ISO 27001:2022 Anexo A Control 5.17

Anexo A 5.17 Orientación sobre la asignación de información de autenticación

Las organizaciones deben cumplir con estos seis requisitos para la asignación y administración de información de autenticación:

• Al inscribirse nuevos usuarios, las contraseñas personales y los números de identificación personal generados automáticamente no deben ser adivinables. Además, cada usuario debe tener una contraseña única y es obligatorio cambiar las contraseñas después del uso inicial.
• Las organizaciones deben tener procesos sólidos para verificar la identidad de un usuario antes de recibir información de autenticación nueva o de reemplazo, o antes de que se les proporcione información temporal.
• Las organizaciones deben garantizar la transmisión segura de los datos de autenticación a las personas a través de vías seguras y no deben enviar dicha información a través de mensajes electrónicos no seguros (por ejemplo, texto sin formato).
• Los usuarios deben asegurarse de haber recibido los detalles de autenticación.
• Las organizaciones deben actuar rápidamente después de instalar nuevos sistemas y software de TI, modificando los detalles de autenticación predeterminados de inmediato.
• Las organizaciones deben establecer y mantener registros de todos los eventos importantes en relación con la gestión y asignación de información de autenticación. Estos registros deben mantenerse privados y deben autorizarse métodos de mantenimiento de registros, por ejemplo, con el uso de una herramienta de contraseña autorizada.

Anexo A 5.17 Guía sobre responsabilidades del usuario

Se debe indicar a los usuarios con acceso a la información de autenticación que cumplan con lo siguiente:

• Los usuarios deben mantener confidencial la información de autenticación secreta, como las contraseñas, y no deben compartirla con nadie más. Cuando varios usuarios participan en el uso de información de autenticación o la información está vinculada a entidades no personales, no deben revelarla a personas no autorizadas.
• Los usuarios deben cambiar sus contraseñas inmediatamente si se ha violado el secreto de sus contraseñas.
• Los usuarios deben seleccionar contraseñas seguras y difíciles de adivinar que cumplan con los estándares de la industria. Por ejemplo:
• Las contraseñas no deben basarse en información personal que pueda obtenerse fácilmente, como nombres o fechas de nacimiento.
• Las contraseñas no deben basarse en información que pueda adivinarse fácilmente.
• Las contraseñas no deben contener palabras o secuencias de palabras que sean comunes.
• Utilice caracteres alfanuméricos y especiales en su contraseña.
• Las contraseñas deben tener un requisito de longitud mínima.
• Los usuarios no deben utilizar la misma contraseña para varios servicios.
• Las organizaciones deberían hacer que sus empleados acepten la responsabilidad de crear y utilizar contraseñas en sus contratos laborales.

Anexo A 5.17 Guía sobre sistemas de gestión de contraseñas

Las organizaciones deben observar lo siguiente al configurar un sistema de administración de contraseñas:

• Los usuarios deben tener la capacidad de crear y modificar sus contraseñas, con un procedimiento de verificación implementado para detectar y rectificar cualquier error al ingresar datos.
• Las organizaciones deben cumplir con las mejores prácticas de la industria al desarrollar un proceso sólido de selección de contraseñas.
• Los usuarios deben cambiar sus contraseñas predeterminadas al acceder por primera vez a un sistema.
• Es fundamental cambiar las contraseñas cuando corresponda. Por ejemplo, después de un incidente de seguridad o cuando un empleado deja su trabajo y tenía acceso a contraseñas, es necesario un cambio de contraseña.
• Las contraseñas anteriores no deben reciclarse.
• No se debe permitir el uso de contraseñas que sean ampliamente conocidas o a las que se haya accedido mediante una violación de la seguridad para acceder a sistemas pirateados.
• Cuando se ingresan contraseñas, deben mostrarse en la pantalla en texto claro.
• Las contraseñas deben transmitirse y almacenarse a través de canales seguros en un formato seguro.

Las organizaciones también deben implementar procedimientos de hash y cifrado de acuerdo con los métodos criptográficos aprobados para contraseñas establecidos en el Anexo A. Control de 8.24 de la norma ISO 27001:2022.

Orientación complementaria sobre el control del Anexo A 5.17

Además de las contraseñas, existen otras formas de autenticación, como claves criptográficas, tarjetas inteligentes y datos biométricos como huellas dactilares.

Las organizaciones deberían consultar la serie ISO/IEC 24760 para obtener más consejos sobre los datos de autenticación.

Teniendo en cuenta la molestia y la molestia de cambiar periódicamente las contraseñas, las organizaciones pueden considerar alternativas como el inicio de sesión único o las bóvedas de contraseñas. Sin embargo, cabe señalar que estas opciones aumentan el riesgo de que la información de autenticación confidencial quede expuesta a partes no autorizadas.

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 El Anexo A 5.17 es el reemplazo del Anexo A 27001, 2013 y 9.2.4 de ISO 9.3.1:9.4.3.

ISO 27001:2022 contiene un nuevo requisito para la asignación y gestión de información de autenticación

En 2013, los requisitos para asignar y gestionar información de autenticación eran muy similares. Sin embargo, ISO 27001:2022 Anexo A Control 5.17 introdujo un requisito que no estaba presente en 2013.

Las organizaciones deben crear y mantener registros de todos los eventos importantes asociados con la gestión y distribución de la información de autenticación. Estos registros deben mantenerse confidenciales, con técnicas de mantenimiento de registros autorizadas, por ejemplo, el uso de una herramienta de contraseña aceptada.

La versión 2022 contiene un requisito adicional para el uso de información de autenticación

ISO 27001:2022 Anexo A Control 5.17 introduce un requisito para las responsabilidades del usuario que no se especificó en el Control 9.3.1 de la versión 2013.

Las organizaciones deben incluir requisitos de contraseña en sus contratos con empleados y personal. Dichos requisitos deberían abarcar la creación y el uso de contraseñas.

ISO 27001:2013 contenía requisitos adicionales para las responsabilidades del usuario que no se incluyeron en la versión 2022

En comparación con la versión 2022, Control 9.3.1 contenía el siguiente mandato para el empleo de datos de autenticación:

Los usuarios no deben utilizar los mismos datos de autenticación, por ejemplo una contraseña, tanto para fines laborales como no laborales.

ISO 27001:2013 contenía un requisito adicional para los sistemas de gestión de contraseñas que no estaba incluido en la versión 2022

El Control 9.4.3 de la Versión 2013 requiere que los sistemas de gestión de contraseñas deben:

Asegúrese de que los archivos con contraseñas se guarden en un sistema diferente al que aloja los datos de la aplicación.

ISO 27001:2022 Anexo A Control 5.17 no requiere esto.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.

Cómo ayuda ISMS.online

ISMS.Online permite a las organizaciones y empresas cumplir con las necesidades de ISO 27001:2022 proporcionándoles una plataforma que facilita la gestión, actualización, prueba y seguimiento de la eficacia de sus políticas y procedimientos de confidencialidad o no divulgación.

Ofrecemos una plataforma basada en la nube para administrar la confidencialidad y Sistemas de gestión de seguridad de la información, que incluye cláusulas de confidencialidad, gestión de riesgos, políticas, planes y procedimientos, todo en una ubicación conveniente. Es sencillo de usar, con una interfaz intuitiva que facilita su aprendizaje.

Póngase en contacto con nosotros hoy para organizar una demostración.