ISO 27001:2022 Anexo A 7.14 – Eliminación segura o reutilización de equipos

• See Norma ISO 27002:2022 7.14 para obtener más información.
• See ISO 27001:2013 Anexo A 11.2.7 para obtener más información.

ISO 27001 Anexo A 7.14: Mejores prácticas para la eliminación y reutilización segura de equipos

Los equipos de TI que ya no sean necesarios deben destruirse, devolverse al arrendatario, pasarse a un tercero, reciclarse o reutilizarse para otras operaciones comerciales.

Las organizaciones deben salvaguardar la información y el software con licencia asegurándose de que se borren o sobrescriban antes de desechar o reutilizar el equipo. Esto ayudará a proteger la confidencialidad de los datos almacenados en el dispositivo.

Si una organización emplea un proveedor externo de servicios de eliminación de activos de TI para transferir computadoras portátiles, impresoras y unidades externas obsoletas, este proveedor puede obtener acceso no autorizado a los datos alojados en el equipo.

ISO 27001:2022 Anexo A 7.14 trata sobre cómo las organizaciones pueden preservar la confidencialidad de los datos almacenados en equipos designados para su eliminación o reutilización, mediante la implementación de medidas y procedimientos de seguridad efectivos.

Propósito de ISO 27001:2022 Anexo A 7.14

ISO 27001:2022 El Anexo A 7.14 permite a las organizaciones impedir el acceso no autorizado a datos delicados verificando que toda la información y el software con licencia en el equipo se borre o sobrescriba irrevocablemente antes de que el equipo se deseche o se entregue a un tercero para su reutilización.

Propiedad del Anexo A 7.14

De conformidad con el Anexo A 27001 de la norma ISO 2022:7.14, se debe establecer un procedimiento de eliminación y reutilización de datos en toda la organización, incluida la identificación de todos los equipos y la implementación de mecanismos técnicos de eliminación y procesos de reutilización adecuados.

Los Director de la Información debe ser responsable de establecer, implementar y mantener sistemas y procesos para desechar y reutilizar equipos.

Orientación sobre ISO 27001:2022 Anexo A 7.14 Cumplimiento

ISO 27001:2022 Anexo A 7.14 especifica cuatro consideraciones esenciales para el cumplimiento que las organizaciones deben tener en cuenta:

Es aconsejable adoptar una postura proactiva

Antes de desechar o reutilizar, las organizaciones deben determinar si el equipo incluye algún activos de información y software con licencia y asegúrese de que se borren permanentemente.

Destrucción física o borrado irrecuperable de datos

ISO 27001:2022 Anexo A 7.14 establece que se pueden tomar dos enfoques para garantizar el borrado seguro y permanente de la información en los equipos:

• Los equipos que contienen dispositivos de almacenamiento que contienen información deben ser destruidos físicamente.
• Las organizaciones deben consultar el Anexo A 7.10 y el Anexo A 8.10 con respecto a Medios de almacenamiento y Eliminación de información, respectivamente, para garantizar que todos los datos almacenados en el equipo se borren, sobrescriban o destruyan de manera que impida su recuperación por parte de partes malintencionadas.

Se deben quitar todas las etiquetas y marcas

Los componentes del equipo y los datos que contienen se pueden etiquetar o marcar para identificar la organización o revelar el propietario del activo, la red o el nivel de clasificación de la información. Todas estas etiquetas y marcas deben destruirse permanentemente.

Eliminación de controles

Las organizaciones pueden considerar desinstalar controles de seguridad, como restricciones de acceso o sistemas de vigilancia, al desalojar las instalaciones, dadas las siguientes condiciones:

• El contrato de arrendamiento estipula los requisitos para la devolución del inmueble.
• Mitigar el riesgo de cualquier acceso no autorizado a información sensible por parte del futuro inquilino es fundamental.
• ¿Se pueden utilizar los controles actuales en las próximas instalaciones?

Orientación complementaria sobre el Anexo A 7.14

Además de la Guía general, el Anexo A 27001 de ISO 2022:7.14 proporciona tres recomendaciones específicas para las organizaciones.

Equipo Dañado

Cuando el equipo que contiene datos se envía para reparación, puede ser vulnerable al acceso no autorizado de terceros.

Las organizaciones deben realizar una evaluación de riesgos, teniendo en cuenta el nivel de sensibilidad de los datos, y contemplar si destruir el equipo sería una opción más viable que repararlo.

Cifrado de disco completo

Garantizar que el cifrado de disco completo cumpla con los más altos estándares es esencial para salvaguardar la confidencialidad de los datos. Cabe señalar que se debe respetar lo siguiente:

• El cifrado es confiable y protege todos los aspectos del disco, incluido el espacio sobrante.
• Las claves criptográficas deben tener una longitud suficiente para frustrar ataques de fuerza bruta.
• Las organizaciones deben proteger el secreto de sus claves criptográficas. Por ejemplo, la clave de cifrado no debe almacenarse en el mismo disco duro.

Herramientas de sobrescritura

Las organizaciones deben seleccionar un enfoque de sobrescritura teniendo en cuenta los siguientes criterios:

• Al activo de información se le ha otorgado un cierto nivel de clasificación.
• Se conoce el tipo de soporte de almacenamiento donde se guarda la información.

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 7.14 reemplaza ISO 27001:2013 Anexo A 11.2.7 en la norma revisada. La versión ISO 27001:2022 reemplaza la versión ISO 27001:2013 de la norma, y ​​la versión más reciente incluye actualizaciones del Anexo A 7.14.

ISO 27001:2022 Anexo A 7.14 es muy parecido a su equivalente de 2013. Sin embargo, la versión 2022 tiene requisitos más completos en la guía general.

En comparación con la norma ISO 27001:2013, la versión 2022 plantea estas demandas:

• Las organizaciones deben borrar todos los carteles y etiquetas que especifiquen su organización, red y nivel de clasificación.
• Las organizaciones deberían contemplar la posibilidad de eliminar cualquier control que hayan establecido en una instalación cuando partan.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control:

Cómo ayuda ISMS.online

ISMS.Online proporciona un enfoque integral para la implementación de ISO 27001:2022. Ofrece un proceso simplificado, que permite a los usuarios cumplir de forma rápida y eficaz con los estándares del estándar de seguridad internacional. Con su interfaz fácil de usar, facilita a las organizaciones establecer y mantener una sólida Sistema de gestión de seguridad de la información.

Este sistema basado en web le permite demostrar que su SGSI cumple con los criterios especificados, a través de procesos, procedimientos y listas de verificación efectivos.

Contáctenos ahora para organizar una demostración.