- See Norma ISO 27002:2022 7.3 para obtener más información.
- See ISO 27001:2013 Anexo A 11.1.3 para obtener más información.
¿Qué es ISO 27001:2022 Anexo A 7.3?
ISO 27001:2022 El Anexo A 7.3 describe los requisitos para construir y ejecutar seguridad física para oficinas, cámaras y lugares.
Este control alienta a las organizaciones a implementar medidas adecuadas para protegerse contra el acceso no autorizado a salas, oficinas e instalaciones, particularmente cuando abordar la seguridad de la información. Dichas medidas pueden incluir cerraduras, alarmas, guardias de seguridad u otros medios adecuados para proteger contra problemas de seguridad de la información.
Seguridad Física para Oficinas, Habitaciones e Instalaciones Explicada
La seguridad física es un componente esencial de la seguridad de la información. Los dos deben tenerse en cuenta juntos. La seguridad de la información es la protección de datos y sistemas contra el acceso, uso, divulgación, interrupción, alteración o destrucción no autorizados.
La seguridad física implica tomar medidas para proteger al personal, las instalaciones, los equipos y otros activos de peligros potenciales, como robos, sabotaje, terrorismo y otras actividades delictivas, reduciendo los riesgos asociados.
Determinar si tiene una ubicación con información confidencial es el paso inicial para la seguridad física. Podrían ser oficinas, salas o instalaciones con computadoras que contengan datos delicados, o aquellas cuyo personal tenga acceso a información delicada.
Cerraduras y llaves
Asegure todas las puertas, ventanas y armarios; colocar sellos de seguridad en computadoras portátiles y dispositivos móviles; instalar protección con contraseña para computadoras; cifrar datos confidenciales.
CCTV
Las cámaras de circuito cerrado proporcionan un medio eficaz para vigilar la actividad en terrenos o en regiones particulares de una estructura.
Alarmas de intrusos
El movimiento, el calor o el sonido pueden activar estas alarmas, que le alertan sobre cualquier intruso o personas no autorizadas en un área (por ejemplo, una alarma de seguridad que se activa si alguien intenta irrumpir en la oficina).
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
¿Cuál es el propósito del Anexo A 27001 de la norma ISO 2022:7.3?
El objetivo de los ISO 27001:2022 Anexo A El control 7.3 es proteger la información de la organización y otros activos asociados en oficinas, salas e instalaciones del acceso físico no autorizado, daños e interferencias.
El objetivo principal del Anexo A 27001 de la norma ISO 2022:7.3 es reducir el riesgo de acceso físico no autorizado a oficinas, salas e instalaciones a un nivel aceptable mediante:
- Impedir que personas no autorizadas entren en oficinas, salas e instalaciones es fundamental. Todo el personal debe estar autorizado antes de poder acceder.
- Prevenir daños o alteraciones de los datos de la organización y otros activos relacionados dentro de las áreas, salas e instalaciones del lugar de trabajo.
- Asegúrese de que las áreas sensibles a la seguridad de la información sean discretas para que sea difícil discernir su propósito.
- Minimizar la posibilidad de robo o pérdida de propiedad en oficinas, salas e instalaciones.
- Garantizar la identificación del personal autorizado para el acceso físico mediante una combinación de uniformes, sistemas de portero electrónico y pases de visitante.
- Cuando sea posible, se deben implementar CCTV u otros sistemas de vigilancia para garantizar la seguridad en áreas vitales como puertas/salidas.
El Anexo A 7.3 se refiere a todas las estructuras utilizadas por la organización para oficinas u operaciones administrativas. También cubre salas en las que se conservan o procesan datos confidenciales, incluidas áreas donde tienen lugar conversaciones delicadas.
Esto no incluye áreas de recepción u otras partes públicas de las instalaciones de una organización, a menos que se utilicen con fines administrativos, como cuando un área de recepción sirve como oficina.
Qué implica y cómo cumplir los requisitos
El anexo A 7.3 de la norma ISO 27001:2022 estipula que las habitaciones e instalaciones deben estar salvaguardadas. Para cumplir con estos requisitos, se deben tomar las siguientes medidas de seguridad:
- Localizar instalaciones críticas para impedir el acceso del público.
- Asegúrese de que los edificios no sean intrusivos y demuestren una indicación mínima sobre su propósito, sin señales claras ni dentro ni fuera del edificio que muestren que se están llevando a cabo actividades de procesamiento de información.
- Establezca sistemas para proteger los datos y actividades confidenciales para que no sean escuchados o vistos desde el exterior. Puede ser necesario un blindaje electromagnético.
- Asegúrese de que cualquier persona no autorizada pueda acceder a directorios, guías telefónicas internas y mapas en línea que muestren la ubicación de las instalaciones de procesamiento de información confidencial.
Para más detalles sobre cómo alcanzar el control estipulado en la norma ISO 27001:2022, consulte el documento.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Cambios y diferencias con respecto a ISO 27001:2013
ISO 27001:2022 Anexo A 7.3 reemplaza a ISO 27001:2013 Anexo A 11.1.3 de la norma revisada de 2022.
El Anexo A 7.3 no es un control novedoso. Es una versión modificada del Anexo A 11.1.3 de la norma ISO 27001:2013. La distinción más significativa entre las versiones 2013 y 2022 es que se ha modificado el número de control del Anexo A. Aparte de este ajuste, el contexto y el significado general permanecen sin cambios, a pesar de la reformulación.
El Control del Anexo A de 2022 presenta una tabla de atributos y una declaración de propósito, que están ausentes en la versión de 2013.
¿Quién está a cargo de este proceso?
La primera persona a quien consultar a la hora de organizar oficinas, habitaciones e instalaciones suele ser el gerente o director a cargo del edificio y su contenido.
El gerente de seguridad supervisa la seguridad en todas las áreas, incluidas oficinas e instalaciones. Él / Ella controla a todo el personal con acceso a estas áreas y garantiza que su uso sea apropiado.
En ciertos casos, varias personas pueden ser responsables de la seguridad. Por ejemplo, cuando una persona tiene acceso a información confidencial que podría ser perjudicial para la empresa o la vida privada de otros miembros del personal, es esencial contar con varias personas involucradas en su seguridad.
El departamento de recursos humanos es responsable de las pólizas de seguro y beneficios de los empleados, mientras que TI gestiona los sistemas y redes informáticas. Ambos departamentos participan en la gestión de la seguridad física, así como en cuestiones de seguridad cibernética, como estafas de phishing e intentos de acceso no autorizados.
Tabla de todos los controles del Anexo A de ISO 27001:2022
En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 |
Anexo A 5.1.1 Anexo A 5.1.2 |
Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 |
Anexo A 6.1.5 Anexo A 14.1.1 |
Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 |
Anexo A 8.1.1 Anexo A 8.1.2 |
Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 |
Anexo A 8.1.3 Anexo A 8.2.3 |
Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 |
Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 |
Transferencia de información |
| Controles organizacionales | Anexo A 5.15 |
Anexo A 9.1.1 Anexo A 9.1.2 |
Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 |
Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 |
Información de autenticación |
| Controles organizacionales | Anexo A 5.18 |
Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 |
Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 |
Anexo A 15.2.1 Anexo A 15.2.2 |
Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 |
Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 |
Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 |
Anexo A 18.1.1 Anexo A 18.1.5 |
Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 |
Anexo A 18.2.2 Anexo A 18.2.3 |
Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 |
Anexo A 16.1.2 Anexo A 16.1.3 |
Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 |
Anexo A 11.1.2 Anexo A 11.1.6 |
Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 |
Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 |
Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 |
Anexo A 6.2.1 Anexo A 11.2.8 |
Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 |
Anexo A 12.6.1 Anexo A 18.2.3 |
Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 |
Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 |
Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados Derechos de acceso |
| Controles Tecnológicos | Anexo A 8.19 |
Anexo A 12.5.1 Anexo A 12.6.2 |
Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 |
Anexo A 10.1.1 Anexo A 10.1.2 |
Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 |
Anexo A 14.1.2 Anexo A 14.1.3 |
Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Arquitectura de sistemas seguros y principios de ingeniería: aprendizaje a partir de incidentes de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 |
Anexo A 14.2.8 Anexo A 14.2.9 |
Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 |
Anexo A 12.1.4 Anexo A 14.2.6 |
Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 |
Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 |
Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
¿Qué significan estos cambios para usted?
No son necesarias modificaciones significativas para cumplir con la versión más actualizada de ISO 27001:2022.
Evalúe su solución de seguridad de la información existente para asegurarse de que cumpla con el estándar renovado. Si ha modificado algo desde 2013, cuando se publicó la última edición, considere revisar esos cambios para decidir si todavía son aplicables o si es necesario revisarlos.
[caso_estudio_slider_id=”88859,101932,92016″ reproducción automática=”verdadero” velocidad_reproducción automática=”5000″]
Cómo ayuda ISMS.Online
Nuestro la plataforma es perfecta para principiantes en seguridad de la información o aquellos que quieran comprender rápidamente la norma ISO 27001:2022 sin necesidad de invertir tiempo en estudiar desde el principio o revisar documentos extensos.
ISMS.online está equipado con todas las herramientas necesarias para cumplir con el cumplimiento, incluidas plantillas de documentos, listas de verificación y políticas personalizadas.
Contáctenos ahora para programar una demostración.