ISO 27001: 2022 Anexo A

¿Qué es el Anexo A y qué ha cambiado?

El Anexo A de ISO 27001 es parte del estándar que enumera un conjunto de controles de seguridad clasificados que las organizaciones utilizan para demostrar el cumplimiento de ISO 27001 6.1.3 (Tratamiento de riesgos de seguridad de la información) y su Declaración de aplicabilidad asociada (ver más abajo).

Anteriormente contenía 114 controles divididos en 14 categorías, que cubrían una amplia gama de temas como control de acceso, criptografía, seguridad física y gestión de incidentes.

Tras la publicación de la norma ISO 27002:2022 (controles de seguridad de la información, ciberseguridad y protección de la privacidad) el 15 de febrero de 2022, la norma ISO 27001:2022 ha alineado sus controles del Anexo A.

La nueva versión de la Norma se basa en un conjunto condensado de 93 controles del Anexo A, incluidos 11 controles nuevos.

Se fusionaron un total de 24 controles de dos, tres o más controles de seguridad de la versión 2013, y se revisaron 58 controles de la norma ISO 27002:2013 para alinearlos con el entorno actual de seguridad cibernética y seguridad de la información.

¿Qué es una Declaración de Aplicabilidad?

Antes de continuar, vale la pena presentar una declaración de aplicabilidad (SoA), ya que describe el enfoque de una organización para implementar controles específicos del Anexo A.

Una Declaración de Aplicabilidad (SoA) en ISO 27001 2022 es un documento que enumera los controles del Anexo A que una organización implementará para cumplir con los requisitos de la norma. Es un paso obligatorio para cualquiera que planee obtener la certificación ISO 27001.

Su SoA debe contener cuatro elementos principales:

• Una lista de todos los controles que son necesarios para satisfacer las opciones de tratamiento de riesgos de seguridad de la información, incluidos los contenidos en el Anexo A.
• Una declaración que describa por qué se han incluido todos los controles anteriores.
• Confirmación de implementación.
• La justificación de la organización para omitir cualquiera de los controles del Anexo A.

Explicación de las nuevas categorías de control ISO 27001:2022

Los controles del Anexo A de la norma ISO 27001:2013 se dividieron anteriormente en 14 categorías. ISO 27001 2022 adopta un enfoque categórico similar para la seguridad de la información que distribuye los procesos entre cuatro categorías de nivel superior.

Los controles del anexo a ahora se han agrupado en cuatro categorías

Los controles del Anexo ISO 27001:2022 se han reestructurado y consolidado para reflejar los desafíos de seguridad actuales. Los procesos básicos de gestión del SGSI permanecen sin cambios, pero el conjunto de controles del Anexo A se ha actualizado para reflejar riesgos más modernos y sus controles asociados.

• Organizacionales:
• Personas
• Físico
• Tecnológico

A cada control se le ha asignado adicionalmente una taxonomía de atribución. Cada control ahora tiene una tabla con un conjunto de atributos sugeridos y el Anexo A de ISO 27002:2022 proporciona un conjunto de asociaciones recomendadas.

Estos le permiten alinear rápidamente su selección de controles con el lenguaje común de la industria y los estándares internacionales. El uso de atributos respalda el trabajo que muchas empresas ya realizan dentro de su evaluación de riesgos y Declaración de Aplicabilidad (SoA).

Por ejemplo, se pueden distinguir conceptos de ciberseguridad similares a los controles NIST y CIS y reconocer las capacidades operativas relacionadas con otros estándares.

Controles organizacionales

• Número de controles: 37
• Números de control: ISO 27001 Anexo A 5.1 a 5.37

Los controles organizacionales abarcan regulaciones y medidas que dictan la actitud integral de una organización hacia la protección de datos en una amplia gama de asuntos. Estos controles incluyen políticas, reglas, procesos, procedimientos, estructuras organizativas y más.

Controles de personas

• Número de controles: 8
• Números de control: ISO 27001 Anexo A 6.1 a 6.8

Los controles de personas permiten a las empresas regular el componente humano de su programa de seguridad de la información, al definir la manera en que el personal interactúa con los datos y entre sí. Estos controles cubren la gestión segura de los recursos humanos, la seguridad del personal y la sensibilización y formación.

Controles físicos

• Número de controles: 14
• Números de control: ISO 27001 Anexo A 7.1 a 7.13

Las salvaguardias físicas son medidas empleadas para garantizar la seguridad de los activos tangibles. Estos pueden incluir sistemas de entrada, protocolos de acceso de invitados, procesos de eliminación de activos, protocolos de medios de almacenamiento y políticas de escritorio claro. Estas salvaguardias son esenciales para la preservación de la información confidencial.

Controles Tecnológicos

• Número de controles: 34
• Números de control: ISO 27001 Anexo A 8.1 a 8.34

Las restricciones tecnológicas dictan las regulaciones y procedimientos cibernéticos/digitales que las corporaciones deben adoptar para ejecutar una infraestructura de TI protegida y compatible, desde técnicas de autenticación hasta configuraciones, estrategias BUDR y registro de información.

¿Por qué es importante el Anexo A para mi organización?

La norma ISO 27001 está formulada de tal manera que permite a las organizaciones de todas las formas y tamaños satisfacer los requisitos de la norma mientras se adhieren a la premisa fundamental de implementar y mantener prácticas integrales de seguridad de la información.

Las organizaciones tienen varias opciones para lograr y preservar el cumplimiento de la norma ISO 27001, dependiendo de la naturaleza de su negocio y el alcance de sus actividades de procesamiento de datos.

El Anexo A ofrece a las organizaciones un conjunto sencillo de orientación a partir del cual elaborar un plan de seguridad de la información bien estructurado que se adapte a sus necesidades comerciales y operativas exclusivas.

El Anexo A sirve como una herramienta que ahorra tiempo y recursos para la certificación inicial y los procesos de adhesión posteriores y proporciona una base para auditorías, revisiones de procesos y planificación estratégica. Puede emplearse como un documento de gobierno interno (es decir, un plan de tratamiento de riesgos) que establece un enfoque formal para la seguridad de la información.

Comprensión del tratamiento de riesgos en ISO 27001 6.1.3

El requisito 27001 de ISO 6.1.3 trata de establecer y mantener un proceso de evaluación de riesgos de seguridad de la información que incluya criterios de evaluación y aceptación de riesgos.

ISO 27001 6.1.3 sirve como un conducto para que las organizaciones garanticen que sus procedimientos de riesgos de seguridad de la información, incluidas sus alternativas de gestión de riesgos, se ajusten a los estándares recomendados por ISO, en pos de la certificación.

El tratamiento de riesgos como concepto

Las organizaciones certificadas y conformes manejan el riesgo de múltiples maneras. La gestión de riesgos no se limita a las acciones curativas necesarias para reducir el riesgo. Al identificar un riesgo, se espera que las organizaciones:

• Acepta el riesgo.
• Tratar el riesgo.
• Mitigar el riesgo.
• Transferir el riesgo.
• Evite el riesgo.

ISO 27001 6.1.3 pide a las organizaciones que formulen un plan de tratamiento de riesgos, que incluya la aprobación de los propietarios de los riesgos y una amplia aceptación de lo que ISO considera "riesgos residuales".

Este proceso comienza con la identificación de los riesgos asociados a la pérdida de confidencialidad, integridad y disponibilidad de la información. Luego, la organización debe seleccionar opciones apropiadas de tratamiento de riesgos de seguridad de la información en función de los resultados de la evaluación de riesgos.

Otros factores

Como requisito rector, ISO 27001 6.1.3 no es la autoridad última en gestión de riesgos. Las grandes organizaciones integran frecuentemente protocolos de seguridad de otras entidades de acreditación (NIST, SOC2's Trust Service Criteria).

Sin embargo, las organizaciones deben dar prioridad a los controles del Anexo A durante todo el proceso de certificación y cumplimiento: los auditores ISO reciben instrucciones de identificar la autenticidad y relevancia de las regulaciones ISO como de costumbre, por lo que esta debería ser la primera opción de una organización al crear una norma ISO 27001. sistema de gestión de seguridad de la información compatible.

Los estándares de datos particulares de terceros de los sectores público y privado, como el Conjunto de herramientas de protección y seguridad de datos (DSPT) del Servicio Nacional de Salud, requieren una alineación de los estándares de seguridad de la información entre las organizaciones y las entidades públicas con las que se interrelacionan.

ISO 27001 6.1.3 permite a las organizaciones coordinar su operación de tratamiento de riesgos con numerosos criterios externos, lo que permite un cumplimiento integral de cualquier medida de seguridad de datos que probablemente enfrenten.

¿Qué controles del Anexo A debo incluir?

Es esencial evaluar los riesgos exclusivos de seguridad de la información de su empresa antes de establecer una resolución sobre qué controles instalar y elegir controles que ayudarán a reducir los riesgos identificables.

Además del tratamiento de riesgos, también se pueden seleccionar controles debido a una intención u objetivo corporativo o comercial, un requisito legal o en el cumplimiento de obligaciones contractuales y/o regulatorias.

Además, las organizaciones están obligadas a ilustrar por qué no han integrado ciertos controles dentro de su SOA; por ejemplo, no es necesario incorporar controles que aborden el trabajo remoto o híbrido si esa no es una política que practica su institución, pero un auditor aún deberá estar presente. Se le presentarán estos datos al evaluar sus tareas de certificación/cumplimiento.

Cómo puede ayudar ISMS.online

La plataforma ISMS.online, junto con nuestra guía integrada y nuestro ISMS preconfigurado, permite a las organizaciones demostrar el cumplimiento de cada control del Anexo A sin esfuerzo. Estamos aquí para ayudarlo, ya sea que sea nuevo en ISO 27001 o necesite realizar la transición de su SGSI existente para alinearlo con la versión 2022 de la norma.

Nuestra lista de verificación paso a paso lo guía a través de todo el proceso, brindándole una supervisión clara del progreso y los requisitos pendientes. Nuestro software facilita el mapeo de los controles de seguridad de la información de su organización en comparación con cada aspecto de su SGSI.

Reserve una demostración de la plataforma hoy y experimente los beneficios de nuestra solución usted mismo.