- See Norma ISO 27002:2022 5.14 para obtener más información.
- See ISO 27001:2013 Anexo A 13.2.1 para obtener más información.
- See ISO 27001:2013 Anexo A 13.2.2 para obtener más información.
- See ISO 27001:2013 Anexo A 13.2.3 para obtener más información.
Fundamentos de la transferencia segura de información: ISO 27001 5.14
El propósito del Anexo A 27001 de la norma ISO 2022:5.14 es garantizar la seguridad de todos los dispositivos del usuario.
Esto significa que se deben tomar medidas para proteger los dispositivos de software malicioso y otras amenazas, así como para mantener la confidencialidad, integridad y disponibilidad de los datos almacenados en ellos.
ISO 27001:2022 anexo A El Control 5.14 exige a las organizaciones que instalen las reglas, procedimientos o contratos necesarios para mantener la seguridad de los datos cuando se comparten internamente o se envían a partes externas.
Propiedad de ISO 27001:2022 Anexo A Control 5.14
El respaldo y aceptación de la alta dirección es fundamental para la formación y ejecución de regulaciones, protocolos y contratos.
Sin embargo, es imperativo contar con la colaboración y el conocimiento especializado de varios actores dentro de la organización, como el personal jurídico, el personal de TI y los altos mandos.
El equipo legal debe garantizar que la organización celebre acuerdos de transferencia que cumplan con ISO 27001:2022 Anexo A Control 5.14. Además, el equipo de TI debe participar activamente en la especificación y ejecución de controles para salvaguardar los datos, como se indica en 5.14.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación general sobre ISO 27001:2022 Anexo A 5.14
Garantizar el cumplimiento de 5.14 requiere la creación de reglas, procedimientos y acuerdos, incluida una política de transferencia de datos que sea específica del tema, y brinde a los datos en tránsito un nivel de protección adecuado de acuerdo con la clasificación que se les asigne.
El nivel de seguridad debe ser proporcional a la importancia y sensibilidad de los datos que se envían. ISO 27001:2022 Anexo A 5.14 también requiere que las organizaciones celebren acuerdos de transferencia con terceros destinatarios para garantizar la transmisión segura de datos.
ISO 27001:2022 Anexo A Control 5.14 clasifica los tipos de transferencia en tres grupos:
- Transferencia electronica.
- Física medios de almacenamiento transferir.
- Transferencia verbal.
Antes de pasar a detallar las exigencias específicas de cada tipo de transferencia, ISO 27001:2022 El Anexo A Control 5.14 describe los elementos que deben estar presentes en todas las regulaciones, procedimientos y contratos relacionados con las tres transferencias en general:
- Las organizaciones deben determinar controles apropiados basados en el nivel de clasificación de la información para protegerla mientras está en tránsito contra acceso no autorizado, alteración, interceptación, duplicación, destrucción y ataques de denegación de servicio.
- Las organizaciones deben realizar un seguimiento de la cadena de custodia durante el tránsito y establecer y realizar controles para garantizar la trazabilidad de los datos.
- Especifique quién participa en la transferencia de datos y proporcione su información de contacto, como los propietarios de los datos y el personal de seguridad.
- En caso de violación de datos, se asignarán responsabilidades.
- Implementar un sistema de etiquetado para realizar un seguimiento de los artículos.
- Garantizar la disponibilidad del servicio de traslado.
- Directrices sobre los métodos de transferencia de información deben desarrollarse según temas específicos.
- Se deben seguir las pautas para almacenar y descartar todos los documentos comerciales, incluidos los mensajes.
- Examinar el impacto que cualquier ley, reglamento u otras obligaciones aplicables puedan tener en la transferencia.
Orientación complementaria sobre transferencia electrónica
ISO 27001:2022 Anexo A Control 5.14 detalla los requisitos de contenido específicos para las reglas, procedimientos y acuerdos asociados con los tres tipos de transferencias. Los requisitos mínimos de contenido deben cumplirse en los tres.
Las reglas, acuerdos y procedimientos deben abordar las siguientes consideraciones al transferir información electrónicamente:
- La identificación y frustración de los ataques de malware es primordial. Es fundamental que utilice la última tecnología para detectar y prevenir ataques de software malicioso.
- Asegurando el seguridad de la información confidencial que se encuentra en los archivos adjuntos enviados.
- Asegúrese de que las comunicaciones se envíen a los destinatarios adecuados evitando el riesgo de enviarlas a una dirección de correo electrónico, dirección o número de teléfono incorrectos.
- Obtenga permiso antes de comenzar a utilizar cualquier servicio de comunicación pública.
- Se deben emplear métodos de autenticación más estrictos al enviar datos a través de redes públicas.
- Imponer límites al uso de servicios de comunicación electrónica, por ejemplo prohibiendo el reenvío automatizado.
- Aconseje al personal que evite el uso de servicios de mensajes cortos o instantáneos para compartir datos confidenciales, ya que el contenido podría ser visto por personas no autorizadas en áreas públicas.
- Asesorar al personal y otras partes interesadas sobre los riesgos de protección que pueden plantear las máquinas de fax, como acceso no autorizado o envío incorrecto de mensajes a determinados números.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Orientación complementaria sobre la transferencia de medios de almacenamiento físico
Cuando la información se comparte físicamente, las reglas, procedimientos y acuerdos deben incluir:
- Las partes son responsables de notificarse mutuamente sobre la transmisión, envío y recepción de información.
- Garantizar que el mensaje se dirija correctamente y se envíe de forma adecuada.
- Un buen embalaje elimina la posibilidad de dañar el contenido durante el transporte. Por ejemplo, el embalaje debe ser resistente al calor y a la humedad.
- La dirección ha acordado una lista de mensajería autorizada y fiable.
- Una descripción general de los estándares de identificación de mensajería.
- Para información sensible y crítica, se deben utilizar bolsas a prueba de manipulaciones.
- Es importante verificar las identidades de los mensajeros.
- Este listado de terceros, clasificados según su nivel de servicio, prestan servicios de transporte o mensajería y ha sido aprobado.
- Registre en un registro la hora de entrega, el destinatario autorizado, las medidas de seguridad tomadas y la confirmación de recepción en el destino.
Orientación complementaria sobre transferencia verbal
El personal debe ser consciente de los riesgos asociados con el intercambio de información dentro de la organización o la transmisión de datos a partes externas, de acuerdo con la norma ISO 27001:2022 Anexo A Control 5.14. Estos riesgos incluyen:
- Deben abstenerse de discutir asuntos confidenciales en canales públicos inseguros o en áreas públicas.
- No se deben dejar mensajes de voz con información confidencial debido al peligro de reproducción por parte de personas no autorizadas, así como al riesgo de redireccionamiento a terceros.
- Las personas, tanto el personal como otros terceros aplicables, deben ser examinados antes de que se les conceda la admisión a las conversaciones.
- Las salas utilizadas para conversaciones confidenciales deben estar equipadas con la insonorización necesaria.
- Antes de entablar cualquier diálogo delicado, se debe emitir un descargo de responsabilidad.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
¿Cambios y diferencias con respecto a ISO 27001:2013?
ISO 27001:2022 Anexo A 5.14 reemplaza a ISO 27001:2013 Anexo A 13.2.1, 13.2.2 y 13.2.3.
Los dos controles guardan cierta semejanza, sin embargo, dos distinciones importantes hacen que los requisitos de 2022 sean más onerosos.
Requisitos específicos para transferencias eléctricas, físicas y verbales
La sección 13.2.3 en la versión de 2013 cubría las demandas particulares para la transmisión de datos por mensajería electrónica.
Sin embargo, no abordó específicamente la transmisión de información por medios verbales o físicos.
En comparación, la versión 2022 es precisa al identificar tres tipos de transferencia de información y describe el contenido necesario para cada uno de ellos individualmente.
ISO 27001:2022 establece requisitos más estrictos para la transferencia electrónica
La sección 13.2.3 de la versión 2022 establece requisitos más estrictos para el contenido de los acuerdos de mensajería electrónica.
Las organizaciones deben detallar y ejecutar nuevas regulaciones para las transferencias digitales en forma de reglas, procedimientos y contratos para ISO 27001:2022.
Por ejemplo, las organizaciones deben advertir a su personal que no utilice servicios de SMS al transmitir información confidencial.
Requisitos detallados para transferencias físicas
La versión 2022 impone regulaciones más estrictas sobre la transferencia física de medios de almacenamiento. Por ejemplo, es más exhaustivo en la autenticación de los mensajeros y en las salvaguardias contra diferentes formas de daños.
Cambios estructurales
En la versión de 2013 se hizo referencia explícita a los requisitos necesarios de los acuerdos de transferencia de información. Sin embargo, las "Reglas" y los "Procedimientos" no se describieron en detalle.
Para ISO 27001:2022, se describen criterios específicos para cada uno de los tres enfoques.
Tabla de todos los controles del Anexo A de ISO 27001:2022
En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 |
Anexo A 5.1.1 Anexo A 5.1.2 |
Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 |
Anexo A 6.1.5 Anexo A 14.1.1 |
Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 |
Anexo A 8.1.1 Anexo A 8.1.2 |
Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 |
Anexo A 8.1.3 Anexo A 8.2.3 |
Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 |
Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 |
Transferencia de información |
| Controles organizacionales | Anexo A 5.15 |
Anexo A 9.1.1 Anexo A 9.1.2 |
Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 |
Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 |
Información de autenticación |
| Controles organizacionales | Anexo A 5.18 |
Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 |
Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 |
Anexo A 15.2.1 Anexo A 15.2.2 |
Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 |
Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 |
Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 |
Anexo A 18.1.1 Anexo A 18.1.5 |
Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 |
Anexo A 18.2.2 Anexo A 18.2.3 |
Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 |
Anexo A 16.1.2 Anexo A 16.1.3 |
Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 |
Anexo A 11.1.2 Anexo A 11.1.6 |
Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 |
Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 |
Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 |
Anexo A 6.2.1 Anexo A 11.2.8 |
Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 |
Anexo A 12.6.1 Anexo A 18.2.3 |
Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 |
Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 |
Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados Derechos de acceso |
| Controles Tecnológicos | Anexo A 8.19 |
Anexo A 12.5.1 Anexo A 12.6.2 |
Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 |
Anexo A 10.1.1 Anexo A 10.1.2 |
Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 |
Anexo A 14.1.2 Anexo A 14.1.3 |
Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Arquitectura de sistemas seguros y principios de ingeniería: aprendizaje a partir de incidentes de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 |
Anexo A 14.2.8 Anexo A 14.2.9 |
Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 |
Anexo A 12.1.4 Anexo A 14.2.6 |
Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 |
Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 |
Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
[caso_estudio_slider_id=”88859,101932,92016″ reproducción automática=”verdadero” velocidad_reproducción automática=”5000″]
Cómo ayuda ISMS.online
Implementación de ISO 27001:2022 puede simplificarse con nuestra lista de verificación paso a paso. Le guiará a lo largo de todo el proceso, desde la definición del alcance de su SGSI hasta identificando riesgos e implementar controles.
Reserve su demostración hoy. Las citas están disponibles los siete días de la semana, así que programe la suya en un momento que funcione para ti.
