- See Norma ISO 27002:2022 7.9 para obtener más información.
- See ISO 27001:2013 Anexo A 11.2.6 para obtener más información.
ISO 27001:2022 Control 7.9 – Seguridad de los activos fuera de la oficina
Cuando los dispositivos que contienen activos de información valiosos se retiran de la ubicación física de la organización, son más susceptibles a daños, robo, pérdida, destrucción o violaciones.
Los controles de seguridad física dentro de las instalaciones de una organización no serán efectivos, dejando sus activos externos expuestos a amenazas como riesgos físicos e individuos malintencionados que intentan obtener acceso no autorizado.
Empleados trabajando de forma remota pueden llevarse del negocio ordenadores corporativos con datos confidenciales, trabajar en una cafetería, vestíbulo de hotel, etc., conectarse a redes Wi-Fi públicas no seguras y dejar sus dispositivos sin supervisión. Estas acciones presentan un riesgo para la seguridad, confidencialidad, integridad y disponibilidad de la información contenida en los dispositivos.
Las organizaciones deben asegurarse de que los dispositivos que se llevan fuera de las instalaciones permanezcan seguros.
El Anexo A 27001 de ISO 2022:7.9 describe cómo las organizaciones pueden garantizar la seguridad de los dispositivos ubicados lejos del sitio principal, que albergan activos de información. Deben establecer controles y procedimientos adecuados para lograrlo.
Propósito de ISO 27001:2022 Anexo A 7.9
ISO 27001:2022 El Anexo A 7.9 permite a las organizaciones salvaguardar la seguridad de los activos de información alojados en hardware al frustrar dos riesgos distintos:
- Minimizar la posibilidad de que los activos de datos en dispositivos externos se pierdan, dañen, destruyan o expongan.
- Evitar la interrupción de la actividad de la empresa. proceso de datos operaciones por la violación de dispositivos externos.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Propiedad del Anexo A 7.9
ISO 27001:2022 Anexo A 7.9 requiere que las organizaciones establezcan e implementen protocolos y regulaciones que cubran todos los dispositivos que poseen o utilizan en nombre de la empresa. Además, es vital para la protección eficaz de los dispositivos externos que se cree un inventario de activos y que la alta dirección apruebe el uso de dispositivos personales.
La sección Gerente de seguridad de la información debe consultar con la gerencia y los propietarios de activos y ser responsable de desarrollar, implementar y mantener procedimientos y medidas para garantizar la seguridad de los dispositivos retirados de las instalaciones corporativas.
Orientación general sobre el cumplimiento de ISO 27001:2022 Anexo A 7.9
anexo A 7.9 detalla seis requisitos que las organizaciones deben observar al construir y aplicar medidas y protocolos para la salvaguardia de los activos retirados de las instalaciones:
- Las computadoras, dispositivos USB, discos duros y monitores que la empresa lleve fuera del sitio nunca deben dejarse desatendidos en áreas públicas como cafeterías, ni en ningún lugar no seguro.
- Cumplir en todo momento con las instrucciones y especificaciones del fabricante del dispositivo respecto a la protección física del dispositivo. Por ejemplo, siga sus instrucciones sobre cómo proteger el dispositivo del agua, el calor, los campos electromagnéticos y el polvo.
- Los empleados y otras organizaciones que lleven equipos informáticos fuera de las instalaciones corporativas deben mantener un registro que detalle la cadena de custodia. Este registro debe incluir, como mínimo, los nombres de las personas responsables del dispositivo y su organización.
- Si una organización considera que la autorización es necesaria y práctica para retirar equipos de las instalaciones corporativas, debe establecer un procedimiento. Este procedimiento debe cubrir la retirada de ciertos equipos fuera del sitio y mantener un registro de todas las acciones de retirada para proporcionar a la organización una pista de auditoría.
- Es fundamental tomar las medidas necesarias para evitar el peligro de la visualización no autorizada de datos en las pantallas del transporte público.
- La organización debe instalar herramientas de seguimiento de ubicación y permitir el acceso remoto, de modo que se pueda monitorear la ubicación del dispositivo y, si es necesario, cualquier dato almacenado en el dispositivo se pueda borrar de forma remota.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Orientación complementaria sobre el Anexo A 7.9
ISO 27001:2022 Anexo A 7.9 establece requisitos para proteger los equipos que se instalan fuera de las instalaciones de una empresa de forma permanente.
Este equipo podría incluir antenas y cajeros automáticos.
Teniendo en cuenta el mayor riesgo de daño y pérdida de este equipo, el Anexo A 7.9 requiere que las organizaciones consideren lo siguiente al protegerlo fuera del sitio:
- Se debe tener en cuenta el Anexo A 27001 de ISO 2022:7.4, Monitoreo de la seguridad física.
- Asegurar que se tenga en cuenta el Anexo A 27001 de ISO 2022:7.5, que es la protección contra amenazas ambientales y físicas.
- Se deben crear controles de acceso y se deben tomar medidas adecuadas para detener las interferencias.
- Cree y aplique controles de acceso lógicos.
El Anexo A 7.9 aconseja a las organizaciones que tengan en cuenta el Anexo A 6.7 y el Anexo A 8.1 al formular e implementar medidas para salvaguardar dispositivos y equipos.
Cambios y diferencias con respecto a ISO 27001:2013
ISO 27001:2022 Anexo A 7.9 reemplaza a ISO 27001:2013 Anexo A 11.2.6.
Hay tres distinciones principales que conviene tener en cuenta:
ISO 27001:2022 Anexo A Control 7.9 requiere un amplio conjunto de instrucciones.
El Anexo A 7.9 introduce dos nuevos requisitos en comparación con su versión ISO 27001:2013:
- Se deben tomar medidas adecuadas para evitar que personas no autorizadas vean la información expuesta en el transporte público.
- Se debe habilitar el monitoreo de ubicación y el acceso remoto para permitir el seguimiento del dispositivo y la capacidad de borrar información almacenada en el dispositivo de forma remota, si es necesario.
El anexo A 7.9 introduce nuevos criterios para los dispositivos que están permanentemente ubicados fuera de las instalaciones.
En comparación con la versión ISO 27001:2013, el Anexo A 27001 de ISO 2022:7.9 proporciona consejos distintos sobre la protección de equipos que están fijos en una ubicación fuera del sitio.
Estos podrían involucrar antenas y cajeros automáticos.
Se establece la prohibición del trabajo a distancia para reducir riesgos.
La versión ISO 27001:2013 dejó claro que las organizaciones podían prohibir a los empleados trabajar a distancia si era coherente con los niveles de riesgo identificados. Por el contrario, la versión ISO 27001:2022 no menciona esto.
Tabla de todos los controles del Anexo A de ISO 27001:2022
En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 |
Anexo A 5.1.1 Anexo A 5.1.2 |
Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 |
Anexo A 6.1.5 Anexo A 14.1.1 |
Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 |
Anexo A 8.1.1 Anexo A 8.1.2 |
Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 |
Anexo A 8.1.3 Anexo A 8.2.3 |
Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 |
Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 |
Transferencia de información |
| Controles organizacionales | Anexo A 5.15 |
Anexo A 9.1.1 Anexo A 9.1.2 |
Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 |
Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 |
Información de autenticación |
| Controles organizacionales | Anexo A 5.18 |
Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 |
Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 |
Anexo A 15.2.1 Anexo A 15.2.2 |
Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 |
Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 |
Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 |
Anexo A 18.1.1 Anexo A 18.1.5 |
Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 |
Anexo A 18.2.2 Anexo A 18.2.3 |
Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 |
Anexo A 16.1.2 Anexo A 16.1.3 |
Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 |
Anexo A 11.1.2 Anexo A 11.1.6 |
Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 |
Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 |
Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 |
Anexo A 6.2.1 Anexo A 11.2.8 |
Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 |
Anexo A 12.6.1 Anexo A 18.2.3 |
Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 |
Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 |
Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados Derechos de acceso |
| Controles Tecnológicos | Anexo A 8.19 |
Anexo A 12.5.1 Anexo A 12.6.2 |
Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 |
Anexo A 10.1.1 Anexo A 10.1.2 |
Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 |
Anexo A 14.1.2 Anexo A 14.1.3 |
Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Arquitectura de sistemas seguros y principios de ingeniería: aprendizaje a partir de incidentes de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 |
Anexo A 14.2.8 Anexo A 14.2.9 |
Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 |
Anexo A 12.1.4 Anexo A 14.2.6 |
Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 |
Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 |
Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
Cómo ayuda ISMS.online
ISMS.online es la herramienta perfecta para gestionar una implementación ISO 27001:2022. Está diseñado para ayudar a las empresas a implementar una sistema de gestión de la seguridad de la información (SGSI) que cumple con los estándares de la norma ISO 27001:2022.
La plataforma emplea un enfoque basado en riesgos, junto con las mejores prácticas y plantillas de primer nivel, para ayudar a reconocer los riesgos que enfrenta su organización y los controles necesarios para gestionarlos. Al hacerlo, puede minimizar eficazmente tanto su exposición al riesgo como los costos de cumplimiento.
Contáctenos ahora para organizar una demostración.