ISO 27002:2022 – Control 7.10 – Medios de almacenamiento

Gestión segura de medios de almacenamiento: protección de la información confidencial

El uso de dispositivos de medios de almacenamiento, como unidades de estado sólido (SSD), memorias USB, unidades externas y teléfonos móviles, es vital para muchas operaciones críticas de procesamiento de información, como la copia de seguridad, el almacenamiento y la transferencia de información.

Sin embargo, el almacenamiento de datos sensibles y críticos La información contenida en estos dispositivos introduce riesgos para la integridad., confidencialidad y disponibilidad de los activos de información. Estos riesgos pueden incluir pérdida o robo de medios de almacenamiento que contienen información confidencial, propagación de malware a todas las redes informáticas corporativas a través de los medios de almacenamiento y fallas y degradación de los dispositivos de medios de almacenamiento utilizados para realizar copias de seguridad de los datos.

El Control 7.10 aborda cómo las organizaciones pueden establecer procedimientos, políticas y controles apropiados para mantener la seguridad de los medios de almacenamiento durante todo su ciclo de vida, desde su adquisición hasta su eliminación.

Propósito del Control 7.10

Control 7.10 permite a las organizaciones eliminar y mitigar los riesgos de acceso no autorizado, uso, eliminación, modificación y transferencia de información confidencial alojada en dispositivos de medios de almacenamiento al establecer procedimientos para el manejo de los medios de almacenamiento a lo largo de todo su ciclo de vida.

Tabla de Atributos de Control 7.10

El Control 7.10 es un tipo de control preventivo que requiere que las organizaciones creen, implementen y mantengan procedimientos y medidas para garantizar la seguridad de los dispositivos de medios de almacenamiento desde su adquisición hasta su disposición.

¿Qué medios de almacenamiento cubre Control 7.10?

El Control 7.10 se aplica tanto a los medios de almacenamiento físicos como a los digitales. Por ejemplo almacenamiento de información en archivos físicos también está cubierto por el Control 7.10.

Además, junto con los medios de almacenamiento extraíbles, los medios de almacenamiento fijos, como los discos duros, también están sujetos al Control 7.10.

Propiedad del Control 7.10

El Control 7.10 requiere que las organizaciones creen e implementen procedimientos apropiados, controles técnicos y políticas para toda la organización sobre el uso de medios de almacenamiento basados ​​en el propio esquema de clasificación de la organización y sus requisitos de manejo de datos, como las obligaciones legales y contractuales.

Teniendo esto en cuenta, los gerentes de seguridad de la información deben ser responsables de todo el proceso de cumplimiento.

Orientación general sobre cumplimiento

Medios de almacenamiento extraíbles

Si bien los medios de almacenamiento extraíbles son esenciales para muchas operaciones comerciales y la mayoría del personal los utiliza comúnmente, presentan el mayor grado de riesgo para la información confidencial.

Control 7.10 enumera diez requisitos que las organizaciones deben cumplir para la gestión de medios de almacenamiento extraíbles durante todo su ciclo de vida:

1. Las organizaciones deben establecer una política temática específica sobre la adquisición, autorización, uso y eliminación de medios de almacenamiento extraíbles. Esta política debe comunicarse a todo el personal y a todas las partes relevantes.
2. Si es práctico y necesario, las organizaciones deberían implementar procedimientos de autorización sobre cómo se pueden sacar los medios de almacenamiento extraíbles de las instalaciones corporativas. Además, las organizaciones deben mantener registros de la eliminación de medios de almacenamiento con fines de seguimiento de auditoría.
3. Todos los medios de almacenamiento extraíbles deben almacenarse en un área segura, como una caja fuerte, teniendo en cuenta el nivel de clasificación de información asignado a la información y las amenazas ambientales y físicas a los medios de almacenamiento.
4. Si la confidencialidad y la integridad de la información contenida en los medios de almacenamiento extraíbles son de importancia crítica, se deben utilizar técnicas criptográficas para proteger los medios de almacenamiento contra el acceso no autorizado.
5. Ante el riesgo de degradación de los medios de almacenamiento extraíbles y la pérdida de información almacenada en los medios, la información debe transferirse a un nuevo dispositivo de medios de almacenamiento antes de que se produzca dicho riesgo.
6. La información crítica y sensible debe copiarse y almacenarse en múltiples medios de almacenamiento para minimizar el riesgo de pérdida de información crítica.
7. Para mitigar el riesgo de pérdida total de información, el registro de dispositivos de almacenamiento extraíbles puede ser una opción a considerar.
8. A menos que exista un motivo comercial para utilizar puertos de medios de almacenamiento extraíbles, como puertos USB o ranuras para tarjetas SD, no deberían permitirse.
9. Es necesario que exista un mecanismo de monitoreo para la transferencia de información a dispositivos de medios de almacenamiento extraíbles.
10. Cuando la información contenida en soportes físicos, como papeles, se transfiere por mensajería o correo postal, existe un alto riesgo de acceso no autorizado a esta información. Por lo tanto, se deben aplicar las medidas adecuadas.

Orientación sobre la reutilización y eliminación segura de medios de almacenamiento

Control 7.10 proporciona orientación separada sobre la reutilización y eliminación segura de medios de almacenamiento para que las organizaciones puedan mitigar y eliminar los riesgos que comprometen la confidencialidad de la información.

El Control 7.10 destaca que las organizaciones deben definir y aplicar procedimientos para la reutilización y eliminación de los medios de almacenamiento, teniendo en cuenta el nivel de sensibilidad de la información contenida en los medios de almacenamiento.

Al establecer estos procedimientos, las organizaciones deben considerar lo siguiente:

1. Si un medio de almacenamiento va a ser reutilizado por una parte interna dentro de una organización, la información confidencial alojada en ese medio de almacenamiento debe eliminarse o reformatearse irreversiblemente antes de que se autorice su reutilización.
2. Los medios de almacenamiento que contengan información confidencial deben destruirse de forma segura cuando ya no sean necesarios. Por ejemplo, los documentos en papel se pueden triturar y los equipos digitales se pueden destruir físicamente.
3. Debería existir un procedimiento para la identificación de los elementos de los medios de almacenamiento que deben eliminarse.
4. Cuando las organizaciones optan por trabajar con un tercero para manejar la recopilación y eliminación de medios de almacenamiento, deben llevar a cabo las debidas diligencia para garantizar que el proveedor elegido sea competente e implementa controles apropiados.
5. Mantener un registro de todos los elementos desechados para pista de auditoría.
6. Cuando se van a eliminar varios medios de almacenamiento juntos, se debe tener en cuenta el efecto de acumulación: la combinación de diferentes piezas de información de cada medio de almacenamiento puede transformar información no confidencial en información confidencial.

Por último, pero no menos importante, el Control 7.10 requiere que las organizaciones lleven a cabo una Evaluación de riesgos en equipos dañados que almacenan información confidencial. decidir si el equipo debe ser destruido en lugar de reparado.

Cambios y diferencias con respecto a ISO 27002:2013

27002:2022/7.10 reemplaza a 27002:2013/(08.3.1, 08.3.2, 08.3.3, 11.2.5)

Hay cuatro diferencias clave que es necesario destacar:

• Cambios estructurales

Mientras que la versión de 2013 contenía tres controles sobre la gestión de medios, eliminación de medios y transferencia de medios físicos, la Versión 2022 combina estos tres controles bajo el Control 7.10.

• La versión 2022 incluye requisitos para la reutilización de medios de almacenamiento

A diferencia de la versión 2013 que solo abordaba la eliminación segura de los medios de almacenamiento, la versión 2022 también aborda la reutilización segura de los medios de almacenamiento.

• La versión 2013 contiene requisitos más completos para la transferencia física de medios de almacenamiento.

La versión 2013 implicó requisitos más completos para la transferencia física de medios de almacenamiento. Por ejemplo, la versión de 2013 incluía normas sobre verificación de identidad para mensajeros y normas de embalaje.

El Control 7.10 en la Versión 2022, por otro lado, solo establecía que las organizaciones deben actuar con diligencia al elegir proveedores de servicios como los mensajeros.

• La versión 2022 requiere una política de tema específico sobre medios de almacenamiento extraíbles

Si bien las versiones 2022 y 2013 son similares en gran medida en términos de requisitos para medios de almacenamiento extraíbles, la versión 2022 introduce el requisito de establecer una política temática específica sobre medios de almacenamiento extraíbles. La versión de 2013, en cambio, no cubría este requisito.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

El sistema Plataforma en línea ISMS utiliza un enfoque basado en riesgos combinado con las mejores prácticas y plantillas líderes en la industria para ayudarlo a identificar los riesgos que enfrenta su organización y los controles necesarios para gestionar esos riesgos. Esto le permite reducir sistemáticamente tanto su exposición al riesgo como sus costos de cumplimiento.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.