ISO 27001:2022 Anexo A 5.12 – Clasificación de la información

Propósito de ISO 27001:2022 Anexo A 5.12

El Control 5.12 del Anexo A es un control preventivo que permite a las organizaciones identificar riesgos determinando el nivel adecuado de protección para cada activo de información en función de su importancia y sensibilidad.

En la Guía complementaria, el Control 5.12 del Anexo A advierte explícitamente contra la clasificación excesiva o insuficiente de la información. Las organizaciones deben considerar los requisitos de confidencialidad, disponibilidad e integridad al asignar activos a sus respectivas categorías. Esto ayuda a garantizar que el esquema de clasificación equilibre las necesidades comerciales de información y los requisitos de seguridad para cada categoría de información.

Propiedad del Anexo A 5.12

Si bien es esencial establecer un esquema de clasificación de los activos de información en toda la organización, en última instancia es responsabilidad de los propietarios de los activos garantizar que se implemente correctamente.

Según ISO 27001:2022 Anexo A 5.12, aquellos con activos de información pertinentes deben rendir cuentas. Por ejemplo, el departamento de contabilidad debe clasificar la información basándose en el esquema de clasificación de toda la organización al acceder a carpetas que contienen informes de nómina y extractos bancarios.

Al clasificar la información, es crucial que los propietarios de activos consideren las necesidades del negocio y los Impacto potencial que un compromiso de información podría tener en la organización.. Además, deben tener en cuenta los niveles de importancia y sensibilidad de la información.

Orientación general sobre ISO 27001:2022 Anexo A 5.12

Para implementar con éxito un esquema sólido de clasificación de la información, las organizaciones deben adoptar un enfoque temático, considerar las necesidades de información específicas de cada unidad de negocios y evaluar el nivel de sensibilidad y criticidad de la información.

Según el Anexo A Control 5.12, las organizaciones deben evaluar los siguientes siete criterios al implementar un esquema de clasificación:

Establecer una política para un tema específico y abordar necesidades comerciales específicas

Anexo A Control 5.12 del sistema de gestión de seguridad de la información se refiere al Anexo A Control 5.1, que corresponde al control de acceso. Exige que las organizaciones se adhieran a las políticas temáticas específicas estipuladas en el Anexo A Control 5.1. Además, el esquema y los niveles de clasificación deben considerar las necesidades comerciales específicas al clasificar los activos de información.

Las organizaciones deben considerar sus necesidades comerciales para compartir y utilizar información, así como la necesidad de disponibilidad de dicha información. Sin embargo, clasificar un activo de información puede alterar funciones comerciales críticas al restringir el acceso y el uso de la información.

Por lo tanto, las organizaciones deben equilibrar sus necesidades comerciales específicas de disponibilidad y uso de datos y el requisito de mantener la confidencialidad e integridad de esa información.

Considere las obligaciones legales

Es posible que leyes específicas exijan que las organizaciones hagan hincapié en salvaguardar la confidencialidad, la integridad y la disponibilidad de la información. Por lo tanto, se deben priorizar las obligaciones legales sobre la clasificación interna de la organización al categorizar los activos de información.

Adoptar un enfoque basado en el riesgo y evaluar el impacto potencial de una violación o compromiso de seguridad en activos de información es aconsejable. Esto ayudará a priorizar e implementar medidas de seguridad adecuadas para mitigar los riesgos identificados.

Cada forma de información tiene un nivel de importancia único para las funciones de una organización y posee distintos grados de sensibilidad dependiendo de las circunstancias particulares.

Cuando una organización implementa un esquema de clasificación de información, debe considerar el impacto potencial que podría tener en la organización comprometer la confidencialidad, integridad o disponibilidad de la información.

Por ejemplo, la sensibilidad y el impacto potencial de una base de datos que contenga direcciones de correo electrónico profesionales de clientes potenciales calificados serían muy diferentes de los de los registros médicos de los empleados. Por lo tanto, la organización debe considerar cuidadosamente el nivel de protección que requiere cada categoría de información y asignar recursos en consecuencia.

Actualizar y revisar periódicamente la clasificación

El Control 5.12 del Anexo A reconoce que el valor, la importancia y el nivel de sensibilidad de la información pueden cambiar con el tiempo a medida que los datos pasan por su ciclo de vida. Como resultado, las organizaciones deben revisar periódicamente su clasificación de información y realizar las actualizaciones necesarias.

ISO 27001 Anexo A El control 5.12 se refiere a reducir el valor y la sensibilidad de la información en una medida significativa.

Es esencial consultar con otras organizaciones con usted para compartir información y resolver cualquier disparidad.

Cada organización puede tener terminología, niveles y estándares distintos para sus sistemas de clasificación de información

Las divergencias en la clasificación de la información entre organizaciones pueden generar riesgos potenciales al intercambiar activos de información.

Las organizaciones deben colaborar con sus contrapartes para establecer un consenso que garantice la uniformidad en la clasificación de la información y la interpretación consistente de los niveles de clasificación para mitigar dichos riesgos.

Coherencia a nivel organizacional

Cada departamento dentro de una organización debe tener una comprensión compartida de los niveles y protocolos de clasificación para garantizar la uniformidad en las clasificaciones en toda la organización.

Orientación sobre cómo implementar el esquema de clasificación de información

Si bien el Anexo A 5.12 reconoce que no existe un sistema de clasificación universalmente aplicable y que las organizaciones tienen la flexibilidad de establecer y definir sus niveles de clasificación, ilustra un esquema de clasificación de información:

• La divulgación no causa ningún daño.
• La divulgación causa un daño menor a la reputación o un impacto operativo menor.
• La divulgación tiene un impacto significativo a corto plazo en las operaciones o los objetivos comerciales.
• La divulgación afecta seriamente los objetivos comerciales a largo plazo o pone en riesgo la supervivencia de la organización.

Cambios y diferencias con respecto a ISO 27002:2013

El Anexo A 8.2.1 de la versión anterior trataba de la Clasificación de la Información.

Si bien las dos versiones son bastante similares, existen dos diferencias principales:

1. En primer lugar, la versión anterior no mencionaba la necesidad de coherencia en los niveles de clasificación cuando se comparte información entre organizaciones. Sin embargo, ISO 27001:2022 exige que las organizaciones colaboren con sus contrapartes para garantizar la uniformidad en la clasificación y comprensión de la información.
2. En segundo lugar, la versión actualizada exige explícitamente que las organizaciones desarrollen políticas adaptadas a temas específicos. En la versión anterior sólo se hacía una breve referencia al control de acceso.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada ISO 27001:2022 individual. anexo A Control:

Cómo ayuda ISMS.online

Nuestra La plataforma está diseñada para ser fácil de usar y sencilla., atendiendo a personas altamente técnicas y a todos los miembros del personal de su organización.

Abogamos por involucrar a los empleados de todos los niveles de la empresa en la construcción de su SGSI, ya que ayuda a establecer un sistema sostenible.

Descubre más por reservar una demostración.