ISO 27001:2022 Anexo A 5.14 – Transferencia de información

Propiedad de ISO 27001:2022 Anexo A Control 5.14

El respaldo y aceptación de la alta dirección es fundamental para la formación y ejecución de regulaciones, protocolos y contratos.

Sin embargo, es imperativo contar con la colaboración y el conocimiento especializado de varios actores dentro de la organización, como el personal jurídico, el personal de TI y los altos mandos.

El equipo legal debe garantizar que la organización celebre acuerdos de transferencia que cumplan con ISO 27001:2022 Anexo A Control 5.14. Además, el equipo de TI debe participar activamente en la especificación y ejecución de controles para salvaguardar los datos, como se indica en 5.14.

Orientación general sobre ISO 27001:2022 Anexo A 5.14

Garantizar el cumplimiento de 5.14 requiere la creación de reglas, procedimientos y acuerdos, incluida una política de transferencia de datos que sea específica del tema, y ​​brinde a los datos en tránsito un nivel de protección adecuado de acuerdo con la clasificación que se les asigne.

El nivel de seguridad debe ser proporcional a la importancia y sensibilidad de los datos que se envían. ISO 27001:2022 Anexo A 5.14 también requiere que las organizaciones celebren acuerdos de transferencia con terceros destinatarios para garantizar la transmisión segura de datos.

ISO 27001:2022 Anexo A Control 5.14 clasifica los tipos de transferencia en tres grupos:

• Transferencia electronica.
• Físico medios de almacenamiento transferir.
• Transferencia verbal.

Antes de pasar a detallar las exigencias específicas de cada tipo de transferencia, ISO 27001:2022 El Anexo A Control 5.14 describe los elementos que deben estar presentes en todas las regulaciones, procedimientos y contratos relacionados con las tres transferencias en general:

• Las organizaciones deben determinar controles apropiados basados ​​en el nivel de clasificación de la información para protegerla mientras está en tránsito contra acceso no autorizado, alteración, interceptación, duplicación, destrucción y ataques de denegación de servicio.
• Las organizaciones deben realizar un seguimiento de la cadena de custodia durante el tránsito y establecer y realizar controles para garantizar la trazabilidad de los datos.
• Especifique quién participa en la transferencia de datos y proporcione su información de contacto, como los propietarios de los datos y el personal de seguridad.
• En caso de violación de datos, se asignarán responsabilidades.
• Implementar un sistema de etiquetado para realizar un seguimiento de los artículos.
• Garantizar la disponibilidad del servicio de traslado.
• Directrices sobre los métodos de transferencia de información deben desarrollarse según temas específicos.
• Se deben seguir las pautas para almacenar y descartar todos los documentos comerciales, incluidos los mensajes.
• Examinar el impacto que cualquier ley, reglamento u otras obligaciones aplicables puedan tener en la transferencia.

Orientación complementaria sobre transferencia electrónica

ISO 27001:2022 Anexo A Control 5.14 detalla los requisitos de contenido específicos para las reglas, procedimientos y acuerdos asociados con los tres tipos de transferencias. Los requisitos mínimos de contenido deben cumplirse en los tres.

Las reglas, acuerdos y procedimientos deben abordar las siguientes consideraciones al transferir información electrónicamente:

• La identificación y frustración de los ataques de malware es primordial. Es fundamental que utilice la última tecnología para detectar y prevenir ataques de software malicioso.
• Asegurando el seguridad de la información confidencial que se encuentra en los archivos adjuntos enviados.
• Asegúrese de que las comunicaciones se envíen a los destinatarios adecuados evitando el riesgo de enviarlas a una dirección de correo electrónico, dirección o número de teléfono incorrectos.
• Obtenga permiso antes de comenzar a utilizar cualquier servicio de comunicación pública.
• Se deben emplear métodos de autenticación más estrictos al enviar datos a través de redes públicas.
• Imponer límites al uso de servicios de comunicación electrónica, por ejemplo prohibiendo el reenvío automatizado.
• Aconseje al personal que evite el uso de servicios de mensajes cortos o instantáneos para compartir datos confidenciales, ya que el contenido podría ser visto por personas no autorizadas en áreas públicas.
• Asesorar al personal y otras partes interesadas sobre los riesgos de protección que pueden plantear las máquinas de fax, como acceso no autorizado o envío incorrecto de mensajes a determinados números.

Orientación complementaria sobre la transferencia de medios de almacenamiento físico

Cuando la información se comparte físicamente, las reglas, procedimientos y acuerdos deben incluir:

• Las partes son responsables de notificarse mutuamente sobre la transmisión, envío y recepción de información.
• Garantizar que el mensaje se dirija correctamente y se envíe de forma adecuada.
• Un buen embalaje elimina la posibilidad de dañar el contenido durante el transporte. Por ejemplo, el embalaje debe ser resistente al calor y a la humedad.
• La dirección ha acordado una lista de mensajería autorizada y fiable.
• Una descripción general de los estándares de identificación de mensajería.
• Para información sensible y crítica, se deben utilizar bolsas a prueba de manipulaciones.
• Es importante verificar las identidades de los mensajeros.
• Este listado de terceros, clasificados según su nivel de servicio, prestan servicios de transporte o mensajería y ha sido aprobado.
• Registre en un registro la hora de entrega, el destinatario autorizado, las medidas de seguridad tomadas y la confirmación de recepción en el destino.

Orientación complementaria sobre transferencia verbal

El personal debe ser consciente de los riesgos asociados con el intercambio de información dentro de la organización o la transmisión de datos a partes externas, de acuerdo con la norma ISO 27001:2022 Anexo A Control 5.14. Estos riesgos incluyen:

• Deben abstenerse de discutir asuntos confidenciales en canales públicos inseguros o en áreas públicas.
• No se deben dejar mensajes de voz con información confidencial debido al peligro de reproducción por parte de personas no autorizadas, así como al riesgo de redireccionamiento a terceros.
• Las personas, tanto el personal como otros terceros aplicables, deben ser examinados antes de que se les conceda la admisión a las conversaciones.
• Las salas utilizadas para conversaciones confidenciales deben estar equipadas con la insonorización necesaria.
• Antes de entablar cualquier diálogo delicado, se debe emitir un descargo de responsabilidad.

¿Cambios y diferencias con respecto a ISO 27001:2013?

ISO 27001:2022 Anexo A 5.14 reemplaza a ISO 27001:2013 Anexo A 13.2.1, 13.2.2 y 13.2.3.

Los dos controles guardan cierta semejanza, sin embargo, dos distinciones importantes hacen que los requisitos de 2022 sean más onerosos.

Requisitos específicos para transferencias eléctricas, físicas y verbales

La sección 13.2.3 en la versión de 2013 cubría las demandas particulares para la transmisión de datos por mensajería electrónica.

Sin embargo, no abordó específicamente la transmisión de información por medios verbales o físicos.

En comparación, la versión 2022 es precisa al identificar tres tipos de transferencia de información y describe el contenido necesario para cada uno de ellos individualmente.

ISO 27001:2022 establece requisitos más estrictos para la transferencia electrónica

La sección 13.2.3 de la versión 2022 establece requisitos más estrictos para el contenido de los acuerdos de mensajería electrónica.

Las organizaciones deben detallar y ejecutar nuevas regulaciones para las transferencias digitales en forma de reglas, procedimientos y contratos para ISO 27001:2022.

Por ejemplo, las organizaciones deben advertir a su personal que no utilice servicios de SMS al transmitir información confidencial.

Requisitos detallados para transferencias físicas

La versión 2022 impone regulaciones más estrictas sobre la transferencia física de medios de almacenamiento. Por ejemplo, es más exhaustivo en la autenticación de los mensajeros y en las salvaguardias contra diferentes formas de daños.

Cambios estructurales

En la versión de 2013 se hizo referencia explícita a los requisitos necesarios de los acuerdos de transferencia de información. Sin embargo, las "Reglas" y los "Procedimientos" no se describieron en detalle.

Para ISO 27001:2022, se describen criterios específicos para cada uno de los tres enfoques.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.

Cómo ayuda ISMS.online

Implementación de ISO 27001:2022 puede simplificarse con nuestra lista de verificación paso a paso. Le guiará a lo largo de todo el proceso, desde la definición del alcance de su SGSI hasta identificando riesgos e implementar controles.

Reserve su demostración hoy. Las citas están disponibles los siete días de la semana, así que programe la suya en un momento que funcione para ti.