Retiro y reutilización de equipos

El control A.7.14 de ISO/IEC 27001:2022, eliminación o reutilización segura de equipos, pide verificar que los equipos que contienen soportes de almacenamiento no conserven información sensible ni software con licencia antes de eliminarlos o reutilizarlos. Con los controles A.7.10 (soportes de almacenamiento) y A.8.10 (eliminación de información) forma el trío que se mira en una baja.

La clave es la palabra verificar. Borrar es una acción y verificar es una prueba: un registro de que se comprobó que el disco quedó sin la información anterior, firmado por quien lo comprobó.

El procedimiento de Cardón exige un certificado por activo. Es la evidencia que permite, un año después, demostrar a un cliente o a un auditor que el equipo salió limpio. Una entrega al proveedor sin certificado no prueba nada, aunque el proveedor sea de confianza y tenga contrato.

Revisa las actas de baja y busca la que no cita ningún certificado.

Tener certificado no basta: el método tiene que ser uno que la política acepte. Un formateo rápido solo borra la tabla que indica dónde estaban los archivos, no los archivos, y por eso el procedimiento de Cardón lo excluye. Un certificado que describe un método no aceptado es un papel que prueba lo contrario de lo que debería.

Cruza el método de cada acta con la lista de métodos que la política no acepta.

La reasignación dentro de la empresa es la baja más olvidada, porque el equipo no sale del edificio. Pero la persona que lo recibe no necesariamente debe ver lo del usuario anterior: en Contabilidad no se debería leer lo del Comercial, ni al revés. El procedimiento pide borrado verificado y reinstalación antes de la entrega, y la tabla de reasignaciones debe decir si se hizo.

Revisa las reasignaciones de febrero.

Cuando una reasignación se hizo sin borrado, el hallazgo no se cierra con la frase «hay que borrar». Primero se contiene: se retira el equipo del uso o se verifica y borra de inmediato. Después se averigua si el usuario anterior tenía datos sensibles y si alguien accedió a ellos. Y por último se corrige la causa, que casi siempre es un paso del procedimiento que nadie vigila.