Gestión de activos según la norma ISO 27001: Controles del Anexo A (A.5.9 a A.5.13 y A.7.10)

La norma ISO 27001 de gestión de activos es el conjunto de procesos para identificar los activos de una organización y aplicar medidas de seguridad para protegerlos.

Parece sencillo, pero en la práctica es fácil pasar cosas por alto: la información confidencial suele estar dispersa en discos duros, herramientas SaaS y cuentas en la nube que nadie ha inventariado.

Esta guía abarca los requisitos de la norma ISO 27001 para la gestión de activos según los controles de 2022 (A.5.9 a A.5.13 y A.7.10), cómo clasificar y gestionar los activos y cómo elaborar un inventario que sea válido en una auditoría.

¡Al final también encontrarás una plantilla personalizable para la gestión de activos! ¡Empecemos!

¿Qué son los activos según la norma ISO 27001?

Según la norma ISO/IEC 27001 , un «activo» es todo aquello que tiene valor para la organización. A menudo, cuando las organizaciones piensan en hacer un inventario de activos, se centran en los activos tangibles, como el hardware, la infraestructura y los recursos humanos, y pasan por alto los activos intangibles, como el talento humano, la propiedad intelectual y la marca.

Un activo en una organización puede ser:

• Información
• Activos intangibles: marca, propiedad intelectual, fidelización.
• Personas: empleados, contratistas, autónomos, voluntarios, becarios
• Hardware: servidores informáticos, portátiles, ordenadores de sobremesa, servidores en la nube, terminales de punto de venta (TPV), dispositivos móviles y mucho más.
• Software: cuentas SaaS, acceso a software interno,
• Servicios: correo electrónico, acceso a la base de datos interna. 
• Oficinas: acceso físico al edificio de oficinas, unidades de procesamiento externas, almacenes, centros de datos.

¿Qué es la gestión de activos según la norma ISO 27001?

La gestión de activos según la norma ISO 27001 consiste en identificar los activos de información de una organización, evaluar los riesgos asociados y aplicar controles para protegerlos. En la norma ISO 27001:2022, se relaciona con seis controles del Anexo A que localizan cada activo, le asignan un propietario y establecen las prácticas de seguridad para cada tipo. Estos controles se vinculan con el proceso de gestión de riesgos, según la cláusula 6.1.2, que identifica los riesgos de los activos que abordan dichos controles.

Los seis controles que abarcan la gestión de activos

La gestión de activos abarca cinco controles organizativos y un control físico:

• A.5.9 Inventario de información y otros activos asociados
• A.5.10 Uso aceptable de la información y otros activos asociados
• A.5.11 Devolución de activos
• A.5.12 Clasificación de la información
• A.5.13 Etiquetado de la información
• A.7.10 Medios de almacenamiento

Qué incluye una política de gestión de activos

La política de gestión de activos documenta cómo se cumplen esos controles. Una política completa define:

• cómo se construye y se mantiene el inventario de activos
• quién es el propietario de cada activo
• cómo se concede y controla el acceso
• cómo se devuelven los activos cuando las personas se van
• cómo se eliminan los activos de forma segura, a lo largo de todo su ciclo de vida, desde la adquisición hasta la eliminación.

Hacerlo bien es un paso crucial para obtener la certificación y contar con un SGSI bien gestionado.

¿Qué requisitos exige la norma ISO 27001 para la gestión de activos?

En la norma ISO 27001:2022, los controles de gestión de activos (A.5.9 a A.5.13 y A.7.10) definen cómo se identifican, poseen, clasifican, utilizan, devuelven y eliminan los activos para obtener la certificación ISO 27001.

Analicemos con más detalle los requisitos de este Anexo:

A.5.9 Inventario de información y otros activos asociados

Realizar un inventario de los activos de una organización es fundamental para construir un SGSI eficaz.

durante una Auditoría ISO 27001El auditor principal revisa el inventario y la gestión de activos para determinar el desempeño de un SGSI.
Más adelante en este artículo, hemos incluido una sección detallada sobre cómo crear un inventario de activos.

Propiedad de los activos (parte de A.5.9)

Todo activo que se crea dentro de una organización debe tener un propietario. La responsabilidad del propietario es gestionar el activo de forma eficaz a lo largo de su ciclo de vida. La propiedad de un activo puede recaer en un individuo o en un departamento completo de la organización.

Si se produce algún cambio en el propietario (gestor) de un activo, lo más recomendable es documentar dichos cambios.

A.5.10 Uso aceptable de la información y otros activos asociados

El uso aceptable de los activos se conoce comúnmente como la "Política de Uso Aceptable". En su Política de Uso Aceptable, asegúrese de incluir no solo a sus empleados, sino también a sus trabajadores independientes, contratistas, pasantes, voluntarios y otros tipos de empleo (si los hubiera), y defina el uso apropiado de cada activo de información según su nivel de acceso a dicho activo. 

A.5.11 Devolución de activos

Los empleados deben devolver su equipo informático a la organización al dejarla, y se les debe revocar el acceso a los sistemas internos y al software de terceros. Además, se debe documentar y archivar la devolución del equipo y la revocación del acceso al software.

Cualquier fallo en la devolución del hardware debe considerarse un incidente de seguridad y deben aplicarse medidas para resolverlo.  

Contar con una política de gestión de activos ISO 27001 en funcionamiento es fundamental para un SGSI sólido. Las organizaciones pueden utilizar herramientas para garantizar que todos los activos a los que un empleado tenga acceso se devuelvan o revoquen correctamente.

A.5.12 Clasificación de la información

El objetivo del Anexo A.8.2.1 es ayudar a las organizaciones a clasificar la información en función de su sensibilidad, valor comercial, requisitos legales y el impacto del acceso o la divulgación no autorizados.

Un modelo de clasificación simple puede incluir:

Nivel de clasificación	Qué significa	Ejemplos
Público	Aprobado para su distribución externa.	Contenido del sitio web, folletos, políticas públicas
Interno	Dirigido a empleados o partes interesadas autorizadas.	Procedimientos operativos estándar (POE), documentación interna, informes de equipo
Confidencial	Información comercial confidencial que requiere acceso restringido.	Contratos con clientes, datos financieros, registros de empleados
Restringido	Información altamente sensible que requiere controles estrictos	Credenciales, claves de cifrado, datos regulados, registros de incidentes

Las organizaciones pueden definir sus propios niveles de clasificación, pero el modelo debe ser fácil de aplicar. Si el sistema de clasificación es demasiado simple, los activos sensibles podrían no recibir la protección adecuada. Si es demasiado complejo, los empleados podrían ignorarlo o aplicar las etiquetas de forma inconsistente.

La clasificación debe determinar cómo se almacena, accede, comparte, conserva y elimina la información. Por ejemplo, el contenido de un sitio web público puede requerir controles limitados, mientras que los datos de clientes, las credenciales o la propiedad intelectual deben tener reglas definidas sobre la propiedad, el acceso restringido, la supervisión y la eliminación segura.

A.5.13 Etiquetado de la información

El etiquetado aplica el modelo de clasificación al trabajo diario. Una vez clasificada la información, los empleados necesitan una forma clara de identificar cómo deben manejarla.

Un proceso de etiquetado debe definir:

• las etiquetas utilizadas para cada nivel de clasificación
• dónde deben aparecer las etiquetas en documentos, sistemas, repositorios o soportes físicos
• ¿Qué activos no necesitan etiquetas?
• cómo se puede compartir información etiquetada interna y externamente
• quién puede cambiar o eliminar una etiqueta
• cómo deben manejar los empleados la información etiquetada incorrectamente

El proceso de etiquetado debe ser práctico. Si los empleados necesitan demasiados pasos para etiquetar o compartir información, la adopción disminuirá. El objetivo es que el manejo seguro sea visible y repetible sin ralentizar el trabajo habitual.

Gestión de activos (contemplada en el apartado A.5.10)

La gestión de activos define cómo se debe utilizar, almacenar, transferir y proteger cada clase de información o activo.

Las normas de gestión deben basarse en la clasificación del activo. Por ejemplo, la información confidencial de los clientes puede requerir acceso restringido, cifrado, ubicaciones de almacenamiento autorizadas y transferencias supervisadas. La información pública puede requerir únicamente un control de versiones básico y la aprobación de su publicación.

Su proceso de gestión de activos debe abarcar:

• Restricciones de acceso basadas en la clasificación
• ubicaciones de almacenamiento aprobadas
• normas para compartir información interna y externamente
• Requisitos de cifrado para datos confidenciales
• registro de intentos de acceso no autorizados
• Manejo seguro de los datos de los clientes
• Requisitos para el almacenamiento físico y digital
• procedimientos para informar sobre el mal uso, la pérdida o el acceso no autorizado

Si su organización procesa datos de clientes, mantenga un mapa de flujo de datos que muestre dónde se recopilan, almacenan, procesan, transfieren y eliminan los datos. Esto permite a los auditores comprender mejor cómo se mueve la información confidencial dentro de la empresa y cómo se protege.

Alan Luk, quien desarrolló programas GRC en Microsoft Azure y Grammarly, sostiene que la falta de resolución en la propiedad es la causa principal de la mayoría de los fallos de auditoría, y que la solución no tiene nada que ver con las herramientas.

“Lo primero que hice fue identificar la responsabilidad: ¿quién es el responsable de estos controles, dónde comienza la responsabilidad de GRC y dónde empieza la responsabilidad del responsable del control? Muchas empresas realizan su monitoreo revisando y comprobando justo antes de la auditoría, esperando que no haya nada demasiado grave; eso es típico de un programa inmaduro. Pero todo comienza con quién es el responsable. Si se define bien esto primero, luego se pueden desarrollar los procesos y el monitoreo continuo.”

— Alan Luk, Jefe de Cumplimiento Normativo de Grammarly

A.7.10 Medios de almacenamiento

En la norma ISO 27001:2013, los soportes extraíbles, la eliminación de soportes y la transferencia física de soportes eran tres controles separados (A.8.3.1 a A.8.3.3). La norma ISO 27001:2022 los fusiona en un solo control, A.7.10 Soportes de almacenamiento, que abarca toda la vida útil de cualquier soporte de almacenamiento que se utilice. La eliminación segura de equipos también se relaciona con el control A.7.14.

Media removible

Los medios extraíbles incluyen unidades USB, discos duros externos, tarjetas de memoria y unidades de copia de seguridad. Dado que pueden perderse, copiarse o utilizarse fuera de los sistemas gestionados, es fundamental definir cuándo se permite su uso y quién puede utilizarlos, limitar el acceso a los roles que lo necesiten y cifrar cualquier dato confidencial almacenado en ellos. La política debe abarcar los tipos de medios aprobados y prohibidos, las reglas de aprobación y acceso, el cifrado, el almacenamiento y el transporte, el registro de actividad y cómo informar sobre la pérdida o el robo de medios. Cuando los medios ya no sean necesarios, asegúrese de que los datos sean irrecuperables mediante la eliminación segura, la sobrescritura o la destrucción física.

Disposición

Cuando un soporte de almacenamiento se retira, se reutiliza o se destruye, asegúrese de que no contenga información confidencial. Antes de desecharlo, verifique si el soporte contiene datos confidenciales, datos regulados, credenciales o software con licencia, y, de ser así, elimínelo o destrúyalo de forma segura. Los métodos incluyen el borrado o la sobrescritura, el cifrado seguido de la destrucción de la clave, la destrucción física o la eliminación certificada a través de un proveedor autorizado. Conserve los registros de eliminación, los registros de borrado, los certificados de destrucción, las confirmaciones del proveedor y las aprobaciones como evidencia de auditoría.

Transfer

Cuando traslade dispositivos o equipos de almacenamiento entre ubicaciones, protéjalos durante el transporte. Utilice un servicio de mensajería confiable o un método de transporte autorizado, embalelos adecuadamente para evitar daños, cifre los datos confidenciales antes de la transferencia y mantenga un registro de lo que se envió, cuándo y quién lo recibió. Verifique el contenido y compruebe que no haya sido manipulado al momento de la entrega, y exija al destinatario que confirme la recepción. Para información confidencial o regulada, apruebe y registre las transferencias con anticipación.

¿Por qué es importante la norma ISO 27001 para la gestión de activos en la gestión de la seguridad?

La gestión de activos influye directamente en la seguridad de la información. Sin embargo, esta influencia puede ser negativa cuando las empresas no se centran en implementar una estrategia sólida de gestión de activos. A continuación, se explica cómo:

Cuando las organizaciones realizan evaluaciones de riesgos según la norma ISO 27001 , suelen examinar sus activos para identificar los riesgos, determinar a qué riesgo está expuesto cada activo, identificar las vulnerabilidades existentes y buscar áreas de mejora para incluirlas en su plan de tratamiento de riesgos.

Si desconoce sus activos, no podrá protegerlos, y los activos no gestionados suelen ser el origen de las deficiencias y los incidentes. Un inventario completo y actualizado es fundamental para que su evaluación de riesgos y su respuesta ante incidentes sean eficaces.

Cómo crear un inventario de activos

El inventario de activos es la base de la gestión de activos según la norma ISO 27001. Ayuda a la organización a identificar qué activos existen, quién los posee, dónde se almacenan, cómo se utilizan y qué controles se les aplican.

“El 73% de los auditores declara dedicar más de la mitad de su tiempo a trabajar con hojas de cálculo: gestionando conciliaciones, extrayendo datos y manejando flujos de trabajo manuales y obsoletos. ”

— Dominio del impulso de la auditoría: Auditorías ágiles y eficientes para organizaciones de hipercrecimiento

Comience con la lista de activos creada durante su evaluación de riesgos y, a continuación, valídela con cada función empresarial. Pida a los equipos que documenten el hardware, el software, los sistemas en la nube, los almacenes de datos, los activos físicos, las herramientas de terceros y los activos de información que utilizan.

Un inventario de activos útil debe incluir:

• nombre y descripción del activo
• tipo de activo, como hardware, software, información, personas, servicios o recursos en la nube
• propietario del activo
• departamento o función empresarial
• ubicación o sistema de registro
• nivel de clasificación
• permisos de acceso
• proveedores relacionados o dependencias
• riesgos asociados
• estado del ciclo de vida, como activo, retirado, transferido o dado de baja
• Fecha de revisión y próximo propietario de la revisión

El inventario debe revisarse periódicamente y actualizarse cada vez que se añadan, transfieran, retiren o desechen activos. Alinear la revisión del inventario de activos con el ciclo de evaluación de riesgos es una buena práctica, ya que permite mantener actualizada la información sobre la propiedad, la clasificación y el tratamiento de riesgos de los activos.

¿Quién debería ser el propietario del activo?

Cada activo de una organización debe tener un propietario designado. Y el propietario de un activo determinado debe gestionarlo diariamente.

Por ejemplo,

En el caso de activos compartidos como los servicios en la nube, la propiedad general del servicio debe pertenecer al CTO (Director de Tecnología) o al CISO (Director de Seguridad de la Información), mientras que para los archivos creados y utilizados por los empleados dentro de la cuenta en la nube, el creador del archivo debe ser el propietario. 

Es responsabilidad de los propietarios de activos asegurarse de que sus activos estén:

• Contabilizado (inventariado)
• Clasificado (se proporciona un nivel de seguridad adecuado según la clasificación).
• Sujeto a controles y medidas de seguridad, 
• Destruido de forma segura y protegida.

Automatice la gestión de activos con Sprinto

La parte más difícil de la gestión de activos no es la política, sino saber qué es lo que realmente se tiene.

Un solo recurso olvidado, como un bucket S3 público que nadie recuerda haber creado, puede echar por tierra el resto de tus controles.

Sprinto Se conecta a sus sistemas de nube, identidad y SaaS en toda la red. 300+ integraciones y descubre esos activos por ti, para que nada quede fuera de tu inventario.

A partir de ahí, mantiene el registro actualizado: asigna propietarios, vincula cada activo con su control del Anexo A, detecta errores de configuración y desviaciones a medida que ocurren, y recopila la evidencia que su auditor necesita. La gestión de activos deja de ser una hoja de cálculo que hay que revisar y se convierte en un sistema que se mantiene automáticamente.