ISO 27002 Control 7.7: Fortalecimiento de la seguridad con prácticas de escritorios y pantallas despejados
Cuando un empleado deja su estación de trabajo desatendida, la información confidencial contenida en materiales digitales y físicos en su espacio de trabajo estará expuesta a un mayor riesgo de acceso no autorizado, pérdida de confidencialidad y daños.
Por ejemplo, si un empleado utiliza una herramienta de gestión de relaciones con el cliente que procesa registros médicos y deja su computadora desatendida durante la pausa del almuerzo, partes malintencionadas pueden aprovechar esta oportunidad para robar y hacer un uso indebido de datos médicos confidenciales.
Control 7.7 aborda cómo las organizaciones pueden diseñar y hacer cumplir reglas de escritorio y pantalla claras para proteger y mantener la confidencialidad de la información confidencial en pantallas digitales y en papel.
Propósito del Control 7.7
Control 7.7 permite a las organizaciones eliminar y/o mitigar los riesgos de acceso no autorizado, uso, daño o pérdida de información confidencial en pantallas y papeles ubicados en las estaciones de trabajo de los empleados cuando los empleados no están presentes.
Tabla de Atributos de Control 7.7
El Control 7.7 es un tipo de control preventivo que requiere que las organizaciones mantengan la confidencialidad de los activos de información describiendo y haciendo cumplir reglas claras de escritorio y pantalla.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Proteger | #Seguridad física | #Proteccion |
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Propiedad del Control 7.7
Teniendo en cuenta que el Control 7.7 requiere que las organizaciones adopten e implementen una política de escritorio y pantalla despejados en toda la organización, los oficiales de seguridad de la información deben ser responsables de la producción, el mantenimiento y la aplicación de reglas de escritorio y pantalla despejados que se apliquen en toda la organización.
Orientación general sobre cumplimiento
Control 7.7 destaca que las organizaciones deben crear y hacer cumplir una política temática específica que establezca reglas de escritorio y pantalla claras.
Además, el Control 7.7 enumera siete requisitos específicos que las organizaciones deben tener en cuenta al establecer y hacer cumplir reglas de escritorio y pantalla claras:
- Sensible o crítico Los activos de información almacenados en elementos digitales o físicos deben bloquearse de forma segura. cuando no estén en uso o cuando la estación de trabajo que alberga esos materiales esté desocupada. Por ejemplo, elementos como registros en papel, computadoras e impresoras deben almacenarse en muebles seguros, como un gabinete o cajón cerrado con llave o protegido con contraseña.
- Los dispositivos utilizados por los empleados, como computadoras, escáneres, impresoras y portátiles, deben protegerse mediante mecanismos de seguridad, como cerraduras con llave, cuando no se utilizan o cuando se dejan desatendidos.
- Cuando los empleados abandonan su espacio de trabajo y dejan sus dispositivos desatendidos, deben dejar sus dispositivos desconectados y la reactivación del dispositivo debe realizarse únicamente a través de un mecanismo de autenticación de usuario. Además, se deben instalar funciones automáticas de tiempo de espera y cierre de sesión en todos los dispositivos finales de los empleados, como las computadoras.
- Las impresoras deben diseñarse de manera que las impresiones sean recogidas inmediatamente por la persona (creador) que imprimió el documento. Además, debe existir un mecanismo de autenticación sólido para que sólo el autor pueda recoger la copia impresa.
- Los materiales físicos y los medios de almacenamiento extraíbles que contengan información confidencial deben mantenerse seguros en todo momento. Cuando ya no sean necesarios, deben eliminarse mediante un mecanismo seguro.
- Las organizaciones deben crear reglas para la visualización de ventanas emergentes en las pantallas y estas reglas deben comunicarse a todos los empleados relevantes. Por ejemplo, las ventanas emergentes de correo electrónico y mensajes pueden contener información confidencial y, si se muestran en la pantalla durante una presentación o en un espacio público, esto puede comprometer la confidencialidad de la información confidencial.
- La información sensible o crítica que se muestra en las pizarras blancas debe borrarse cuando ya no sea necesaria.
Orientación complementaria – Control 7.7
El Control 7.7 advierte a las organizaciones contra los riesgos que surgen de las instalaciones desocupadas. Cuando una organización abandona una instalación, los materiales físicos y digitales previamente almacenados en esa instalación deben ser eliminado de forma segura para que la información confidencial no se queda inseguro.
Por lo tanto, el control 7.7 requiere que las organizaciones establezcan procedimientos para la vacación de instalaciones de modo que todos activos de información sensible almacenados en esa instalación se eliminen de forma segura. Estos procedimientos pueden incluir la realización de un barrido final para que ninguna información sensible quede desprotegida.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27002:2013
27002:2022/7.7 replaces 27002:2013/(11.2.9)
Hay dos diferencias significativas entre las versiones 2022 y 2013.
- La versión 2022 no hace referencia a los criterios a considerar al establecer e implementar reglas de escritorio y pantalla claras.
A diferencia de la versión 2022, la versión 2013 estableció explícitamente que las organizaciones deben considerar los niveles de clasificación de la información en toda la organización, los requisitos legales y contractuales y los tipos de riesgos que enfrenta la organización al establecer una política de escritorio y pantalla claros.
El elemento Versión ISO 27002:2022, sin embargo, no se refiere a estos elementos.
- La versión 2022 introduce requisitos nuevos y más completos para las reglas de escritorio y pantalla despejados.
A diferencia de la versión 2013, la versión 2022 establece los siguientes requisitos que las organizaciones deben considerar al establecer reglas de escritorio y pantalla claras.
- Las organizaciones deben crear reglas específicas en las pantallas emergentes para mantener la confidencialidad de la información confidencial.
- La información confidencial escrita en las pizarras debe eliminarse cuando ya no sea necesaria.
- Los dispositivos terminales de los empleados, como las computadoras, deben protegerse con cerraduras con llave cuando no se utilizan o cuando se dejan sin supervisión.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
ISO 27002, La implementación es más sencilla con nuestra lista de verificación paso a paso que lo guía a través de todo el proceso. tu completo solución de cumplimiento para ISO/IEC 27002:2022.
- Hasta un 81% de progreso desde que inicias sesión
- Solución simple y de cumplimiento total
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
