Metodos Numericos. CLÁUSULA N° 11 SEGURIDAD FÍSICA Y AMBIENTAL

REQUISITO

ESTADO

INTERPRETACIÓN

NOTAS

A11.1

REQUISITOS DE NEGOCIO PARA EL CONTROL DE ACCESO

A11.1.1 Perímetro físico 

A11.1.2 Control de acceso físico

A11.1.3 Seguridad de oficinas, recintos e instalaciones

◻ Especificado

◻ En el borrador

◻Hecho

La evidencia aquí es clara, o visible por su ausencia. Los controles y vulnerabilidades se pueden verificar a través de una inspección física del sitio (paseo o prueba de penetración física), fotografiando letreros, vallas, barreras, cerraduras, cadenas, torniquetes, puertas, salidas de emergencia, rampas de carga, Además de discusión con Seguridad del Sitio / guardias y Gestión de Instalaciones.

Algunas organizaciones inspeccionan regularmente sus arreglos de seguridad física, generando informes de revisión, entradas de diarios, informes de incidentes, registros de mantenimiento, etc.

Si la vigilancia de seguridad se subcontrata, los contratos más los procedimientos de seguridad, etc deben aclarar los controles esperados, mientras que los registros de patrulla, etc más la inspección debe confirmar que están funcionando correctamente. Otras pruebas podrían incluir libros de visitantes, registros de tarjetas de acceso o llaves otorgadas a contratistas, temporeros, guardias, ingenieros de mantenimiento, etc.

A11.1.4  Protección contra amenazas externas y ambientales

◻ Especificado

◻ En el borrador

◻Hecho

Los mapas, los informes meteorológicos y de noticias, los registros del ayuntamiento, etc., pueden indicar amenazas físicas geográficas o topológicas a la zona que contiene instalaciones corporativas (por ejemplo, llanuras de inundación, líneas de falla, hundimientos / cuevas, deslizamientos, tornados / huracanes, hielo, erosión, , Sobrepasos de autopistas o rampas, zonas de guerra ...). La inspección física y la fotografía proporcionan más pruebas.

A11.1.5 Trabajo en áreas seguras

A11.1.6 Áreas de carga, despacho y acceso público

◻ Especificado

◻ En el borrador

◻Hecho

Políticas, procedimientos, directrices, avisos, etc. sobre el acceso a zonas seguras (por ejemplo, "No trabajar solos" y "Los visitantes deben estar acompañados en todo momento") y rampas de entrega / bahías de carga / entradas de comerciantes. Otras pruebas incluyen la patrulla de guardias de seguridad y los procedimientos de respuesta a incidentes, imágenes de CCTV, informes del sistema de acceso a tarjetas, libros de visitantes y registros asociados con pases de personal y visitantes, llaves, etc., además de inspección física y fotografías (si se permite) , Barreras, tabiques de slab a slab, alarmas de intrusión, salidas de incendios).

A11.2

SEGURIDAD DE LOS EQUIPOS

A11.2.1 Emplazamiento y protección de equipos

A11.2.2 Instalaciones de suministro

A11.2.3 Seguridad del cableado

◻ Especificado

◻ En el borrador

◻Hecho

Los mapas del sitio, la inspección física y la fotografía deben confirmar que los equipos informáticos, medios de almacenamiento, instalaciones informáticas, archivos de papel / archivadores, archivos / almacenes, instalaciones de videoconferencia, etc. están ubicados y almacenados en áreas adecuadamente seguras (por ejemplo, con barreras y cerraduras, (P. Ej., Alimentación eléctrica y distribución, aire acondicionado) y controles (por ejemplo, fusibles, vigilancia y alarmas para intrusos, incendios / humos, problemas de agua y energía, CCTV, UPS con batería y Generador de reserva) según sea necesario para proporcionar una protección ambiental adecuada (A11.1.4).

A11.2.4 Mantenimiento de los equipos

◻ Especificado

◻ En el borrador

◻Hecho

Las políticas, procedimientos, directrices y registros (tales como inspecciones de instalación, registros de mantenimiento, informes de pruebas y certificados de incendio) deben confirmar que las operaciones de las instalaciones, la gestión, la seguridad y las actividades de mantenimiento son adecuadas.

A11.2.5 Salida de activos fuera de las dependencias de la empresa

◻ Especificado

◻ En el borrador

◻Hecho

Las políticas, los procedimientos, las directrices y los registros deben abarcar las normas y la autorización de la eliminación física del equipo informático y los medios de almacenamiento del almacenamiento o del sitio, p. Dispositivos portátiles de TI, tokens de seguridad, llaves, cintas y discos, archivos de papel, equipos / medios enviados para su reparación o archivo. Es posible conciliar (una muestra de) los registros de eliminación de activos actuales con la realidad, p. Confirmando que estaban debidamente autorizados, que los empleados todavía están empleados (!) Y que pueden producir los bienes para su inspección, y que todos los activos de información valiosa pueden ser contabilizados: tal cheque de valores probablemente debería ser una actividad de rutina, Por lo que debe haber notas, informes, registros de incidentes, etc

A11.2.6 Seguridad de los equipos y activos fuera de las instalaciones

A11.2.8 Equipo informático de usuario desatendido

◻ Especificado

◻ En el borrador

◻Hecho

Las políticas, los procedimientos y las directrices deben especificar la protección de la información sobre los teléfonos inteligentes, ordenadores portátiles, tabletas, lápices USB, discos duros portátiles, papeles valiosos, trabajadores del conocimiento, etc. Seguridad en el hogar, en vehículos, especialmente en el transporte público, cuando se aloja en hoteles, conferencias, etc., y trabajo desde casa / teletrabajo / acceso remoto a la red, p. VPNs. Pueden requerirse controles físicos y lógicos p. Encriptación, salud y seguridad. Nota: BYOD debe ser cubierto de manera similar a las cosas corporativas.

A11.2.7 Reutilización o retirada segura de dispositivos de almacenamiento.

Las políticas, los procedimientos y las pautas para el borrado seguro de los medios de almacenamiento o el uso de encriptación fuerte (con la administración apropiada de claves) pueden incluir archivos seguros antes de su eliminación / reutilización.

A11.2.9 Política de puesto de trabajo despejado y bloqueo de pantalla

El cumplimiento de las políticas claras de la pantalla clara puede simplemente ser evaluado por inspecciones en el lugar de trabajo durante o fuera de las horas normales de trabajo ... que podría ser una rutina para los guardias de seguridad, en cuyo caso debería haber informes y registros de incidentes. Los tiempos de espera de bloqueo de pantalla con la reactivación de contraseña pueden establecerse mediante directivas de dominio de Windows o configuraciones locales. Compruebe el enfoque y los registros.