ISO 27001:2022 Anexo A 7.9 – Seguridad de los activos fuera de las instalaciones

• See Norma ISO 27002:2022 7.9 para obtener más información.
• See ISO 27001:2013 Anexo A 11.2.6 para obtener más información.

ISO 27001:2022 Control 7.9 – Seguridad de los activos fuera de la oficina

Cuando los dispositivos que contienen activos de información valiosos se retiran de la ubicación física de la organización, son más susceptibles a daños, robo, pérdida, destrucción o violaciones.

Los controles de seguridad física dentro de las instalaciones de una organización no serán efectivos, dejando sus activos externos expuestos a amenazas como riesgos físicos e individuos malintencionados que intentan obtener acceso no autorizado.

Empleados trabajando de forma remota pueden llevarse del negocio ordenadores corporativos con datos confidenciales, trabajar en una cafetería, vestíbulo de hotel, etc., conectarse a redes Wi-Fi públicas no seguras y dejar sus dispositivos sin supervisión. Estas acciones presentan un riesgo para la seguridad, confidencialidad, integridad y disponibilidad de la información contenida en los dispositivos.

Las organizaciones deben asegurarse de que los dispositivos que se llevan fuera de las instalaciones permanezcan seguros.

El Anexo A 27001 de ISO 2022:7.9 describe cómo las organizaciones pueden garantizar la seguridad de los dispositivos ubicados lejos del sitio principal, que albergan activos de información. Deben establecer controles y procedimientos adecuados para lograrlo.

Propósito de ISO 27001:2022 Anexo A 7.9

ISO 27001:2022 El Anexo A 7.9 permite a las organizaciones salvaguardar la seguridad de los activos de información alojados en hardware al frustrar dos riesgos distintos:

• Minimizar la posibilidad de que los activos de datos en dispositivos externos se pierdan, dañen, destruyan o expongan.
• Evitar la interrupción de la actividad de la empresa. proceso de datos operaciones por la violación de dispositivos externos.

Propiedad del Anexo A 7.9

ISO 27001:2022 Anexo A 7.9 requiere que las organizaciones establezcan e implementen protocolos y regulaciones que cubran todos los dispositivos que poseen o utilizan en nombre de la empresa. Además, es vital para la protección eficaz de los dispositivos externos que se cree un inventario de activos y que la alta dirección apruebe el uso de dispositivos personales.

Los Gerente de seguridad de la información debe consultar con la gerencia y los propietarios de activos y ser responsable de desarrollar, implementar y mantener procedimientos y medidas para garantizar la seguridad de los dispositivos retirados de las instalaciones corporativas.

Orientación general sobre el cumplimiento de ISO 27001:2022 Anexo A 7.9

anexo A 7.9 detalla seis requisitos que las organizaciones deben observar al construir y aplicar medidas y protocolos para la salvaguardia de los activos retirados de las instalaciones:

1. Las computadoras, dispositivos USB, discos duros y monitores que la empresa lleve fuera del sitio nunca deben dejarse desatendidos en áreas públicas como cafeterías, ni en ningún lugar no seguro.
2. Cumplir en todo momento con las instrucciones y especificaciones del fabricante del dispositivo respecto a la protección física del dispositivo. Por ejemplo, siga sus instrucciones sobre cómo proteger el dispositivo del agua, el calor, los campos electromagnéticos y el polvo.
3. Los empleados y otras organizaciones que lleven equipos informáticos fuera de las instalaciones corporativas deben mantener un registro que detalle la cadena de custodia. Este registro debe incluir, como mínimo, los nombres de las personas responsables del dispositivo y su organización.
4. Si una organización considera que la autorización es necesaria y práctica para retirar equipos de las instalaciones corporativas, debe establecer un procedimiento. Este procedimiento debe cubrir la retirada de ciertos equipos fuera del sitio y mantener un registro de todas las acciones de retirada para proporcionar a la organización una pista de auditoría.
5. Es fundamental tomar las medidas necesarias para evitar el peligro de la visualización no autorizada de datos en las pantallas del transporte público.
6. La organización debe instalar herramientas de seguimiento de ubicación y permitir el acceso remoto, de modo que se pueda monitorear la ubicación del dispositivo y, si es necesario, cualquier dato almacenado en el dispositivo se pueda borrar de forma remota.

Orientación complementaria sobre el Anexo A 7.9

ISO 27001:2022 Anexo A 7.9 establece requisitos para proteger los equipos que se instalan fuera de las instalaciones de una empresa de forma permanente.

Este equipo podría incluir antenas y cajeros automáticos.

Teniendo en cuenta el mayor riesgo de daño y pérdida de este equipo, el Anexo A 7.9 requiere que las organizaciones consideren lo siguiente al protegerlo fuera del sitio:

• Se debe tener en cuenta el Anexo A 27001 de ISO 2022:7.4, Monitoreo de la seguridad física.
• Asegurar que se tenga en cuenta el Anexo A 27001 de ISO 2022:7.5, que es la protección contra amenazas ambientales y físicas.
• Se deben crear controles de acceso y se deben tomar medidas adecuadas para detener las interferencias.
• Cree y aplique controles de acceso lógicos.

El Anexo A 7.9 aconseja a las organizaciones que tengan en cuenta el Anexo A 6.7 y el Anexo A 8.1 al formular e implementar medidas para salvaguardar dispositivos y equipos.

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 7.9 reemplaza a ISO 27001:2013 Anexo A 11.2.6.

Hay tres distinciones principales que conviene tener en cuenta:

ISO 27001:2022 Anexo A Control 7.9 requiere un amplio conjunto de instrucciones.

El Anexo A 7.9 introduce dos nuevos requisitos en comparación con su versión ISO 27001:2013:

• Se deben tomar medidas adecuadas para evitar que personas no autorizadas vean la información expuesta en el transporte público.
• Se debe habilitar el monitoreo de ubicación y el acceso remoto para permitir el seguimiento del dispositivo y la capacidad de borrar información almacenada en el dispositivo de forma remota, si es necesario.

El anexo A 7.9 introduce nuevos criterios para los dispositivos que están permanentemente ubicados fuera de las instalaciones.

En comparación con la versión ISO 27001:2013, el Anexo A 27001 de ISO 2022:7.9 proporciona consejos distintos sobre la protección de equipos que están fijos en una ubicación fuera del sitio.

Estos podrían involucrar antenas y cajeros automáticos.

Se establece la prohibición del trabajo a distancia para reducir riesgos.

La versión ISO 27001:2013 dejó claro que las organizaciones podían prohibir a los empleados trabajar a distancia si era coherente con los niveles de riesgo identificados. Por el contrario, la versión ISO 27001:2022 no menciona esto.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.

Cómo ayuda ISMS.online

ISMS.online es la herramienta perfecta para gestionar una implementación ISO 27001:2022. Está diseñado para ayudar a las empresas a implementar una sistema de gestión de la seguridad de la información (SGSI) que cumple con los estándares de la norma ISO 27001:2022.

La plataforma emplea un enfoque basado en riesgos, junto con las mejores prácticas y plantillas de primer nivel, para ayudar a reconocer los riesgos que enfrenta su organización y los controles necesarios para gestionarlos. Al hacerlo, puede minimizar eficazmente tanto su exposición al riesgo como los costos de cumplimiento.

Contáctenos ahora para organizar una demostración.