- See Norma ISO 27002:2022 5.17 para obtener más información.
- See ISO 27001:2013 Anexo A 9.2.4 para obtener más información.
- See ISO 27001:2013 Anexo A 9.3.1 para obtener más información.
- See ISO 27001:2013 Anexo A 9.4.3 para obtener más información.
Explicación del control 27001 de la norma ISO 2022:5.17: protección de los datos de autenticación
ISO 27001:2022 Anexo A El Control 5.17 establece que la información de autenticación debe mantenerse segura.
Esto significa que las organizaciones deben tomar medidas apropiadas para proteger credenciales de usuario, como contraseñas y preguntas de seguridad, contra accesos no autorizados. También deben garantizar que los usuarios puedan acceder al sistema con sus credenciales de forma segura. Además, las organizaciones también deben asegurarse de que los usuarios puedan restablecer sus credenciales cuando sea necesario.
Los detalles de autenticación (contraseñas, claves de cifrado y chips de tarjetas) brindan acceso a sistemas de información que contienen datos confidenciales.
El mal manejo de la información de autenticación puede provocar acceso no autorizado a los sistemas de datos y la pérdida de confidencialidad, disponibilidad e integridad de datos confidenciales.
¿Cuál es el propósito del control 27001 del Anexo A de ISO 2022:5.17?
El Control 5.17 del Anexo A permite a las organizaciones asignar y gestionar eficazmente la información de autenticación, evitando interrupciones en el proceso de autenticación y protegiendo contra amenazas de seguridad que podrían resultar de la manipulación de la información de autenticación.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Propiedad del Anexo A 5.17
ISO 27001:2022 Anexo A Control 5.17 requiere el establecimiento e implementación de reglas, procedimientos y medidas en toda la organización para la asignación y gestión de la información de autenticación. Oficiales de seguridad de la información deberá velar por el cumplimiento de este control.
Anexo A 5.17 Orientación sobre la asignación de información de autenticación
Las organizaciones deben cumplir con estos seis requisitos para la asignación y administración de información de autenticación:
- Al inscribirse nuevos usuarios, las contraseñas personales y los números de identificación personal generados automáticamente no deben ser adivinables. Además, cada usuario debe tener una contraseña única y es obligatorio cambiar las contraseñas después del uso inicial.
- Las organizaciones deben tener procesos sólidos para verificar la identidad de un usuario antes de recibir información de autenticación nueva o de reemplazo, o antes de que se les proporcione información temporal.
- Las organizaciones deben garantizar la transmisión segura de los datos de autenticación a las personas a través de vías seguras y no deben enviar dicha información a través de mensajes electrónicos no seguros (por ejemplo, texto sin formato).
- Los usuarios deben asegurarse de haber recibido los detalles de autenticación.
- Las organizaciones deben actuar rápidamente después de instalar nuevos sistemas y software de TI, modificando los detalles de autenticación predeterminados de inmediato.
- Las organizaciones deben establecer y mantener registros de todos los eventos importantes en relación con la gestión y asignación de información de autenticación. Estos registros deben mantenerse privados y deben autorizarse métodos de mantenimiento de registros, por ejemplo, con el uso de una herramienta de contraseña autorizada.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Anexo A 5.17 Guía sobre responsabilidades del usuario
Se debe indicar a los usuarios con acceso a la información de autenticación que cumplan con lo siguiente:
- Los usuarios deben mantener confidencial la información de autenticación secreta, como las contraseñas, y no deben compartirla con nadie más. Cuando varios usuarios participan en el uso de información de autenticación o la información está vinculada a entidades no personales, no deben revelarla a personas no autorizadas.
- Los usuarios deben cambiar sus contraseñas inmediatamente si se ha violado el secreto de sus contraseñas.
- Los usuarios deben seleccionar contraseñas seguras y difíciles de adivinar que cumplan con los estándares de la industria. Por ejemplo:
- Las contraseñas no deben basarse en información personal que pueda obtenerse fácilmente, como nombres o fechas de nacimiento.
- Las contraseñas no deben basarse en información que pueda adivinarse fácilmente.
- Las contraseñas no deben contener palabras o secuencias de palabras que sean comunes.
- Utilice caracteres alfanuméricos y especiales en su contraseña.
- Las contraseñas deben tener un requisito de longitud mínima.
- Los usuarios no deben utilizar la misma contraseña para varios servicios.
- Las organizaciones deberían hacer que sus empleados acepten la responsabilidad de crear y utilizar contraseñas en sus contratos laborales.
Anexo A 5.17 Guía sobre sistemas de gestión de contraseñas
Las organizaciones deben observar lo siguiente al configurar un sistema de administración de contraseñas:
- Los usuarios deben tener la capacidad de crear y modificar sus contraseñas, con un procedimiento de verificación implementado para detectar y rectificar cualquier error al ingresar datos.
- Las organizaciones deben cumplir con las mejores prácticas de la industria al desarrollar un proceso sólido de selección de contraseñas.
- Los usuarios deben cambiar sus contraseñas predeterminadas al acceder por primera vez a un sistema.
- Es fundamental cambiar las contraseñas cuando corresponda. Por ejemplo, después de un incidente de seguridad o cuando un empleado deja su trabajo y tenía acceso a contraseñas, es necesario un cambio de contraseña.
- Las contraseñas anteriores no deben reciclarse.
- No se debe permitir el uso de contraseñas que sean ampliamente conocidas o a las que se haya accedido mediante una violación de la seguridad para acceder a sistemas pirateados.
- Cuando se ingresan contraseñas, deben mostrarse en la pantalla en texto claro.
- Las contraseñas deben transmitirse y almacenarse a través de canales seguros en un formato seguro.
Las organizaciones también deben implementar procedimientos de hash y cifrado de acuerdo con los métodos criptográficos aprobados para contraseñas establecidos en el Anexo A. Control de 8.24 de la norma ISO 27001:2022.
Orientación complementaria sobre el control del Anexo A 5.17
Además de las contraseñas, existen otras formas de autenticación, como claves criptográficas, tarjetas inteligentes y datos biométricos como huellas dactilares.
Las organizaciones deberían consultar la serie ISO/IEC 24760 para obtener más consejos sobre los datos de autenticación.
Teniendo en cuenta la molestia y la molestia de cambiar periódicamente las contraseñas, las organizaciones pueden considerar alternativas como el inicio de sesión único o las bóvedas de contraseñas. Sin embargo, cabe señalar que estas opciones aumentan el riesgo de que la información de autenticación confidencial quede expuesta a partes no autorizadas.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27001:2013
ISO 27001:2022 El Anexo A 5.17 es el reemplazo del Anexo A 27001, 2013 y 9.2.4 de ISO 9.3.1:9.4.3.
ISO 27001:2022 contiene un nuevo requisito para la asignación y gestión de información de autenticación
En 2013, los requisitos para asignar y gestionar información de autenticación eran muy similares. Sin embargo, ISO 27001:2022 Anexo A Control 5.17 introdujo un requisito que no estaba presente en 2013.
Las organizaciones deben crear y mantener registros de todos los eventos importantes asociados con la gestión y distribución de la información de autenticación. Estos registros deben mantenerse confidenciales, con técnicas de mantenimiento de registros autorizadas, por ejemplo, el uso de una herramienta de contraseña aceptada.
La versión 2022 contiene un requisito adicional para el uso de información de autenticación
ISO 27001:2022 Anexo A Control 5.17 introduce un requisito para las responsabilidades del usuario que no se especificó en el Control 9.3.1 de la versión 2013.
Las organizaciones deben incluir requisitos de contraseña en sus contratos con empleados y personal. Dichos requisitos deberían abarcar la creación y el uso de contraseñas.
ISO 27001:2013 contenía requisitos adicionales para las responsabilidades del usuario que no se incluyeron en la versión 2022
En comparación con la versión 2022, Control 9.3.1 contenía el siguiente mandato para el empleo de datos de autenticación:
Los usuarios no deben utilizar los mismos datos de autenticación, por ejemplo una contraseña, tanto para fines laborales como no laborales.
ISO 27001:2013 contenía un requisito adicional para los sistemas de gestión de contraseñas que no estaba incluido en la versión 2022
El Control 9.4.3 de la Versión 2013 requiere que los sistemas de gestión de contraseñas deben:
Asegúrese de que los archivos con contraseñas se guarden en un sistema diferente al que aloja los datos de la aplicación.
ISO 27001:2022 Anexo A Control 5.17 no requiere esto.
Tabla de todos los controles del Anexo A de ISO 27001:2022
En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 |
Anexo A 5.1.1 Anexo A 5.1.2 |
Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 |
Anexo A 6.1.5 Anexo A 14.1.1 |
Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 |
Anexo A 8.1.1 Anexo A 8.1.2 |
Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 |
Anexo A 8.1.3 Anexo A 8.2.3 |
Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 |
Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 |
Transferencia de información |
| Controles organizacionales | Anexo A 5.15 |
Anexo A 9.1.1 Anexo A 9.1.2 |
Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 |
Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 |
Información de autenticación |
| Controles organizacionales | Anexo A 5.18 |
Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 |
Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 |
Anexo A 15.2.1 Anexo A 15.2.2 |
Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 |
Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 |
Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 |
Anexo A 18.1.1 Anexo A 18.1.5 |
Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 |
Anexo A 18.2.2 Anexo A 18.2.3 |
Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 |
Anexo A 16.1.2 Anexo A 16.1.3 |
Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 |
Anexo A 11.1.2 Anexo A 11.1.6 |
Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 |
Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 |
Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 |
Anexo A 6.2.1 Anexo A 11.2.8 |
Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 |
Anexo A 12.6.1 Anexo A 18.2.3 |
Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 |
Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 |
Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados Derechos de acceso |
| Controles Tecnológicos | Anexo A 8.19 |
Anexo A 12.5.1 Anexo A 12.6.2 |
Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 |
Anexo A 10.1.1 Anexo A 10.1.2 |
Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 |
Anexo A 14.1.2 Anexo A 14.1.3 |
Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Arquitectura de sistemas seguros y principios de ingeniería: aprendizaje a partir de incidentes de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 |
Anexo A 14.2.8 Anexo A 14.2.9 |
Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 |
Anexo A 12.1.4 Anexo A 14.2.6 |
Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 |
Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 |
Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
[caso_estudio_slider_id=”88859,101932,92016″ reproducción automática=”verdadero” velocidad_reproducción automática=”5000″]
Cómo ayuda ISMS.online
ISMS.Online permite a las organizaciones y empresas cumplir con las necesidades de ISO 27001:2022 proporcionándoles una plataforma que facilita la gestión, actualización, prueba y seguimiento de la eficacia de sus políticas y procedimientos de confidencialidad o no divulgación.
Ofrecemos una plataforma basada en la nube para administrar la confidencialidad y Sistemas de gestión de seguridad de la información, que incluye cláusulas de confidencialidad, gestión de riesgos, políticas, planes y procedimientos, todo en una ubicación conveniente. Es sencillo de usar, con una interfaz intuitiva que facilita su aprendizaje.
Póngase en contacto con nosotros hoy para organizar una demostración.
