ISO 27002:2022 – Control 7.9 – Seguridad de activos fuera de las instalaciones

ISO 27002 Control 7.9: Protección de activos fuera de la oficina

Cuando los dispositivos que contienen activos de información se sacan de las instalaciones de una organización, estarán expuestos a mayores riesgos de daño, pérdida, destrucción, robo o compromiso.

Esto es porque controles de seguridad física implementado dentro de las instalaciones de una organización no será efectivo, dejando los activos sacados del sitio vulnerables a amenazas como riesgos físicos y acceso no autorizado por parte de partes malintencionadas.

Por ejemplo, los empleados que trabajan fuera de las instalaciones pueden sacar las computadoras corporativas que contienen información confidencial de las instalaciones comerciales, trabajar en una cafetería o en el lobby de un hotel, conectarse a una red Wi-Fi pública insegura y dejar sus dispositivos desatendidos. Todos estos presentes riesgos para la seguridad, confidencialidad, integridad y disponibilidad de la información alojada en estos dispositivos.

Por lo tanto, las organizaciones deben asegurarse de que los dispositivos que se llevan fuera del sitio se mantengan seguros.

Controlar direcciones 7.9 Cómo las organizaciones pueden mantener la seguridad de los dispositivos externos que alojan activos de información. estableciendo e implementando controles y procedimientos adecuados.

Propósito del Control 7.9

Control 7.9 permite a las organizaciones Mantener la seguridad de los equipos que contienen activos de información. previniendo dos riesgos específicos:

• Eliminar y/o minimizar los riesgos de pérdida, daño, destrucción o compromiso de los dispositivos que albergan activos de información cuando se sacan de las instalaciones.
• Previniendo el riesgo de interrupción del procesamiento de la información de la organización actividades debido al compromiso de dispositivos externos.

Tabla de Atributos de Control 7.9

El Control 7.9 es de carácter preventivo. Permite a las organizaciones implementar controles y procedimientos adecuados de forma preventiva para que los dispositivos retirados de las instalaciones de una organización reciban el mismo nivel de protección que los dispositivos alojados en el sitio.

Propiedad del Control 7.9

El Control 7.9 requiere que las organizaciones establezcan y apliquen procedimientos y controles que cubran todos los dispositivos que pertenecen a la organización o se utilizan en su nombre. Además, la creación de un inventario de activos y la aprobación de la alta dirección del uso de dispositivos personales es esencial para la protección eficaz de los dispositivos externos.

Por lo tanto, el gerente de seguridad de la información debe consultar con la gerencia y los propietarios de activos relevantes y debe ser responsable de la creación, implementación y mantenimiento de procedimientos y medidas para mantener la seguridad de los dispositivos retirados de las instalaciones corporativas.

Orientación general sobre cumplimiento

El Control 7.9 enumera seis requisitos que las organizaciones deben cumplir al diseñar e implementar medidas y directrices para la protección de activos retirados del sitio:

1. Los equipos informáticos y los medios de almacenamiento que se llevan fuera del sitio, como computadoras corporativas, USB, discos duros y monitores, no deben dejarse desatendidos en espacios públicos como cafeterías o en cualquier área insegura.
2. Se deben cumplir en todo momento las directrices y especificaciones del fabricante del dispositivo sobre la protección física del dispositivo correspondiente. Por ejemplo, las instrucciones del fabricante del dispositivo pueden incluir cómo proteger el dispositivo/equipo contra el agua, el calor, los campos electromagnéticos y el polvo.
3. Los empleados y/u otras organizaciones que lleven equipos informáticos fuera de las instalaciones corporativas podrán transferir estos equipos a otros empleados o terceros. Para mantener la seguridad de este equipo, las organizaciones deben llevar un registro que defina la cadena de custodia. Este registro de registro debe contener al menos los nombres de las personas Responsable del dispositivo y su organización..
4. Si una organización considera que un proceso de autorización es necesario y práctico para retirar equipos fuera de las instalaciones corporativas, debe establecer y aplicar un procedimiento de autorización para retirar ciertos equipos fuera de las instalaciones. Este procedimiento de autorización también debe incluir el mantenimiento de un registro de todas las acciones de eliminación del dispositivo para que el La organización tiene un registro de auditoría..
5. Deben implementarse medidas adecuadas para eliminar el riesgo de visualización no autorizada de información en pantalla en el transporte público.
6. Deben existir herramientas de seguimiento de ubicación y acceso remoto para que se pueda rastrear el dispositivo y la información contenida en el dispositivo se pueda borrar de forma remota si es necesario.

Orientación complementaria sobre control 7.9

El Control 7.9 también prescribe requisitos para la protección de los equipos instalados fuera de las instalaciones corporativas de forma permanente.

Este equipo puede incluir antenas y cajeros automáticos.

Teniendo en cuenta que este equipo puede estar sujeto a mayores riesgos de daños y pérdidas, el Control 7.9 requiere que las organizaciones tengan en cuenta lo siguiente al proteger este equipo externo:

1. Se debe considerar el control 7.4, es decir, el monitoreo de la seguridad física.
2. Se debe tener en cuenta el control 7.5, es decir, la protección contra amenazas ambientales y físicas.
3. Controles de acceso Se deben establecer datos y se deben implementar medidas apropiadas para evitar la manipulación.
4. Se deben crear y aplicar controles de acceso lógicos.

Además, el Control 7.9 recomienda que las organizaciones consideren los controles 6.7 y 8.1 al definir e implementar medidas para proteger dispositivos y equipos.

Cambios y diferencias con respecto a ISO 27002:2013

27002:2022/ 7.9 reemplaza 27002:2013/(11.2.6)

Hay tres diferencias clave que es necesario destacar:

• El Control 7.9 prescribe requisitos más completos

En comparación con la versión de 2013, Control 7.9 en la versión 2022 introduce los dos requisitos siguientes:

1. Deben implementarse medidas adecuadas para eliminar el riesgo de visualización no autorizada de información en pantalla en el transporte público.
2. Deben existir herramientas de seguimiento de ubicación y acceso remoto para que se pueda rastrear el dispositivo y la información contenida en el dispositivo se pueda borrar de forma remota si es necesario.

• Control 7.9 introduce nuevos requisitos para dispositivos externos instalados permanentemente

A diferencia de la versión 2013, Control 7.9 en la versión 2022 contiene instrucciones separadas sobre la protección de equipos que están instalados permanentemente en un lugar externo.

Estos pueden incluir antenas y cajeros automáticos.

• Prohibición del trabajo remoto para eliminar riesgos

La versión de 2013 establecía explícitamente que las organizaciones pueden prohibir a los empleados trabajar de forma remota cuando sea apropiado para el nivel de riesgo identificado. La versión de 2022, sin embargo, no hace referencia a tal medida.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

Puede utilizar ISMS.online para gestione su implementación ISO 27002, ya que ha sido diseñado específicamente para ayudar a una empresa a implementar su sistema de gestión de seguridad de la información (SGSI) para cumplir con los requisitos de la norma ISO 27002.

La plataforma utiliza un enfoque basado en riesgos combinado con las mejores prácticas y plantillas líderes en la industria para ayudarlo a identificar los riesgos que enfrenta su organización y los controles necesarios para gestionar esos riesgos. Esto le permite reducir sistemáticamente tanto su exposición al riesgo como sus costos de cumplimiento.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.