ISO 27001:2022 Anexo A 5.16 – Gestión de identidades

¿Qué hace ISO 27001:2022 Anexo A 5.16?

El propósito del Anexo A 5.16 es describir cómo una organización puede identificar quién (usuarios, grupos de usuarios) o que (aplicaciones, sistemas y dispositivos) accede a datos o activos de TI en un momento dado, y cómo se conceden derechos de acceso a esas identidades.

Como medida preventiva, el Anexo A 5.16 tiene como objetivo mantener el riesgo estableciendo el perímetro principal para toda la seguridad de la información relacionada y operaciones de seguridad cibernética, así como el modo principal de gobernanza que determina el proceso de gestión de acceso e identidad de una organización.

Propiedad del Anexo A 5.16

Teniendo en cuenta que el Anexo A 27001 de ISO 2022:5.16 sirve principalmente como función de mantenimiento, la propiedad debe otorgarse al personal de TI con derechos de administrador global (o equivalente para infraestructura que no sea Windows).

Además de otras funciones integradas que permiten a los usuarios administrar identidades (como Administrador de dominio), el Anexo A 5.16 debe ser propiedad del individuo responsable de toda la red de la organización, incluidos todos los subdominios y los inquilinos de Active Directory.

Orientación general sobre ISO 27001:2022 Anexo A 5.16

El cumplimiento del Anexo A 5.16 se logra expresando claramente los procedimientos basados ​​en la identidad en los documentos de políticas y monitoreando el cumplimiento del personal diariamente.

En el Anexo A 5.16 se enumeran seis procedimientos para garantizar que una organización cumpla con los estándares requeridos de seguridad de la información y gobernanza de la ciberseguridad:

1. Siempre que se asigna una identidad a una persona, esa persona es la única que puede autenticarse con esa identidad y/o usarla al acceder a los recursos de la red.

Lograr el cumplimiento significa que las políticas de TI deben estipular claramente que los usuarios no deben compartir información de inicio de sesión ni permitir que otros usuarios deambulen por la red utilizando una identidad distinta a la que se les ha asignado.

2. En algunos casos, puede ser necesario asignar una única identidad a varias personas, también conocida como "identidad compartida". Utilice este enfoque únicamente cuando sea necesario un conjunto explícito de requisitos operativos.

Para lograr el cumplimiento, el registro de identidades compartidas debe manejarse por separado del registro de usuario único, con un proceso de aprobación dedicado.

3. Las entidades 'no humanas' (cualquier identidad que no esté vinculada a una persona real) deben tratarse de manera diferente a las identidades basadas en usuarios en el momento del registro.

Una identidad no humana también debe tener su propio proceso de aprobación y registro, reconociendo la diferencia fundamental entre asignar una identidad a una persona y otorgarla a un activo, aplicación o dispositivo.

4. En caso de salida, activos redundantes u otras identidades no requeridas, un administrador de red debe desactivarlas o eliminarlas por completo.

El departamento de TI debe realizar auditorías periódicas para determinar qué identidades se están utilizando y qué entidades se pueden suspender o eliminar. Es importante que el personal de RR.HH. incluya la gestión de identidad en los procedimientos de baja e informe al personal de TI inmediatamente cuando una persona se marcha.

5. Es imperativo evitar a toda costa la duplicación de identidades. Todas las organizaciones deberían seguir la regla de "una entidad, una identidad".

Para cumplir, el personal de TI debe asegurarse de que las entidades no reciban derechos de acceso basados ​​en más de una identidad al asignar roles en una red.

6. Gestión de identidades y información de autenticación deben documentarse adecuadamente para todos los "eventos importantes".

Es posible interpretar el término "evento significativo" de manera diferente, pero en un nivel básico, las organizaciones deben asegurarse de que sus procedimientos de gobernanza incluyan una lista completa de identidades asignadas en un momento dado, protocolos sólidos de solicitud de cambios con procedimientos de aprobación adecuados y un protocolo de solicitud de cambio aprobado.

Orientación complementaria adicional para el Anexo A 5.16

Al crear una identidad y otorgarle acceso a los recursos de la red, el Anexo A 5.16 también enumera cuatro pasos que las empresas deben seguir (la modificación o eliminación de los derechos de acceso se muestra en ISO 27001:2022 Anexo A 5.18):

1. Antes de crear una identidad, establezca un caso de negocio.

Cada vez que se crea una identidad, la gestión de la misma se vuelve exponencialmente más desafiante. Es aconsejable que las organizaciones creen nuevas identidades sólo cuando sea claramente necesario.

2. Asegúrese de que la entidad (humana o no humana) a la que se le asignó una identidad haya sido verificada de forma independiente.

Los procedimientos de gestión de identidades y acceso deben garantizar que, una vez aprobado el caso de negocio, un individuo o activo que reciba nuevas identidades tenga la autoridad requerida antes de que se cree una identidad.

3. Creando una identidad

Su personal de TI debe construir una identidad en línea con el caso de negocio requisitos, y debe limitarse a lo que se describe en cualquier documentación de solicitud de cambio.

4. Los pasos finales de configuración para una identidad.

Como paso final del proceso, se asigna una identidad a cada uno de sus permisos y roles basados ​​en acceso (RBAC), así como a cualquier servicio de autenticación requerido.

¿Cuáles son los cambios con respecto a ISO 27001:2013?

ISO 27001:2022 El Anexo A 5.16 reemplaza ISO 27001:2013 A.9.2.1 (anteriormente conocido como 'Registro y baja de usuarios').

Si bien los dos controles comparten algunas similitudes sorprendentes (principalmente en los protocolos de mantenimiento y la desactivación de identificaciones redundantes), el Anexo A 5.16 contiene un conjunto integral de pautas que abordan la Gestión de Identidades y Accesos en su conjunto.

Anexo A 5.16 Explicación de las identidades humana y no humana

Existen algunas diferencias entre el Anexo 2022 y su predecesor en el sentido de que, a pesar de las diferencias en los procesos de registro, los humanos y los no humanos ya no son tratados por separado cuando se trata de la administración general de la red.

Se ha vuelto más común en el gobierno de TI y en las pautas de mejores prácticas hablar de identidades humanas y no humanas indistintamente desde la llegada de la moderna gestión de identidades y accesos y los protocolos RBAC basados ​​en Windows.

En el Anexo A 9.2.1 de ISO 27001:2013, no hay ninguna guía sobre cómo gestionar identidades no humanas, y el texto se ocupa únicamente de gestionar lo que llama 'ID de usuario' (es decir, información de inicio de sesión junto con una contraseña que se utiliza para acceder a una red).

ISO 27001:2022 Anexo A 5.16 Documentación

El Anexo A 5.16 proporciona orientación explícita sobre las implicaciones generales de seguridad del gobierno de la identidad y cómo las organizaciones deben registrar y procesar la información antes de la asignación de identidades, así como durante todo el ciclo de vida de la identidad.

Comparativamente, ISO 27001:2013 A.9.2.1 solo menciona brevemente la función de gobierno de TI que rodea la administración de identidades y se limita a la práctica física de la administración de identidades.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control:

Cómo le ayuda ISMS.online a lograr el cumplimiento del Anexo A 5.16

Siempre que actualice los procesos de su sistema de gestión de seguridad para reflejar los controles mejorados, cumplirá con la norma ISO 27001:2022. Esto puede ser manejado por ISMS.online si no tiene los recursos necesarios internamente.

Simplificamos la implementación de ISO 27001:2022 a través de nuestro flujo de trabajo y herramientas intuitivos, incluidos marcos, políticas, controles, documentación procesable y orientación. Con nuestro software basado en la nube, puede administrar todos sus Soluciones SGSI en un lugar.

Nuestra plataforma le permite definir el alcance de su ISMS, identificar riesgos e implementar controles fácilmente.

Para obtener más información sobre cómo ISMS.online puede ayudarle a alcanzar sus objetivos ISO 27001, por favor póngase en contacto hoy para reservar una demostración.