- See Norma ISO 27002:2022 8.8 para obtener más información.
- See ISO 27001:2013 Anexo A 12.6.1 para obtener más información.
- See ISO 27001:2013 Anexo A 18.2.3 para obtener más información.
Propósito de ISO 27001:2022 Anexo A 8.8
Ninguna red informática, sistema, software o dispositivo es completamente seguro. Ejecutar una LAN o WAN moderna implica vulnerabilidades como parte del proceso, por lo que es esencial que las organizaciones acepten su presencia y se esfuercen por reducir los riesgos potenciales.
ISO 27001:2022 Anexo A 8.8 proporciona una gran cantidad de consejos para ayudar a las organizaciones a proteger sus redes contra la explotación interna y externa de vulnerabilidades. Hace uso de procedimientos y directrices de varios otros ISO 27001:2022 Anexo A Controles, particularmente aquellos para Gestión del cambio (ver Anexo A 8.32) y Control de Acceso .
Propiedad del Anexo A 8.8
ISO 27001:2022 Anexo A 8.8 aborda la gestión técnica y administrativa de software, sistemas y activos de TIC. Prescribe un enfoque integral para la gestión de software, gestión de activosy auditoría de seguridad de la red.
La persona que tiene la responsabilidad final del mantenimiento de la infraestructura de TIC de la organización, como el Jefe de TI o equivalente, debe ser el propietario del Anexo A 27001 de la norma ISO 2022:8.8.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación para identificar vulnerabilidades
Antes de llevar a cabo controles de vulnerabilidad, es esencial adquirir una lista completa y actualizada de los activos físicos y digitales (consulte el Anexo A 5.9 y 5.14) que posee y opera la organización.
Los datos de los activos de software deben comprender:
- Números de versión actualmente en funcionamiento.
- Dónde se implementa el software en todo el patrimonio.
- Nombre del vendedor.
- Nombre de la aplicación.
Las organizaciones deben esforzarse por identificar vulnerabilidades técnicas mediante:
- Es esencial definir claramente quién en la organización es responsable de gestión de vulnerabilidades desde un punto de vista técnico punto de vista, cumpliendo sus diversas funciones, las cuales incluyen (pero no se limitan a):
- Seguimiento.
- Actualizando.
- Gestión de activos.
- Evaluación del riesgo.
- Dentro de la organización, quién es el responsable del software.
- Mantener un registro de aplicaciones y herramientas para identificar debilidades técnicas.
- Solicitar a los proveedores y vendedores que divulguen cualquier susceptibilidad con nuevos sistemas y hardware al proporcionarlos (según el Anexo A 5.20 de ISO 27001:2022), y especificarlo claramente en todos los contratos y acuerdos de servicio aplicables.
- Emplee herramientas de escaneo de vulnerabilidades e instalaciones de parcheo.
- Realice pruebas de penetración periódicas y documentadas, ya sea por personal interno o por un tercero autenticado.
- Tenga en cuenta la posibilidad de que se produzcan vulnerabilidades programáticas subyacentes al utilizar bibliotecas de código o código fuente de terceros (consulte ISO 27001:2022 Anexo A 8.28).
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Orientación sobre actividades públicas
Las organizaciones deben crear políticas y procedimientos que detecten vulnerabilidades en todos sus productos y servicios y obtener evaluaciones de estas vulnerabilidades relacionadas con su suministro.
ISO aconseja a las organizaciones que tomen medidas para identificar cualquier vulnerabilidad y motivar a terceros a participar en actividades de gestión de vulnerabilidades ofreciendo programas de recompensas (donde se buscan posibles vulnerabilidades y se informan a la organización a cambio de una recompensa).
Las organizaciones deben hacerse accesibles al público a través de foros, direcciones de correo electrónico públicas e investigaciones para poder aprovechar el conocimiento colectivo del público para proteger sus productos y servicios.
Las organizaciones deben revisar cualquier medida correctiva adoptada y considerar divulgar información relevante a las personas u organizaciones afectadas. Además, deberían colaborar con organizaciones de seguridad especializadas para difundir el conocimiento sobre las vulnerabilidades y los vectores de ataque.
Las organizaciones deberían pensar en proporcionar un sistema de actualización automatizado opcional que los clientes puedan optar por utilizar o no, según sus requisitos comerciales.
Orientación sobre la evaluación de vulnerabilidades
La generación de informes precisos es esencial para garantizar acciones correctivas rápidas y efectivas cuando se detectan riesgos de seguridad.
Las organizaciones deben evaluar las vulnerabilidades mediante:
- Examine los informes minuciosamente y determine qué acción es necesaria, como cambiar, actualizar o eliminar los sistemas y/o equipos afectados.
- Alcanzar una resolución que tenga en cuenta otros controles ISO (especialmente los relacionados con ISO 27001:2022) y reconozca el nivel de riesgos.
Orientación para contrarrestar las vulnerabilidades del software
Las vulnerabilidades del software se pueden abordar eficazmente mediante un enfoque proactivo para las actualizaciones de software y la gestión de parches. Garantizar actualizaciones y parches periódicos puede ayudar a proteger su sistema de posibles amenazas.
Las organizaciones deben tener cuidado de conservar las versiones de software existentes antes de realizar modificaciones, realizar pruebas exhaustivas de todas las modificaciones y aplicarlas a una copia designada del software.
Una vez identificadas las vulnerabilidades, las organizaciones deben tomar medidas para abordarlas:
- Trate de solucionar rápida y eficazmente todas las debilidades de seguridad.
- Cuando sea posible, observar los protocolos organizacionales sobre Gestión de Cambios (ver ISO 27001:2022 Anexo A 8.32) y Manejo de Incidentes (ver ISO 27001:2022 Anexo A 5.26).
- Aplique únicamente parches y actualizaciones de fuentes confiables y certificadas, especialmente para software y equipos de proveedores externos:
- Las organizaciones deben evaluar los datos disponibles para decidir si es esencial aplicar actualizaciones automáticas (o componentes de ellas) al software y hardware adquiridos.
- Antes de instalar, pruebe las actualizaciones para evitar problemas imprevistos en un entorno real.
- Dar máxima prioridad a abordar los sistemas empresariales vitales y de alto riesgo.
- Asegúrese de que las acciones correctivas sean exitosas y genuinas.
En caso de que no haya ninguna actualización disponible o haya obstáculos para instalar una (por ejemplo, relacionados con el costo), las organizaciones deben contemplar otros métodos, como:
- Solicitar orientación al proveedor sobre una solución temporal mientras se intensifican los esfuerzos de reparación.
- Apague todos los servicios de red que se vean afectados por la vulnerabilidad.
- Implementar controles de seguridad en puertas de enlace clave, como regulaciones y filtros de tráfico, para proteger la red.
- Intensificar la vigilancia en proporción al riesgo asociado.
- Asegúrese de que todas las partes interesadas estén al tanto de la falla, incluidos proveedores y compradores.
- Retrasar la actualización y evaluar los riesgos, teniendo en cuenta especialmente los posibles costos operativos.
Controles adjuntos al Anexo A
- ISO 27001:2022 Anexo A 5.14
- ISO 27001:2022 Anexo A 5.20
- ISO 27001:2022 Anexo A 5.9
- ISO 27001:2022 Anexo A 8.20
- ISO 27001:2022 Anexo A 8.22
- ISO 27001:2022 Anexo A 8.28
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Orientación complementaria sobre el Anexo A 8.8
Las organizaciones deben mantener un pista de auditoría de todas las actividades pertinentes de gestión de vulnerabilidades para ayudar con acciones correctivas y protocolos avanzados en caso de una violación de seguridad.
Evaluar y revisar periódicamente todo el proceso de gestión de vulnerabilidades es una excelente manera de mejorar el rendimiento e identificar de manera proactiva cualquier vulnerabilidad.
Si la organización emplea un proveedor de servicios en la nube, debe garantizar que el enfoque del proveedor para la gestión de vulnerabilidades sea compatible con el suyo y debe incluirse en el acuerdo de servicio vinculante entre ambas partes, incluido cualquier procedimiento de presentación de informes (consulte ISO 27001:2022 Anexo A 5.32). .
Cambios y diferencias con respecto a ISO 27001:2013
ISO 27001:2022 Anexo A 8.8 reemplaza dos controles del Anexo A de ISO 27001:2013, estos son:
- 12.6.1 – Gestión de vulnerabilidades técnicas
- 18.2.3 – Revisión de cumplimiento técnico
ISO 27001:2022 Anexo A 8.8 introduce un enfoque nuevo y distinto para la gestión de vulnerabilidades que el que se encuentra en ISO 27001:2013. Se trata de una divergencia notable con respecto a la norma anterior.
ISO 27001:2013 Anexo A 12.6.1 se centró principalmente en implementar medidas correctivas una vez que se detecta una vulnerabilidad, mientras que el Anexo A 18.2.3 solo se aplica a medios técnicos (en gran medida, pruebas de penetración).
ISO 27001:2022 Anexo A 8.8 introduce nuevas secciones que tratan sobre las responsabilidades públicas de una organización, los métodos para reconocer vulnerabilidades y el papel que desempeñan los proveedores de la nube para mantener las vulnerabilidades al mínimo.
ISO 27001:2022 pone un fuerte énfasis en el papel de la gestión de vulnerabilidades en otras áreas (como la gestión de cambios) y fomenta la adopción de un enfoque holístico, incorporando varios otros controles y procesos de seguridad de la información.
Tabla de todos los controles del Anexo A de ISO 27001:2022
En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control:
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 |
Anexo A 5.1.1 Anexo A 5.1.2 |
Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 |
Anexo A 6.1.5 Anexo A 14.1.1 |
Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 |
Anexo A 8.1.1 Anexo A 8.1.2 |
Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 |
Anexo A 8.1.3 Anexo A 8.2.3 |
Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 |
Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 |
Transferencia de información |
| Controles organizacionales | Anexo A 5.15 |
Anexo A 9.1.1 Anexo A 9.1.2 |
Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 |
Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 |
Información de autenticación |
| Controles organizacionales | Anexo A 5.18 |
Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 |
Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 |
Anexo A 15.2.1 Anexo A 15.2.2 |
Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 |
Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 |
Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 |
Anexo A 18.1.1 Anexo A 18.1.5 |
Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 |
Anexo A 18.2.2 Anexo A 18.2.3 |
Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 |
Anexo A 16.1.2 Anexo A 16.1.3 |
Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 |
Anexo A 11.1.2 Anexo A 11.1.6 |
Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 |
Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 |
Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 |
Anexo A 6.2.1 Anexo A 11.2.8 |
Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 |
Anexo A 12.6.1 Anexo A 18.2.3 |
Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 |
Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 |
Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados Derechos de acceso |
| Controles Tecnológicos | Anexo A 8.19 |
Anexo A 12.5.1 Anexo A 12.6.2 |
Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 |
Anexo A 10.1.1 Anexo A 10.1.2 |
Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 |
Anexo A 14.1.2 Anexo A 14.1.3 |
Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Arquitectura de sistemas seguros y principios de ingeniería: aprendizaje a partir de incidentes de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 |
Anexo A 14.2.8 Anexo A 14.2.9 |
Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 |
Anexo A 12.1.4 Anexo A 14.2.6 |
Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 |
Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 |
Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
Cómo ayuda ISMS.online
Nuestra la plataforma es fácil de usar y sencillo. Está destinado a todos los miembros de la organización, no sólo a los expertos en tecnología. Recomendamos involucrar al personal de todos los niveles del negocio en construyendo su SGSI ya que esto ayuda a crear un sistema que durará.
Ponte en contacto ahora para organizar una demostración.