ISO 27001 – Controles del Anexo A

Introducción de los controles del Anexo A

Hay 114 Controles del Anexo A, divididos en 14 categorías. La forma en que responda a los requisitos a medida que construye su SGSI depende de las características específicas de su organización.

Una forma útil de entender el Anexo A es pensar en él como un catálogo de controles de seguridad. En función de sus evaluaciones de riesgos, seleccionará las que sean aplicables a su organización, basándose en sus riesgos particulares.

La ayuda está disponible con ISMS.online

Los controles del Anexo A 114 pueden parecer abrumadores, pero la ayuda está disponible. La plataforma ISMS.online está construida exactamente de la misma manera que el estándar ISO 27001, lo que le facilita seguir y comprender lo que debe hacer. Además, le brindamos orientación paso a paso para obtener la certificación ISO 27001 por primera vez, con una tasa de éxito del 100 %.

Controles del Anexo A

Anexo A.5 – Políticas de Seguridad de la Información

Anexo A.5.1 Se trata de dirección de gestión para la seguridad de la información. El objetivo de este Anexo es gestionar la dirección y el soporte a la seguridad de la información de acuerdo con los requisitos de la organización.

Anexo A.6 – Organización de la Seguridad de la Información

Anexo A.6.1 Se trata de organización interna. El objetivo en esta área del Anexo A es establecer un marco de gestión para iniciar y controlar la implementación y operación de la seguridad de la información dentro de la organización.

Anexo A.6.2 Se trata de dispositivos móviles y teletrabajo. El objetivo en este ámbito del Anexo A es establecer un marco de gestión para garantizar la seguridad del teletrabajo y el uso de dispositivos móviles.

Anexo A.7 – Seguridad de los Recursos Humanos

Anexo A.7.1 se trata antes del empleo. El objetivo de este Anexo es garantizar que los empleados y contratistas comprendan sus responsabilidades y sean aptos para las funciones para las que están considerados.

Anexo A.7.2 – el objetivo de este Anexo es garantizar que los empleados y contratistas conozcan y cumplan con sus responsabilidades de seguridad de la información durante el empleo.

Anexo A.7.3 Se trata de despido y cambio de empleo. El objetivo de este Anexo es proteger los intereses de la organización como parte del proceso de cambio y terminación de empleo.

Anexo A.8 – Gestión de Activos

Anexo A.8.1 Se trata de responsabilidad de los bienes. El objetivo del anexo es identificar activos de información el alcance del sistema de gestión y definir las responsabilidades de protección adecuadas.

Anexo A.8.2 Se trata de clasificación de información. El objetivo de este Anexo es garantizar que la información reciba un nivel adecuado de protección de acuerdo con su importancia para la organización (y las partes interesadas, como los clientes).

Anexo A.8.3 trata sobre el manejo de los medios. El objetivo de este Anexo es evitar la divulgación, modificación, eliminación o destrucción no autorizada de la información almacenada en los soportes.

Anexo A.9 – Control de acceso

Anexo A.9.1 Se trata de los requisitos comerciales del control de acceso. El objetivo de este Anexo es limitar el acceso a la información y a las instalaciones de procesamiento de información.

Anexo A.9.2 Se trata de la gestión del acceso de los usuarios. El objetivo de este control del Anexo A es garantizar que los usuarios estén autorizados a acceder a los sistemas y servicios, así como evitar el acceso no autorizado.

Anexo A.9.3 se trata de responsabilidades del usuario. El objetivo de este control del Anexo A es responsabilizar a los usuarios de salvaguardar su información de autenticación.

Anexo A.9.4 trata sobre el control de acceso al sistema y a las aplicaciones. El objetivo de este Anexo es impedir el acceso no autorizado a sistemas y aplicaciones.

Anexo A.10 – Criptografía

Anexo A.10.1 se trata de controles criptográficos. El objetivo de este Anexo es garantizar el uso adecuado y eficaz de la criptografía para proteger la confidencialidad, autenticidad y/o integridad de la información.

Anexo A.11 – Seguridad Física y Ambiental

Anexo A.11.1 Se trata de garantizar áreas físicas y ambientales seguras. El objetivo de este Anexo es evitar el acceso físico no autorizado, daños e interferencias a la información de la organización y a sus instalaciones de procesamiento de información.

Anexo A.11.2 se trata de equipo. El objetivo del control de este Anexo es evitar la pérdida, daño y robo o compromiso de los activos y la interrupción de las operaciones de la organización.

Anexo A.12 – Seguridad de las Operaciones

Anexo A.12.1 trata sobre procedimientos operativos y responsabilidades. El objetivo de esta área del Anexo A es garantizar el funcionamiento correcto y seguro de las instalaciones de procesamiento de información.

Anexo A.12.2 se trata de protección contra malware. El objetivo aquí es garantizar que la información y las instalaciones de procesamiento de información estén protegidas contra el malware.

Anexo A.12.3 se trata de respaldo. El objetivo aquí es proteger contra la pérdida de datos.

Anexo A.12.4 se trata de registro y monitoreo. El objetivo en esta área del Anexo A es registrar eventos y generar evidencia.

Anexo A.12.5 Se trata del control del software operativo. El objetivo en esta área del Anexo A es garantizar la integridad de los sistemas operativos.

Anexo A.12.6 Se trata de gestión de vulnerabilidades técnicas. El objetivo de este control del Anexo A es evitar la explotación de vulnerabilidades técnicas.

Anexo A.12.7 trata sobre sistemas de información y consideraciones de auditoría. El objetivo en esta área del Anexo A es minimizar el impacto de las actividades de auditoría en los sistemas operativos.

Anexo A.13 – Seguridad de las Comunicaciones

Anexo A.13.1 trata sobre la gestión de la seguridad de la red. El objetivo de este Anexo es garantizar la protección de la información en las redes y sus instalaciones de procesamiento de información de apoyo.

Anexo A.13.2 Se trata de transferencia de información. El objetivo de este Anexo es mantener la seguridad de la información transferida dentro de la organización y con cualquier entidad externa, por ejemplo, un cliente, proveedor u otra parte interesada.

Anexo A.14 – Adquisición, Desarrollo y Mantenimiento del Sistema

Anexo A.14.1 trata sobre los requisitos de seguridad de los sistemas de información. El objetivo en esta área del Anexo es garantizar que la seguridad de la información sea una parte integral de los sistemas de información durante todo el ciclo de vida. Esto también incluye los requisitos para los sistemas de información que brindan servicios a través de redes públicas.

Anexo A.15 – Relaciones con Proveedores

Anexo A.15.1 trata sobre la seguridad de la información en las relaciones con los proveedores. El objetivo aquí es la protección de los activos valiosos de la organización que son accesibles o afectados por los proveedores.

Anexo A.15.2 trata sobre la gestión del desarrollo de servicios de proveedores. El objetivo de este control del Anexo A es garantizar que se mantenga un nivel acordado de seguridad de la información y prestación de servicios de acuerdo con los acuerdos con los proveedores.

Anexo A.16 – Gestión de Incidentes de Seguridad de la Información

Anexo A.16.1 trata sobre la gestión de incidentes, eventos y debilidades de seguridad de la información. El objetivo en esta área del Anexo es garantizar un enfoque consistente y eficaz para el ciclo de vida de incidentes, eventos y debilidades.

Anexo A.17 – Aspectos de seguridad de la información de la gestión de la continuidad del negocio

Anexo A.17.1 se trata de continuidad de la seguridad de la información. El objetivo de este control del Anexo A es que la continuidad de la seguridad de la información esté integrada en los sistemas de gestión de la continuidad del negocio de la organización.

Anexo A.17.2 se trata de despidos. El objetivo de este control del Anexo A es garantizar la disponibilidad de las instalaciones de procesamiento de información.

Anexo A.18 – Cumplimiento

Anexo A.18.1 se trata del cumplimiento de requisitos legales y contractuales. El objetivo es evitar incumplimientos de obligaciones legales, estatutarias, reglamentarias o contractuales relacionadas con la seguridad de la información y de cualquier requisito de seguridad.