Perímetros y acceso físico

La seguridad física no empieza en la puerta, empieza en decidir qué hay detrás de cada una. El control A.7.1 del Anexo A de ISO/IEC 27001:2022 habla de perímetros de seguridad física: se definen las áreas que contienen información y otros activos, y cada una se protege según lo que guarda. Una recepción pública y un archivo de contratos no merecen la misma cerradura.

Por eso el primer papel de trabajo de una auditoría de acceso físico es la tabla de zonas: nombre, clasificación, qué se guarda y cómo se entra. Sin ella, «la puerta está cerrada» no significa nada, porque no se sabe si debía estarlo.

Una puerta con lector solo protege si el lector funciona. Cuando falla, lo habitual es que alguien la deje sin cerrar «mientras lo arreglan», y esa excepción provisional se vuelve permanente. El auditor no deduce, observa y anota la fecha desde la cual falla.

Abre la tabla de puertas y revisa el estado en que se encontró cada una durante la inspección.

El control A.7.2, entrada física, pide que las áreas seguras se protejan con controles de entrada. Una tarjeta es un permiso y los permisos tienen ciclo de vida: se dan al ingresar, se cambian al mover a la persona y se retiran al salir. La prueba clásica cruza dos listas de origen distinto, la del sistema de acceso y la de personal.

Compara el estado de cada tarjeta con su fecha de salida. Una tarjeta bloqueada de alguien que se fue es la prueba de que el proceso funciona alguna vez; una activa de quien se fue es el hallazgo.

Los visitantes entran por la recepción, pero lo que importa es adónde van después. En una zona restringida, la regla habitual es que un visitante entre acompañado y que su salida quede registrada, porque el registro es lo que permite saber quién estaba dentro si pasa algo. Una entrada sin salida y sin escolta es una visita de la que no hay rastro.

Cruza el registro de visitantes con la clasificación de las zonas y busca a quien visitó una zona restringida sin escolta.

El control A.7.4, monitoreo de la seguridad física, es nuevo en la edición de 2022: pide vigilar los locales para detectar accesos no autorizados. Las cámaras solo sirven si graban el tiempo que la empresa dijo que guardaría. Si la política promete treinta días y el sistema conserva menos, no hay un incidente, hay una diferencia entre lo declarado y lo que opera, y eso se escribe como hallazgo con la evidencia de la configuración.

Compara los días que guarda cada cámara con los que fija la política.