- See Norma ISO 27002:2022 7.13 para obtener más información.
- See ISO 27001:2013 Anexo A 11.2.4 para obtener más información.
ISO 27001:2022 Anexo A 7.13 – Explicación del mantenimiento seguro de los equipos
ISO 27001:2022 Anexo A 7.13 se ocupa de establecer e implementar procedimientos y medidas apropiados para el mantenimiento adecuado de los equipos para garantizar que los activos de información almacenados en este equipo no se vean comprometidos.
Para el almacenamiento, uso y transferencia de activos de información, Los equipos de TI, como servidores, computadoras portátiles, dispositivos de red e impresoras, son esenciales. Si no se mantiene este equipo de acuerdo con sus especificaciones y los riesgos ambientales, se puede producir una mala calidad y una degradación del rendimiento. Debido a esta falta de mantenimiento, la integridad, confidencialidad y disponibilidad de los activos de información pueden verse comprometidas.
Por ejemplo, es posible que una organización no se dé cuenta de que su espacio en disco está lleno si no realiza un mantenimiento regular del hardware de su servidor. Como resultado, el servidor puede perder los datos transmitidos hacia o desde él.
¿Cuál es el propósito del Anexo A 27001 de la norma ISO 2022:7.13?
ISO 27001:2022 Anexo A 7.13 describe cómo realizar el mantenimiento adecuado de los equipos utilizados para almacenar activos de información en función de medidas y procedimientos técnicos.
Se implementan medidas y procedimientos para garantizar que los activos de información estén protegidos contra pérdidas, daños y acceso no autorizado, entre otras preocupaciones.
ISO 27001:2022 El Anexo A 7.13 describe un tipo de control preventivo bajo el cual las organizaciones deben adoptar un enfoque activo para el mantenimiento de sus equipos.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
¿Quién es propietario del Anexo A 7.13?
El cumplimiento del Anexo A 7.13 establece que se debe preparar una lista de equipos, se debe realizar una evaluación de riesgos basada en los factores ambientales y las especificaciones del producto, así como establecer e implementar procedimientos y medidas apropiadas para garantizar el mantenimiento adecuado del equipo.
El Gerente de seguridad de la información debe ser responsable de garantizar el cumplimiento de la norma ISO 27001:2022 Anexo A 7.13 a pesar de la importancia de que las personas manipulen este equipo a diario.
Orientación general sobre ISO 27001:2022 Anexo A 7.13 para el cumplimiento
El Anexo A 7.13 proporciona a las organizaciones 11 recomendaciones específicas:
- Se recomienda seguir las especificaciones del fabricante del equipo con respecto a los procedimientos de mantenimiento, como los intervalos de servicio recomendados.
- Para todos los equipos, las organizaciones deberían establecer e implementar un programa de mantenimiento.
- El mantenimiento o reparación del equipo sólo debe ser realizado por personal autorizado o terceros autorizados.
- Las organizaciones deben registrar todos los fallos y fallos del equipo. Además, también se deben registrar todas las actividades de mantenimiento de dichos equipos.
- Es fundamental que las organizaciones apliquen procedimientos de mantenimiento adecuados independientemente de si el mantenimiento lo realizan sus empleados o terceros. Además, acuerdos de confidencialidad debe estar firmado por el personal correspondiente.
- Todo el personal de mantenimiento debe estar supervisado en todo momento.
- Los procedimientos de acceso y autorización deben aplicarse estrictamente para los trabajos de mantenimiento remoto.
- Las organizaciones deben aplicar medidas de seguridad apropiadas de acuerdo con el Anexo A 7.9 siempre que se retire equipo de las instalaciones para mantenimiento.
- Las organizaciones deben cumplir los requisitos de mantenimiento impuestos por los proveedores de seguros.
- Para garantizar que el equipo no haya sido manipulado y funcione correctamente, las empresas deben inspeccionarlo después del mantenimiento.
- Las organizaciones deben establecer e implementar medidas y procedimientos adecuados para eliminar o reutilizar equipos según el Anexo A 7.14.
Orientación complementaria sobre el Anexo A 7.13
ISO 27001:2022 Anexo A 7.13 establece que lo siguiente se considera equipo y cae dentro del alcance del Anexo A 7.13:
- Convertidores de potencia.
- Acondicionadores de aire.
- Activos similares.
- Componentes técnicos de instalaciones de procesamiento de información.
- Baterías.
- Extintores.
- Ascensores
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
¿Cuáles son los cambios y diferencias con respecto a ISO 27001:2013?
ISO 27001:2022 Anexo A 7.13 reemplaza a ISO 27001:2013 Anexo A 11.2.4 ('Mantenimiento de Equipos').
La versión ISO 27001:2022 contiene requisitos más completos
En comparación con la versión ISO 27001:2013, el Anexo A 7.13 de la versión 2022 establece requisitos más completos.
Mientras que la versión ISO 27001:2013 solo enumera seis requisitos específicos, el Anexo A 27001 de ISO 2022:7.13 contiene 11 requisitos.
El Anexo A 7.13 introduce los cinco requisitos siguientes, que no se abordaron en la versión ISO 27001:2013:
- Para todos los equipos, las organizaciones deberían establecer e implementar un programa de mantenimiento.
- Todo el personal de mantenimiento debe estar supervisado en todo momento.
- Los trabajos de mantenimiento realizados de forma remota deben estar sujetos a estrictos controles de acceso y autorización.
- Según el Anexo A 7.14, las organizaciones deben establecer e implementar medidas y procedimientos apropiados para eliminar o reutilizar el equipo.
- Las organizaciones deben aplicar medidas de seguridad apropiadas de acuerdo con el Anexo A 7.9 siempre que se retire equipo de las instalaciones para mantenimiento.
La revisión ISO 27001:2022 define 'equipo'
La Guía complementaria define "Equipo" en el Anexo A 7.13. Por el contrario, la versión ISO 27001:2013 no hacía referencia al significado de "Equipo".
Tabla de todos los controles del Anexo A de ISO 27001:2022
En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control:
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 |
Anexo A 5.1.1 Anexo A 5.1.2 |
Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 |
Anexo A 6.1.5 Anexo A 14.1.1 |
Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 |
Anexo A 8.1.1 Anexo A 8.1.2 |
Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 |
Anexo A 8.1.3 Anexo A 8.2.3 |
Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 |
Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 |
Transferencia de información |
| Controles organizacionales | Anexo A 5.15 |
Anexo A 9.1.1 Anexo A 9.1.2 |
Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 |
Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 |
Información de autenticación |
| Controles organizacionales | Anexo A 5.18 |
Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 |
Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 |
Anexo A 15.2.1 Anexo A 15.2.2 |
Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 |
Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 |
Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 |
Anexo A 18.1.1 Anexo A 18.1.5 |
Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 |
Anexo A 18.2.2 Anexo A 18.2.3 |
Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 |
Anexo A 16.1.2 Anexo A 16.1.3 |
Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 |
Anexo A 11.1.2 Anexo A 11.1.6 |
Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 |
Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 |
Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 |
Anexo A 6.2.1 Anexo A 11.2.8 |
Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 |
Anexo A 12.6.1 Anexo A 18.2.3 |
Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 |
Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 |
Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados Derechos de acceso |
| Controles Tecnológicos | Anexo A 8.19 |
Anexo A 12.5.1 Anexo A 12.6.2 |
Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 |
Anexo A 10.1.1 Anexo A 10.1.2 |
Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 |
Anexo A 14.1.2 Anexo A 14.1.3 |
Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Arquitectura de sistemas seguros y principios de ingeniería: aprendizaje a partir de incidentes de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 |
Anexo A 14.2.8 Anexo A 14.2.9 |
Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 |
Anexo A 12.1.4 Anexo A 14.2.6 |
Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 |
Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 |
Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
Cómo ayuda ISMS.online
Puede hacer lo siguiente con ISMS.online:
- Asegúrese de que sus procesos estén documentados. Con esta interfaz intuitiva, puede documentar sus procesos sin instalar ningún software.
- Evalúe los riesgos de manera más eficiente al automatizar el proceso.
- Con informes y listas de verificación en línea, puede demostrar fácilmente el cumplimiento.
- Mientras trabaja para obtener la certificación, mantenga un registro de su progreso.
ISMS.online ofrece una gama completa de funciones para ayudar a las organizaciones y empresas a lograr el cumplimiento de la norma ISO 27001:2022.
Póngase en contacto con nosotros hoy para programa una demostración.