekt der R2v3-Datensicherheitsanforderung schreibt vor, dass die R2-Einrichtung über ein Verfahren verfügen muss, um Lieferanten, Justizbehörden und andere Dritte im Falle von
- Änderungen bei nachgelagerten Anbietern, die für die Verarbeitung von Datenspeichergeräten verantwortlich sind
- Vorfälle von Datenverletzungen
R2v3 Anhang B – Anforderungen an den Datenbereinigungsprozess
Der R2v3-Standard enthält spezifische Richtlinien für die Datenbereinigung mittels physischer Vernichtung und logischer Bereinigungsmethoden (Datenlöschung). Die Einhaltung dieser Methoden ist für ITAD-Unternehmen, die den R2v3-Standard erfüllen möchten, von entscheidender Bedeutung.
Während die Anforderungen des R2-Standards für die physische Vernichtung in erster Linie auf den NIST SP 800-88-Richtlinien basieren, sind die Richtlinien zur Datenlöschung spezifisch für den R2-Standard und gelten für bestimmte Bereiche, wie folgt:
a) Software zur Datenlöschung:
Die verwendete Software zur Datenlöschung sollte alle vom Benutzer adressierbaren Speicherorte auf den Datenspeichermedien löschen. Darüber hinaus sollte die Software in der Lage sein, das Medium als defekt zu kennzeichnen, wenn sie einen vom Benutzer adressierbaren Speicherort nicht löschen kann.
b) Elektronische Aufzeichnungen der Datenbereinigung:
Elektronische Aufzeichnungen der Datenlöschung sollten für alle Speichergeräte aufbewahrt werden, die mit der Datenlöschungssoftware logisch bereinigt (überschrieben) wurden. Die Löschungsaufzeichnungen sollten der eindeutigen Kennung des Datenspeichermediums zugeordnet werden.
c) Entfernung von Anmeldedaten und Passwörtern:
Die R2-Anforderungen für die Datenlöschung schreiben die Entfernung aller Anmeldedaten, Passwörter, Sperren oder anderer Mechanismen vor, die den Zugriff auf die Speichermedien ermöglichen könnten.
Datenlöschungssoftware: Ein wichtiger Schritt zur R2v3-Konformität für ITADs
Der R2-Standard definiert umfassende Anforderungen, um Unternehmen, die sich mit der Vernichtung von IT-Geräten, E-Recycling und Aufarbeitung befassen, dabei zu unterstützen, die geltenden Standards für umweltfreundliche und nachhaltige E-Recycling-Praktiken zu erfüllen.
“Datensicherheit“ oder Core 7 ist eine wichtige Anforderung in R2v3, die sich auf die Aufrechterhaltung der Datensicherheit durch die Bereinigung gebrauchter oder ausgedienter Datenspeichergeräte konzentriert. Die Anforderung legt die physische Zerstörung und die Datenlöschung als die beiden Methoden zur Medienbereinigung fest. Sie betont auch die Notwendigkeit einer effektiven Bereinigung (d. h. der Löschung aller vom Benutzer adressierbaren Speicherorte) und elektronischer Datenlöschprotokolle.
Professionelle Datenlöschungssoftware kann ITAD-Unternehmen dabei unterstützen, die Anforderungen der R2v3-Datensicherheitsanforderung für die logische Medienbereinigung zu erfüllen. Durch das Löschen aller adressierbaren Speicherorte, einschließlich versteckter Bereiche, und die Erstellung manipulationssicherer digitaler Löschprotokolle kann das Tool ITAD-Unternehmen dabei unterstützen, die Anforderungen der R2v3-Datensicherheit und des Datenbereinigungsprozesses zu erfüllen. Um mehr darüber zu erfahren, wie Software Ihnen bei der Einhaltung der R2v3-Standards helfen kann, schreiben Sie bitte an[email protected] .
