ISO 27001:2022 El Anexo A 7.7 analiza cómo las organizaciones pueden proteger y mantener la confidencialidad de la información confidencial en pantallas digitales y en papel mediante la implementación de reglas de escritorio y pantalla claras.
Un empleado que deja su estación de trabajo desatendida corre el riesgo de acceso no autorizado, pérdida de confidencialidad y daño a la información confidencial contenida en materiales físicos y digitales.
Por ejemplo, partes malintencionadas pueden aprovechar la oportunidad de robar y hacer un uso indebido de datos de salud confidenciales si un empleado deja su computadora desatendida durante la pausa del almuerzo mientras utiliza una herramienta de gestión de relaciones con el cliente.
ISO 27001:2022 Anexo A 7.7 proporciona a las organizaciones un método para eliminar y/o mitigar los riesgos de acceso no autorizado, uso, daño o pérdida de información confidencial en las pantallas y documentos de las estaciones de trabajo de los empleados cuando no están presentes.
En reconocimiento del Anexo 7.7, las organizaciones deben adoptar e implementar una política en toda la organización relativa a escritorios y pantallas despejados. Los responsables de seguridad de la información deben ser responsables de producir, mantener y hacer cumplir políticas de escritorio y pantalla claras en toda la organización.
El Anexo A 7.7 recomienda crear y hacer cumplir una política temática específica que describa reglas para escritorios y pantallas despejados.
Además, el Anexo A 7.7 especifica siete requisitos específicos que las organizaciones deben considerar al establecer y hacer cumplir políticas de escritorio y pantalla clara:
ISO 27001 Anexo A 7.7 advierte a las organizaciones sobre los riesgos que surgen de las instalaciones desocupadas. Los materiales físicos y digitales previamente almacenados en una instalación deben retirarse de forma segura cuando una organización la desocupe para evitar la pérdida de información confidencial.
Por lo tanto, el Anexo A 7.7 estipula que las organizaciones deben establecer procedimientos para la liberación de instalaciones para garantizar que los activos de información confidencial se eliminen de forma segura. Se puede realizar un barrido final para garantizar que no quede desprotegida ninguna información confidencial.
ISO 27001:2022 Anexo A 7.7 reemplaza a ISO 27001:2013 Anexo A 11.2.9 ('Política de limpieza de escritorio y pantalla').
Hay dos diferencias notables entre las versiones ISO 27001:2022 e ISO 27001:2013:
Si bien la versión de 2013 especifica que las organizaciones deberían considerar clasificación de la información niveles, requisitos legales y contractuales, y los tipos de riesgos que enfrentan al establecer una política de escritorio y pantalla clara.
La versión ISO 27001:2022, sin embargo, no menciona estos elementos. La norma ISO 27001:2022 introduce requisitos nuevos y más completos para escritorios y pantallas claros.
La versión ISO 27001:2022 especifica los siguientes requisitos que las organizaciones deben tener en cuenta al establecer políticas de escritorio y pantalla despejados:
En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.
Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
---|---|---|---|
Controles organizacionales | Anexo A 5.1 | Anexo A 5.1.1 Anexo A 5.1.2 | Políticas de Seguridad de la Información |
Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
Controles organizacionales | Anexo A 5.8 | Anexo A 6.1.5 Anexo A 14.1.1 | Seguridad de la información en la gestión de proyectos |
Controles organizacionales | Anexo A 5.9 | Anexo A 8.1.1 Anexo A 8.1.2 | Inventario de Información y Otros Activos Asociados |
Controles organizacionales | Anexo A 5.10 | Anexo A 8.1.3 Anexo A 8.2.3 | Uso aceptable de la información y otros activos asociados |
Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
Controles organizacionales | Anexo A 5.14 | Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 | Transferencia de información |
Controles organizacionales | Anexo A 5.15 | Anexo A 9.1.1 Anexo A 9.1.2 | Control de Acceso |
Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
Controles organizacionales | Anexo A 5.17 | Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 | Información de autenticación |
Controles organizacionales | Anexo A 5.18 | Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 | Derechos de acceso |
Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
Controles organizacionales | Anexo A 5.22 | Anexo A 15.2.1 Anexo A 15.2.2 | Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
Controles organizacionales | Anexo A 5.29 | Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 | Seguridad de la información durante la disrupción |
Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
Controles organizacionales | Anexo A 5.31 | Anexo A 18.1.1 Anexo A 18.1.5 | Requisitos legales, estatutarios, reglamentarios y contractuales |
Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
Controles organizacionales | Anexo A 5.36 | Anexo A 18.2.2 Anexo A 18.2.3 | Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
---|---|---|---|
Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
Controles de personas | Anexo A 6.8 | Anexo A 16.1.2 Anexo A 16.1.3 | Informes de eventos de seguridad de la información |
Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
---|---|---|---|
Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
Controles físicos | Anexo A 7.2 | Anexo A 11.1.2 Anexo A 11.1.6 | Entrada Física |
Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
Controles físicos | Anexo A 7.10 | Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 | Medios de almacenamiento |
Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
---|---|---|---|
Controles Tecnológicos | Anexo A 8.1 | Anexo A 6.2.1 Anexo A 11.2.8 | Dispositivos terminales de usuario |
Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
Controles Tecnológicos | Anexo A 8.8 | Anexo A 12.6.1 Anexo A 18.2.3 | Gestión de Vulnerabilidades Técnicas |
Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
Controles Tecnológicos | Anexo A 8.15 | Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 | Inicio de sesión |
Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados |
Controles Tecnológicos | Anexo A 8.19 | Anexo A 12.5.1 Anexo A 12.6.2 | Instalación de Software en Sistemas Operativos |
Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
Controles Tecnológicos | Anexo A 8.24 | Anexo A 10.1.1 Anexo A 10.1.2 | Uso de criptografía |
Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
Controles Tecnológicos | Anexo A 8.26 | Anexo A 14.1.2 Anexo A 14.1.3 | Requisitos de seguridad de la aplicación |
Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Principios de ingeniería y arquitectura de sistemas seguros |
Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
Controles Tecnológicos | Anexo A 8.29 | Anexo A 14.2.8 Anexo A 14.2.9 | Pruebas de seguridad en desarrollo y aceptación |
Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
Controles Tecnológicos | Anexo A 8.31 | Anexo A 12.1.4 Anexo A 14.2.6 | Separación de entornos de desarrollo, prueba y producción. |
Controles Tecnológicos | Anexo A 8.32 | Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 | Gestión del cambio |
Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
La implementación y el cumplimiento de ISO 27001:2022 son simples con nuestra lista de verificación paso a paso que lo guía a través de todo el proceso.
tú solución completa de cumplimiento para ISO/IEC 27001:2022:
A programa una demostración, póngase en contacto hoy.
Reserva una sesión práctica personalizada
en base a tus necesidades y objetivos
Reserva tu demostración
Descargue nuestra guía gratuita para una certificación rápida y sostenible