ISO 27001:2022 Anexo A 5.11 – Devolución de activos

¿Cuál es el propósito del Anexo A 5.11?

Los siguientes son ejemplos de activos de información para una organización:

• Documentos físicos.
• Archivos digitales y bases de datos.
• Programas de software.
• Incluso elementos intangibles como secretos comerciales y la propiedad intelectual.

Los activos de información de una empresa pueden ser valiosos de muchas maneras. Esto incluye contener información confidencial sobre sus clientes, empleados u otras partes interesadas que los malos actores pueden explotar para obtener ganancias financieras o robo de identidad. Además de información financiera, de investigación y operativa, podrían proporcionar a sus competidores una ventaja competitiva si pudieran acceder a ella.

Por esta razón, todos los bienes y bienes de los empleados y contratistas que terminen su relación laboral con una organización deben ser devueltos.

Como parte del proceso de salida, los activos deben devolverse de acuerdo con el proceso, a menos que se acuerde y documente lo contrario:

• El Anexo A.5 describe los pasos a seguir si la falta de devolución se registra como un incidente de seguridad.
• Para garantizar una protección continua, auditorías periódicas de activos También son necesarios para garantizar que el procedimiento de devolución de activos sea infalible.

Cambio de situación laboral según ISO 27001:2022 Anexo a 5.11

Como parte del cambio o rescisión de empleo, contratos o acuerdos, el control 5.11 protege los activos de la organización. Se prohíbe a personas no autorizadas retener los activos de la organización (incluidos equipos, información, software, etc.) bajo el control de este Anexo A.

Debe asegurarse de que sus empleados y contratistas no tomen datos confidenciales identificando amenazas potenciales y monitoreando la actividad del usuario antes de que se vaya.

Cuando un individuo es despedido, este control del Anexo A le impide acceder a los sistemas y redes de TI. Las organizaciones deben establecer un proceso de terminación formal para que las personas ya no puedan acceder a ningún sistema de TI. Puede lograrlo revocando todos los permisos, deshabilitando cuentas y eliminando el acceso a las instalaciones del edificio.

Es necesario establecer procedimientos para garantizar que todos los empleados, contratistas y otras partes relevantes devuelvan todos los activos que ya no sean necesarios para fines comerciales. Estos activos deben ser reemplazados lo antes posible.

Además, las organizaciones deben verificar el área de trabajo del individuo para asegurarse de que se haya devuelto toda la información confidencial.

Considere, por ejemplo:

• El equipamiento de la organización (portátiles y soportes extraíbles) se recoge en el momento de la separación.
• Al finalizar el contrato, los contratistas deben devolver todo el equipo y la información.

Cómo crear un proceso de salida y lo que debe hacer

Una organización debe formalizar su proceso de cambio o terminación, que incluye la devolución de todos los activos físicos y electrónicos previamente emitidos que le pertenecen o le han sido confiados.

Todos los derechos de acceso, cuentas, certificados digitales y contraseñas también deben eliminarse como parte del proceso. Esta formalización es especialmente crítica cuando un cambio o terminación ocurre inesperadamente, como muerte o renuncia. El acceso no autorizado a los activos de la organización puede provocar una Violacíon de datos si no se previene.

Un proceso seguro de eliminación/devolución debe garantizar que se contabilicen todos los activos.

ISO 27001:2022 requiere que la organización identifique y documente toda la información y los activos asociados que se devolverán, incluidos:

1. Dispositivos terminales de usuario.
2. Dispositivos de almacenamiento portátiles.
3. Equipo especializado.
4. Hardware de autenticación (por ejemplo, llaves mecánicas, tokens físicos y tarjetas inteligentes) para sistemas de información, sitios y archivos físicos.
5. Copias físicas de la información.

Después de la terminación, el usuario debe completar una lista de verificación formal que contenga todos los artículos que deben devolverse o eliminarse. Esta lista de verificación debe incluir las firmas requeridas para confirmar que los activos han sido devueltos o eliminados adecuadamente.

¿Cuáles son los cambios y diferencias con respecto a ISO 27001:2013?

ISO 27001:2013 se actualizó en octubre de 2022 según ISO 27001:2022.

El Control 5.11 del Anexo A no es nuevo, sino una modificación del control 8.1.4 del Anexo A – la devolución de los activos.

En las pautas de implementación, los controles del Anexo A son esencialmente los mismos, con lenguaje y fraseología similares. Sin embargo, Anexo A de ISO 27001:2022 control 5.11 tiene una tabla de atributos que permite a los usuarios relacionarla con lo que están implementando. El control 5.11 de la norma ISO 27001:2022 especifica qué activos pueden devolverse al finalizar el empleo o la terminación del contrato.

Ejemplos de estos incluyen:

• Dispositivos terminales de usuario.
• Dispositivos de almacenamiento portátiles.
• Equipo especializado.
• Hardware de autenticación (por ejemplo, llaves mecánicas, tokens físicos y tarjetas inteligentes) para sistemas de información, sitios y archivos físicos.
• Copias físicas de la información.

En la versión ISO 27001:2013 esta lista no está disponible.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.

¿Cómo le afectan estos cambios?

ISO 27001:2022 es una actualización de la norma 2013. El comité que supervisa la norma no realizó ningún cambio significativo.

Cómo ayuda ISMS.online

Puedes implementar y gestionar un Sistema de Gestión de Seguridad de la Información ISO 27001/27001 con ISMS.online, independientemente de su experiencia con el estándar.

La fusión perfecta de conocimiento y tecnología para el éxito temprano de ISO 27001. ISMS.online incluye una política y una herramienta para gestión de activos.

Con nuestro sistema, se le guiará paso a paso a través de la configuración de un SGSI y su gestión:

• ISMS.online proporciona una guía paso a paso para implementar ISO 27001/27002 en cualquier organización.
• Una herramienta de evaluación de riesgos que lo guía a través del proceso de identificación y evaluación de riesgos.
• Ofrecemos una paquete de pólizas que se puede personalizar para satisfacer sus necesidades en línea.
• Administrar documentos y registros como parte de su SGSI es más fácil con un sistema de control de documentos.
• Mejor toma de decisiones a través de informes automáticos.
• Con nuestra plataforma basada en la nube, podrá documentar pruebas de cumplimiento de las Marco ISO 27001 con una lista de verificación de sus procesos.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.