ISO 27001 Seguridad de los equipos informáticos

ISO 27001:2013

ISO 27001 ampara la información de una organización y sus activos de posibles amenazas que puedan perjudicar el estado de la misma o puedan llevar a su pérdida. Casi toda la información de una organización hoy día, está informatizada, es decir se conserva en equipos informáticos.

Consecuentemente, es esencial que estos equipos estén protegidos de cualquier amenaza externa y del entorno más próximo para prevenir o evitar robos, accesos no deseados o pérdidas importantes.

Aquel personal que maneje información sensible de la organización debe estar situado en zonas por las que no pase personal sin autorización que pueda ver la información con la que se está trabajando o, sencillamente en áreas seguras y protegidas.

Existen algunas amenazas directas a los equipos informáticos como pueden ser el fuego, el agua, el polvo, interferencias en el suministro eléctrico, vandalismo… para las que hay que establecer unos controles. Estos controles estarán dedicados a realizar un seguimiento de las condiciones ambientales de humedad y temperatura, a revisar periódicamente las instalaciones de suministro de electricidad, agua, calefacción o aire acondicionado.

Esta última parte es muy importante ya que por ejemplo, un mal funcionamiento en el suministro de agua puede ocasionar fallos en el sistema de aire acondicionado o dar lugar a que no funcionen los sistemas de extinción de incendios.

Otro aspecto importante es revisar el funcionamiento del Sistema de Alimentación Ininterrumpida y hacer pruebas de entrada en funcionamiento. Este Sistema sirve para poder efectuar un apagado ordenado de los equipos o para dar tiempo a iniciar el funcionamiento de un generador de respaldo.

El cableado eléctrico de los equipos debe protegerse junto con el de telecomunicaciones contra interceptaciones no autorizadas u otros daños. Es conveniente mantener separados estos cables de energía y comunicaciones para minimizar el riesgo de interferencias. Para este punto sería recomendable marcar estos cables para facilitar la identificación y por tanto su manejo.

En aumento de la seguridad de los equipos, éstos deben estar conectados con el proveedor a través de, como mínimo, dos rutas diferentes para que no haya un único punto de fallo.

En cuanto al mantenimiento de equipos informáticos, ha de llevarse a cabo por el personal competente y autorizado para ello únicamente, y de acuerdo a las recomendaciones del proveedor. Cada actuación hecha sobre un equipo debería quedar registrada con el máximo detalle posible.

Si se necesitase usar cualquier equipo, información o software fuera de las instalaciones de la organización, debe estar autorizado por la alta dirección. Esto además, deberá contar con la aplicación de los controles de seguridad correspondientes para salvar pérdidas, daños o robos. Cualquier entrada y salida de material deberá registrarse.

Cuando un equipo deja de funcionar o se piensa en reutilizarlo o eliminarlo de la organización, hay que asegurarse que no contienen información sensible de la misma, que todo se ha borrado y que es imposible su recuperación. Si no fuera posible borrarla se debería pensar en destruir directamente el equipo en lugar de reutilizarlo.

Resumiendo, ISO-27001 es una norma que implantada en una organización protege la información que ésta maneja, y en el caso que estuviera almacenada en equipos informáticos se debería:

• Aislar elementos que necesiten una protección especial.
• Evaluar los impactos de posibles desastres en los alrededores como incendios, fugas de agua…
• Salvaguardar los equipos de fallos de energía, para ello usar un Sistema de Alimentación Ininterrumpida.
• Proteger el cableado de energía y telecomunicaciones que porten datos. Mantenerlos separados y si fuera posible ponerlos bajo el suelo.
• Guardar los papeles y soportes informáticos en habitaciones cerradas o armarios cuando no se estén usando.
• Activar el bloqueo de pantalla con contraseña para proteger los equipos cuando estén desatendidos.

Estos aspectos aparecen apoyados en la norma ISO 27002, de Códigos de conducta para los controles de seguridad de la información.

Software para los Sistemas de Gestión de Seguridad de la Información

La Plataforma Tecnológica ISOTools contempla estas prácticas de seguridad de los equipos informáticos en la implantación y automatización de la norma ISO27001, la cual instaura un Sistema de Gestión de Seguridad de la Información.