- See Norma ISO 27002:2022 5.20 para obtener más información.
- See ISO 27001:2013 Anexo A 15.1.2 para obtener más información.
¿Cuál es el propósito del Anexo A 27001 de la norma ISO 2022:5.20?
El Control 27001 del Anexo A de ISO 5.20 rige cómo una organización forma un contrato con un proveedor en función de sus requisitos de seguridad. Esto se basa en los tipos de proveedores con los que trabajan.
Como parte del Anexo A Control 5.20, las organizaciones y sus proveedores deben acordar mutuamente seguridad de la información aceptable obligaciones de mantener el riesgo.
¿Quién es propietario del Anexo A 5.20?
El Control del Anexo 5.20 debe determinarse en función de si la organización opera su propio departamento legal, así como de la naturaleza del acuerdo que se ha firmado.
Gestionar cualquier cambio en la cadena de suministro. Las políticas, procedimientos y controles, incluido el mantenimiento y la mejora de las políticas, procedimientos y controles de seguridad de la información existentes, se consideran control efectivo.
Esto se determina considerando la criticidad de la información comercial, la naturaleza del cambio, los tipos de proveedores afectados, los sistemas y procesos involucrados y reevaluando los factores de riesgo. Cambiar los servicios que proporciona un proveedor también debe considerar la intimidad de la relación y la capacidad de la organización para influir o controlar el cambio.
La propiedad de 5.20 debe recaer en el individuo responsable de los acuerdos legalmente vinculantes dentro de la organización (contratos, memorandos de entendimiento, acuerdos de nivel de servicio, etc.) si la organización tiene la capacidad legal para redactar, modificar y almacenar sus acuerdos contractuales sin la participación. de terceros.
Un miembro de la alta dirección de la organización que supervisa las operaciones comerciales de la organización y mantiene relaciones directas con sus proveedores debe asumir la responsabilidad del Control 5.20 del Anexo A si la organización subcontrata dichos acuerdos.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
ISO 27001:2022 Anexo A 5.20 Orientación general
El control 5.20 del Anexo A contiene 25 puntos de orientación que según ISO son “posibles de considerar” (es decir, no necesariamente todos) para que las organizaciones cumplan con sus requisitos de seguridad de la información.
El Anexo A Control 5.20 especifica que, independientemente de las medidas adoptadas, ambas partes deben salir del proceso con un “claro entendimiento” de las obligaciones de seguridad de la información de cada uno.
- Es esencial proporcionar una descripción clara de la información a la que se debe acceder y cómo se accederá a esa información.
- Las organizaciones deben clasificar la información según sus esquemas de clasificación publicados (consulte los Controles 5.10, 5.12 y 5.13 del Anexo A).
- Clasificación de la información del lado del proveedor debe considerarse junto con su relación con el del lado de la organización.
- Generalmente, los derechos de ambas partes se pueden dividir en cuatro categorías: legales, estatutarios, regulatorios y contractuales. Como es habitual en los acuerdos comerciales, se deben delinear claramente varias obligaciones dentro de estas cuatro áreas, incluido el acceso a la información personal, los derechos de propiedad intelectual y las disposiciones de derechos de autor. El contrato también debe cubrir cómo se abordarán estas áreas clave por separado.
- Como parte del sistema de control del Anexo A, se debe exigir a cada parte que implemente medidas concurrentes diseñadas para monitorear, evaluar y gestionar los riesgos de seguridad de la información (como políticas de control de acceso, revisiones contractuales, monitoreo, informes y auditorías periódicas). Además, el acuerdo debe establecer claramente que el personal del proveedor debe cumplir con los estándares de seguridad de la información de la organización (ver ISO 27001 Anexo A Control 5.20).
- Ambas partes deben comprender claramente qué constituye un uso aceptable e inaceptable de la información, así como de los activos físicos y virtuales.
- Para garantizar que el personal del proveedor pueda acceder y ver la información de una organización, se deben implementar procedimientos (por ejemplo, auditorías del proveedor y controles de acceso al servidor).
- Además de considerar la infraestructura TIC del proveedor, es importante comprender cómo se relaciona con el tipo de información a la que accederá la organización. Esto se suma al conjunto básico de requisitos comerciales de la organización.
- Si el proveedor incumple el contrato o no cumple con los términos individuales, la organización debe considerar qué medidas puede tomar.
- Específicamente, el acuerdo debe describir un procedimiento mutuo de gestión de incidentes que aclare cómo se deben manejar los problemas cuando surjan. Esto incluye cómo ambas partes deben comunicarse cuando ocurre un incidente.
- Ambas partes deben proporcionar una formación de concientización adecuada (cuando la formación estándar no sea suficiente) en áreas clave del acuerdo, particularmente en áreas de riesgo como la gestión de incidentes y el intercambio de información.
- Debería abordarse adecuadamente el uso de subcontratistas. Las organizaciones deben garantizar que, si al proveedor se le permite utilizar subcontratistas, dichas personas o empresas cumplan con los mismos estándares de seguridad de la información que el proveedor.
- En la medida en que sea legal y operativamente posible, las organizaciones deberían considerar cómo se examina al personal de los proveedores antes de interactuar con su información. Además, deben considerar cómo se registran y notifican a la organización los exámenes de detección, incluido el personal no examinado y las áreas de preocupación.
- Certificación de terceros, como independientes informes y auditorías de terceros, deberían ser exigidos por las organizaciones a los proveedores que cumplan con sus requisitos de seguridad de la información.
- ISO 27001:2022 Anexo A El Control 5.20 requiere que las organizaciones tengan derecho a evaluar y auditar los procedimientos de sus proveedores.
- Se debe exigir a un proveedor que proporcione informes periódicos (a intervalos variables) que resuma la efectividad de sus procesos y procedimientos y cómo pretende abordar cualquier problema planteado.
- Durante la relación, el acuerdo debe incluir medidas para garantizar que cualquier defecto o conflicto se resuelva oportuna y completamente.
- El proveedor debe implementar una política BUDR adecuada, diseñada para satisfacer las necesidades de la organización, que aborde tres consideraciones clave: a) tipo de copia de seguridad (servidor completo, archivos y carpetas, incremental), b) frecuencia de la copia de seguridad (diaria, semanal, etc.). ) C) Ubicación de la copia de seguridad y medio de origen (en el sitio, fuera del sitio).
- Es esencial garantizar la resiliencia de los datos operando desde una instalación de recuperación de desastres separada del sitio principal de TIC del proveedor. Esta instalación no está sujeta al mismo nivel de riesgo que el sitio principal de TIC.
- Los proveedores deben mantener una política integral de gestión de cambios que permita a la organización rechazar por adelantado cualquier cambio que pueda afectar la seguridad de la información.
- Controles de seguridad física debe implementarse dependiendo de a qué información se les permite acceder (acceso al edificio, acceso de visitantes, acceso a la sala, seguridad del escritorio).
- Siempre que se transfieran datos entre activos, sitios, servidores o ubicaciones de almacenamiento, los proveedores deben asegurarse de que los datos y los activos estén protegidos contra pérdidas, daños o corrupción.
- Como parte del acuerdo, se debe exigir a cada parte que tome una lista extensa de acciones en caso de terminación (ver Anexo A Control 5.20). Estas acciones incluyen (pero no se limitan a): a) disposición de activos y/o reubicación, b) eliminación de información, c) devolución de propiedad intelectual, d) eliminación de derechos de acceso e) continuidad de las obligaciones de confidencialidad.
- Además del punto 23, el proveedor debe discutir en detalle cómo piensa destruir/eliminar permanentemente la información de la organización cuando ya no sea necesaria (es decir, al finalizar el contrato).
- Siempre que finaliza un contrato y surge la necesidad de transferir soporte y/o servicios a otro proveedor que no figura en el contrato, se toman medidas para garantizar que no se interrumpan las operaciones comerciales.
Controles adjuntos al Anexo A
- ISO 27001:2022 Anexo A 5.10
- ISO 27001:2022 Anexo A 5.12
- ISO 27001:2022 Anexo A 5.13
- ISO 27001:2022 Anexo A 5.20
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Orientación complementaria sobre el Anexo A 5.20
El Anexo A Control 5.20 recomienda que las organizaciones mantengan un registro de acuerdos para ayudarlas en la gestión de sus relaciones con los proveedores.
Se deben mantener registros de todos los acuerdos celebrados con otras organizaciones, categorizados según la naturaleza de la relación. Esto incluye contratos, memorandos de entendimiento y acuerdos relacionados con el intercambio de información.
¿Cuáles son los cambios con respecto a ISO 27001:2013?
Se ha realizado una enmienda al Anexo A 27001 de ISO 2013:15.1.2 (Abordando la seguridad dentro de los acuerdos con proveedores) para ISO 27001:2022 Anexo A Control 5.20.
En el Anexo A Control 5.20 de ISO 27001:2022 se incluyen varias pautas adicionales que abordan una amplia gama de cuestiones técnicas, legales y relacionadas con el cumplimiento, que incluyen:
- El procedimiento de entrega.
- Destrucción de información.
- Disposiciones por rescisión.
- Controles de seguridad física.
- Gestión del cambio.
- Redundancia de información y respaldos.
Como regla general, el Anexo A 27001 de la norma ISO 2022:5.20 enfatiza cómo un proveedor logra redundancia e integridad de los datos a lo largo de un contrato.
Tabla de todos los controles del Anexo A de ISO 27001:2022
En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 |
Anexo A 5.1.1 Anexo A 5.1.2 |
Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 |
Anexo A 6.1.5 Anexo A 14.1.1 |
Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 |
Anexo A 8.1.1 Anexo A 8.1.2 |
Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 |
Anexo A 8.1.3 Anexo A 8.2.3 |
Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 |
Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 |
Transferencia de información |
| Controles organizacionales | Anexo A 5.15 |
Anexo A 9.1.1 Anexo A 9.1.2 |
Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 |
Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 |
Información de autenticación |
| Controles organizacionales | Anexo A 5.18 |
Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 |
Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 |
Anexo A 15.2.1 Anexo A 15.2.2 |
Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 |
Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 |
Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 |
Anexo A 18.1.1 Anexo A 18.1.5 |
Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 |
Anexo A 18.2.2 Anexo A 18.2.3 |
Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 |
Anexo A 16.1.2 Anexo A 16.1.3 |
Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 |
Anexo A 11.1.2 Anexo A 11.1.6 |
Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 |
Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 |
Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 |
Anexo A 6.2.1 Anexo A 11.2.8 |
Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 |
Anexo A 12.6.1 Anexo A 18.2.3 |
Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 |
Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 |
Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados Derechos de acceso |
| Controles Tecnológicos | Anexo A 8.19 |
Anexo A 12.5.1 Anexo A 12.6.2 |
Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 |
Anexo A 10.1.1 Anexo A 10.1.2 |
Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 |
Anexo A 14.1.2 Anexo A 14.1.3 |
Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Arquitectura de sistemas seguros y principios de ingeniería: aprendizaje a partir de incidentes de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 |
Anexo A 14.2.8 Anexo A 14.2.9 |
Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 |
Anexo A 12.1.4 Anexo A 14.2.6 |
Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 |
Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 |
Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
[caso_estudio_slider_id=”88859,101932,92016″ reproducción automática=”verdadero” velocidad_reproducción automática=”5000″]
¿Cuáles son los beneficios de utilizar ISMS.online para las relaciones con los proveedores?
Una lista de verificación paso a paso lo guiará a través de todo el Proceso de implementación ISO 27001, desde definir el alcance de su SGSI hasta identificar riesgos e implementar controles.
A través del área de relaciones de cuentas (por ejemplo, proveedores) fácil de usar de ISMS.online, puede asegurarse de que sus relaciones se seleccionen cuidadosamente, se gestionen bien en la vida y se supervisen y revisen. Los espacios de trabajo colaborativo de proyectos de ISMS.online han cumplido fácilmente este objetivo de control. Estos espacios de trabajo son útiles para altas de proveedores, iniciativas conjuntas, bajas, etc., que el auditor también puede visualizar fácilmente cuando sea necesario.
También hemos facilitado este objetivo de control para su organización al permitirle demostrar que el proveedor se ha comprometido formalmente a cumplir con los requisitos. Esto se hace a través de nuestro Paquetes de pólizas. Estos paquetes de políticas son especialmente útiles para organizaciones con políticas y controles específicos que desean que sus proveedores cumplan para que puedan tener la confianza de que sus proveedores han leído estas políticas y se han comprometido a cumplirlas.
Puede ser necesario alinear el cambio con A.6.1.5 Seguridad de la información en la gestión de proyectos dependiendo de la naturaleza del cambio (por ejemplo, para cambios más sustanciales).
