ISO 27002:2022 – Control 7.7 – Limpiar escritorio y limpiar pantalla

ISO 27002 Control 7.7: Fortalecimiento de la seguridad con prácticas de escritorios y pantallas despejados

Cuando un empleado deja su estación de trabajo desatendida, la información confidencial contenida en materiales digitales y físicos en su espacio de trabajo estará expuesta a un mayor riesgo de acceso no autorizado, pérdida de confidencialidad y daños.

Por ejemplo, si un empleado utiliza una herramienta de gestión de relaciones con el cliente que procesa registros médicos y deja su computadora desatendida durante la pausa del almuerzo, partes malintencionadas pueden aprovechar esta oportunidad para robar y hacer un uso indebido de datos médicos confidenciales.

Control 7.7 aborda cómo las organizaciones pueden diseñar y hacer cumplir reglas de escritorio y pantalla claras para proteger y mantener la confidencialidad de la información confidencial en pantallas digitales y en papel.

Propósito del Control 7.7

Control 7.7 permite a las organizaciones eliminar y/o mitigar los riesgos de acceso no autorizado, uso, daño o pérdida de información confidencial en pantallas y papeles ubicados en las estaciones de trabajo de los empleados cuando los empleados no están presentes.

Tabla de Atributos de Control 7.7

El Control 7.7 es un tipo de control preventivo que requiere que las organizaciones mantengan la confidencialidad de los activos de información describiendo y haciendo cumplir reglas claras de escritorio y pantalla.

Propiedad del Control 7.7

Teniendo en cuenta que el Control 7.7 requiere que las organizaciones adopten e implementen una política de escritorio y pantalla despejados en toda la organización, los oficiales de seguridad de la información deben ser responsables de la producción, el mantenimiento y la aplicación de reglas de escritorio y pantalla despejados que se apliquen en toda la organización.

Orientación general sobre cumplimiento

Control 7.7 destaca que las organizaciones deben crear y hacer cumplir una política temática específica que establezca reglas de escritorio y pantalla claras.

Además, el Control 7.7 enumera siete requisitos específicos que las organizaciones deben tener en cuenta al establecer y hacer cumplir reglas de escritorio y pantalla claras:

1. Sensible o crítico Los activos de información almacenados en elementos digitales o físicos deben bloquearse de forma segura. cuando no estén en uso o cuando la estación de trabajo que alberga esos materiales esté desocupada. Por ejemplo, elementos como registros en papel, computadoras e impresoras deben almacenarse en muebles seguros, como un gabinete o cajón cerrado con llave o protegido con contraseña.
2. Los dispositivos utilizados por los empleados, como computadoras, escáneres, impresoras y portátiles, deben protegerse mediante mecanismos de seguridad, como cerraduras con llave, cuando no se utilizan o cuando se dejan desatendidos.
3. Cuando los empleados abandonan su espacio de trabajo y dejan sus dispositivos desatendidos, deben dejar sus dispositivos desconectados y la reactivación del dispositivo debe realizarse únicamente a través de un mecanismo de autenticación de usuario. Además, se deben instalar funciones automáticas de tiempo de espera y cierre de sesión en todos los dispositivos finales de los empleados, como las computadoras.
4. Las impresoras deben diseñarse de manera que las impresiones sean recogidas inmediatamente por la persona (creador) que imprimió el documento. Además, debe existir un mecanismo de autenticación sólido para que sólo el autor pueda recoger la copia impresa.
5. Los materiales físicos y los medios de almacenamiento extraíbles que contengan información confidencial deben mantenerse seguros en todo momento. Cuando ya no sean necesarios, deben eliminarse mediante un mecanismo seguro.
6. Las organizaciones deben crear reglas para la visualización de ventanas emergentes en las pantallas y estas reglas deben comunicarse a todos los empleados relevantes. Por ejemplo, las ventanas emergentes de correo electrónico y mensajes pueden contener información confidencial y, si se muestran en la pantalla durante una presentación o en un espacio público, esto puede comprometer la confidencialidad de la información confidencial.
7. La información sensible o crítica que se muestra en las pizarras blancas debe borrarse cuando ya no sea necesaria.

Orientación complementaria – Control 7.7

El Control 7.7 advierte a las organizaciones contra los riesgos que surgen de las instalaciones desocupadas. Cuando una organización abandona una instalación, los materiales físicos y digitales previamente almacenados en esa instalación deben ser eliminado de forma segura para que la información confidencial no se queda inseguro.

Por lo tanto, el control 7.7 requiere que las organizaciones establezcan procedimientos para la vacación de instalaciones de modo que todos activos de información sensible almacenados en esa instalación se eliminen de forma segura. Estos procedimientos pueden incluir la realización de un barrido final para que ninguna información sensible quede desprotegida.

Cambios y diferencias con respecto a ISO 27002:2013

27002:2022/7.7 replaces 27002:2013/(11.2.9)

Hay dos diferencias significativas entre las versiones 2022 y 2013.

• La versión 2022 no hace referencia a los criterios a considerar al establecer e implementar reglas de escritorio y pantalla claras.

A diferencia de la versión 2022, la versión 2013 estableció explícitamente que las organizaciones deben considerar los niveles de clasificación de la información en toda la organización, los requisitos legales y contractuales y los tipos de riesgos que enfrenta la organización al establecer una política de escritorio y pantalla claros.

El sistema Versión ISO 27002:2022, sin embargo, no se refiere a estos elementos.

• La versión 2022 introduce requisitos nuevos y más completos para las reglas de escritorio y pantalla despejados.

A diferencia de la versión 2013, la versión 2022 establece los siguientes requisitos que las organizaciones deben considerar al establecer reglas de escritorio y pantalla claras.

• Las organizaciones deben crear reglas específicas en las pantallas emergentes para mantener la confidencialidad de la información confidencial.
• La información confidencial escrita en las pizarras debe eliminarse cuando ya no sea necesaria.
• Los dispositivos terminales de los empleados, como las computadoras, deben protegerse con cerraduras con llave cuando no se utilizan o cuando se dejan sin supervisión.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

ISO 27002 La implementación es más sencilla con nuestra lista de verificación paso a paso que lo guía a través de todo el proceso. tu completo solución de cumplimiento para ISO/IEC 27002:2022.

• Hasta un 81% de progreso desde que inicias sesión
• Solución simple y de cumplimiento total

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.