ISO 27002 Control 7.8: Mejores prácticas para la ubicación y protección de equipos
Si bien las amenazas cibernéticas, como los ataques de malware, la inyección de SQL y la interceptación del tráfico, se están volviendo más sofisticadas y representan un gran riesgo para la seguridad de los activos de información.
El panorama de riesgos no se limita a los ciberataques basados en software:
- Las amenazas físicas y ambientales a los equipos de TI, como servidores, computadoras, discos duros y medios de almacenamiento extraíbles, también pueden comprometer la Disponibilidad, confidencialidad e integridad de los activos de información..
Por ejemplo, el derrame de una bebida en un servidor, el apagado de un sistema informático debido a una temperatura alta y el acceso no autorizado a un sistema informático que no esté ubicado en un área segura son ejemplos de amenazas físicas al alojamiento del equipo. activos de información.
Control 7.8 aborda cómo las organizaciones pueden eliminar y mitigar los riesgos que surgen de amenazas físicas y ambientales a equipos que alojan activos de información.
Propósito del Control 7.8
Control de 7.8 permite a las organizaciones eliminar y/o mitigar dos tipos de riesgos para los equipos que contienen activos de información:
- Amenazas físicas y ambientales a equipos como iluminación, cortes de energía, robo, interferencias en las comunicaciones e interferencias eléctricas. Estas amenazas también incluyen cambios en las condiciones ambientales, como los niveles de humedad y temperatura, que pueden alterar las actividades de procesamiento de información.
- Acceso no autorizado, uso, daño y destrucción de equipos que no estén almacenados en áreas seguras.
Tabla de Atributos de Control 7.8
El Control 7.8 es un tipo de control preventivo que requiere que las organizaciones mantengan la integridad, disponibilidad y confidencialidad de los activos de información protegiendo los equipos que contienen activos de información contra amenazas físicas y ambientales.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Proteger | #Seguridad física | #Proteccion |
| #Integridad | #Gestión de activos | |||
| #Disponibilidad |
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Propiedad del Control 7.8
El cumplimiento del Control 7.8 conlleva la creación de un inventario de equipos que albergan activos de información, ubicación de todos los equipos en áreas seguras e implementación de medidas apropiadas para prevenir amenazas físicas y ambientales.
De esta manera, las Los gerentes de seguridad de la información deben ser responsables de establecer, implementar y mantener las medidas necesarias. y directrices sobre ubicación segura y protección de equipos.
Orientación general sobre cumplimiento
El Control 7.8 prescribe nueve requisitos específicos que deben tenerse en cuenta para su cumplimiento:
- El equipo debe ubicarse en áreas seguras para que personas no autorizadas no puedan acceder al equipo.
- Las herramientas utilizadas para procesar información confidencial, como computadoras, monitores e impresoras, deben ubicarse de manera que los accesos no autorizados puedan acceder a ellos. Las personas no pueden ver la información que se muestra en las pantallas sin permiso..
- Se deben implementar medidas apropiadas para eliminar y/o mitigar los riesgos que surgen de amenazas físicas y ambientales como explosivos, interferencias en las comunicaciones, incendios, polvo y radiación electromagnética.
- Por ejemplo, un pararrayos puede ser un control eficaz contra la caída de rayos.
- Se deben establecer y comunicar a todas las partes relevantes pautas sobre comer y beber cerca del equipo.
- Se deben monitorear continuamente las condiciones ambientales que puedan alterar las operaciones de procesamiento de información. Estos pueden incluir niveles de temperatura y humedad.
- Se deben implementar mecanismos de protección contra rayos en todos los edificios y oficinas. Además, se deben incorporar filtros de protección contra rayos en todas las líneas eléctricas entrantes, incluidas las líneas de comunicación.
- Si el equipo está ubicado en un entorno industrial, se deben utilizar controles de protección especiales, como membranas de teclado, si es necesario.
- La emanación electromagnética puede provocar la fuga de información confidencial. Por lo tanto, los equipos que albergan equipos sensibles o críticos Los activos de información deben protegerse para evitar dicho riesgo..
- Los equipos de TI que son propiedad y están controlados por una organización deben estar claramente separados de aquellos que no son propiedad ni están controlados por la organización.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27002:2013
27002:2022/7.8 replaces 27002:2013/(11.2.1)
Si bien las versiones de 2022 y 2013 son muy similares, hay una diferencia clave a destacar:
A diferencia de la versión 2013, Control 7.8 en la versión 2022 introduce el siguiente requisito:
- Los equipos de TI que son propiedad y están controlados por una organización deben estar claramente separados de aquellos que no son propiedad ni están controlados por la organización.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
Nuestra plataforma es intuitiva y fácil de usar. No es sólo para gente muy técnica; es para todos en su organización. Le animamos a involucrar al personal de todos los niveles de su negocio en el proceso de construcción de su SGSI, porque eso le ayudará a construir un sistema verdaderamente sostenible.
Algunas de las claves Beneficios de usar ISMS.online incluir lo siguiente:
- Puedes construir tu SGSI compatible con ISO 27001 dentro de la plataforma.
- Los usuarios pueden completar tareas y enviar pruebas para demostrar el cumplimiento del estándar.
- Es fácil delegar responsabilidades y monitorear el progreso hacia el cumplimiento.
- El extenso evaluación de riesgos El conjunto de herramientas ahorra tiempo y esfuerzo durante todo el proceso.
- Tenemos un dedicado equipo de consultores disponibles para apoyar usted a lo largo de su camino hacia el cumplimiento.
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
