Qué exige la ISO 27001 sobre el trabajo remoto

La empresa mandó a todos a casa en una semana y el equipo de sistemas resolvió lo urgente: la VPN, las licencias de videoconferencia y el acceso al servidor de archivos. Dos años después seguía sin existir una política escrita de trabajo remoto. El desarrollador que renunció en marzo tenía el repositorio clonado en su computadora personal, un equipo que nadie había inventariado, que compartía con su familia y cuyo disco no estaba cifrado. Cuando la auditoría preguntó qué información corporativa quedaba fuera de las instalaciones y bajo qué controles, la respuesta honesta fue que nadie lo sabía. La organización no había decidido nada sobre el trabajo remoto; simplemente había dejado de controlar dónde estaba su información.

Qué cubre el control y por qué no es solo la casa

El trabajo remoto, en el sentido de la norma, es cualquier actividad que se realiza fuera de las instalaciones de la organización usando información o activos de la organización. Eso incluye el trabajo desde casa, pero también el trabajo desde un hotel, un aeropuerto, una cafetería, la oficina de un cliente, el domicilio de un proveedor y cualquier sitio que la empresa no controla físicamente. El rasgo que define al escenario no es la distancia sino la pérdida de los controles físicos y de red del perímetro: no hay control de acceso al inmueble, no hay una red administrada, no hay escritorio que se pueda auditar y no hay testigos de quién más ve la pantalla.

La confusión más común es tratarlo como un tema de conectividad. La VPN resuelve el transporte cifrado del tráfico y no resuelve nada más: no dice quién puede sacar información de la oficina, no impide que el archivo se copie a un disco personal, no protege la pantalla en un espacio público, no evita que el dispositivo quede sin parches y no responde qué pasa cuando esa persona deja la empresa. El control de trabajo remoto existe precisamente para cubrir lo que la conexión no cubre, y eso es casi todo lo que importa.

Conviene además separar tres figuras que suelen mezclarse en la misma política y tienen riesgos distintos. El empleado que trabaja desde casa con un equipo de la empresa. El empleado que trabaja desde su propio equipo, el esquema que se conoce como dispositivo propio, donde la organización no es dueña del hardware y por lo tanto no puede hacer con él lo que quiera. Y el tercero, el que más se olvida: el proveedor, el contratista o el consultor externo que accede a los sistemas desde su propia infraestructura y que muchas veces tiene privilegios que no tendría un empleado nuevo. Cada figura necesita su propio nivel de control y su propia cláusula contractual.

Qué se define antes de autorizar

Lo primero es qué información puede salir. Si existe una clasificación de la información, la política de trabajo remoto es el lugar donde esa clasificación se vuelve operativa: se define qué categorías pueden tratarse fuera de las instalaciones, cuáles solo en sesión remota sin descarga local y cuáles no salen en ningún caso. Sin esa definición previa, el control se queda en recomendaciones generales y el criterio lo termina fijando cada persona por su cuenta, que es exactamente lo que la norma quiere evitar.

Después viene el dispositivo. Un equipo autorizado para trabajo remoto debe estar inventariado, cifrado en disco completo, con bloqueo automático de sesión, con el sistema y las aplicaciones al día, con protección contra software malicioso, con la capacidad de borrado remoto si se pierde y sin privilegios de administrador para el usuario ordinario. En el esquema de dispositivo propio el alcance cambia: como el hardware no es de la empresa, el control se aplica sobre el contenedor de trabajo y no sobre el equipo entero, y el acuerdo con el trabajador debe decir con claridad qué puede administrar la organización, qué puede borrar y qué no puede ver.

Falta el entorno físico, que es la parte que casi nadie escribe. La política debe decir algo sobre la pantalla visible desde la calle o desde una mesa vecina, sobre las llamadas con información sensible en un espacio compartido, sobre el resguardo de los documentos impresos y su destrucción, sobre el uso de redes inalámbricas públicas y sobre los asistentes de voz en la misma habitación. Y debe cerrar el ciclo: cómo se autoriza el trabajo remoto, quién lo aprueba, cómo se revoca, cómo se devuelven los equipos y cómo se retira la información de los dispositivos personales cuando la relación termina.

Qué exige la ISO 27001

El Anexo A de la versión 2022 tiene un control dedicado al trabajo remoto, dentro de los controles de personas, y pide que se implementen medidas de seguridad cuando el personal trabaja de forma remota para proteger la información a la que se accede, se procesa o se almacena fuera de las instalaciones. El control es explícito en varios frentes: la seguridad física del sitio remoto, las reglas de configuración de la red doméstica o de terceros, las reglas de acceso a los sistemas internos, el uso de dispositivos personales y las expectativas sobre el acceso de familiares o convivientes al equipo.

No viaja solo. El control de dispositivos de usuario final cubre la protección del equipo que se lleva fuera, y el de seguridad de activos fuera de las instalaciones cubre el resguardo del hardware y de los medios que salen del sitio. El uso aceptable de la información y de los activos define qué se puede hacer y qué no con la información que viaja. Los términos y condiciones del empleo trasladan esas obligaciones al contrato, y el control de retorno de activos cierra la salida de la persona. Ninguno de ellos se aplica por decreto: la declaración de aplicabilidad debe justificar por qué el control aplica y el sistema tiene que producir evidencia de que se ejecuta.

También hay una obligación que antecede a todo lo anterior y suele saltarse: el trabajo remoto tiene que aparecer en el análisis de riesgos. Si la evaluación de riesgos no incluye escenarios como el robo de un equipo portátil, el acceso desde una red no confiable, la exposición de pantalla en espacio público o la salida de un colaborador con información en su dispositivo personal, entonces los controles no están respondiendo a un riesgo identificado sino a una intuición, y el auditor lo va a notar en cuanto pida la trazabilidad entre el riesgo, el control seleccionado y la evidencia de su operación.

Qué agregan los clientes y los sectores

En servicios de desarrollo de software y de tercerización de procesos, el cliente suele imponer condiciones más estrictas que la propia norma: prohibición de que el código o los datos salgan de un entorno virtual controlado, exigencia de escritorios remotos sin copiado al portapapeles, geolocalización de las conexiones, restricción a equipos administrados por la empresa y auditorías de la configuración del trabajador remoto. Esas cláusulas entran al sistema como requisitos del cliente y deben estar en el mismo lugar que el resto de los requisitos legales y contractuales, no en un correo del ejecutivo de cuenta.

Cuando se tratan datos personales, la protección de datos agrega su propia capa: la obligación de aplicar medidas de seguridad proporcionales, de notificar vulneraciones en plazos cortos y de acreditar que el encargado externo mantiene el mismo nivel de protección. En sectores financieros y de salud, las autoridades revisan el trabajo remoto como parte del control interno, y en dispositivos médicos y farmacéutica la validación de sistemas computarizados obliga a demostrar que el acceso remoto no rompe los controles de integridad de los registros electrónicos ni la trazabilidad de las firmas.

Errores frecuentes

• —Confundir la VPN con la política: el túnel cifrado no define qué información puede salir ni en qué equipo.
• —No tener inventariados los equipos que están fuera de las instalaciones, ni saber quién los tiene.
• —Permitir el dispositivo personal sin un acuerdo firmado que diga qué puede administrar y borrar la empresa.
• —Dejar fuera de la política a proveedores y contratistas, que suelen conectarse con más privilegios que un empleado.
• —No cifrar el disco completo del equipo portátil, que es la única defensa real cuando se pierde o lo roban.
• —Olvidar el entorno físico: pantallas visibles, llamadas en espacios compartidos y documentos impresos sin resguardo.
• —No revocar los accesos ni recuperar los equipos el mismo día en que termina la relación laboral.
• —Redactar la política y nunca verificarla, sin una sola revisión de configuración de los equipos remotos.

Dónde se rompe en la operación

El patrón se repite: la empresa adoptó el trabajo remoto por necesidad, resolvió la conectividad y nunca volvió a la mesa a decidir las reglas. Mientras el negocio fue local, el costo de esa omisión se quedó dormido; en cuanto llegó el primer cliente que audita a sus proveedores, la falta de política se convirtió en un hallazgo con fecha de cierre. En Guadalajara, donde el clúster de manufactura electrónica, las empresas de software y los centros de servicios trabajan con información técnica y datos de clientes extranjeros que exigen controles verificables, esa brecha aparece siempre en el cuestionario de seguridad antes de la firma del contrato. Ordenar la clasificación de la información, la política de dispositivos y el expediente de evidencia es parte de lo que se estructura en la Consultoría ISO 9001 en Guadalajara, donde la seguridad se trata como un proceso del sistema y no como una tarea del área de sistemas.

En resumen

El trabajo remoto es cualquier actividad que se hace fuera de las instalaciones con información o activos de la organización, y su riesgo viene de la pérdida de los controles físicos y de red del perímetro. Autorizarlo exige definir antes qué información puede salir, en qué dispositivo, bajo qué configuración mínima y con qué reglas de entorno físico, distinguiendo entre equipo de la empresa, dispositivo propio y acceso de terceros. La ISO 27001 lo cubre con un control dedicado en el Anexo A, apoyado en los de dispositivos de usuario final, activos fuera de las instalaciones, uso aceptable, términos del empleo y retorno de activos, y exige que el escenario esté en el análisis de riesgos. Los clientes corporativos suelen agregar condiciones más duras que la norma.