Este es uno de los controles más baratos de implementar y uno de los que más fácilmente se incumplen en una visita de auditoría, porque depende por completo del hábito diario y no de un sistema. Los auditores recorren la oficina al final del día o durante un descanso y buscan pantallas desbloqueadas sin nadie presente, además de papeles con nombres de clientes olvidados sobre los escritorios. Una regla escrita sin refuerzo rara vez sobrevive a una semana ocupada, así que las prácticas que perduran son las que se repiten en la incorporación y luego de forma periódica, no las que se enuncian una sola vez en un manual que nadie vuelve a leer.
Brechas habituales
Se encontraron pantallas desbloqueadas y sin nadie presente durante una inspección, aunque la política de uso aceptable establece una regla de pantalla despejada.
A los nuevos empleados se les explica la regla de escritorio despejado una sola vez durante la incorporación, pero nunca se vuelve a mencionar, y el cumplimiento cae de forma visible a los pocos meses.
Documentos impresos de clientes quedaron sobre un escritorio durante toda la noche, en una oficina de planta abierta visible desde la zona de recepción.
Preguntas que hará tu auditor
¿Cómo se asegura la empresa de que el personal bloquee la pantalla al alejarse de su puesto, no solo durante la semana de incorporación?
Bloquear la pantalla al alejarse del puesto de trabajo se refuerza mediante la incorporación y recordatorios periódicos, y no se deja como una regla de una sola vez.
¿Se verifica en algún momento el cumplimiento de la regla de escritorio y pantalla despejados?
Una inspección durante o después del horario laboral busca pantallas desbloqueadas y papeles dejados sobre los escritorios, en lugar de confiar solo en la política.
¿Qué ocurre cuando se deja un documento sensible visible sobre un escritorio?
El hallazgo se plantea a la persona involucrada y se trata como un hábito por corregir con un recordatorio, no como una excepción puntual que se puede ignorar.
Dónde lo exige la regulación
El art. 8.1 de NIS2 exige prácticas básicas de higiene cibernética entre el personal, incluido bloquear la pantalla y no dejar papeles sensibles sobre el escritorio sin supervisión.
Controles relacionados
Vía el tema compartido del Sekit CSF, no el índice del propio marco.