- See Norma ISO 27002:2022 5.12 para obtener más información.
- See ISO 27001:2013 Anexo A 8.2.1 para obtener más información.
Creación de un SGSI más sólido con clasificación de la información: ISO 27001:2022 Anexo A 5.12
La clasificación de la información es un proceso fundamental que permite a las organizaciones agrupar sus activos de información en categorías relevantes según su nivel de protección requerido.
Según ISO 27001:2022 En el Anexo A 5.1.2, la información debe clasificarse en función de varios factores, incluidos los requisitos legales, el valor, la criticidad y la sensibilidad a la divulgación o modificación no autorizada. Esta clasificación debe diseñarse para reflejar la actividad comercial única de la organización sin impedirla ni complicarla.
Por ejemplo, la información destinada al consumo público debe estar marcada adecuadamente, mientras que a los datos confidenciales o comercialmente sensibles se les debe conceder una mayor grado de seguridad. Es crucial tener en cuenta que la clasificación de la información se encuentra entre los controles más importantes en el Anexo A del Garantizar que los activos de la organización estén protegidos..
Propósito de ISO 27001:2022 Anexo A 5.12
El Control 5.12 del Anexo A es un control preventivo que permite a las organizaciones identificar riesgos determinando el nivel adecuado de protección para cada activo de información en función de su importancia y sensibilidad.
En la Guía complementaria, el Control 5.12 del Anexo A advierte explícitamente contra la clasificación excesiva o insuficiente de la información. Las organizaciones deben considerar los requisitos de confidencialidad, disponibilidad e integridad al asignar activos a sus respectivas categorías. Esto ayuda a garantizar que el esquema de clasificación equilibre las necesidades comerciales de información y los requisitos de seguridad para cada categoría de información.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Propiedad del Anexo A 5.12
Si bien es esencial establecer un esquema de clasificación de los activos de información en toda la organización, en última instancia es responsabilidad de los propietarios de los activos garantizar que se implemente correctamente.
Según ISO 27001:2022 Anexo A 5.12, aquellos con activos de información pertinentes deben rendir cuentas. Por ejemplo, el departamento de contabilidad debe clasificar la información basándose en el esquema de clasificación de toda la organización al acceder a carpetas que contienen informes de nómina y extractos bancarios.
Al clasificar la información, es crucial que los propietarios de activos consideren las necesidades del negocio y los Impacto potencial que un compromiso de información podría tener en la organización.. Además, deben tener en cuenta los niveles de importancia y sensibilidad de la información.
Orientación general sobre ISO 27001:2022 Anexo A 5.12
Para implementar con éxito un esquema sólido de clasificación de la información, las organizaciones deben adoptar un enfoque temático, considerar las necesidades de información específicas de cada unidad de negocios y evaluar el nivel de sensibilidad y criticidad de la información.
Según el Anexo A Control 5.12, las organizaciones deben evaluar los siguientes siete criterios al implementar un esquema de clasificación:
Establecer una política para un tema específico y abordar necesidades comerciales específicas
Anexo A Control 5.12 del sistema de gestión de seguridad de la información se refiere al Anexo A Control 5.1, que corresponde al control de acceso. Exige que las organizaciones se adhieran a las políticas temáticas específicas estipuladas en el Anexo A Control 5.1. Además, el esquema y los niveles de clasificación deben considerar las necesidades comerciales específicas al clasificar los activos de información.
Las organizaciones deben considerar sus necesidades comerciales para compartir y utilizar información, así como la necesidad de disponibilidad de dicha información. Sin embargo, clasificar un activo de información puede alterar funciones comerciales críticas al restringir el acceso y el uso de la información.
Por lo tanto, las organizaciones deben equilibrar sus necesidades comerciales específicas de disponibilidad y uso de datos y el requisito de mantener la confidencialidad e integridad de esa información.
Considere las obligaciones legales
Es posible que leyes específicas exijan que las organizaciones hagan hincapié en salvaguardar la confidencialidad, la integridad y la disponibilidad de la información. Por lo tanto, se deben priorizar las obligaciones legales sobre la clasificación interna de la organización al categorizar los activos de información.
Adoptar un enfoque basado en el riesgo y evaluar el impacto potencial de una violación o compromiso de seguridad en activos de información es aconsejable. Esto ayudará a priorizar e implementar medidas de seguridad adecuadas para mitigar los riesgos identificados.
Cada forma de información tiene un nivel de importancia único para las funciones de una organización y posee distintos grados de sensibilidad dependiendo de las circunstancias particulares.
Cuando una organización implementa un esquema de clasificación de información, debe considerar el impacto potencial que podría tener en la organización comprometer la confidencialidad, integridad o disponibilidad de la información.
Por ejemplo, la sensibilidad y el impacto potencial de una base de datos que contenga direcciones de correo electrónico profesionales de clientes potenciales calificados serían muy diferentes de los de los registros médicos de los empleados. Por lo tanto, la organización debe considerar cuidadosamente el nivel de protección que requiere cada categoría de información y asignar recursos en consecuencia.
Actualizar y revisar periódicamente la clasificación
El Control 5.12 del Anexo A reconoce que el valor, la importancia y el nivel de sensibilidad de la información pueden cambiar con el tiempo a medida que los datos pasan por su ciclo de vida. Como resultado, las organizaciones deben revisar periódicamente su clasificación de información y realizar las actualizaciones necesarias.
ISO 27001 Anexo A El control 5.12 se refiere a reducir el valor y la sensibilidad de la información en una medida significativa.
Es esencial consultar con otras organizaciones con usted para compartir información y resolver cualquier disparidad.
Cada organización puede tener terminología, niveles y estándares distintos para sus sistemas de clasificación de información
Las divergencias en la clasificación de la información entre organizaciones pueden generar riesgos potenciales al intercambiar activos de información.
Las organizaciones deben colaborar con sus contrapartes para establecer un consenso que garantice la uniformidad en la clasificación de la información y la interpretación consistente de los niveles de clasificación para mitigar dichos riesgos.
Coherencia a nivel organizacional
Cada departamento dentro de una organización debe tener una comprensión compartida de los niveles y protocolos de clasificación para garantizar la uniformidad en las clasificaciones en toda la organización.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Orientación sobre cómo implementar el esquema de clasificación de información
Si bien el Anexo A 5.12 reconoce que no existe un sistema de clasificación universalmente aplicable y que las organizaciones tienen la flexibilidad de establecer y definir sus niveles de clasificación, ilustra un esquema de clasificación de información:
- La divulgación no causa ningún daño.
- La divulgación causa un daño menor a la reputación o un impacto operativo menor.
- La divulgación tiene un impacto significativo a corto plazo en las operaciones o los objetivos comerciales.
- La divulgación afecta seriamente los objetivos comerciales a largo plazo o pone en riesgo la supervivencia de la organización.
Cambios y diferencias con respecto a ISO 27002:2013
El Anexo A 8.2.1 de la versión anterior trataba de la Clasificación de la Información.
Si bien las dos versiones son bastante similares, existen dos diferencias principales:
- En primer lugar, la versión anterior no mencionaba la necesidad de coherencia en los niveles de clasificación cuando se comparte información entre organizaciones. Sin embargo, ISO 27001:2022 exige que las organizaciones colaboren con sus contrapartes para garantizar la uniformidad en la clasificación y comprensión de la información.
- En segundo lugar, la versión actualizada exige explícitamente que las organizaciones desarrollen políticas adaptadas a temas específicos. En la versión anterior sólo se hacía una breve referencia al control de acceso.
Tabla de todos los controles del Anexo A de ISO 27001:2022
En la siguiente tabla encontrará más información sobre cada ISO 27001:2022 individual. anexo A Control:
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 |
Anexo A 5.1.1 Anexo A 5.1.2 |
Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 |
Anexo A 6.1.5 Anexo A 14.1.1 |
Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 |
Anexo A 8.1.1 Anexo A 8.1.2 |
Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 |
Anexo A 8.1.3 Anexo A 8.2.3 |
Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 |
Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 |
Transferencia de información |
| Controles organizacionales | Anexo A 5.15 |
Anexo A 9.1.1 Anexo A 9.1.2 |
Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 |
Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 |
Información de autenticación |
| Controles organizacionales | Anexo A 5.18 |
Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 |
Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 |
Anexo A 15.2.1 Anexo A 15.2.2 |
Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 |
Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 |
Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 |
Anexo A 18.1.1 Anexo A 18.1.5 |
Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 |
Anexo A 18.2.2 Anexo A 18.2.3 |
Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 |
Anexo A 16.1.2 Anexo A 16.1.3 |
Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 |
Anexo A 11.1.2 Anexo A 11.1.6 |
Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 |
Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 |
Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 |
Anexo A 6.2.1 Anexo A 11.2.8 |
Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 |
Anexo A 12.6.1 Anexo A 18.2.3 |
Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 |
Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 |
Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados Derechos de acceso |
| Controles Tecnológicos | Anexo A 8.19 |
Anexo A 12.5.1 Anexo A 12.6.2 |
Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 |
Anexo A 10.1.1 Anexo A 10.1.2 |
Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 |
Anexo A 14.1.2 Anexo A 14.1.3 |
Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Arquitectura de sistemas seguros y principios de ingeniería: aprendizaje a partir de incidentes de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 |
Anexo A 14.2.8 Anexo A 14.2.9 |
Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 |
Anexo A 12.1.4 Anexo A 14.2.6 |
Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 |
Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 |
Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
[caso_estudio_slider_id=”88859,101932,92016″ reproducción automática=”verdadero” velocidad_reproducción automática=”5000″]
Cómo ayuda ISMS.online
Nuestra La plataforma está diseñada para ser fácil de usar y sencilla., atendiendo a personas altamente técnicas y a todos los miembros del personal de su organización.
Abogamos por involucrar a los empleados de todos los niveles de la empresa en la construcción de su SGSI, ya que ayuda a establecer un sistema sostenible.
Descubre más por reservar una demostración.
