- See Norma ISO 27002:2022 8.9 para más información.
Propósito de ISO 27001:2022 Anexo A 8.9
Las configuraciones, ya sea como un archivo de configuración individual o como una colección de configuraciones vinculadas entre sí, determinan cómo se administran el hardware, el software y las redes.
Por ejemplo, el archivo de configuración de un firewall contendrá los atributos básicos que utiliza el dispositivo para administrar el tráfico que ingresa y sale de la red de una organización, como listas de bloqueo, reenvío de puertos, LAN virtuales e información de VPN.
La gestión de la configuración constituye una parte esencial de la estrategia de gestión de activos de cualquier organización . Las configuraciones son cruciales para garantizar el correcto funcionamiento de la red y para proteger los dispositivos de cambios no autorizados o modificaciones inapropiadas por parte del personal de mantenimiento o los proveedores.
Propiedad del Anexo A 8.9
La gestión de la configuración es una tarea administrativa dedicada a mantener y supervisar los datos e información relacionados con los activos presentes en diversos dispositivos y aplicaciones. Por lo tanto, su responsabilidad recae en el jefe de TI o su equivalente.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación sobre ISO 27001:2022 Anexo A 8.9 Cumplimiento
Las organizaciones necesitan diseñar y promulgar políticas de gestión de configuración para sistemas y hardware nuevos y existentes. Los controles internos deben abarcar elementos clave como configuraciones de seguridad, hardware con archivos de configuración y cualquier software o sistema aplicable.
La norma ISO 27001:2022, Anexo A 8.9, exige que las organizaciones tengan en cuenta todas las funciones y responsabilidades pertinentes al establecer una política de configuración, incluida la asignación de la propiedad de las configuraciones dispositivo por dispositivo o aplicación por aplicación.
Orientación sobre plantillas estándar
Las organizaciones deben esforzarse por utilizar plantillas estandarizadas para proteger todo el hardware, software y sistemas siempre que sea práctico. Estas plantillas deberían:
- Intente utilizar instrucciones de código abierto, específicas del proveedor y disponibles gratuitamente para configurar de manera óptima los activos de hardware y software.
- Asegúrese de que el dispositivo, aplicación o sistema cumpla con los requisitos mínimos de seguridad.
- Cooperar con los más grandes de la empresa. seguridad de la información actividades, incluidas todas las normas ISO aplicables.
- Tenga en cuenta las necesidades comerciales especiales de la organización, particularmente con respecto a la configuración de seguridad, así como la posibilidad de aplicar o administrar una plantilla en cualquier momento.
- A intervalos regulares, revise las actualizaciones del sistema y del hardware, y cualquier amenaza de seguridad actual, para garantizar un rendimiento óptimo.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Orientación sobre controles de seguridad
La seguridad es de suma importancia al aplicar plantillas de configuración o cambiar las existentes de acuerdo con la guía mencionada anteriormente.
Al contemplar las plantillas que se implementarán en toda la empresa, las organizaciones deben esforzarse por reducir los posibles riesgos de seguridad de la información mediante:
- Restringir la cantidad de personal con autoridad administrativa a la menor cantidad posible.
- Desactive cualquier identidad que no se utilice o no sea necesaria.
- Realice un seguimiento cuidadoso del acceso a los programas de mantenimiento, utilidades y configuraciones internas.
- Asegúrese de que los relojes estén coordinados para registrar la configuración con precisión y ayudar en futuras sondas.
- Cambie inmediatamente cualquier contraseña predeterminada o configuración de seguridad proporcionada con cualquier dispositivo, servicio o programa.
- Implemente un período de cierre de sesión preestablecido para cualquier dispositivo, sistema o aplicación que haya estado inactivo durante un período de tiempo predeterminado.
- Asegurar el cumplimiento de ISO 27001:2022 Anexo A 5.32 para garantizar que se hayan cumplido todos los requisitos de licencia.
Orientación sobre la gestión y supervisión de configuraciones
La organización está obligada a conservar y registrar las configuraciones, junto con un historial de cualquier cambio o nueva configuración, de acuerdo con el proceso de gestión de cambios del Anexo A 27001 de la norma ISO 2022:8.32.
Los registros deben incluir información que detalle:
- Quién posee el activo.
- Registre la hora del último cambio de configuración.
- Esta versión de la plantilla de configuración que está vigente.
- Explique cualquier dato pertinente a la asociación del activo con configuraciones en otros dispositivos/sistemas.
Las organizaciones deben emplear un amplio espectro de métodos para controlar el funcionamiento de los archivos de configuración en su red, como por ejemplo:
- Automatización.
- Se encuentran disponibles para su uso programas de mantenimiento de configuración especializados. Estos programas permiten una gestión eficiente y eficaz de los entornos.
- Herramientas de soporte remoto que completan automáticamente los datos de configuración para cada dispositivo.
- Las utilidades de administración de software y dispositivos empresariales se crean para observar grandes cantidades de datos de configuración simultáneamente.
- El software BUDR proporciona copias de seguridad automatizadas de las configuraciones en un lugar seguro y puede restaurar plantillas de forma remota o in situ en dispositivos que no funcionan correctamente o están comprometidos.
Las organizaciones deben emplear software especializado para monitorear cualquier cambio en la configuración de un dispositivo, tomando medidas rápidas para aprobar o revertir la transformación a su estado inicial.
Controles adjuntos al Anexo A
- ISO 27001:2022 Anexo A 5.32
- ISO 27001:2022 Anexo A 8.32
NHS Professionals logra la certificación ISO 27001 y mejora su gestión de infosec
Ante un plazo ajustado de seis meses y la necesidad de integrar múltiples marcos de trabajo existentes, NHS Professionals necesitaba una plataforma que pudiera incorporar la norma ISO 27001 sin duplicar políticas ni añadir riesgos a su ya complejo panorama de cumplimiento normativo.
La herramienta Xergy Proteus genera crecimiento mediante el cumplimiento de la norma ISO 27001 utilizando ISMS.online
Como empresa emergente que desarrolla software para sectores de ingeniería altamente regulados, Xergy necesitaba la certificación ISO 27001 para generar crecimiento a través de la confianza, y un socio externo de probada eficacia para gestionar los rigurosos requisitos sin desviar al equipo de desarrollo.
Cómo Blue Services logró el éxito con la triple certificación ISO.
Blue Services necesitaba apoyo externo para que les guiara en la implementación y las mejores prácticas de las normas ISO 27001, ISO 9001 e ISO 14001, así como una plataforma para centralizar la gestión general de su cumplimiento normativo.
Cómo Evolution Funding logró la certificación ISO 27001
Para Evolution Funding, obtener la certificación ISO 27001 era un objetivo fundamental. El equipo necesitaba una plataforma centralizada que les permitiera implementar la norma ISO 27001 y gestionar el proceso de cumplimiento.
Cómo 4way Consulting allanó el camino hacia el éxito en la certificación ISO 27001.
Al gestionar datos confidenciales de clientes que abarcan múltiples estándares, 4way necesitaba una forma rentable y eficiente en tiempo de obtener la certificación ISO 27001, sin tener que crear un SGSI desde cero ni depender de costosos consultores externos.
Éxito de Nesevo en el cumplimiento de múltiples certificaciones con IO
Nesevo, que tenía dificultades para gestionar el cumplimiento de la norma ISO 27001 a través de documentos y hojas de cálculo dispersos, necesitaba una plataforma centralizada que pudiera guiarlos a través de la norma sin el costo continuo de consultores externos.
Cambios y diferencias con respecto a ISO 27001:2013
El Anexo A 8.9 de la norma ISO 27001:2022 no está presente en la norma ISO 27001:2013 , ya que es una nueva adición en la revisión de 2022.
Tabla de todos los controles del Anexo A de ISO 27001:2022
En la tabla que aparece a continuación encontrará más información sobre cada uno de los controles del Anexo A de la norma ISO 27001:2022.
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 |
Anexo A 5.1.1 Anexo A 5.1.2 |
Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 |
Anexo A 6.1.5 Anexo A 14.1.1 |
Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 |
Anexo A 8.1.1 Anexo A 8.1.2 |
Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 |
Anexo A 8.1.3 Anexo A 8.2.3 |
Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 |
Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 |
Transferencia de información |
| Controles organizacionales | Anexo A 5.15 |
Anexo A 9.1.1 Anexo A 9.1.2 |
Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 |
Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 |
Información de autenticación |
| Controles organizacionales | Anexo A 5.18 |
Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 |
Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 |
Anexo A 15.2.1 Anexo A 15.2.2 |
Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 |
Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 |
Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 |
Anexo A 18.1.1 Anexo A 18.1.5 |
Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 |
Anexo A 18.2.2 Anexo A 18.2.3 |
Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 |
Anexo A 16.1.2 Anexo A 16.1.3 |
Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 |
Anexo A 11.1.2 Anexo A 11.1.6 |
Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 |
Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 |
Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 |
Anexo A 6.2.1 Anexo A 11.2.8 |
Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 |
Anexo A 12.6.1 Anexo A 18.2.3 |
Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 |
Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 |
Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados Derechos de acceso |
| Controles Tecnológicos | Anexo A 8.19 |
Anexo A 12.5.1 Anexo A 12.6.2 |
Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 |
Anexo A 10.1.1 Anexo A 10.1.2 |
Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 |
Anexo A 14.1.2 Anexo A 14.1.3 |
Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Arquitectura de sistemas seguros y principios de ingeniería: aprendizaje a partir de incidentes de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 |
Anexo A 14.2.8 Anexo A 14.2.9 |
Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 |
Anexo A 12.1.4 Anexo A 14.2.6 |
Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 |
Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 |
Gestión del Cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
Cómo ayuda ISMS.online
ISMS.Online ofrece un enfoque integral para la implementación de la norma ISO 27001. Proporciona un paquete de servicios completo que garantiza una gestión rápida y eficiente de todo el proceso. Ofrece todas las herramientas, recursos y orientación necesarios para que las organizaciones implementen la norma con confianza.
Este sistema basado en la web le permite demostrar que su Sistema de Gestión de la Seguridad de la Información (SGSI) cumple con los estándares aceptados, mediante procesos, procedimientos y listas de verificación bien pensados.
Contáctanos ahora para programar una demostración.