- See Norma ISO 27002:2022 8.27 para obtener más información.
- See ISO 27001:2013 Anexo A 14.2.5 para obtener más información.
ISO 27001:2022 Control 8.27 – Fortalecimiento de la seguridad del sistema desde cero
ISO 27001:2022 El Anexo A 8.27 especifica que las organizaciones deben implementar una arquitectura de sistema segura y principios de ingeniería para garantizar que el diseño, la implementación y la gestión del sistema de información sean apropiados para los requisitos de seguridad de la organización. Esto incluye el establecimiento de arquitecturas de sistemas seguros, principios de ingeniería y prácticas de diseño seguras.
Las intrincadas estructuras de los sistemas de información contemporáneos, combinadas con el entorno de riesgo de seguridad cibernética en constante cambio, hacen que los sistemas de información sean más propensos a amenazas de seguridad existentes y potenciales.
El Anexo A 8.27 describe cómo las organizaciones pueden proteger proteger sus sistemas de información de las amenazas a la seguridad mediante la implementación de principios de ingeniería de sistemas seguros durante todas las etapas del ciclo de vida del sistema de información.
Propósito de ISO 27001:2022 Anexo A 8.27
El Anexo A 8.27 facilita a las organizaciones proteger los sistemas de información durante las fases de diseño, implementación y operación, mediante el establecimiento e implementación de principios de ingeniería de sistemas seguros que los ingenieros de sistemas deben cumplir.
Propiedad del Anexo A 8.27
La sección Director de Información de Seguridad debe ser responsable de establecer, sostener y poner en práctica las reglas que rigen la ingeniería segura de los sistemas de información.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación general sobre el cumplimiento de ISO 27001:2022 Anexo A 8.27
ISO 27001:2022 Anexo A 8.27 subraya la necesidad de que las organizaciones integren la seguridad en la totalidad de sus sistemas de información, incluidos los procesos comerciales, las aplicaciones y la arquitectura de datos.
Se deben implementar prácticas de ingeniería segura para todas las tareas asociadas con los sistemas de información, revisadas y actualizadas periódicamente para tener en cuenta las amenazas y patrones de ataque emergentes.
El Anexo A 8.27 también se aplica a los sistemas creados por proveedores externos, además de los desarrollados y ejecutados internamente.
Las organizaciones deben garantizar que las prácticas y estándares de los proveedores de servicios estén en línea con sus protocolos de ingeniería seguros.
ISO 27001:2022 Anexo A 8.27 requiere principios de ingeniería de sistemas seguros para abordar los siguientes ocho temas:
- Métodos de autenticación de usuarios.
- Guía de control de sesión segura.
- Procedimientos de higienización y validación de datos.
- Se analizan exhaustivamente las medidas de seguridad para proteger los activos y sistemas de información contra amenazas conocidas.
- Medidas de seguridad analizadas por su capacidad para identificar, eliminar y responder a amenazas a la seguridad.
- Analizar las medidas de seguridad aplicadas a actividades empresariales específicas, como el cifrado de la información.
- Dónde y cómo se implementarán las medidas de seguridad. Como parte de este proceso, se podrá integrar un control de seguridad específico del Anexo A dentro de la infraestructura técnica.
- La forma en que las diferentes medidas de seguridad trabajan juntas y operan como un sistema combinado.
Orientación sobre el principio de confianza cero
Las organizaciones deben tener en cuenta estos principios de confianza cero:
- Basado en el supuesto de que los sistemas de la organización ya están comprometidos y que la seguridad perimetral definida de su red no puede proporcionar una protección adecuada.
- Se debe adoptar una política de “verificación antes que confianza” cuando se trata de otorgar acceso a los sistemas de información. Esto garantiza que el acceso se conceda sólo después de un escrutinio, asegurándose de que lo tengan las personas adecuadas.
- Garantizar que las solicitudes realizadas a los sistemas de información estén protegidas con cifrado de extremo a extremo proporciona seguridad.
- Los mecanismos de verificación se implementan asumiendo solicitudes de acceso desde redes abiertas externas a los sistemas de información.
- Implementar privilegios mínimos y control de acceso dinámico de acuerdo con ISO 27001:2022 Anexo A 5.15, 5.18 y 8.2. Esto debe abarcar la autenticación y autorización de información y sistemas de información confidenciales teniendo en cuenta aspectos contextuales como las identidades de los usuarios (ISO 27001:2022 Anexo A 5.16) y clasificación de la información (ISO 27001:2022 Anexo A 5.12).
- Autenticar la identidad del solicitante y verificar las solicitudes de autorización para acceder a los sistemas de información de acuerdo con la información de autenticación en ISO 27001:2022 Anexo A 5.17, 5.16 y 8.5.
¿Qué deberían cubrir las técnicas de ingeniería de sistemas seguros?
Su organización debe tener en cuenta lo siguiente:
- Incorporar principios de arquitectura segura como "seguridad por diseño", "defensa en profundidad", "fallar de forma segura", "desconfiar de las entradas de aplicaciones externas", "asumir una infracción", "menor privilegio", "usabilidad y capacidad de gestión" y "menor funcionalidad". " es de suma importancia.
- Realizar una revisión del diseño orientada a la seguridad para detectar cualquier problema de seguridad de la información y asegurarse de que se establezcan medidas de seguridad y satisfagan las necesidades de seguridad.
- Es esencial documentar y reconocer las medidas de seguridad que no cumplen con los requisitos.
- El endurecimiento del sistema es esencial para la seguridad de cualquier sistema.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
¿Qué criterios considerar al diseñar principios de ingeniería seguros?
Las organizaciones deben tener en cuenta los siguientes puntos al establecer principios de ingeniería de sistemas seguros:
- El requisito de coordinar los controles del Anexo A con una arquitectura de seguridad particular es indispensable.
- La infraestructura de seguridad técnica existente de una organización, incluida la infraestructura de clave pública, la gestión de identidades y la prevención de fuga de datos.
- ¿Puede la organización construir y sostener la tecnología elegida?
- Se debe considerar el coste y el tiempo necesarios para cumplir los requisitos de seguridad, teniendo en cuenta su complejidad.
- Adherirse a las mejores prácticas actuales es esencial.
Orientación sobre la aplicación de principios de ingeniería de sistemas seguros
ISO 27001:2022 Anexo A 8.27 establece que las organizaciones pueden utilizar principios de ingeniería seguros al configurar lo siguiente:
- La tolerancia a fallos y otras estrategias de resiliencia son esenciales. Ayudan a garantizar que los sistemas permanezcan operativos a pesar de que ocurran eventos inesperados.
- La segregación a través de la virtualización es una técnica que se puede utilizar.
- La protección contra manipulaciones garantiza que los sistemas permanezcan seguros e impermeables a interferencias maliciosas.
La tecnología de virtualización segura puede reducir el riesgo de interceptación entre aplicaciones que se ejecutan en el mismo dispositivo.
Se destaca que los sistemas de resistencia a la manipulación pueden detectar la manipulación tanto lógica como física de los sistemas de información, impidiendo el acceso no autorizado a los datos.
Cambios y diferencias con respecto a ISO 27001:2013
ISO 27001:2022 Anexo A 8.27 reemplaza ISO 27001:2013 Anexo A 14.2.5 en la norma revisada de 2022.
La versión 2022 contiene exigencias más amplias que la versión 2013, tales como:
- En comparación con 2013, la versión 2022 proporciona orientación sobre lo que deberían contener los principios de ingeniería segura.
- A diferencia de la iteración de 2013, la versión 2022 considera los criterios que las organizaciones deben tener en cuenta al construir principios de ingeniería de sistemas seguros.
- La versión 2022 proporciona orientación sobre el principio de confianza cero, que no se incluyó en la versión 2013.
- La edición de 2022 del documento incluye recomendaciones para técnicas de ingeniería seguras, como la “seguridad por diseño”, que no estaba presente en la versión de 2013.
Tabla de todos los controles del Anexo A de ISO 27001:2022
En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control:
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 |
Anexo A 5.1.1 Anexo A 5.1.2 |
Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 |
Anexo A 6.1.5 Anexo A 14.1.1 |
Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 |
Anexo A 8.1.1 Anexo A 8.1.2 |
Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 |
Anexo A 8.1.3 Anexo A 8.2.3 |
Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 |
Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 |
Transferencia de información |
| Controles organizacionales | Anexo A 5.15 |
Anexo A 9.1.1 Anexo A 9.1.2 |
Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 |
Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 |
Información de autenticación |
| Controles organizacionales | Anexo A 5.18 |
Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 |
Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 |
Anexo A 15.2.1 Anexo A 15.2.2 |
Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 |
Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 |
Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 |
Anexo A 18.1.1 Anexo A 18.1.5 |
Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 |
Anexo A 18.2.2 Anexo A 18.2.3 |
Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 |
Anexo A 16.1.2 Anexo A 16.1.3 |
Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 |
Anexo A 11.1.2 Anexo A 11.1.6 |
Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 |
Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 |
Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 |
Anexo A 6.2.1 Anexo A 11.2.8 |
Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 |
Anexo A 12.6.1 Anexo A 18.2.3 |
Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 |
Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 |
Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados Derechos de acceso |
| Controles Tecnológicos | Anexo A 8.19 |
Anexo A 12.5.1 Anexo A 12.6.2 |
Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 |
Anexo A 10.1.1 Anexo A 10.1.2 |
Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 |
Anexo A 14.1.2 Anexo A 14.1.3 |
Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Arquitectura de sistemas seguros y principios de ingeniería: aprendizaje a partir de incidentes de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 |
Anexo A 14.2.8 Anexo A 14.2.9 |
Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 |
Anexo A 12.1.4 Anexo A 14.2.6 |
Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 |
Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 |
Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
Cómo ayuda ISMS.online
Nuestra lista de verificación paso a paso hace que la implementación de ISO 27001 sea muy sencilla. Nuestro solución completa de cumplimiento para ISO/IEC 27001:2022 lo guiará a través del proceso de principio a fin.
Al iniciar sesión, puede esperar hasta un 81% de progreso.
Esta solución es totalmente completa y sencilla.
Comuníquese ahora con reservar una demostración.