- See Norma ISO 27002:2022 6.4 para obtener más información.
- See ISO 27001:2013 Anexo A 7.2.3 para obtener más información.
¿Qué es ISO 27001:2022 Anexo A 6.4?
ISO 27001:2022 Anexo A 6.4 requiere que las organizaciones establezcan un proceso disciplinario para actuar como disuasivo contra seguridad de la información violaciones
Se debe implementar una comunicación formal de este proceso y se debe establecer una sanción adecuada para los empleados y otras partes interesadas que violen la política de seguridad de la información.
Violación de seguridad de la información explicada
Información politica de seguridad Estas infracciones constituyen un incumplimiento de las normas que regulan el correcto manejo de la información. Las organizaciones establecen estas políticas para proteger datos confidenciales, de propiedad y personales, como registros de clientes y números de tarjetas de crédito. Además, también se incluyen políticas de seguridad informática para garantizar que los datos almacenados en las computadoras permanezcan seguros e intactos.
Si utiliza el correo electrónico de la empresa para enviar comunicaciones personales sin el permiso de su supervisor, esto podría constituir un incumplimiento de la política de la empresa. Además, si comete un error al utilizar el equipo o el software de la empresa, lo que resulta en daños al equipo o a los datos almacenados en él, esto también constituye una infracción de la política de seguridad de la información.
Si un empleado contraviene la política de seguridad de la información de una organización, se pueden aplicar medidas disciplinarias o despido. En determinadas situaciones, una empresa puede optar por no despedir a un trabajador que infrinja su política de uso de computadoras, pero tomar otras medidas adecuadas para detener cualquier otra infracción de la política de la empresa.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
¿El propósito de ISO 27001:2022 Anexo A 6.4?
El propósito del proceso disciplinario es asegurar que el personal y cualquier otra parte interesada reconozcan los resultados de una violación de la política de seguridad de la información.
El Anexo A 6.4 está diseñado para disuadir y ayudar a manejar cualquier violación de las políticas de seguridad de la información, garantizando que los empleados y otras partes interesadas relacionadas estén conscientes de las ramificaciones.
Un programa de seguridad de la información eficaz debe incluir la capacidad de administrar medidas disciplinarias adecuadas para los trabajadores que violen las normas de seguridad de la información. Hacerlo garantiza que el personal comprenda las implicaciones de ignorar las regulaciones predefinidas, disminuyendo así la probabilidad de fuga de datos deliberada o inadvertida.
Ejemplos de actividades que podrían incluirse al hacer cumplir este control son:
- Llevar a cabo sesiones de capacitación periódicas para mantener al personal actualizado sobre los cambios de políticas.
- Diseñar medidas disciplinarias por incumplimiento de las políticas de seguridad de la información.
- Proporcionar a cada empleado una copia de los procedimientos disciplinarios de la organización.
- En situaciones similares, asegúrese de que los procedimientos disciplinarios se sigan de manera consistente.
Las medidas disciplinarias descritas en el marco deben implementarse rápidamente después de un incidente, para desalentar cualquier incumplimiento adicional de las políticas organizacionales.
Qué implica y cómo cumplir los requisitos
Para cumplir con el requisitos del Anexo A 6.4, se deben tomar medidas disciplinarias cuando haya evidencia de no adherirse a las políticas, procedimientos o regulaciones de la organización. Esto también incluye cualquier legislación y normativa aplicable.
Según el Anexo A 6.4, el proceso disciplinario formal debe tener en cuenta los siguientes elementos cuando se adopta un enfoque gradual:
- Se debe tener en cuenta el alcance de la infracción, su naturaleza, gravedad y consecuencias.
- Si el delito fue deliberado o accidental.
- Independientemente de que se trate de una infracción inicial o de una reincidencia.
- Se debe considerar si el transgresor ha recibido suficiente capacitación.
Considere todas las obligaciones legales, legislativas, regulatorias, contractuales y corporativas relevantes, así como cualquier otro factor relevante, al tomar medidas.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Cambios y diferencias con respecto a ISO 27001:2013
ISO 27001:2022 Anexo A 6.4 reemplaza a ISO 27001:2013 Anexo A 7.2.3 de la versión revisada de 2022 de la Norma ISO 27001.
ISO 27001:2022 emplea un lenguaje fácil de usar para garantizar que los usuarios de la norma puedan comprender su contenido. Hay pequeñas variaciones en la redacción; sin embargo, el contexto general y el contenido siguen siendo los mismos.
La única distinción que observará es que el Número de control del Anexo A se cambió de 7.2.3 a 6.4. Además, la norma de 2022 tiene el beneficio adicional de una tabla de atributos y una declaración de propósito que no están presentes en la versión de 2013.
Tabla de todos los controles del Anexo A de ISO 27001:2022
En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 |
Anexo A 5.1.1 Anexo A 5.1.2 |
Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 |
Anexo A 6.1.5 Anexo A 14.1.1 |
Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 |
Anexo A 8.1.1 Anexo A 8.1.2 |
Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 |
Anexo A 8.1.3 Anexo A 8.2.3 |
Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 |
Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 |
Transferencia de información |
| Controles organizacionales | Anexo A 5.15 |
Anexo A 9.1.1 Anexo A 9.1.2 |
Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 |
Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 |
Información de autenticación |
| Controles organizacionales | Anexo A 5.18 |
Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 |
Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 |
Anexo A 15.2.1 Anexo A 15.2.2 |
Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 |
Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 |
Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 |
Anexo A 18.1.1 Anexo A 18.1.5 |
Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 |
Anexo A 18.2.2 Anexo A 18.2.3 |
Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 |
Anexo A 16.1.2 Anexo A 16.1.3 |
Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 |
Anexo A 11.1.2 Anexo A 11.1.6 |
Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 |
Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 |
Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 |
Anexo A 6.2.1 Anexo A 11.2.8 |
Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 |
Anexo A 12.6.1 Anexo A 18.2.3 |
Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 |
Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 |
Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados Derechos de acceso |
| Controles Tecnológicos | Anexo A 8.19 |
Anexo A 12.5.1 Anexo A 12.6.2 |
Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 |
Anexo A 10.1.1 Anexo A 10.1.2 |
Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 |
Anexo A 14.1.2 Anexo A 14.1.3 |
Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Arquitectura de sistemas seguros y principios de ingeniería: aprendizaje a partir de incidentes de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 |
Anexo A 14.2.8 Anexo A 14.2.9 |
Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 |
Anexo A 12.1.4 Anexo A 14.2.6 |
Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 |
Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 |
Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
¿Quién está a cargo de este proceso?
En la mayoría de los casos, el proceso disciplinario lo supervisa el director del departamento o el representante de recursos humanos. No es raro que el representante de RR.HH. le dé la responsabilidad de tomar medidas disciplinarias a otra persona de la organización, como un experto en seguridad de la información.
El objetivo principal de la acción disciplinaria es salvaguardar a la organización de cualquier infracción adicional por parte del miembro del personal. Además, tiene como objetivo disuadir que se repitan incidentes similares asegurándose de que todos los empleados sean conscientes de la importancia de las violaciones de seguridad de la información.
Es esencial para cualquier organización garantizar que se tomen medidas disciplinarias cuando un miembro del personal haya incumplido cualquiera de sus políticas o procedimientos. Para garantizar esto, se deben establecer orientaciones claras sobre cómo manejar tales situaciones, incluidas instrucciones sobre cómo llevar a cabo investigaciones y las acciones a tomar después.
¿Qué significan estos cambios para usted?
Si estás pensando en cómo te afectan estas alteraciones, aquí tienes un resumen conciso de los puntos más críticos:
- No es necesario volver a certificar; es sólo una alteración menor.
- Conserve su certificación actual hasta que caduque, siempre que siga siendo válida.
- No se han realizado modificaciones importantes en el Anexo A 27001 de la norma ISO 2022:6.4.
- El objetivo es alinear el estándar con las mejores prácticas y estándares más actualizados.
Si tu objetivo es ganar Certificación SGSI, debe evaluar sus medidas de seguridad para asegurarse de que cumplan con el estándar revisado.
Para obtener información sobre el impacto que la nueva ISO 27001:2022 podría tener en sus procedimientos de seguridad de datos y en la acreditación ISO 27001, consulte nuestra guía gratuita ISO 27001:2022.
[caso_estudio_slider_id=”88859,101932,92016″ reproducción automática=”verdadero” velocidad_reproducción automática=”5000″]
Cómo ayuda ISMS.Online
ISMS.online es el líder Software del sistema de gestión ISO 27001, ayudando en el cumplimiento de la norma ISO 27001. Ayuda a las empresas a garantizar que sus políticas y procedimientos de seguridad cumplan con los requisitos.
Este plataforma basada en la nube ofrece una gama completa de herramientas para ayudar a las organizaciones a establecer un Sistema de Gestión de Seguridad de la Información (SGSI) basado en ISO 27001.
Estas herramientas se componen de:
- Está disponible una biblioteca de plantillas para documentos corporativos que se encuentran con frecuencia.
- Existe un conjunto de directrices y protocolos preestablecidos.
- Está disponible una herramienta de auditoría para facilitar las auditorías internas.
- Se proporciona una interfaz para personalizar las políticas y procedimientos del Sistema de gestión de seguridad de la información (SGSI).
- Todos los cambios a las políticas y procedimientos deben aprobarse mediante un proceso de flujo de trabajo.
- Cree una lista para garantizar que sus políticas y medidas de protección de la información estén en línea con los estándares internacionales.
ISMS.Online ofrece a los usuarios la posibilidad de:
- Maneje todas las áreas del ciclo de vida del SGSI con facilidad.
- Obtenga una comprensión inmediata de su estado de seguridad y problemas de cumplimiento.
- Integre con otros sistemas como RR.HH., finanzas y gestión de proyectos.
- Garantizar la conformidad del SGSI con los criterios ISO 27001.
ISMS.Online ofrece consejos sobre cómo ejecutar su ISMS de manera óptima, con orientación sobre cómo formar políticas y protocolos asociados con Gestión sistemática del riesgo, , capacitación del personal en concientización sobre seguridad y preparación de respuesta a incidentes.
Comuníquese con nosotros ahora para programar una demostración.