ISO 27001:2022 Anexo A 7.1 – Perímetros de seguridad física

• See Norma ISO 27002:2022 7.1 para obtener más información.
• See ISO 27001:2013 Anexo A 11.1.1 para obtener más información.

¿Qué es ISO 27001:2022 Anexo A 7.1?

ISO 27001:2022 El Anexo A 7.1 requiere que las organizaciones establezcan perímetros de seguridad y los utilicen para salvaguardar la información y los activos asociados.

Información y activos de seguridad de la información explicados

La información puede describirse como cualquier dato, conocimiento o percepción que tenga valor para una organización o empresa. Esto incluye cualquier detalle obtenido sobre individuos, clientes, socios, empleados y otras partes interesadas.

Los activos de seguridad de la información se pueden clasificar en términos generales en:

Data

Los datos y la información a menudo se confunden entre sí, pero existe una clara diferencia. Los datos son brutos, no procesados ​​y generalmente no sirven de nada en su forma actual. Por otro lado, la información son datos que se han organizado en un formato utilizable, como un correo electrónico o un número de teléfono.

Infraestructura

La infraestructura abarca todos los componentes de una red (servidores, impresoras, enrutadores y más) para crear un sistema cohesivo.

Infraestructura de software, como sistemas operativos y las aplicaciones, deben protegerse de las ciberamenazas, al igual que lo hace el hardware. Para evitar la explotación por parte de piratas informáticos malintencionados que buscan acceso a datos confidenciales, ambos deben actualizarse periódicamente con parches y correcciones para cualquier vulnerabilidad expuesta por los piratas informáticos.

Perímetros de seguridad física explicados

La seguridad física se refiere a las medidas físicas que salvaguardan los recursos y las instalaciones de una organización. Es una parte fundamental e indispensable de la seguridad de la información. Implica algo más que simplemente cerrar la puerta; también implica ser consciente de quién tiene acceso a qué, cuándo, dónde y cómo.

Los perímetros de seguridad física identifican los límites físicos de un edificio o área y controlan el acceso a él. Se pueden emplear vallas, muros, puertas y otras barreras para impedir la entrada no autorizada de personas o vehículos. Además, se pueden utilizar equipos de vigilancia electrónica, como cámaras CCTV, para controlar la actividad fuera de las instalaciones.

Los perímetros de seguridad física ofrecen la capa inicial de protección contra personas externas que intentan acceder a su sistema informático a través de una conexión por cable o inalámbrica en una empresa. Con frecuencia se combinan con controles de seguridad de la información adicionales, como gestión de identidad, control de acceso y sistemas de detección de intrusos.

Orientación sobre ISO 27001:2022 Anexo A 7.1

ISO 27001:2022 Anexo A 7.1 garantiza que una organización puede demostrar que cuenta con límites de seguridad física adecuados para detener el acceso físico no autorizado a la información y otros activos relacionados.

Esto implica tomar medidas para impedir:

• Está prohibida la entrada no autorizada a edificios, salas o áreas que contengan activos de información.
• La retirada de bienes sin permiso del local es inaceptable.
• No se permite la utilización no autorizada de los activos de las instalaciones, como computadoras y dispositivos relacionados.
• No se permite la manipulación no autorizada de equipos de comunicación electrónicos, como teléfonos, faxes y terminales de computadora.

Es posible implementar perímetros de seguridad física de dos formas diferentes:

Control de acceso físico – salvaguarda la entrada a instalaciones y edificios y el movimiento dentro de ellos. Esto incluye cerrar puertas, alarmas, vallas y barreras.

Seguridad de hardware – proporciona control sobre equipos físicos, como computadoras, impresoras y escáneres, que procesan datos que contienen información confidencial.

Este control ayuda salvaguardar la información y otros activos relacionados, como documentos, registros y equipos confidenciales, evitando el uso no autorizado del espacio, los equipos y los suministros de las instalaciones.

Qué implica y cómo cumplir con los requisitos

Cuando sea posible, se deberían adoptar directrices que se tengan en cuenta para los perímetros de seguridad física:

• Establecer barreras de seguridad y señalar la ubicación exacta y la fuerza de cada una de ellas de acuerdo con las normas de seguridad de la información relativas a los recursos dentro del límite.
• Garantizar la seguridad física de un edificio o sitio que alberga sistemas de procesamiento de información es vital, sin espacios ni puntos débiles en el perímetro donde se pueda facilitar un robo.
• Las superficies exteriores del sitio, incluidos techos, paredes, techos y pisos, deben ser de construcción resistente y todas las puertas externas deben estar equipadas con mecanismos de control como barras, alarmas y cerraduras para evitar la entrada no autorizada.
• Asegúrese de que las ventanas y puertas estén cerradas con llave cuando no estén ocupadas y considere la seguridad externa para las ventanas, especialmente en la planta baja; También hay que tener en cuenta la ventilación.

Para obtener más información sobre lo que se espera del cumplimiento de la norma ISO 27001:2022, consulte la documentación asociada.

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 7.1 reemplaza a ISO 27001:2013 Anexo A 11.1.1; el contexto y el significado siguen siendo en gran medida similares, aunque expresados ​​de manera diferente.

La versión 2022 experimentó una reducción en los requisitos de implementación en comparación con el control anterior.

El Anexo A 7.1 carece de los requisitos detallados en el Anexo A 11.1.1, los cuales son los siguientes:

• Debería haber una zona de recepción con personal u otra forma de gestionar entrada fisica al sitio o edificio.
• Sólo se debe permitir la entrada a los sitios y edificios al personal autorizado.
• Construir barreras físicas, cuando corresponda, para impedir el acceso físico no autorizado y evitar la contaminación ambiental.
• Es necesario instalar sistemas de detección de intrusos que cumplan con los estándares nacionales, regionales o internacionales y probarlos periódicamente para asegurar todas las puertas externas y ventanas accesibles.
• Todas las áreas desocupadas deben estar equipadas con un sistema de alarma en todo momento.
• Deberíamos garantizar la cobertura de otras áreas, como las salas de informática y comunicaciones.
• La organización debe mantener sus instalaciones de procesamiento de información físicamente separadas de aquellas administradas por fuentes externas.

Ninguna omisión reduce la eficacia de la nueva norma ISO 27001:2022; en cambio, se eliminaron para que el control fuera más fácil de usar y comprender.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control:

¿Quién está a cargo de este proceso?

Los Jefe de Información (CIO) es el líder responsable de salvaguardar los datos y sistemas de la empresa. Trabajan con otros ejecutivos para considerar la seguridad al tomar decisiones comerciales, como el director financiero y el director ejecutivo. Implementar políticas y procedimientos para proteger la información de la empresa es una parte clave del papel del CIO.

El Director Financiero tiene la función de decidir sobre los perímetros de seguridad física. En colaboración con otros ejecutivos de la alta dirección, incluido el CIO, deciden cuánto invertir en medidas de seguridad física, como cámaras de vigilancia, controles de acceso y alarmas.

¿Qué significan estos cambios para usted?

ISO 27001:2022 no es una revisión importante, por lo que no son necesarias modificaciones significativas para su cumplimiento.

Vale la pena examinar su implementación actual para garantizar que esté en línea con los nuevos requisitos. En particular, si se realizaron cambios desde la versión de 2013. Vale la pena reevaluar esos cambios para determinar si siguen siendo válidos o si es necesario modificarlos.

Cómo ayuda ISMS.Online

ISMS.online puede ayudar a demostrar el cumplimiento de la norma ISO 27001 proporcionando un sistema en línea que permite el almacenamiento de documentos en una ubicación única y accesible. También facilita el desarrollo de listas de verificación para cada documento, facilitando así la revisión y modificación de los documentos.

¿Quieres experimentar cómo funciona?

Contáctenos hoy para reservar una demostración.