- See Norma ISO 27002:2022 6.8 para obtener más información.
- See ISO 27001:2013 Anexo A 16.1.2 para obtener más información.
- See ISO 27001:2013 Anexo A 16.1.3 para obtener más información.
¿Qué es el control 27001 del anexo A de ISO 2022:6.8?
ISO 27001:2022 Anexo A 6.8 exige que las organizaciones creen un sistema que permita al personal informar seguridad de la información los acontecimientos que observen o sospechen con prontitud y a través de los canales adecuados.
Eventos de seguridad de la información explicados
Las violaciones de la seguridad de la información (también conocidas como incidentes de seguridad de la información) están aumentando, con una frecuencia e intensidad cada vez mayores. Desafortunadamente, muchos de estos sucesos pasan desapercibidos.
Muchos factores pueden desencadenar eventos de seguridad de la información:
- El software malicioso, como virus y gusanos, es un problema.
- Los piratas informáticos obtienen acceso no autorizado a sistemas informáticos a través de Internet o una red de computadoras ("piratería informática").
- El acceso no autorizado a computadoras y redes (comúnmente conocido como “descifrado de contraseñas”) es una violación de los protocolos de seguridad.
- Los piratas informáticos que obtienen acceso a un sistema, o no, pueden alterar datos ilegalmente.
- Fuentes externas que se infiltran en el sistema interno de una empresa para robar información o impedir operaciones.
No importa qué tan segura sea su red, siempre habrá algún riesgo de que ocurra un evento de seguridad de la información. Para minimizar este riesgo, utilice diversas herramientas y técnicas, como informes, para identificar amenazas potenciales antes de que puedan causar algún daño.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
¿Qué son los informes de eventos de seguridad de la información?
La notificación de eventos de seguridad de la información es un componente clave de cualquier estrategia de seguridad cibernética. Implementar la mejor tecnología para proteger los datos es una cosa, pero comprender lo que está sucediendo es otra.
La notificación de eventos de seguridad de la información es el proceso de anotar incidentes, infracciones y otros eventos cibernéticos que ocurren en una organización para examinarlos e idear estrategias para evitar que se repitan. La documentación, el análisis y las estrategias de prevención son elementos esenciales.
¿Por qué es importante informar sobre eventos de seguridad de la información?
La notificación de eventos de seguridad de la información es esencial para cualquier organización; sin él, no se sabrá si la red ha sido infiltrada o si existen otros riesgos potenciales. Sin este entendimiento, no se pueden implementar medidas para evitar incidentes futuros, ni se pueden identificar y remediar ataques anteriores.
Es fundamental abordar cualquier incidencia de forma rápida y eficaz. El tiempo de respuesta es esencial para salvaguardar el negocio y minimizar los efectos sobre los clientes y otras partes interesadas.
Para lograr esto se creó el Anexo A 6.8 de la Norma ISO 27001:2022.
¿Cuál es el propósito del Anexo A 27001 de la norma ISO 2022:6.8?
El objetivo de ISO 27001:2022 Anexo A El Control 6.8 es facilitar la notificación oportuna, consistente y efectiva de los eventos de seguridad de la información detectados por el personal.
Garantizar que los incidentes se informen rápidamente y se documenten con precisión es fundamental para garantizar que las actividades de respuesta a incidentes y otras responsabilidades de gestión de seguridad cuenten con el respaldo adecuado.
Las organizaciones deben tener un programa de notificación de eventos de seguridad de la información de acuerdo con el Control 27001 del Anexo A de la norma ISO 2022:6.8 para detectar y mitigar incidentes que podrían afectar la seguridad de la información. El programa debe permitir recibir, evaluar y responder a los incidentes reportados.
ISO 27001:2022 El Anexo A Control 6.8 describe el propósito y las instrucciones para construir un sistema de notificación de eventos de seguridad de la información en línea con el marco ISO 27001.
Este control tiene como objetivo:
- Asegúrese de que el personal informe de manera rápida y consistente los eventos de seguridad de la información de manera eficiente y efectiva.
- Detectar de forma proactiva cualquier acceso no autorizado o uso inadecuado de los sistemas de información.
- Facilitar la preparación de planes de respuesta a incidentes.
- Crear una base para actividades de observación sostenidas.
Revisar periódicamente los incidentes y las tendencias para detectar problemas antes de que se vuelvan graves (por ejemplo, mediante el seguimiento del número de incidentes o del tiempo que dura cada incidente) debería ser una parte clave de la implementación del Anexo A 6.8.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Qué implica y cómo cumplir los requisitos
ISO 27001:2022 Anexo A 6.8 requiere lo siguiente:
- Todos deben comprender su obligación de informar rápidamente los incidentes de seguridad de la información para detener o reducir su impacto.
- La organización debe mantener un registro del contacto para informar incidentes de seguridad de datos y garantizar que el proceso sea lo más simple, accesible y disponible posible.
- La organización debe mantener registros de incidentes de seguridad de la información, como informes de incidentes, registros de eventos, solicitudes de cambio, informes de problemas y documentación del sistema.
Según el Anexo A 6.8, los eventos que requieren informes de seguridad de la información incluyen:
- Medidas de protección de la información ineficaces.
- Infracción de las expectativas de seguridad en materia de confidencialidad, integridad o disponibilidad de los datos.
- Errores humanos.
- Incumplimiento de la política de seguridad de la información, políticas específicas o estándares relevantes.
- Cualquier infracción de la seguridad física medidas.
- Modificaciones del sistema que no han sido sometidas al proceso de gestión de cambios.
- En caso de mal funcionamiento u otro comportamiento inusual del sistema de software o hardware.
- En caso de violaciones de acceso.
- Si se produce alguna vulnerabilidad.
- Si se sospecha que hay una infección de malware.
Además, no es responsabilidad del personal que informa probar la vulnerabilidad o efectividad del evento de seguridad de la información. Debe dejarse que el personal calificado se encargue de esto, ya que puede resultar en responsabilidad legal para el empleado.
Cambios y diferencias con respecto a ISO 27001:2013
En primer lugar, el Anexo A 6.8 de la norma ISO 27001:2022 no es un control nuevo, sino más bien, es una fusión del Anexo A 16.1.2 y Anexo A 16.1.3 en ISO 27001:2013. Estos dos controles fueron revisados en ISO 27001:2022 para hacerlo más accesible que ISO 27001:2013.
Los empleados y contratistas deben ser conscientes de su responsabilidad de informar con prontitud los eventos de seguridad de la información y el proceso para hacerlo, incluida la persona de contacto a la que deben dirigirse los informes.
Los empleados y contratistas deben informar de inmediato cualquier debilidad de la seguridad de la información al punto de contacto, a fin de prevenir incidentes de seguridad de la información. El sistema de presentación de informes debe ser lo más sencillo, accesible y alcanzable posible.
Puede observar que las recomendaciones seis y ocho se han consolidado en una en la norma ISO 27001:2022 revisada.
El Anexo A 6.8 presenta dos consideraciones adicionales que no están presentes en el Anexo A 16.1.2 y el Anexo A 16.1.3. Estos son:
- Alteraciones del sistema que no hayan sido procesadas por el procedimiento de control de cambios.
- Sospecha de infección por malware.
Al final, ambas iteraciones son bastante similares. Las mayores diferencias son la alteración del número de control, el nombre del control y el idioma más accesible para los usuarios. Además, ISO 27001:2022 incluye una tabla de atributos y un propósito de control, características que se pasaron por alto en la versión 2013.
Tabla de todos los controles del Anexo A de ISO 27001:2022
En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 |
Anexo A 5.1.1 Anexo A 5.1.2 |
Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 |
Anexo A 6.1.5 Anexo A 14.1.1 |
Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 |
Anexo A 8.1.1 Anexo A 8.1.2 |
Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 |
Anexo A 8.1.3 Anexo A 8.2.3 |
Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 |
Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 |
Transferencia de información |
| Controles organizacionales | Anexo A 5.15 |
Anexo A 9.1.1 Anexo A 9.1.2 |
Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 |
Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 |
Información de autenticación |
| Controles organizacionales | Anexo A 5.18 |
Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 |
Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 |
Anexo A 15.2.1 Anexo A 15.2.2 |
Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 |
Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 |
Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 |
Anexo A 18.1.1 Anexo A 18.1.5 |
Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 |
Anexo A 18.2.2 Anexo A 18.2.3 |
Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 |
Anexo A 16.1.2 Anexo A 16.1.3 |
Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 |
Anexo A 11.1.2 Anexo A 11.1.6 |
Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 |
Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 |
Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 |
Anexo A 6.2.1 Anexo A 11.2.8 |
Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 |
Anexo A 12.6.1 Anexo A 18.2.3 |
Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 |
Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 |
Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados Derechos de acceso |
| Controles Tecnológicos | Anexo A 8.19 |
Anexo A 12.5.1 Anexo A 12.6.2 |
Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 |
Anexo A 10.1.1 Anexo A 10.1.2 |
Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 |
Anexo A 14.1.2 Anexo A 14.1.3 |
Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Arquitectura de sistemas seguros y principios de ingeniería: aprendizaje a partir de incidentes de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 |
Anexo A 14.2.8 Anexo A 14.2.9 |
Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 |
Anexo A 12.1.4 Anexo A 14.2.6 |
Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 |
Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 |
Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
¿Quién está a cargo de este proceso?
La seguridad de la información es un esfuerzo colaborativo y todos los miembros de la organización deben participar. Sin embargo, existen varios individuos que actúan como primera línea de defensa durante los eventos de seguridad. Estas personas son responsables de determinar el contacto adecuado para informar y gestionar la respuesta al evento para evitar que se repita.
¿Quiénes son los primeros en responder? Esto varía según la organización, pero normalmente incluye:
El elemento Director de Seguridad de la Información (CISO) es responsable de la seguridad de la información en su organización. Trabajan en conjunto con la alta dirección para reducir y reducir eficazmente gestionar cualquier riesgo.
El elemento Gerente de seguridad de la información supervisa de forma rutinaria las actividades diarias, como el monitoreo de sistemas y el manejo de incidentes, incluida la presentación de tickets con otros equipos.
El elemento Director de Recursos Humanos (CHRO) tiene la responsabilidad general de las cuestiones de recursos humanos, que abarcan la contratación, la retención de empleados, la gestión de beneficios y los programas de capacitación de empleados. Desempeñan un papel clave en la toma de decisiones de contratación y en el fomento de la conciencia entre el personal sobre la notificación de eventos de seguridad.
[caso_estudio_slider_id=”88859,101932,92016″ reproducción automática=”verdadero” velocidad_reproducción automática=”5000″]
¿Qué significan estos cambios para usted?
Para cumplir con la revisión de ISO 27001:2022, simplemente asegúrese de que sus procesos de seguridad de la información permanezcan actualizados. No se realizaron cambios sustanciales.
Si ha adquirido un Certificación ISO 27001, su enfoque actual hacia la gestión de la seguridad de la información debe ajustarse a los nuevos estándares. Verifique que el reporte de incidentes de seguridad de la información esté incorporado a la estrategia de su empresa.
Para comenzar de nuevo, deberá consultar los detalles proporcionados en la norma revisada.
Consulte nuestra guía ISO 27001:2022 para obtener más información sobre cómo las modificaciones del Anexo A 6.8 afectarán su negocio.
Cómo ayuda ISMS.Online
ISO 27001 es un marco para la gestión de la seguridad de la información que ayuda a las organizaciones a establecer un SGSI exitoso. Este estándar describe los requisitos para construir un SGSI dentro de una organización.
En ISMS.online, nuestra plataforma basada en la nube ayuda a construir, sostener y evaluar una Sistema de gestión de seguridad de la información basado en los estándares ISO 27001 (SGSI). Ofrecemos plantillas y herramientas personalizables para cumplir con la normativa ISO 27001.
Esta plataforma le permite construir un SGSI que cumpla con el estándar internacional y utilizar las listas de verificación proporcionadas para garantizar que su gestión de seguridad de la información esté a la altura del estándar. Además, puede explotar ISMS.online para evaluar riesgos y vulnerabilidades y detectar cualquier punto débil en su infraestructura existente que requiera atención urgente.
ISMS.online proporciona los recursos para demostrar el cumplimiento de la norma ISO 27001. Al utilizar estas herramientas, puede demostrar el cumplimiento de la norma reconocida internacionalmente.
Contáctenos ahora para reservar una demostración.