ISO 27001:2022 Anexo A 7.5 – Protección contra amenazas físicas y ambientales

• See Norma ISO 27002:2022 7.5 para obtener más información.
• See ISO 27001:2013 Anexo A 11.1.4 para obtener más información.

ISO 27001 Anexo A 7.5: Fortalecimiento de la seguridad frente a amenazas físicas y ambientales

Las organizaciones deben tener en cuenta los riesgos que plantean las amenazas físicas a sus activos de información.

Dichas amenazas pueden incluir daños ambientales, robo, destrucción y compromiso de los datos. Todos estos problemas pueden provocar una pérdida de información y la posibilidad de que queden expuestos datos confidenciales.

Los fenómenos naturales como terremotos, inundaciones e incendios forestales, así como los desastres provocados por el hombre, como disturbios civiles y actos criminales, plantean amenazas.

ISO 27001:2022 El Anexo A 7.5 requiere que las organizaciones evalúen, reconozcan y reduzcan los riesgos para la infraestructura física vital debido a peligros físicos y ambientales.

Propósito de ISO 27001:2022 Anexo A 7.5

ISO 27001:2022 Anexo A 7.5 permite a las organizaciones evaluar los riesgos potenciales que plantean las amenazas ambientales y físicas, y reducir o eliminar estos riesgos mediante la implementación de medidas adecuadas.

Propiedad del Anexo A 7.5

ISO 27001:2022 anexo A 7.5 requiere que las organizaciones realicen una evaluación integral de riesgos antes de realizar cualquier operación en las instalaciones físicas y que implementen medidas apropiadas proporcionales al riesgo identificado.

Jefes de seguridad son responsables de crear, gestionar, implementar y evaluar todo el proceso.

Orientación sobre ISO 27001:2022 Anexo A 7.5 Cumplimiento

ISO 27001:2022 Anexo A 7.5 describe una estrategia de tres partes para reconocer y eliminar peligros potenciales de fuentes físicas y ambientales.

Paso 1: completar una evaluación de riesgos

Las organizaciones deben llevar a cabo una evaluación de riesgos para identificar cualquier peligro físico y ambiental potencial que pueda ocurrir en sus instalaciones, luego evaluar los posibles impactos de estos riesgos físicos y ambientales identificados.

Teniendo en cuenta la variedad de condiciones ambientales y riesgos físicos que cada instalación e infraestructura puede enfrentar, el tipo de amenaza y el nivel de riesgo identificado diferirán según la ubicación.

Una propiedad puede ser particularmente vulnerable a los incendios forestales, mientras que otra puede estar ubicada en un área propensa a los terremotos.

Es esencial que se realice una evaluación de riesgos antes de iniciar actividades en el sitio, según el Anexo A 7.5.

Paso 2: establecer y emplear controles

Dado el tipo de amenaza y el riesgo asociado identificado inicialmente, las organizaciones deben implementar los controles correctos teniendo en cuenta las posibles consecuencias de las amenazas ambientales y físicas.

ISO 27001:2022 Anexo A 7.5 ofrece ejemplos de controles que se pueden implementar para combatir diferentes amenazas:

• Las organizaciones deben instalar sistemas que puedan alertarlas sobre incendios y activar sistemas de extinción de incendios para proteger los medios digitales y los sistemas de información de la destrucción.
• Se deben implementar y configurar sistemas para identificar inundaciones en los lugares donde se almacenan los datos. Además, las bombas de agua deben estar preparadas para ser utilizadas en caso de inundaciones.
• Los servidores y los sistemas de manejo de datos deben protegerse contra sobretensiones eléctricas. El mantenimiento y la protección regulares son esenciales para un rendimiento óptimo.
• Las organizaciones deberían auditar periódicamente e inspeccionar personas, artículos y vehículos que ingresan a sitios de infraestructura crítica.

Paso 3 – Monitoreo

Realice un seguimiento del progreso y haga los ajustes necesarios. Evalúe periódicamente los resultados y realice cambios para garantizar que se cumplan los objetivos. Asegúrese de documentar cualquier cambio para referencia futura.

Orientación complementaria sobre el Anexo A 7.5

ISO 27001:2022 Anexo A 7.5 describe cuatro consideraciones que las organizaciones deben tener en cuenta.

Consulta con expertos

Cada amenaza ambiental y física, como los desechos tóxicos, los terremotos y los incendios, es distinta en términos de sus características, el peligro que plantea y las medidas que deben tomarse.

Las organizaciones deben consultar asesoramiento especializado sobre cómo detectar, reducir y/o gestionar los riesgos que plantean estas amenazas.

Elección de la ubicación del local

Tener en cuenta el terreno local, los niveles de agua y la actividad tectónica de un sitio potencial para un edificio puede ayudar a identificar y eliminar riesgos potenciales de manera temprana.

Las organizaciones deben contemplar los peligros de los desastres inducidos por el hombre en el área urbana seleccionada, por ejemplo, agitación política y comportamiento criminal.

Capa adicional de seguridad

El uso de métodos de almacenamiento seguros, como cajas fuertes, proporciona una capa adicional de protección contra desastres como incendios e inundaciones, además de las medidas de seguridad existentes.

Prevención del delito a través del diseño ambiental

ISO 27001:2022 Anexo A 7.5 sugiere que las organizaciones contemplen este concepto al introducir controles para fortalecer la seguridad de las instalaciones. Este enfoque puede emplearse para combatir amenazas urbanas como actividades criminales, disturbios civiles y terrorismo.

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 7.5 reemplaza a ISO 27001:2013 Anexo A 11.1.4 de la norma revisada.

La versión 2013 se centró en cómo las organizaciones deberían implementar medidas preventivas contra amenazas físicas y ambientales, mientras que la versión 2022 es más completa y describe los pasos específicos que las organizaciones deben tomar para cumplir.

En conclusión, destacan dos distinciones principales.

La versión 2022 ofrece asesoramiento sobre reglamento de reuniones

La edición de 2013 no proporcionó orientación sobre cómo las organizaciones podrían reconocer y reducir los riesgos causados ​​por peligros ambientales y físicos.

La versión 2022 describe un proceso de tres pasos que las organizaciones deben implementar, comenzando con una evaluación de riesgos.

La revisión de 2022 alienta a las organizaciones a introducir una capa adicional de medidas

La orientación complementaria para 2022 incluye el uso de cajas fuertes y la prevención del delito mediante el diseño ambiental como formas de aumentar la seguridad contra las amenazas.

En 2013, sin embargo, no se tomaron medidas adicionales.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.

Cómo ayuda ISMS.online

La plataforma ISMS.online ofrece una variedad de herramientas potentes para facilitar la documentación, implementación, preservación y mejora de su sistema de gestión de seguridad de la información (SGSI) y cumplir con la norma ISO 27001:2022 más fácilmente.

Esta colección integral de herramientas proporciona una ubicación única donde puede personalizar un conjunto de políticas y procedimientos para que coincidan con los riesgos y necesidades particulares de su organización.

Contáctenos hoy para organizar una demostración.