ISO 27002 Control 7.6: Protección de áreas seguras
Almacenar información confidencial en áreas seguras, como salas de servidores seguras, e implementar controles de acceso estrictos no es suficiente para mantener la seguridad de estos activos:
- Los empleados con acceso a salas seguras pueden, de manera deliberada o negligente, causar daños al equipo de hardware y a los activos digitales almacenados en áreas seguras o acceder, usar o destruir estos activos e instalaciones de información sin permiso.
El control 7.6 trata sobre cómo las organizaciones pueden proteger los activos de información almacenados en áreas seguras contra los diversos riesgos que plantea el personal que trabaja en dichas áreas.
Propósito del Control 7.6
El control 7.6 permite a las organizaciones implementar medidas de seguridad adecuadas que se apliquen a todo el personal que trabaja en áreas seguras, de modo que no puedan acceder, usar, modificar, destruir, dañar o interferir con los activos o las instalaciones de información sin autorización.
Tabla de Atributos de Control 7.6
El control 7.6 es de carácter preventivo, ya que exige a las organizaciones que mantengan la seguridad , la confidencialidad, la integridad y la disponibilidad de los activos de información alojados en áreas seguras, eliminando los riesgos que puedan surgir debido a la mala conducta del personal.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Proteger | #Seguridad física | #Proteccion |
| #Integridad | ||||
| #Disponibilidad |
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Propiedad del Control 7.6
Teniendo en cuenta que el Control 7.6 exige que las organizaciones diseñen y pongan en marcha medidas de seguridad que se apliquen a todas las operaciones realizadas en áreas seguras, el Responsable de Seguridad de la Información (ISO) debe ser responsable de crear, implementar y mantener medidas de seguridad adecuadas teniendo en cuenta el nivel de riesgo para cada área segura designada.
Al diseñar y aplicar los controles de seguridad apropiados en áreas seguras, el Oficial de Seguridad de la Información puede cooperar con el equipo de administración de las instalaciones y los propietarios de los activos de información para poner en práctica las medidas diseñadas de manera efectiva.
Orientación general sobre cumplimiento
El Control 7.6 destaca que las medidas de seguridad deben cubrir a todo el personal que trabaja en áreas seguras y deben aplicarse a todas las actividades realizadas en estas áreas.
Si bien el tipo y el grado de medidas de seguridad implementadas pueden variar según el nivel de riesgo para los activos de información específicos , el Control 7.6 enumera seis requisitos específicos que las organizaciones deben cumplir:
- Las organizaciones deben informar a su personal. sobre la existencia de áreas seguras y sobre las operaciones específicas que se llevan a cabo en estas áreas según sea necesario.
- No se debe permitir que ningún personal realice ninguna actividad sin supervisión en las áreas seguras designadas.
- Las áreas seguras desocupadas deben estar cerradas con llave y sujetas a inspecciones periódicas.
- El uso de equipos de grabación, incluidos los utilizados para grabar audio, vídeo y fotografías, debe estar sujeto a estrictos procedimientos de autorización.
- El transporte y uso de dispositivos de usuario finales, como computadoras portátiles y teléfonos inteligentes, en áreas seguras deben estar sujetos a controles estrictos.
- Los procedimientos de emergencia deben exhibirse en un lugar de fácil acceso para todo el personal que trabaja en áreas seguras.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27002:2013
27002:2022/7.6 replaces 27002:2013/(11.1.5)
Si bien ambas versiones son similares en cierta medida, la versión de 2022 es más completa en cuanto a los requisitos de las medidas de seguridad que deben implementarse.
En particular, la versión 2022 introduce dos nuevos requisitos que las organizaciones deben tener en cuenta a la hora de implementar medidas de seguridad para áreas seguras:
- El transporte y uso de dispositivos personales finales, como computadoras portátiles y teléfonos inteligentes, en áreas seguras solo debe permitirse sujeto a controles estrictos.
- Los procedimientos de emergencia deben exhibirse en un lugar destacado que sea fácilmente accesible para todo el personal que trabaja en áreas seguras.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | de 16.1.2 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | de 11.1.2 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
La implementación de la norma ISO 27002 es más sencilla con nuestra lista de verificación paso a paso que le guía a lo largo de todo el proceso, desde la definición del alcance de su SGSI hasta la identificación de riesgos y la implementación de controles.
- Hasta un 81% de progreso desde el momento en que inicias sesión
- sencillo y completo solución de cumplimiento
- Soporte experto
Ponte en contacto hoy mismo para reservar una demostración.
