- See Norma ISO 27002:2022 7.10 para obtener más información.
- See ISO 27001:2013 Anexo A 8.3.1 para obtener más información.
- See ISO 27001:2013 Anexo A 8.3.2 para obtener más información.
- See ISO 27001:2013 Anexo A 8.3.3 para obtener más información.
- See ISO 27001:2013 Anexo A 11.2.5 para obtener más información.
ISO 27001 Anexo A 7.10: Protección de datos confidenciales en medios de almacenamiento
El uso de dispositivos de medios de almacenamiento, como SSD, USB, unidades externas y móviles, es esencial para numerosas operaciones esenciales de manejo de información, incluidas las copias de seguridad, el almacenamiento y la transferencia de datos.
El almacenamiento de datos sensibles e importantes en estos dispositivos presenta riesgos para la precisión, el secreto y la accesibilidad de los recursos de información. Estos riesgos pueden implicar la desaparición o el robo de medios de almacenamiento con información confidencial, la transmisión de malware a través de todas las redes informáticas corporativas a través de los medios de almacenamiento y la avería o reducción de la calidad de los medios de almacenamiento utilizados para las copias de seguridad.
El Anexo A 27001 de ISO 2022:7.10 describe los pasos que las organizaciones deben tomar para garantizar la seguridad de los medios de almacenamiento durante todo su ciclo de vida, desde la adquisición hasta la eliminación. Se deben implementar políticas y controles para garantizar su seguridad.
Propósito de ISO 27001:2022 Anexo A 7.10
ISO 27001:2022 Anexo A 7.10 facilita a las organizaciones la mitigación y erradicación de los riesgos asociados con el acceso no autorizado, el uso, la eliminación, la alteración y la transmisión de datos confidenciales mantenidos en dispositivos de medios de almacenamiento. Establece procedimientos para la gestión de los medios de almacenamiento durante todo su ciclo de vida.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
¿Qué cubre el Anexo A 7.10?
ISO 27001:2022 Anexo A 7.10 se refiere a medios de almacenamiento físicos y digitales. Por ejemplo, este control también incluye el almacenamiento de datos en documentos físicos.
Junto con los medios de almacenamiento extraíbles, los discos duros como forma de almacenamiento fijo también están sujetos al Anexo A 27001 de la norma ISO 2022:7.10.
Propiedad del Anexo A 7.10
ISO 27001:2022 Anexo A 7.10 exige a las organizaciones crear y ejecutar procedimientos adecuados, controles técnicos y políticas para toda la organización con respecto al uso de medios de almacenamiento de acuerdo con el esquema de clasificación propio de la organización y cualquier manejo de datos. requisitos tales como legales y contractuales .
Gerentes de Seguridad de la Información debe hacerse cargo de todo el ciclo de cumplimiento.
Orientación sobre ISO 27001:2022 Anexo A 7.10 Cumplimiento
Medios de almacenamiento extraíbles
Los medios extraíbles son indispensables para muchas operaciones comerciales y el personal los emplea ampliamente. Sin embargo, representan el mayor riesgo para los datos confidenciales.
ISO 27001:2022 Anexo A 7.10 establece diez condiciones que las organizaciones deben observar para la gestión de medios de almacenamiento extraíbles durante su ciclo de vida:
- Las organizaciones deben crear una política centrada en la adquisición, autorización, uso y eliminación de medios de almacenamiento extraíbles, informando a todo el personal y a las partes interesadas de su existencia.
- Las organizaciones deberían, cuando sea práctico y necesario, implementar procedimientos de autorización para sacar medios de almacenamiento extraíbles de las instalaciones corporativas. Además, se debe mantener un registro de las eliminaciones para seguimiento de auditoría.
- Guarde todos los medios de almacenamiento extraíbles en un lugar seguro como una caja fuerte, teniendo en cuenta la clasificación de la información nivel asignado a la información y cualquier amenaza ambiental y física a los medios.
- Si mantener la confidencialidad y confiabilidad de la información contenida en medios extraíbles es de suma importancia, se deben emplear métodos criptográficos para proteger los medios del acceso no autorizado.
- Para evitar el deterioro de los medios de almacenamiento extraíbles y la pérdida de datos, la información debe trasladarse a un dispositivo de almacenamiento nuevo antes de que surja el riesgo.
- Es fundamental copiar y almacenar datos confidenciales en múltiples medios de almacenamiento para reducir la posibilidad de que se pierda información crítica.
- Para reducir la posibilidad de una pérdida total de datos, registrar dispositivos de medios de almacenamiento extraíbles puede ser una solución viable.
- A menos que exista una necesidad comercial, no se deben utilizar puertos USB ni ranuras para tarjetas SD.
- Es necesario controlar la transferencia de información a cualquier dispositivo de almacenamiento extraíble.
- Al transferir información contenida en documentos físicos por correo o mensajería, existe una alta probabilidad de acceso no autorizado. Para contrarrestar esto, se deben tomar las medidas adecuadas.
Orientación sobre la reutilización y eliminación segura de medios de almacenamiento
ISO 27001:2022 El Anexo A 7.10 ofrece orientación sobre la reutilización y eliminación segura de los medios de almacenamiento para ayudar a las organizaciones a reducir y eliminar el peligro de que se viole la confidencialidad de la información.
anexo A 7.10 establece que las organizaciones deben crear y llevar a cabo planes para reciclar y eliminar los medios de almacenamiento, considerando la sensibilidad de los datos guardados en los medios de almacenamiento.
Las organizaciones deben considerar lo siguiente al establecer estas medidas:
- Si la parte interna de una organización va a reutilizar un medio de almacenamiento, la información confidencial alojada en él debe eliminarse o reformatearse irrevocablemente antes de la autorización.
- La destrucción segura de los medios de almacenamiento que albergan información confidencial es necesaria una vez que ya no es necesaria. Los documentos en papel se pueden triturar y los equipos digitales se pueden destruir físicamente.
- Debería desarrollarse un sistema para identificar los medios de almacenamiento que deben eliminarse.
- Las organizaciones deben llevar a cabo la debida diligencia al seleccionar una parte externa para recopilar y eliminar los medios de almacenamiento, asegurándose de que el proveedor elegido sea competente y cuente con los controles adecuados.
- Documentar todos los elementos desechados para un seguimiento de auditoría.
- Al desechar varios medios de almacenamiento juntos, se debe tener en cuenta el efecto acumulativo: la combinación de varios datos de cada medio de almacenamiento podría dar como resultado la transformación de información no confidencial en material confidencial.
Por último, el Anexo A 27001 de la norma ISO 2022:7.10 exige a las organizaciones evaluar el riesgo de los datos confidenciales almacenados en equipos dañados, para determinar si el equipo debe destruirse o repararse.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27001:2013
ISO 27001:2022 Anexo A 7.10 reemplaza a ISO 27001:2013 Anexo A 08.3.1, 08.3.2, 08.3.3 y 11.2.5.
Hay cuatro diferencias notables.
Cambios en la estructura
A diferencia de la versión de 2013, que tenía tres controles separados para la gestión de medios, la eliminación de medios y la transferencia de medios físicos, la versión 2022 los combina en el Anexo A 7.10.
Requisitos para la reutilización de medios de almacenamiento agregados a la versión 2022
A diferencia de la versión de 2013, que solo cubría la eliminación segura de medios, la versión 2022 también incluye requisitos de reutilización segura de medios.
Los requisitos de transferencia física son más completos en la versión 2013
La versión 2013 tenía requisitos más amplios para la transferencia física de medios de almacenamiento, incluida la verificación de identidad para los mensajeros y los estándares de embalaje. Por el contrario, el Anexo A 7 7.10 en la versión 2022 solo sugiere que las organizaciones actúen con precaución al seleccionar mensajeros.
Se requiere política de medios de almacenamiento extraíbles por tema específico en la versión 2022
Si bien las versiones 2022 y 2013 son similares en términos de requisitos de medios de almacenamiento extraíbles, la versión 2022 exige una política temática específica sobre medios de almacenamiento extraíbles. La versión de 2013 no cubría este requisito.
Tabla de todos los controles del Anexo A de ISO 27001:2022
En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 |
Anexo A 5.1.1 Anexo A 5.1.2 |
Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 |
Anexo A 6.1.5 Anexo A 14.1.1 |
Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 |
Anexo A 8.1.1 Anexo A 8.1.2 |
Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 |
Anexo A 8.1.3 Anexo A 8.2.3 |
Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 |
Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 |
Transferencia de información |
| Controles organizacionales | Anexo A 5.15 |
Anexo A 9.1.1 Anexo A 9.1.2 |
Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 |
Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 |
Información de autenticación |
| Controles organizacionales | Anexo A 5.18 |
Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 |
Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 |
Anexo A 15.2.1 Anexo A 15.2.2 |
Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 |
Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 |
Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 |
Anexo A 18.1.1 Anexo A 18.1.5 |
Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 |
Anexo A 18.2.2 Anexo A 18.2.3 |
Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 |
Anexo A 16.1.2 Anexo A 16.1.3 |
Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 |
Anexo A 11.1.2 Anexo A 11.1.6 |
Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 |
Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 |
Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 |
Anexo A 6.2.1 Anexo A 11.2.8 |
Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 |
Anexo A 12.6.1 Anexo A 18.2.3 |
Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 |
Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 |
Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados Derechos de acceso |
| Controles Tecnológicos | Anexo A 8.19 |
Anexo A 12.5.1 Anexo A 12.6.2 |
Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 |
Anexo A 10.1.1 Anexo A 10.1.2 |
Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 |
Anexo A 14.1.2 Anexo A 14.1.3 |
Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Arquitectura de sistemas seguros y principios de ingeniería: aprendizaje a partir de incidentes de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 |
Anexo A 14.2.8 Anexo A 14.2.9 |
Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 |
Anexo A 12.1.4 Anexo A 14.2.6 |
Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 |
Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 |
Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
Cómo ayuda ISMS.online
SGSI.online adopta un enfoque basado en el riesgo, utilizando las mejores prácticas y plantillas líderes en la industria, para ayudarlo a detectar los riesgos a los que está expuesta su organización y los controles necesarios para gestionarlos. Esto ayuda a reducir tanto el riesgo como los costos de cumplimiento.
Contáctenos ahora para organizar una demostración.