- See Norma ISO 27002:2022 8.15 para obtener más información. Línea cuenta con opciones en español.
- See ISO 27001:2013 Anexo A 12.4.1 para obtener más información. Línea cuenta con opciones en español.
- See ISO 27001:2013 Anexo A 12.4.2 para obtener más información. Línea cuenta con opciones en español.
- See ISO 27001:2013 Anexo A 12.4.3 para obtener más información. Línea cuenta con opciones en español.
Propósito de ISO 27001:2022 Anexo A 8.15
Los registros son un componente crucial para lograr una visión general completa de las actividades de TIC y las acciones del personal. Permiten a las organizaciones construir una línea de tiempo de ocasiones y examinar tendencias tanto lógicas como físicas en toda su red.
Producir datos de registro accesibles y sencillos es un aspecto crítico del plan general de TIC de una organización, junto con numerosos controles importantes de seguridad de la información en ISO 27001:2022.
Los registros deben comprobarse periódicamente:
- Registrar ocurrencias.
- Reúna datos y adquiera pruebas.
- Mantener su integridad.
- Garantice la seguridad de los datos de registro frente al acceso no autorizado.
- Identificar actividades y sucesos que podrían causar una violación de la información/seguridad.
- Esto sirve como ayuda para consultas tanto internas como externas.
Propiedad del Anexo A 8.15
ISO 27001:2022 Anexo A 8.15 cubre las operaciones de TI que requieren acceso de administrador del sistema. Abarca la gestión y mantenimiento de la red. Por lo tanto, la Jefe de informática, o su equivalente, es responsable de este control.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación sobre la información del registro de eventos
Un evento es cualquier actividad realizada por una entidad física o lógica en un sistema informático, como una solicitud de datos, inicio de sesión remoto, apagado automático del sistema o eliminación de un archivo.
ISO 27001:2022 Anexo A 8.15 establece que para que cada registro de eventos cumpla su propósito, debe contener cinco componentes principales:
- El ID de usuario asociado con la persona.
- La actividad del sistema se puede monitorear para identificar lo que sucedió.
- En una fecha y hora determinadas, ocurrió un evento.
- El evento tuvo lugar en el dispositivo/sistema y se identificó su ubicación.
- Direcciones y protocolos de red – información IP.
Orientación sobre tipos de eventos
Puede que no sea posible registrar cada ocurrencia en una red por razones prácticas. Es posible que no sea posible registrar cada evento.
ISO 27001:2022 Anexo A 8.15 especifica diez eventos que deben registrarse, ya que pueden afectar el riesgo y mantener un nivel apropiado de seguridad de información:
- Los intentos de acceso al sistema serán rastreados y monitoreados.
- Se monitorearán los intentos de acceder a datos y/o recursos. Cualquier actividad que se considere sospechosa será denunciada.
- Alteraciones en la configuración del sistema/SO.
- El uso de privilegios de alto nivel.
- Utilizar programas de servicios públicos o instalaciones de mantenimiento (según ISO 27001:2022 Anexo A 8.18).
- Solicitudes de acceso a archivos, con borrados, migraciones, etc.
- Control de acceso alarmas e interrupciones importantes.
- Activación y/o desactivación de sistemas de seguridad front-end y back-end, por ejemplo, software antivirus del lado del cliente y sistemas de protección de firewall.
- Administración de identidad.
- Ciertas acciones o modificaciones al sistema/datos realizadas durante una sesión dentro de una aplicación.
Como se describe en el Anexo A 27001 de ISO 2022:8.17, es esencial garantizar que todos los registros estén sincronizados con la misma fuente (o fuentes) de tiempo y, en el caso de registros de aplicaciones de terceros, se deben abordar y documentar cualquier discrepancia de tiempo.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Orientación sobre protección de registros
Los registros son la forma más fundamental de determinar la actividad de los usuarios, los sistemas y las aplicaciones en una red, especialmente cuando se llevan a cabo investigaciones.
Es esencial que las organizaciones garanticen que los usuarios, independientemente de sus niveles de permiso, no puedan eliminar ni modificar sus propios registros de eventos.
Los registros deben ser completos, precisos y estar protegidos contra modificaciones o interrupciones no autorizadas, incluidos:
- Archivos de registro eliminados o editados.
- Modificaciones del tipo de mensaje.
- Se debe evitar no producir un registro o sobrescribir registros debido a problemas de almacenamiento o de red.
ISO advierte que para mejorar la seguridad de la información, los registros deben protegerse con las siguientes técnicas:
- Grabación de sólo lectura.
- Utilización de ficheros públicos de transparencia.
- Hashing criptográfico.
- Grabación de solo agregar.
Las organizaciones pueden requerir el envío de registros a los proveedores para abordar incidentes y fallas. Cuando esto sea necesario, los registros deben “desidentificarse” (según ISO 27001:2022 Anexo A 8.11) con la siguiente información enmascarada:
- Direcciones IP.
- Nombres de host.
- Nombres de usuario.
Para garantizar que la PII esté protegida, se deben tomar medidas de acuerdo con las regulaciones de privacidad de datos de la organización y las leyes existentes (consulte ISO 27001:2022 Anexo A 5.34).
Orientación sobre el análisis de registros
Al evaluar los registros para identificar, abordar y explicar incidentes de seguridad cibernética (con el objetivo de evitar que se repitan), considere lo siguiente:
- El personal que realiza el análisis posee un alto nivel de experiencia.
- Los registros se analizan de acuerdo con el protocolo de la empresa.
- Los eventos a analizar deben ser categorizados e identificados por tipo y atributo.
- Se deben aplicar las excepciones que resulten de reglas de red generadas por software, hardware y plataformas de seguridad.
- La progresión típica del tráfico de la red en contraposición a patrones impredecibles.
- El análisis de datos especializado revela tendencias que son dignas de mención.
- Inteligencia de amenazas.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Orientación sobre el seguimiento de registros
El análisis de registros debe realizarse junto con un exhaustivo actividades de seguimiento que detectan patrones esenciales y comportamientos poco comunes.
Las organizaciones deben adoptar un enfoque doble para alcanzar sus objetivos:
- Revise cualquier intento de acceder a recursos seguros y críticos para el negocio, como servidores de dominio, portales web y plataformas para compartir archivos.
- Examine los registros DNS para identificar cualquier tráfico saliente asociado con fuentes maliciosas y procedimientos perjudiciales del servidor.
- Recopile registros de uso de datos de proveedores de servicios o sistemas internos para reconocer cualquier comportamiento malicioso.
- Recopile registros de puntos de entrada físicos, como registros de tarjetas de acceso/llaves remotas y datos de acceso a las habitaciones.
Información suplementaria
Las organizaciones deberían considerar la posibilidad de utilizar programas de utilidad especializados para examinar la inmensa cantidad de información producida por los registros del sistema, ahorrando así tiempo y recursos al investigar incidentes de seguridad, por ejemplo, una herramienta SIEM.
Si una organización emplea una plataforma basada en la nube para cualquier parte de sus operaciones, la gestión de registros debe ser una responsabilidad compartida entre el proveedor de servicios y la organización.
Controles adjuntos al Anexo A
- ISO 27001:2022 Anexo A 5.34
- ISO 27001:2022 Anexo A 8.11
- ISO 27001:2022 Anexo A 8.17
- ISO 27001:2022 Anexo A 8.18
Cambios y diferencias con respecto a ISO 27001:2013
ISO 27001:2022 Anexo A 8.15 reemplaza tres controles de ISO 27001:2013 que cubren el almacenamiento, gestión y análisis de archivos de registro:
- 12.4.1 - El registro de eventos
- 12.4.2 – Protección de la información de registro
- 12.4.3 – Registros de administrador y operador
ISO 27001:2022 Anexo A 8.15 alinea en gran medida la orientación de los tres controles discutidos anteriormente, formando un protocolo claro que cubre el registro, junto con algunas adiciones notables como:
- Directrices que abordan la protección de la información de registro de manera ampliada.
- Consejos sobre los diferentes tipos de sucesos que conviene examinar detenidamente.
- Orientación sobre el seguimiento y análisis de registros para mejorar la seguridad de la información.
- Cómo gestionar los registros generados por plataformas basadas en la nube.
Tabla de todos los controles del Anexo A de ISO 27001:2022
En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control:
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 |
Anexo A 5.1.1 Anexo A 5.1.2 |
Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 |
Anexo A 6.1.5 Anexo A 14.1.1 |
Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 |
Anexo A 8.1.1 Anexo A 8.1.2 |
Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 |
Anexo A 8.1.3 Anexo A 8.2.3 |
Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 |
Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 |
Transferencia de información |
| Controles organizacionales | Anexo A 5.15 |
Anexo A 9.1.1 Anexo A 9.1.2 |
Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 |
Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 |
Información de autenticación |
| Controles organizacionales | Anexo A 5.18 |
Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 |
Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 |
Anexo A 15.2.1 Anexo A 15.2.2 |
Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 |
Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 |
Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 |
Anexo A 18.1.1 Anexo A 18.1.5 |
Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 |
Anexo A 18.2.2 Anexo A 18.2.3 |
Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 |
Anexo A 16.1.2 Anexo A 16.1.3 |
Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 |
Anexo A 11.1.2 Anexo A 11.1.6 |
Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 |
Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 |
Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 |
Anexo A 6.2.1 Anexo A 11.2.8 |
Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 |
Anexo A 12.6.1 Anexo A 18.2.3 |
Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 |
Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 |
Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados Derechos de acceso |
| Controles Tecnológicos | Anexo A 8.19 |
Anexo A 12.5.1 Anexo A 12.6.2 |
Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 |
Anexo A 10.1.1 Anexo A 10.1.2 |
Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 |
Anexo A 14.1.2 Anexo A 14.1.3 |
Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Arquitectura de sistemas seguros y principios de ingeniería: aprendizaje a partir de incidentes de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 |
Anexo A 14.2.8 Anexo A 14.2.9 |
Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 |
Anexo A 12.1.4 Anexo A 14.2.6 |
Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 |
Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 |
Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
Cómo ayuda ISMS.online
La plataforma ISMS.online facilita la totalidad de Implementación de ISO 27001, comenzando con las actividades de evaluación de riesgos y concluyendo con el establecimiento de políticas, procedimientos y directrices para cumplir con los criterios de la norma.
ISMS.online proporciona a las organizaciones un camino sencillo hacia el cumplimiento de la norma ISO 27001 a través de su conjunto de herramientas automatizadas. Sus funciones fáciles de usar facilitan la demostración del cumplimiento del estándar.
Ponte en contacto con nosotros ahora para organizar una demostración.