ISO 27001:2022 Anexo A 7.7 – Escritorio despejado y pantalla despejada

• See Norma ISO 27002:2022 7.7 para obtener más información.
• See ISO 27001:2013 Anexo A 11.2.9 para obtener más información.

ISO 27001 Anexo A 7.7: Protección de información confidencial con políticas de escritorio y pantalla limpios

ISO 27001:2022 El Anexo A 7.7 analiza cómo las organizaciones pueden proteger y mantener la confidencialidad de la información confidencial en pantallas digitales y en papel mediante la implementación de reglas de escritorio y pantalla claras.

Un empleado que deja su estación de trabajo desatendida corre el riesgo de acceso no autorizado, pérdida de confidencialidad y daño a la información confidencial contenida en materiales físicos y digitales.

Por ejemplo, partes malintencionadas pueden aprovechar la oportunidad de robar y hacer un uso indebido de datos de salud confidenciales si un empleado deja su computadora desatendida durante la pausa del almuerzo mientras utiliza una herramienta de gestión de relaciones con el cliente.

¿Cuál es el propósito del Anexo A 27001 de la norma ISO 2022:7.7?

ISO 27001:2022 Anexo A 7.7 proporciona a las organizaciones un método para eliminar y/o mitigar los riesgos de acceso no autorizado, uso, daño o pérdida de información confidencial en las pantallas y documentos de las estaciones de trabajo de los empleados cuando no están presentes.

Propiedad de ISO 27001:2022 Anexo A 7.7

En reconocimiento del Anexo 7.7, las organizaciones deben adoptar e implementar una política en toda la organización relativa a escritorios y pantallas despejados. Los responsables de seguridad de la información deben ser responsables de producir, mantener y hacer cumplir políticas de escritorio y pantalla claras en toda la organización.

Orientación general sobre ISO 27001:2022 Anexo A 7.7

El Anexo A 7.7 recomienda crear y hacer cumplir una política temática específica que describa reglas para escritorios y pantallas despejados.

Además, el Anexo A 7.7 especifica siete requisitos específicos que las organizaciones deben considerar al establecer y hacer cumplir políticas de escritorio y pantalla clara:

• Los activos digitales y físicos que contienen información sensible o crítica deben bloquearse de forma segura cuando no estén en uso o cuando la estación de trabajo que los alberga esté vacía. Por ejemplo, los registros en papel, las computadoras portátiles y las impresoras deben almacenarse en muebles seguros, como cajones o gabinetes con cerradura.
• Los dispositivos utilizados por los empleados, como computadoras portátiles, escáneres, impresoras y notebooks, deben protegerse con candados con llave cuando no estén en uso o se dejen desatendidos.
• Los empleados deben dejar sus dispositivos desconectados cuando abandonen su espacio de trabajo y los dejen desatendidos. La reactivación del dispositivo solo debería ser posible con la autenticación del usuario. Todos los dispositivos terminales de los empleados, como las computadoras, deben tener funciones automáticas de tiempo de espera y cierre de sesión.
• La impresora debe diseñarse de manera que las impresiones puedan ser recogidas inmediatamente por la persona que las imprimió (el autor). Además, sólo el autor debe poder recoger las impresiones mediante un mecanismo de autenticación sólido.
• El material que contenga información confidencial, incluidos los medios extraíbles, debe mantenerse seguro en todo momento. Cuando ya no los necesites, debes eliminarlos de forma segura.
• Es esencial que las organizaciones creen reglas para mostrar ventanas emergentes en las pantallas y comunicar estas reglas a todos los empleados relevantes. Por ejemplo, las ventanas emergentes (como las notificaciones por correo electrónico) que contienen información confidencial pueden comprometer la confidencialidad de la información confidencial si se muestran durante una presentación o en un espacio público.
• Las pizarras blancas deben borrarse cuando ya no se necesite información sensible o crítica.

Orientación complementaria sobre el Anexo A 7.7

ISO 27001 Anexo A 7.7 advierte a las organizaciones sobre los riesgos que surgen de las instalaciones desocupadas. Los materiales físicos y digitales previamente almacenados en una instalación deben retirarse de forma segura cuando una organización la desocupe para evitar la pérdida de información confidencial.

Por lo tanto, el Anexo A 7.7 estipula que las organizaciones deben establecer procedimientos para la liberación de instalaciones para garantizar que los activos de información confidencial se eliminen de forma segura. Se puede realizar un barrido final para garantizar que no quede desprotegida ninguna información confidencial.

¿Cuáles son los cambios y diferencias con respecto a ISO 27001:2013?

ISO 27001:2022 Anexo A 7.7 reemplaza a ISO 27001:2013 Anexo A 11.2.9 ('Política de limpieza de escritorio y pantalla').

Hay dos diferencias notables entre las versiones ISO 27001:2022 e ISO 27001:2013:

• La versión ISO 27001:2022 no incluye criterios a considerar al establecer e implementar políticas de escritorio y pantalla despejados.

Si bien la versión de 2013 especifica que las organizaciones deberían considerar clasificación de la información niveles, requisitos legales y contractuales, y los tipos de riesgos que enfrentan al establecer una política de escritorio y pantalla clara.

La versión ISO 27001:2022, sin embargo, no menciona estos elementos. La norma ISO 27001:2022 introduce requisitos nuevos y más completos para escritorios y pantallas claros.

La versión ISO 27001:2022 especifica los siguientes requisitos que las organizaciones deben tener en cuenta al establecer políticas de escritorio y pantalla despejados:

• Las organizaciones deben mantener la confidencialidad de la información confidencial creando pautas específicas en pantallas emergentes.
• Elimine la información confidencial escrita en una pizarra si ya no la necesita.
• Las computadoras y otros dispositivos terminales utilizados por los empleados deben protegerse con cerraduras con llave cuando no estén en uso o sin supervisión.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.

Cómo ayuda ISMS.online

La implementación y el cumplimiento de ISO 27001:2022 son simples con nuestra lista de verificación paso a paso que lo guía a través de todo el proceso.

Tu solución completa de cumplimiento para ISO/IEC 27001:2022:

• Hasta un 81% de progreso desde el momento en que inicias sesión.
• Solución simple y de cumplimiento total para ISO 27001:2022.

A programa una demostración, póngase en contacto hoy.