Cuando los dispositivos que contienen activos de información se sacan de las instalaciones de una organización, estarán expuestos a mayores riesgos de daño, pérdida, destrucción, robo o compromiso.
Esto es porque controles de seguridad física implementado dentro de las instalaciones de una organización no será efectivo, dejando los activos sacados del sitio vulnerables a amenazas como riesgos físicos y acceso no autorizado por parte de partes malintencionadas.
Por ejemplo, los empleados que trabajan fuera de las instalaciones pueden sacar las computadoras corporativas que contienen información confidencial de las instalaciones comerciales, trabajar en una cafetería o en el lobby de un hotel, conectarse a una red Wi-Fi pública insegura y dejar sus dispositivos desatendidos. Todos estos presentes riesgos para la seguridad, confidencialidad, integridad y disponibilidad de la información alojada en estos dispositivos.
Por lo tanto, las organizaciones deben asegurarse de que los dispositivos que se llevan fuera del sitio se mantengan seguros.
Controlar direcciones 7.9 Cómo las organizaciones pueden mantener la seguridad de los dispositivos externos que alojan activos de información. estableciendo e implementando controles y procedimientos adecuados.
Control 7.9 permite a las organizaciones Mantener la seguridad de los equipos que contienen activos de información. previniendo dos riesgos específicos:
El Control 7.9 es de carácter preventivo. Permite a las organizaciones implementar controles y procedimientos adecuados de forma preventiva para que los dispositivos retirados de las instalaciones de una organización reciban el mismo nivel de protección que los dispositivos alojados en el sitio.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad #Integridad #Disponibilidad | #Proteger | #Seguridad física #Gestión de activos | #Proteccion |
El Control 7.9 requiere que las organizaciones establezcan y apliquen procedimientos y controles que cubran todos los dispositivos que pertenecen a la organización o se utilizan en su nombre. Además, la creación de un inventario de activos y la aprobación de la alta dirección del uso de dispositivos personales es esencial para la protección eficaz de los dispositivos externos.
Por lo tanto, el gerente de seguridad de la información debe consultar con la gerencia y los propietarios de activos relevantes y debe ser responsable de la creación, implementación y mantenimiento de procedimientos y medidas para mantener la seguridad de los dispositivos retirados de las instalaciones corporativas.
El Control 7.9 enumera seis requisitos que las organizaciones deben cumplir al diseñar e implementar medidas y directrices para la protección de activos retirados del sitio:
El Control 7.9 también prescribe requisitos para la protección de los equipos instalados fuera de las instalaciones corporativas de forma permanente.
Este equipo puede incluir antenas y cajeros automáticos.
Teniendo en cuenta que este equipo puede estar sujeto a mayores riesgos de daños y pérdidas, el Control 7.9 requiere que las organizaciones tengan en cuenta lo siguiente al proteger este equipo externo:
Además, el Control 7.9 recomienda que las organizaciones consideren los controles 6.7 y 8.1 al definir e implementar medidas para proteger dispositivos y equipos.
Le daremos una ventaja inicial del 81%
desde el momento en que inicias sesión
Reserva tu demostración
27002:2022/ 7.9 reemplaza 27002:2013/(11.2.6)
Hay tres diferencias clave que es necesario destacar:
En comparación con la versión de 2013, Control 7.9 en la versión 2022 introduce los dos requisitos siguientes:
A diferencia de la versión 2013, Control 7.9 en la versión 2022 contiene instrucciones separadas sobre la protección de equipos que están instalados permanentemente en un lugar externo.
Estos pueden incluir antenas y cajeros automáticos.
La versión de 2013 establecía explícitamente que las organizaciones pueden prohibir a los empleados trabajar de forma remota cuando sea apropiado para el nivel de riesgo identificado. La versión de 2022, sin embargo, no hace referencia a tal medida.
Puede utilizar ISMS.online para gestione su implementación ISO 27002, ya que ha sido diseñado específicamente para ayudar a una empresa a implementar su sistema de gestión de seguridad de la información (SGSI) para cumplir con los requisitos de la norma ISO 27002.
La plataforma utiliza un enfoque basado en riesgos combinado con las mejores prácticas y plantillas líderes en la industria para ayudarlo a identificar los riesgos que enfrenta su organización y los controles necesarios para gestionar esos riesgos. Esto le permite reducir sistemáticamente tanto su exposición al riesgo como sus costos de cumplimiento.
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
El único cumplimiento
solución que necesitas
Reserva tu demostración
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | Nuevo | Inteligencia de amenazas |
| 5.23 | Nuevo | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | Nuevo | Preparación de las TIC para la continuidad del negocio |
| 7.4 | Nuevo | Monitoreo de seguridad física |
| 8.9 | Nuevo | gestión de la configuración |
| 8.10 | Nuevo | Eliminación de información |
| 8.11 | Nuevo | Enmascaramiento de datos |
| 8.12 | Nuevo | Prevención de fuga de datos |
| 8.16 | Nuevo | Actividades de monitoreo |
| 8.23 | Nuevo | Filtrado Web |
| 8.28 | Nuevo | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | Nuevo | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
