- See Norma ISO 27002:2022 8.26 para obtener más información.
- See ISO 27001:2013 Anexo A 14.1.2 para obtener más información.
- See ISO 27001:2013 Anexo A 14.1.3 para obtener más información.
Comprensión de la norma ISO 27001:2022 Anexo A 8.26: Fundamentos de seguridad de aplicaciones
El software de aplicaciones, como aplicaciones web, programas de gráficos, bases de datos y procesamiento de pagos, son esenciales para muchas operaciones comerciales.
Las aplicaciones suelen ser vulnerables a problemas de seguridad que pueden provocar la exposición de datos confidenciales.
Por ejemplo, la agencia de crédito Equifax, con sede en EE. UU., se olvidó de aplicar un parche de seguridad al marco de la aplicación web que empleaban para gestionar las quejas de los clientes. Esta negligencia permitió a los ciberatacantes explotar las debilidades de seguridad de la aplicación web, infiltrarse en las redes corporativas de Equifax y robar información confidencial de alrededor de 145 millones de personas.
ISO 27001:2022 Anexo A 8.26 describe cómo las organizaciones pueden implementar e implementar seguridad de la información requisitos para las aplicaciones durante su desarrollo, uso y adquisición. Garantiza que las medidas de seguridad estén integradas en el ciclo de vida de las aplicaciones.
Propósito de ISO 27001:2022 Anexo A 8.26
ISO 27001:2022 El Anexo A 8.26 permite a las organizaciones defender sus activos de datos almacenados o procesados por aplicaciones mediante el reconocimiento y la aplicación de especificaciones de seguridad de la información apropiadas.
Propiedad del Anexo A 8.26
El elemento Director de Información de Seguridad, respaldado por expertos en seguridad de la información, debe emprender la identificación, aprobación e implementación de las demandas de información relacionadas con la adquisición, utilización y desarrollo de aplicaciones.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación general sobre el cumplimiento de ISO 27001:2022 Anexo A 8.26
Las organizaciones deben realizar una evaluación de riesgos para establecer los requisitos de seguridad de la información necesarios para una aplicación en particular.
El contenido y los tipos de requisitos de seguridad de la información pueden diferir según la aplicación, pero estos deben cubrir:
- Basado en ISO 27001:2022 Anexo A 5.17, 8.2 y 8.5, el nivel de confianza asignado a la identidad de una entidad específica.
- Se debe identificar la clasificación de los activos de información que el software guardará o manejará.
- ¿Es necesario separar el acceso a las funciones y los datos almacenados en la aplicación?
- Evalúe si la aplicación es robusta contra intrusiones cibernéticas como inyecciones SQL o intercepciones no deseadas como desbordamiento de búfer.
- Se deben cumplir requisitos y estándares legales, reglamentarios y estatutarios al tratar con transacciones procesadas, generadas, guardadas o finalizadas por la aplicación.
- La privacidad es de suma importancia para todos los involucrados.
- Garantizar la protección de los datos confidenciales es esencial.
- Garantizar la seguridad de la información cuando se emplea, transfiere o almacena es primordial.
- Es esencial que todas las partes relevantes tengan cifrado seguro de sus comunicaciones si necesario.
- La implementación de controles de entrada, como validar la entrada y realizar comprobaciones de integridad, garantiza la precisión.
- Realización de controles automatizados.
- Garantizar que los derechos de acceso, así como quién puede ver los resultados, se tengan en cuenta para el control de los mismos.
- Es esencial imponer límites a lo que se puede incluir en los campos de “texto libre” para protegerse contra la distribución involuntaria de información confidencial.
- Requisitos reglamentarios, como los que rigen el registro de transacciones y el no repudio.
- Otros controles de seguridad pueden requerir el cumplimiento de requisitos específicos; por ejemplo, sistemas de detección de fugas de datos.
- Cómo maneja su organización los mensajes de error.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Orientación sobre servicios transaccionales
ISO 27001:2022 Anexo A 8.26 requiere que las organizaciones consideren las siguientes siete recomendaciones al proporcionar servicios transaccionales entre ellas y un socio:
- El grado de fe que cada parte debe tener en la identidad de la otra es esencial en cualquier transacción.
- Se debe garantizar la confiabilidad de los datos enviados o procesados y se debe identificar un sistema adecuado para reconocer cualquier déficit de integridad, incluidos el hash y las firmas digitales.
- La empresa debe establecer un sistema para determinar quién está autorizado para aprobar, firmar y aprobar documentos transaccionales críticos.
- Velar por el secreto y exactitud de los documentos esenciales, y verificar la transmisión y recepción de dichos documentos.
- Preservando la confidencialidad y exactitud de las transacciones, ya sean pedidos y facturas.
- Requisitos sobre cómo las transacciones deben permanecer confidenciales durante un período de tiempo específico.
- Deben cumplirse las obligaciones contractuales y los requisitos de seguro.
Orientación sobre solicitudes de pedidos y pagos electrónicos
Las organizaciones deben considerar lo siguiente al incorporar capacidades de pago y pedidos electrónicos en las aplicaciones:
- Garantizar la confidencialidad y la integridad de la información del pedido es esencial.
- Establecer un nivel apropiado de confirmación para afirmar la información de pago proporcionada por un cliente.
- Evitar la extravío o replicación de datos de transacciones.
- Asegúrese de que la información relativa a la información se mantenga alejada de un área disponible públicamente, por ejemplo, un medio de almacenamiento ubicado dentro de la intranet de la organización.
- Siempre que una organización depende de una autoridad externa para emitir firmas digitales, debe garantizar que la seguridad esté integrada durante todo el proceso.
Orientación sobre redes
Cuando se accede a las aplicaciones a través de redes, podrían quedar expuestas a desacuerdos contractuales, comportamientos fraudulentos, desvíos, alteraciones no aprobadas del contenido de la comunicación o se podría violar la confidencialidad de datos sensibles.
ISO 27001:2022 Anexo A 8.26 aconseja a las organizaciones que realicen evaluaciones de riesgos exhaustivas para identificar controles adecuados, como la criptografía, para proteger la seguridad de las transferencias de información.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27001:2013
ISO 27001:2022 Anexo A 8.26 reemplaza ISO 27001:2013 Anexo A 14.1.2 y 14.1.3 en la norma revisada de 2022.
Hay tres distinciones principales entre las dos versiones.
Todas las aplicaciones versus aplicaciones que pasan a través de redes públicas
ISO 27001:2013 describe una lista de requisitos de seguridad de la información que se deben tener en cuenta para las aplicaciones que se transmitirán a través de redes públicas.
ISO 27001:2022 Anexo A 8.26, por el contrario, proporciona una lista de requisitos de seguridad de la información que se aplican a todas las aplicaciones.
Orientación adicional sobre solicitudes de pedidos y pagos electrónicos
ISO 27001:2022 Anexo A 8.26 proporciona orientación específica sobre aplicaciones de pedidos y pagos electrónicos, algo que no se abordó en la versión 2013.
Requisito sobre servicios transaccionales
Mientras que la edición de 2022 y la edición de 2013 son casi iguales en cuanto a los requisitos previos para los servicios transaccionales, la edición de 2022 introduce una demanda adicional no considerada en la edición de 2013:
- Las organizaciones deben tener en cuenta las obligaciones contractuales y las estipulaciones de seguros.
Tabla de todos los controles del Anexo A de ISO 27001:2022
En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control:
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 |
Anexo A 5.1.1 Anexo A 5.1.2 |
Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 |
Anexo A 6.1.5 Anexo A 14.1.1 |
Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 |
Anexo A 8.1.1 Anexo A 8.1.2 |
Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 |
Anexo A 8.1.3 Anexo A 8.2.3 |
Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 |
Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 |
Transferencia de información |
| Controles organizacionales | Anexo A 5.15 |
Anexo A 9.1.1 Anexo A 9.1.2 |
Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 |
Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 |
Información de autenticación |
| Controles organizacionales | Anexo A 5.18 |
Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 |
Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 |
Anexo A 15.2.1 Anexo A 15.2.2 |
Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 |
Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 |
Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 |
Anexo A 18.1.1 Anexo A 18.1.5 |
Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 |
Anexo A 18.2.2 Anexo A 18.2.3 |
Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 |
Anexo A 16.1.2 Anexo A 16.1.3 |
Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 |
Anexo A 11.1.2 Anexo A 11.1.6 |
Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 |
Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 |
Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 |
Anexo A 6.2.1 Anexo A 11.2.8 |
Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 |
Anexo A 12.6.1 Anexo A 18.2.3 |
Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 |
Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 |
Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados Derechos de acceso |
| Controles Tecnológicos | Anexo A 8.19 |
Anexo A 12.5.1 Anexo A 12.6.2 |
Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 |
Anexo A 10.1.1 Anexo A 10.1.2 |
Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 |
Anexo A 14.1.2 Anexo A 14.1.3 |
Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Arquitectura de sistemas seguros y principios de ingeniería: aprendizaje a partir de incidentes de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 |
Anexo A 14.2.8 Anexo A 14.2.9 |
Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 |
Anexo A 12.1.4 Anexo A 14.2.6 |
Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 |
Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 |
Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
Cómo ayuda ISMS.online
ISMS.online es un sistema basado en la nube que ayuda a las organizaciones a demostrar la alineación con ISO 27001:2022. Este sistema se puede utilizar para supervisar los requisitos de ISO 27001, garantizando que su organización siga cumpliendo con el estándar.
Nuestra la plataforma es fácil de usar y accesible a todos. No requiere conocimientos técnicos complejos; cualquier persona en su negocio puede hacer uso de él.
Contáctenos ahora para programar una demostración.