ISO 27001:2022 Anexo A Control 7.10

Orientación sobre ISO 27001:2022 Anexo A 7.10 Cumplimiento

Medios de almacenamiento extraíbles

Los medios extraíbles son indispensables para muchas operaciones comerciales y el personal los emplea ampliamente. Sin embargo, representan el mayor riesgo para los datos confidenciales.

ISO 27001:2022 Anexo A 7.10 establece diez condiciones que las organizaciones deben observar para la gestión de medios de almacenamiento extraíbles durante su ciclo de vida:

1. Las organizaciones deben crear una política centrada en la adquisición, autorización, uso y eliminación de medios de almacenamiento extraíbles, informando a todo el personal y a las partes interesadas de su existencia.
2. Las organizaciones deberían, cuando sea práctico y necesario, implementar procedimientos de autorización para sacar medios de almacenamiento extraíbles de las instalaciones corporativas. Además, se debe mantener un registro de las eliminaciones para seguimiento de auditoría.
3. Guarde todos los medios de almacenamiento extraíbles en un lugar seguro como una caja fuerte, teniendo en cuenta la clasificación de la información nivel asignado a la información y cualquier amenaza ambiental y física a los medios.
4. Si mantener la confidencialidad y confiabilidad de la información contenida en medios extraíbles es de suma importancia, se deben emplear métodos criptográficos para proteger los medios del acceso no autorizado.
5. Para evitar el deterioro de los medios de almacenamiento extraíbles y la pérdida de datos, la información debe trasladarse a un dispositivo de almacenamiento nuevo antes de que surja el riesgo.
6. Es fundamental copiar y almacenar datos confidenciales en múltiples medios de almacenamiento para reducir la posibilidad de que se pierda información crítica.
7. Para reducir la posibilidad de una pérdida total de datos, registrar dispositivos de medios de almacenamiento extraíbles puede ser una solución viable.
8. A menos que exista una necesidad comercial, no se deben utilizar puertos USB ni ranuras para tarjetas SD.
9. Es necesario controlar la transferencia de información a cualquier dispositivo de almacenamiento extraíble.
10. Al transferir información contenida en documentos físicos por correo o mensajería, existe una alta probabilidad de acceso no autorizado. Para contrarrestar esto, se deben tomar las medidas adecuadas.

Orientación sobre la reutilización y eliminación segura de medios de almacenamiento

ISO 27001:2022 El Anexo A 7.10 ofrece orientación sobre la reutilización y eliminación segura de los medios de almacenamiento para ayudar a las organizaciones a reducir y eliminar el peligro de que se viole la confidencialidad de la información.

anexo A 7.10 establece que las organizaciones deben crear y llevar a cabo planes para reciclar y eliminar los medios de almacenamiento, considerando la sensibilidad de los datos guardados en los medios de almacenamiento.

Las organizaciones deben considerar lo siguiente al establecer estas medidas:

• Si la parte interna de una organización va a reutilizar un medio de almacenamiento, la información confidencial alojada en él debe eliminarse o reformatearse irrevocablemente antes de la autorización.
• La destrucción segura de los medios de almacenamiento que albergan información confidencial es necesaria una vez que ya no es necesaria. Los documentos en papel se pueden triturar y los equipos digitales se pueden destruir físicamente.
• Debería desarrollarse un sistema para identificar los medios de almacenamiento que deben eliminarse.
• Las organizaciones deben llevar a cabo la debida diligencia al seleccionar una parte externa para recopilar y eliminar los medios de almacenamiento, asegurándose de que el proveedor elegido sea competente y cuente con los controles adecuados.
• Documentar todos los elementos desechados para un seguimiento de auditoría.
• Al desechar varios medios de almacenamiento juntos, se debe tener en cuenta el efecto acumulativo: la combinación de varios datos de cada medio de almacenamiento podría dar como resultado la transformación de información no confidencial en material confidencial.

Por último, el Anexo A 27001 de la norma ISO 2022:7.10 exige a las organizaciones evaluar el riesgo de los datos confidenciales almacenados en equipos dañados, para determinar si el equipo debe destruirse o repararse.

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 7.10 reemplaza a ISO 27001:2013 Anexo A 08.3.1, 08.3.2, 08.3.3 y 11.2.5.

Hay cuatro diferencias notables.

Cambios en la estructura

A diferencia de la versión de 2013, que tenía tres controles separados para la gestión de medios, la eliminación de medios y la transferencia de medios físicos, la versión 2022 los combina en el Anexo A 7.10.

Requisitos para la reutilización de medios de almacenamiento agregados a la versión 2022

A diferencia de la versión de 2013, que solo cubría la eliminación segura de medios, la versión 2022 también incluye requisitos de reutilización segura de medios.

Los requisitos de transferencia física son más completos en la versión 2013

La versión 2013 tenía requisitos más amplios para la transferencia física de medios de almacenamiento, incluida la verificación de identidad para los mensajeros y los estándares de embalaje. Por el contrario, el Anexo A 7 7.10 en la versión 2022 solo sugiere que las organizaciones actúen con precaución al seleccionar mensajeros.

Se requiere política de medios de almacenamiento extraíbles por tema específico en la versión 2022

Si bien las versiones 2022 y 2013 son similares en términos de requisitos de medios de almacenamiento extraíbles, la versión 2022 exige una política temática específica sobre medios de almacenamiento extraíbles. La versión de 2013 no cubría este requisito.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.

Cómo ayuda ISMS.online

SGSI.online adopta un enfoque basado en el riesgo, utilizando las mejores prácticas y plantillas líderes en la industria, para ayudarlo a detectar los riesgos a los que está expuesta su organización y los controles necesarios para gestionarlos. Esto ayuda a reducir tanto el riesgo como los costos de cumplimiento.

Contáctenos ahora para organizar una demostración.