A8 GESTION DE ACTIVOS

• Identificar los activos de información que dan soporte al negocio
• Clasificar los activos por su importancia
• Clasificar los activos por el tipo de activo o información
• Identificar al propietario del activo

Aquí podemos ver información detallada de cómo realizar un inventario de activos de la información

8.1.2 Propiedad de los activos

Como hemos visto el inventario de activos debe identificar al propietario del activo

Para asignar al propietario de un activo debemos preguntarnos solamente quien crea, gestiona su transferencia, almacenamiento o destrucción del activo, En definitiva, el que gestiona el activo debe ser asignado como propietario

El propietario del activo en ningún caso es el dueño del activo sino el que tiene una serie de responsabilidades sobre el activo, las cuales enumeramos:

• Documentar el uso apropiado de la información describiendo los requisitos de seguridad de la información de los activos, instalaciones etc.
• Comunicar a los empleados afectados para evitar el uso indebido.

• Formalizar el proceso de finalización de uso incluyendo la cláusula de devolución de activos físicos y/o electrónicos
• Establecer procedimientos transferencia y borrado de información de forma segura en el caso que sea pertinente (Uso de equipos propios, transferencia y devolución de equipos etc.)

• Su valor para la organización
• Los requisitos legales (Datos personales, Sensibles etc.)
• Nivel de Protección necesario: Su criticidad y sensibilidad en cuando a su divulgación o modificación no autorizada o accidental.

• El esquema de clasificación debe ser uniforme para toda la empresa
• El esquema de clasificación debe alinearse con la política de control de acceso
• El nivel de protección debe ser evaluado según los criterios de confidencialidad, integridad y disponibilidad
• La clasificación del activo debe revisarse periódicamente y mantenerse actualizada

• Nivel 0 la divulgación no causa ningún daño
• Nivel 1 la divulgación causa menor incomodidad o inconveniencia operativa menor;
• Nivel 2 la divulgación tiene un impacto significativo a corto plazo en las operaciones o los objetivos tácticos;
• Nivel 3 la divulgación tiene un grave impacto en los objetivos estratégicos a largo plazo o pone en riesgo la supervivencia de la organización.

• El etiquetado afecta a la información y sus activos relacionados en formato físico y electrónico.
• Debe realizarse según el esquema de clasificación definido en el punto anterior
• Las etiquetas deben reconocerse fácilmente

• el manejo de los activos
• su procesamiento
• el almacenamiento y
• como se debe comunicar de la información

• Considerar las restricciones de acceso derivadas de su nivel de clasificación
• Crear y mantener un registro de autorizaciones de uso o acceso a los activos
• Procedimientos de copias de seguridad para la protección de los activos
• Los procedimientos de almacenamiento de acuerdo las especificaciones del fabricante
• Borrar el marcado de todas las copias en los soportes para la atención del destinatario autorizado

• La necesidad de su uso
• los soportes reutilizables que deberían retirarse de la organización y hacerse irrecuperables
• Cuando sea practico debemos requerir autorización para su uso
• Mantener un registro de altas y bajas
• Considerar especificaciones de almacenamiento según especificaciones del fabricante
• Encriptar datos para proteger aquellos que se consideren importantes
• Renovar dispositivos con un periodo determinado para evitar la degradación de datos necesarios e importantes
• Proteger la información almacenada con copias de seguridad en soportes independientes
• Crear un registro de soportes extraíbles para limitar la posibilidad de pérdida de datos
• Controlar la transferencia de información hacia medios extraíbles
• Documentar los procedimientos de autorización

• Establecer un proceso de eliminación segura de datos que no permita su recuperación
• Identificar que dispositivos requieren de un proceso de eliminación segura
• Controlar la utilización de empresas externas para la realización de tareas de eliminación segura estableciendo algún tipo de control
• Mantener un registro dispositivos que han sido dados de baja de forma segura por contener información sensible

• El registro de salida de los soportes para su cotejamiento con el transportista y el lugar de destino de mismo incluyendo un control de tiempos de transporte
• Control de transportistas (Utilizar transportistas de confianza)
• Mantener una lista de transportistas autorizados
• Controlar la identificación del transportista o mensajero
• Establecer un procedimiento de cifrado cuando sea necesario y posible
• Controlar los embalajes y las condiciones ambientales (Humedad, temperatura, polvo etc.) con las especificaciones del fabricante.