Dispositivos desatendidos y mesa limpia

El control A.7.7 de ISO/IEC 27001:2022, puesto de trabajo despejado y pantalla limpia, pide reglas para que ni los papeles y los soportes extraíbles queden a la vista, ni las pantallas queden accesibles cuando la persona se levanta. Es un control barato y se incumple a menudo, porque depende de hábitos y no de tecnología. La mitad lo resuelve la configuración, con un bloqueo automático, y la otra mitad la costumbre, con guardar y bajo llave.

Por eso la auditoría combina dos pruebas: una ronda fuera de horario, que mide lo que ocurre de verdad, y la revisión de la configuración, que mide lo que se podría esperar.

La política PS-07 dice que los documentos con datos de clientes o de personal se guardan bajo llave al salir. Un papel sobre el escritorio es un incumplimiento de esa regla, pero no todos pesan igual: una propuesta comercial y una liquidación con cuentas bancarias no comprometen lo mismo, y el hallazgo debe decir qué datos estaban a la vista.

Revisa el acta de la ronda y busca el puesto donde los documentos a la vista contenían datos bancarios de personas.

Un hallazgo sin cifra es una opinión. Cuando la muestra es pequeña, como aquí con siete puestos, conviene decir cuántos incumplen sobre cuántos se miraron y no un adjetivo. «Varios puestos con la pantalla abierta» no se puede seguir en la próxima ronda; «2 de 9» sí.

Cuenta cuántos de los siete puestos de la ronda tenían la pantalla sin bloquear.

La política de Cardón fija el bloqueo automático a los 5 minutos. Una ronda puede cazar una pantalla abierta por casualidad, pero la exportación de la directiva dice qué grupos de equipos tienen un tiempo mayor y por tanto un riesgo permanente. Si además la cifra viene de una excepción manual, hay que pedir quién la aprobó y hasta cuándo.

Compara el bloqueo configurado en cada grupo con el de la política.

Una excepción a la política es legítima cuando tiene motivo, aprobador y vigencia. Sin fecha de fin deja de ser una excepción y pasa a ser la regla de ese grupo, con el agravante de que nadie volverá a revisarla. La solución no es prohibirla sin más: se propone una alternativa que atienda el motivo, como un bloqueo que no actúe mientras haya una presentación en curso, y se fija una fecha de revisión.