Trabajo remoto y equipos personales

El control A.6.7 de ISO/IEC 27001:2022, trabajo remoto, pide medidas de seguridad cuando el personal trabaja fuera de los locales de la organización, para proteger la información a la que se accede, que se procesa o que se almacena allí. El A.8.1, dispositivos de punto final de los usuarios, protege la información que reside en los equipos o a la que se accede a través de ellos. El primero pregunta bajo qué reglas se trabaja fuera, y el segundo, en qué estado están los equipos con los que se trabaja.

Por eso una auditoría los mira juntos pero con evidencia distinta: del A.6.7, una política aprobada y las personas autorizadas; del A.8.1, el estado real de cada equipo.

La política de Cardón permite los equipos personales (BYOD) solo para correo y mensajería. La razón es que la empresa no administra esos equipos: no puede cifrarlos, parchearlos ni borrarlos a distancia. Una regla de uso se prueba contra el registro de a qué entra cada equipo.

Cruza la propiedad de cada dispositivo con el acceso al sistema de gestión de bodegas.

Un portátil perdido es un incidente probable en cualquier empresa, y que sea un incidente de datos depende de una sola cosa: si el disco estaba cifrado. Por eso el cifrado del disco es el primer requisito del equipo remoto y la primera columna que se revisa en la exportación.

Busca entre los equipos de la empresa el que no cumple ese requisito de la política.

Dejar entrar a alguien desde fuera de la oficina es dejar entrar a quien tenga su contraseña. El segundo factor reduce ese riesgo y los registros de acceso lo muestran: la columna dice si se pidió. En esta tabla cada cuenta se nombra con la inicial del nombre y el apellido.

Revisa los accesos remotos de la última semana y busca la cuenta que entró sin que se le pidiera un segundo factor.

La declaración de aplicabilidad de Cardón marca el trabajo remoto como implementado y cita la política PTR-01. La política figura con la aprobación de la dirección pendiente, hay un equipo de la empresa sin cifrar y un equipo personal fuera de la regla. Una declaración se contrasta con la evidencia: si la evidencia citada no es un documento vigente, o contradice lo declarado, el estado no se sostiene.