- See Norma ISO 27002:2022 5.13 para obtener más información.
- See ISO 27001:2013 Anexo A 8.2.2 para obtener más información.
El papel del etiquetado en la norma ISO 27001:2022: Anexo A 5.13 explicado
Las organizaciones aplican etiquetas de clasificación con información relevante activos para implementar su esquema de clasificación de la información.
Siguiendo el esquema de clasificación de la información adoptado por la organización, el Anexo A 27001 de la norma ISO 2022:5.13 define un conjunto de procedimientos para el etiquetado de la información.
Además de identificar activos físicos y electrónicos, será necesario desarrollar procedimientos para identificar información que reflejen el esquema de clasificación descrito en 5.12.
Hacer que las etiquetas sean fáciles de reconocer y gestionar; de lo contrario, no se seguirán. En lugar de hacer que el personal etiquete cada actualización de CRM con una declaración comercial de confidencialidad, podría ser más fácil decidir de facto que todo lo que hay en los sistemas digitales es confidencial a menos que se indique expresamente lo contrario.
Utilizando el esquema de clasificación adoptado en el Control 5.12 del Anexo A, el Control 5.13 del Anexo A detalla cómo las organizaciones deben desarrollar, implementar y gestionar un procedimiento sólido de etiquetado de información.
¿Cuál es el propósito del Anexo A 27001 de la norma ISO 2022:5.13?
El propósito del Anexo A 5.13 es doble; para proteger los activos de información contra riesgos de seguridad:
- Los activos de información se pueden clasificar de manera sencilla cuando se comunican interna y externamente. Aquí es cuando los empleados y terceros pueden acceder y utilizar la información.
- El procesamiento y la gestión de la información se pueden optimizar mediante la automatización.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
¿Quién es propietario del Anexo A 5.13?
Los activos de información se pueden etiquetar agregando metadatos, por lo que los administradores de metadatos deben ser responsables de implementar adecuadamente el proceso de etiquetado.
Todos los activos de datos deben estar etiquetados adecuadamente y los propietarios de los activos deben realizar cualquier modificación en el etiquetado con autorizaciones de acceso y modificación.
Directrices generales sobre cómo cumplir con ISO 27001:2022 Anexo A 5.13
Utilizando el Control 5.13 del Anexo A, las organizaciones pueden etiquetar la información cumpliendo con cuatro pasos específicos.
Establecer un procedimiento para etiquetar la información
Los Procedimientos de etiquetado de información de las organizaciones deben cumplir con el esquema de clasificación de la información creado según el Control 5.12 del Anexo A.
5.13 también requiere que este Procedimiento se aplique a todos los activos de información, ya sean digitales o en papel, y que las etiquetas deben ser fácilmente reconocibles.
No hay límite a lo que este documento de Procedimiento puede contener, pero el Anexo A Control 5.13 requiere que los procedimientos incluyan lo siguiente:
- Una explicación de los métodos para adjuntar etiquetas a los activos de información según el tipo de medio de almacenamiento y cómo se accede a los datos.
- Para cada tipo de activo de información, dónde se deben adjuntar las etiquetas.
- Por ejemplo, una organización puede omitir la publicación de datos públicos como parte de su proceso de etiquetado de información.
- Limitaciones técnicas, legales o contractuales impiden etiquetar determinados tipos de información.
- Las reglas rigen cómo se debe etiquetar la información cuando se transmite interna o externamente.
- Las instrucciones deben acompañar a los activos digitales sobre cómo insertar metadatos.
- Todos los activos deben estar etiquetados con los mismos nombres.
Proporcionar formación adecuada sobre procedimientos de etiquetado a los empleados
El personal y otras partes interesadas relevantes deben entender cómo etiquetar información correctamente y gestionar los activos de información etiquetados antes de que el Procedimiento para el etiquetado de información pueda ser efectivo.
Como resultado, las organizaciones deben capacitar al personal y a otras partes relevantes sobre el Procedimiento.
Los activos de información digital deben etiquetarse con metadatos
Los activos de información digital deben etiquetarse utilizando metadatos según 5.13.
La implementación de metadatos también debería facilitar la identificación y búsqueda de información y agilizar la toma de decisiones entre sistemas relacionados con la información etiquetada.
Se deben tomar precauciones adicionales para etiquetar datos confidenciales que puedan salir del sistema
La recomendación del Anexo A 5.13 se centra en identificar la etiqueta más adecuada para el exterior. transferencias de información crítica y sensible activos, considerando los riesgos involucrados.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Anexo A 5.13 Orientación complementaria
Para que las operaciones de intercambio de datos sean seguras, es esencial identificar y etiquetar con precisión la información clasificada.
El Anexo A 5.13 también recomienda que las organizaciones inserten puntos de metadatos adicionales. Es decir, el nombre del proceso que creó el activo de información y el momento en que fue creado.
Además, el Anexo A 5.13 describe las técnicas de etiquetado estándar que las organizaciones pueden utilizar:
- Etiquetas fisicas
- Encabezados y pies de pagina
- metadatos
- marcas de agua
- Sellos de goma
Por último, el Anexo A 5.13 enfatiza que etiquetar los activos de información como "confidenciales" y "clasificados" puede tener consecuencias no deseadas. Esto puede facilitar que los actores malintencionados descubran y encuentren activos de información confidencial.
¿Cuáles son los cambios y diferencias con respecto a ISO 27001:2013?
ISO 27001:2022 El Anexo A 5.13 reemplaza el Anexo A 27001 de ISO 2013:8.2.2 (Etiquetado de información).
Ambos controles del Anexo A son similares hasta cierto punto, pero dos diferencias clave hacen que la versión ISO 27001:2022 sea más completa.
Se ha requerido el uso de metadatos para cumplir con nuevos requisitos
Si bien la versión de 2013 se refería a los metadatos como una técnica de etiquetado, no imponía ninguna obligación específica de cumplimiento al utilizar metadatos.
En cambio, la versión 2022 incorpora diferencias y cambios respecto a la ISO 27001:2013.
El uso de metadatos es ahora un requisito
En 2013, se hizo referencia a los metadatos como técnica de etiquetado, pero no se impusieron obligaciones de cumplimiento específicas.
Por el contrario, la versión 2022 incluye requisitos estrictos para las técnicas de metadatos. Por ejemplo, la versión 2022 requiere lo siguiente:
- Agregar metadatos a la información facilita su identificación, gestión y descubrimiento.
- Es necesario insertar metadatos para el nombre y la fecha del proceso que creó el activo.
Es necesario brindar más detalles en el procedimiento de etiquetado de información
Los Procedimientos de Etiquetado de Información en la versión 2013 no requerían incluir el contenido mínimo como en la versión 2022.
Tabla de todos los controles del Anexo A de ISO 27001:2022
En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control:
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 |
Anexo A 5.1.1 Anexo A 5.1.2 |
Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 |
Anexo A 6.1.5 Anexo A 14.1.1 |
Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 |
Anexo A 8.1.1 Anexo A 8.1.2 |
Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 |
Anexo A 8.1.3 Anexo A 8.2.3 |
Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 |
Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 |
Transferencia de información |
| Controles organizacionales | Anexo A 5.15 |
Anexo A 9.1.1 Anexo A 9.1.2 |
Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 |
Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 |
Información de autenticación |
| Controles organizacionales | Anexo A 5.18 |
Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 |
Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 |
Anexo A 15.2.1 Anexo A 15.2.2 |
Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 |
Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 |
Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 |
Anexo A 18.1.1 Anexo A 18.1.5 |
Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 |
Anexo A 18.2.2 Anexo A 18.2.3 |
Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 |
Anexo A 16.1.2 Anexo A 16.1.3 |
Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 |
Anexo A 11.1.2 Anexo A 11.1.6 |
Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 |
Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 |
Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 |
Anexo A 6.2.1 Anexo A 11.2.8 |
Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 |
Anexo A 12.6.1 Anexo A 18.2.3 |
Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 |
Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 |
Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados Derechos de acceso |
| Controles Tecnológicos | Anexo A 8.19 |
Anexo A 12.5.1 Anexo A 12.6.2 |
Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 |
Anexo A 10.1.1 Anexo A 10.1.2 |
Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 |
Anexo A 14.1.2 Anexo A 14.1.3 |
Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Arquitectura de sistemas seguros y principios de ingeniería: aprendizaje a partir de incidentes de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 |
Anexo A 14.2.8 Anexo A 14.2.9 |
Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 |
Anexo A 12.1.4 Anexo A 14.2.6 |
Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 |
Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 |
Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
[caso_estudio_slider_id=”88859,101932,92016″ reproducción automática=”verdadero” velocidad_reproducción automática=”5000″]
Cómo ayuda ISMS.online
Implementación de ISO 27001 Es más fácil con nuestra lista de verificación paso a paso, que lo guía desde la definición del alcance de su SGSI hasta la identificación de riesgos y la implementación de controles del Anexo A.
Usando our platform Es intuitivo y fácil. No es sólo para empleados altamente técnicos sino para todos los miembros de su empresa. Le recomendamos que involucre a toda su fuerza laboral en la construcción de su ISMS, ya que eso le ayuda a construir un sistema verdaderamente sostenible.
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
