El propósito del Anexo A 27001 de la norma ISO 2022:5.14 es garantizar la seguridad de todos los dispositivos del usuario.
Esto significa que se deben tomar medidas para proteger los dispositivos de software malicioso y otras amenazas, así como para mantener la confidencialidad, integridad y disponibilidad de los datos almacenados en ellos.
ISO 27001:2022 anexo A El Control 5.14 exige a las organizaciones que instalen las reglas, procedimientos o contratos necesarios para mantener la seguridad de los datos cuando se comparten internamente o se envían a partes externas.
El respaldo y aceptación de la alta dirección es fundamental para la formación y ejecución de regulaciones, protocolos y contratos.
Sin embargo, es imperativo contar con la colaboración y el conocimiento especializado de varios actores dentro de la organización, como el personal jurídico, el personal de TI y los altos mandos.
El equipo legal debe garantizar que la organización celebre acuerdos de transferencia que cumplan con ISO 27001:2022 Anexo A Control 5.14. Además, el equipo de TI debe participar activamente en la especificación y ejecución de controles para salvaguardar los datos, como se indica en 5.14.
El 100% de nuestros usuarios obtienen la certificación ISO 27001 por primera vez
Garantizar el cumplimiento de 5.14 requiere la creación de reglas, procedimientos y acuerdos, incluida una política de transferencia de datos que sea específica del tema, y brinde a los datos en tránsito un nivel de protección adecuado de acuerdo con la clasificación que se les asigne.
El nivel de seguridad debe ser proporcional a la importancia y sensibilidad de los datos que se envían. ISO 27001:2022 Anexo A 5.14 también requiere que las organizaciones celebren acuerdos de transferencia con terceros destinatarios para garantizar la transmisión segura de datos.
ISO 27001:2022 Anexo A Control 5.14 clasifica los tipos de transferencia en tres grupos:
Antes de pasar a detallar las exigencias específicas de cada tipo de transferencia, ISO 27001:2022 El Anexo A Control 5.14 describe los elementos que deben estar presentes en todas las regulaciones, procedimientos y contratos relacionados con las tres transferencias en general:
ISO 27001:2022 Anexo A Control 5.14 detalla los requisitos de contenido específicos para las reglas, procedimientos y acuerdos asociados con los tres tipos de transferencias. Los requisitos mínimos de contenido deben cumplirse en los tres.
Las reglas, acuerdos y procedimientos deben abordar las siguientes consideraciones al transferir información electrónicamente:
Cuando la información se comparte físicamente, las reglas, procedimientos y acuerdos deben incluir:
El personal debe ser consciente de los riesgos asociados con el intercambio de información dentro de la organización o la transmisión de datos a partes externas, de acuerdo con la norma ISO 27001:2022 Anexo A Control 5.14. Estos riesgos incluyen:
ISO 27001:2022 Anexo A 5.14 reemplaza a ISO 27001:2013 Anexo A 13.2.1, 13.2.2 y 13.2.3.
Los dos controles guardan cierta semejanza, sin embargo, dos distinciones importantes hacen que los requisitos de 2022 sean más onerosos.
La sección 13.2.3 en la versión de 2013 cubría las demandas particulares para la transmisión de datos por mensajería electrónica.
Sin embargo, no abordó específicamente la transmisión de información por medios verbales o físicos.
En comparación, la versión 2022 es precisa al identificar tres tipos de transferencia de información y describe el contenido necesario para cada uno de ellos individualmente.
La sección 13.2.3 de la versión 2022 establece requisitos más estrictos para el contenido de los acuerdos de mensajería electrónica.
Las organizaciones deben detallar y ejecutar nuevas regulaciones para las transferencias digitales en forma de reglas, procedimientos y contratos para ISO 27001:2022.
Por ejemplo, las organizaciones deben advertir a su personal que no utilice servicios de SMS al transmitir información confidencial.
La versión 2022 impone regulaciones más estrictas sobre la transferencia física de medios de almacenamiento. Por ejemplo, es más exhaustivo en la autenticación de los mensajeros y en las salvaguardias contra diferentes formas de daños.
En la versión de 2013 se hizo referencia explícita a los requisitos necesarios de los acuerdos de transferencia de información. Sin embargo, las "Reglas" y los "Procedimientos" no se describieron en detalle.
Para ISO 27001:2022, se describen criterios específicos para cada uno de los tres enfoques.
En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.
Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
---|---|---|---|
Controles organizacionales | Anexo A 5.1 | Anexo A 5.1.1 Anexo A 5.1.2 | Políticas de Seguridad de la Información |
Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
Controles organizacionales | Anexo A 5.8 | Anexo A 6.1.5 Anexo A 14.1.1 | Seguridad de la información en la gestión de proyectos |
Controles organizacionales | Anexo A 5.9 | Anexo A 8.1.1 Anexo A 8.1.2 | Inventario de Información y Otros Activos Asociados |
Controles organizacionales | Anexo A 5.10 | Anexo A 8.1.3 Anexo A 8.2.3 | Uso aceptable de la información y otros activos asociados |
Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
Controles organizacionales | Anexo A 5.14 | Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 | Transferencia de información |
Controles organizacionales | Anexo A 5.15 | Anexo A 9.1.1 Anexo A 9.1.2 | Control de Acceso |
Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
Controles organizacionales | Anexo A 5.17 | Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 | Información de autenticación |
Controles organizacionales | Anexo A 5.18 | Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 | Derechos de acceso |
Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
Controles organizacionales | Anexo A 5.22 | Anexo A 15.2.1 Anexo A 15.2.2 | Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
Controles organizacionales | Anexo A 5.29 | Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 | Seguridad de la información durante la disrupción |
Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
Controles organizacionales | Anexo A 5.31 | Anexo A 18.1.1 Anexo A 18.1.5 | Requisitos legales, estatutarios, reglamentarios y contractuales |
Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
Controles organizacionales | Anexo A 5.36 | Anexo A 18.2.2 Anexo A 18.2.3 | Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
---|---|---|---|
Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
Controles de personas | Anexo A 6.8 | Anexo A 16.1.2 Anexo A 16.1.3 | Informes de eventos de seguridad de la información |
Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
---|---|---|---|
Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
Controles físicos | Anexo A 7.2 | Anexo A 11.1.2 Anexo A 11.1.6 | Entrada Física |
Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
Controles físicos | Anexo A 7.10 | Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 | Medios de almacenamiento |
Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
---|---|---|---|
Controles Tecnológicos | Anexo A 8.1 | Anexo A 6.2.1 Anexo A 11.2.8 | Dispositivos terminales de usuario |
Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
Controles Tecnológicos | Anexo A 8.8 | Anexo A 12.6.1 Anexo A 18.2.3 | Gestión de Vulnerabilidades Técnicas |
Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
Controles Tecnológicos | Anexo A 8.15 | Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 | Inicio de sesión |
Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados |
Controles Tecnológicos | Anexo A 8.19 | Anexo A 12.5.1 Anexo A 12.6.2 | Instalación de Software en Sistemas Operativos |
Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
Controles Tecnológicos | Anexo A 8.24 | Anexo A 10.1.1 Anexo A 10.1.2 | Uso de criptografía |
Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
Controles Tecnológicos | Anexo A 8.26 | Anexo A 14.1.2 Anexo A 14.1.3 | Requisitos de seguridad de la aplicación |
Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Principios de ingeniería y arquitectura de sistemas seguros |
Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
Controles Tecnológicos | Anexo A 8.29 | Anexo A 14.2.8 Anexo A 14.2.9 | Pruebas de seguridad en desarrollo y aceptación |
Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
Controles Tecnológicos | Anexo A 8.31 | Anexo A 12.1.4 Anexo A 14.2.6 | Separación de entornos de desarrollo, prueba y producción. |
Controles Tecnológicos | Anexo A 8.32 | Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 | Gestión del cambio |
Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
Implementación de ISO 27001:2022 puede simplificarse con nuestra lista de verificación paso a paso. Le guiará a lo largo de todo el proceso, desde la definición del alcance de su SGSI hasta identificando riesgos e implementar controles.
Reserve su demostración hoy. Las citas están disponibles los siete días de la semana, así que programe la suya en un momento que funcione para ti.
Reserva una sesión práctica personalizada
en base a tus necesidades y objetivos
Reserva tu demostración