- See Norma ISO 27002:2022 5.24 para obtener más información.
- See ISO 27001:2013 Anexo A 16.1.1 para obtener más información.
¿Cuál es el objetivo del Anexo A 27001 de ISO 2022:5.24?
El objetivo del Anexo A 27001 de ISO 2022:5.24 es garantizar un enfoque consistente y práctico para gestión de la seguridad de la información incidentes, eventos y debilidades.
Definir cómo la dirección establece responsabilidades y procedimientos para abordar debilidades, eventos e incidentes de seguridad es la definición de control adecuado.
El término incidente se refiere a una situación en la que se ha producido una pérdida de confidencialidad, integridad o disponibilidad.
Para planificar una respuesta a un incidente, una respuesta a un evento o una respuesta a una debilidad, su liderazgo debe definir esos procedimientos antes de que ocurra un incidente. Esos procedimientos son fáciles de desarrollar ya que el resto de este control del Anexo A los detalla. Debe demostrar que estos procedimientos formales y documentados funcionan con su auditor.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
¿Cuál es el propósito del Anexo A 5.24?
En el Anexo A Control 5.24 se puede ver un enfoque de gestión de incidentes para la seguridad de la información.
Este control describe cómo las organizaciones deben abordar los incidentes relacionados con la seguridad de la información mediante la creación de procesos eficientes, la planificación adecuada y la definición de roles y responsabilidades claramente definidos.
Enfatiza la comunicación constructiva y las respuestas profesionales a escenarios de alta presión, especialmente cuando se trata de información personal comercialmente sensible.
Su propósito es minimizar cualquier daño comercial u operativo causado por problemas críticos. eventos de seguridad de la información estableciendo un conjunto estándar de procedimientos de gestión de incidentes.
Propiedad de ISO 27001:2022 Anexo A 5.24
En un sentido más amplio, una estrategia de gestión de incidentes suele utilizarse para gestionar incidentes relacionados con el servicio. El control 5.24 del Anexo A trata específicamente de incidentes y violaciones relacionadas con la seguridad de la información.
Debido a la naturaleza sensible de estos eventos, los CISO o equivalentes de una organización deben hacerse cargo del Control 5.24.
Dado que los CISO suelen ser empleados de grandes empresas, la propiedad también podría recaer en el director de operaciones o el director de servicios, según la naturaleza de la organización.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Orientación sobre funciones y responsabilidades
Para lograr los resultados más efectivos en la gestión de incidentes, el personal de una organización debe trabajar en conjunto para resolver problemas específicos.
El Anexo A Control 5.24 especifica cinco pautas principales sobre cómo las organizaciones pueden hacer que sus operaciones de gestión de la información sean más eficientes y cohesivas.
Es fundamental que las organizaciones:
- Desarrollar y documentar un método homogéneo para informar eventos de seguridad. Esto también debería incluir el establecimiento de un punto de contacto único para todos estos eventos.
- Implementar procesos de Gestión de Incidentes para manejar incidentes relacionados con la seguridad de la información en varias áreas técnicas y administrativas:
- Administración
- Documentación
- Detección
- Triage
- Priorización
- Análisis
- Comunicación
Crear un procedimiento de respuesta a incidentes para que la organización pueda evaluar y responder a los incidentes. Una empresa también debería considerar la necesidad de aprender de los incidentes una vez resueltos. Esto evita recurrencias y proporciona al personal un contexto histórico para escenarios futuros.
Asegúrese de que sólo personal capacitado y competente participe en los incidentes. Además, asegúrese de que tengan acceso completo a la documentación de los procedimientos y de que reciban capacitación de actualización periódica que esté directamente relacionada con los incidentes de seguridad de la información.
Identificar las necesidades de capacitación de los miembros del personal para resolver incidentes relacionados con la seguridad de la información mediante el establecimiento de un proceso. Se debe permitir al personal resaltar las necesidades de desarrollo profesional relacionadas con la seguridad de la información y las certificaciones específicas de proveedores.
Orientación sobre la gestión de incidentes
Una organización debería gestionar incidentes de seguridad de la información para garantizar que todas las personas involucradas en resolverlos comprendan tres áreas principales:
- El tiempo de resolución de un incidente.
- Posibles repercusiones.
- Gravedad del incidente.
Todos los procesos deben trabajar juntos armoniosamente para mantener estas tres variables como máximas prioridades:
- En el Anexo A Control 5.24 se deben abordar ocho actividades principales al resolver incidentes relacionados con la seguridad de la información.
- El potencial del evento debe evaluarse en base a criterios estrictos que lo validen como un incidente de seguridad aprobado.
- Los eventos e incidentes relacionados con la seguridad de la información deben gestionarse de la siguiente manera, ya sea manualmente o mediante la automatización de procesos:
- Monitoreo (ver Anexo A Controles 8.15 y 8.16).
- Detección (ver Anexo A Control 88.16).
- Clasificación (ver Anexo A Control 5.25).
- Análisis.
- Informes (ver Anexo A Control 6.8).
Una conclusión exitosa de un incidente de seguridad de la información debe incluir los siguientes procedimientos:
- Dependiendo del tipo de incidente, se requiere respuesta y escalamiento (ver Anexo A Control 5.26).
- Activación caso por caso de planes de gestión de crisis o continuidad de negocio.
- Recuperación de un incidente de una manera que minimice cualquier daño operativo o financiero.
- Comunicación con todas las partes internas y externas con respecto a eventos relacionados con incidentes.
- La capacidad de trabajar en colaboración con personal interno y externo (ver Anexo A Control 5.5 y 5.6).
- Todas las actividades de gestión de incidentes deben registrarse, ser fácilmente accesibles y transparentes.
Cumplimiento de lineamientos y regulaciones externas e internas respecto del manejo de evidencia (incluidos datos y conversaciones) (ver Anexo A Control 5.28).
Una vez que se haya resuelto el incidente, se llevará a cabo una investigación exhaustiva y un análisis de la causa raíz.
Una descripción completa de cualquier mejora necesaria para evitar que el incidente se repita, incluido cualquier cambio en el proceso de gestión de incidentes.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Orientación sobre directrices para la presentación de informes
Una política de gestión de incidentes debe centrarse en las actividades de presentación de informes para garantizar que la información se difunda con precisión en toda la organización. Las actividades de presentación de informes deben concentrarse en cuatro áreas principales:
- Un evento de seguridad de la información requiere que se tomen acciones específicas.
- Utilizando formularios de incidentes, el personal puede registrar información de forma clara y concisa.
- Informar al personal del resultado de los incidentes de seguridad de la información una vez resueltos mediante procesos de retroalimentación.
- Toda la información relevante sobre un incidente se documenta en informes de incidentes.
El Anexo A Control 5.24 necesita orientación sobre cómo cumplir con los requisitos de presentación de informes externos (por ejemplo, directrices reglamentarias y legislación vigente). A pesar de esto, las organizaciones deben coordinar una respuesta que cumpla con todos los requisitos legales, regulatorios y específicos del sector compartiendo información sobre incidentes con todas las partes relevantes.
Controles adjuntos al Anexo A
- ISO 27001:2022 Anexo A 5.25
- ISO 27001:2022 Anexo A 5.26
- ISO 27001:2022 Anexo A 5.5
- ISO 27001:2022 Anexo A 5.6
- ISO 27001:2022 Anexo A 6.8
- ISO 27001:2022 Anexo A 8.15
- ISO 27001:2022 Anexo A 8.16
¿Cuáles son los cambios y diferencias con respecto a ISO 27001:2013?
ISO 27001:2022 Anexo A 5.24 reemplaza ISO 27001:2013 Anexo A 16.1.1 ('Gestión de Incidentes y Mejoras de Seguridad de la Información').
En el Anexo A 5.24 se reconoce que las organizaciones deben someterse a una preparación exhaustiva para ser resilientes y cumplir con los incidentes de seguridad de la información.
En este sentido, 27001:2022 A.5.24 proporciona un desglose completo de los pasos que una organización debe tomar en la delegación de roles, la gestión de incidentes y las funciones de presentación de informes, así como referencias a otros controles ISO que ayudan a las organizaciones a obtener una visión más completa de los incidentes. gestión en su conjunto, no sólo en relación con incidentes de seguridad de la información.
Hay tres áreas distintas a considerar al compartimentar las operaciones de gestión de incidentes en ISO 27001:2022 Anexo A 5.24 en contraposición a ISO 27001:2013 Anexo A 16.1.1:
- Responsabilidades y roles.
- Procesos de gestión de incidencias.
- El proceso de presentación de informes.
Tabla de todos los controles del Anexo A de ISO 27001:2022
En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control.
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 |
Anexo A 5.1.1 Anexo A 5.1.2 |
Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 |
Anexo A 6.1.5 Anexo A 14.1.1 |
Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 |
Anexo A 8.1.1 Anexo A 8.1.2 |
Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 |
Anexo A 8.1.3 Anexo A 8.2.3 |
Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 |
Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 |
Transferencia de información |
| Controles organizacionales | Anexo A 5.15 |
Anexo A 9.1.1 Anexo A 9.1.2 |
Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 |
Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 |
Información de autenticación |
| Controles organizacionales | Anexo A 5.18 |
Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 |
Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 |
Anexo A 15.2.1 Anexo A 15.2.2 |
Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 |
Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 |
Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 |
Anexo A 18.1.1 Anexo A 18.1.5 |
Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 |
Anexo A 18.2.2 Anexo A 18.2.3 |
Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 |
Anexo A 16.1.2 Anexo A 16.1.3 |
Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 |
Anexo A 11.1.2 Anexo A 11.1.6 |
Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 |
Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 |
Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 |
Anexo A 6.2.1 Anexo A 11.2.8 |
Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 |
Anexo A 12.6.1 Anexo A 18.2.3 |
Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 |
Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 |
Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados Derechos de acceso |
| Controles Tecnológicos | Anexo A 8.19 |
Anexo A 12.5.1 Anexo A 12.6.2 |
Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 |
Anexo A 10.1.1 Anexo A 10.1.2 |
Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 |
Anexo A 14.1.2 Anexo A 14.1.3 |
Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Arquitectura de sistemas seguros y principios de ingeniería: aprendizaje a partir de incidentes de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 |
Anexo A 14.2.8 Anexo A 14.2.9 |
Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 |
Anexo A 12.1.4 Anexo A 14.2.6 |
Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 |
Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 |
Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
[caso_estudio_slider_id=”88859,101932,92016″ reproducción automática=”verdadero” velocidad_reproducción automática=”5000″]
Gestión de incidentes de seguridad de la información: ¿Cómo ayuda ISMS.online?
ISMS.online proporciona una política integrada para abordar 16.1.1 – 16.1.7 durante todo el ciclo de vida y herramientas integradas que puede utilizar para demostrarlo. La gestión de incidentes de seguridad es un proceso sencillo y sin esfuerzo con la herramienta de gestión de incidentes de seguridad de ISMS.online. Un plan integral de gestión de incidentes guía un incidente a través de todas las etapas clave, garantizando que el estándar se cumpla de manera pragmática pero conforme.
Con ISMS.online, puede adaptarlo rápidamente según sea necesario. Las estadísticas prediseñadas y la información sobre informes ayudan a que las revisiones de la gestión sean mucho más sencillas y ahorren tiempo, ya que se combinan elegantemente con partes relacionadas del SGSI. ¿Le gustaría vincular un incidente específico a una mejora, un riesgo, una auditoría, o un activo de información y las políticas que debe considerar?
A continuación se muestra un título del seguimiento de incidentes de seguridad, que ayuda a resaltar todo el trabajo que se está realizando. Esto es fácil y también evita la duplicación de trabajo. Para asegurarse de centrarse primero en las cosas más importantes, puede filtrarlas y administrar recursos, categorías y tipos de incidentes.
ISMS.online le permite:
- Implementar un SGSI que cumpla con los requisitos de la norma ISO 27001.
- Demostrar el cumplimiento de los requisitos de la norma realizando tareas y presentando pruebas.
- Garantizar el cumplimiento de la ley mediante la asignación de tareas y el seguimiento del progreso.
- Garantice el cumplimiento con la ayuda de un equipo dedicado de asesores.
Póngase en contacto con nosotros hoy para programa una demostración.
