ISO 27001:2022 Anexo A 5.18 – Derechos de acceso

¿Cuál es el propósito del Anexo A 27001 de la norma ISO 2022:5.18?

De acuerdo con el Anexo A Control 5.18, una organización puede implementar procedimientos y controles para asignar, modificar y revocar derechos de acceso a sistemas de información consistentes con su política de control de acceso.

¿Quién es propietario del Anexo A 5.18?

El Oficial de Seguridad de la Información debe ser responsable de establecer, implementar y revisar las reglas, procesos y controles apropiados para la provisión, modificación y revocación de derechos de acceso a los sistemas de información.

Es responsabilidad del responsable de seguridad de la información considerar cuidadosamente las necesidades comerciales al asignar, modificar y revocar derechos de acceso. Además, el oficial de seguridad de la información. debe trabajar en estrecha colaboración con los propietarios de activos de información para garantizar que se sigan las políticas y procedimientos.

Derechos de acceso: orientación sobre concesión y revocación

Para asignar o revocar derechos de acceso de todo tipo de usuarios a todos los sistemas y servicios, se debe implementar un proceso (por simple y documentado que sea). Lo ideal sería que se relacionara con los puntos anteriores y con la iniciativa más amplia de seguridad de recursos humanos.

Un sistema o servicio de información debe ser aprovisionado o revocado basándose en los siguientes criterios: autorización del propietario del sistema o servicio de información, verificación de que el acceso es apropiado para la función que se está desempeñando y protección contra el aprovisionamiento que se produce antes de que se haya obtenido la autorización.

A los usuarios siempre se les debe otorgar acceso según los requisitos comerciales como parte de un enfoque empresarial. Aunque esto pueda parecer burocrático, no tiene por qué serlo. Este problema se puede abordar eficazmente mediante la implementación de procedimientos efectivos con acceso basado en roles a los sistemas y servicios.

Revisión de los derechos de acceso de los usuarios

Los propietarios de activos deben revisar los derechos de acceso de los usuarios periódicamente durante los cambios individuales (incorporación, cambios de roles y salidas) y durante auditorías más amplias del acceso al sistema.

Las autorizaciones deben revisarse con más frecuencia a la luz del mayor riesgo asociado con derechos de acceso privilegiados. Al igual que con 9.2, esto debe hacerse al menos una vez al año o siempre que se hayan realizado cambios significativos.

Eliminar o ajustar los derechos de acceso

Es necesario eliminar los derechos de acceso de todos los empleados y usuarios externos a la información y a las instalaciones de procesamiento de información al finalizar su empleo, contrato o acuerdo (o ajustar sus derechos de acceso al cambiar de función, si es necesario).

Si las políticas y procedimientos de salida están bien diseñados y alineados con A.7, esto también se logrará y demostrado para fines de auditoría cuando los empleados se van.

Para la cesión y revocación de derechos de acceso a personas autentificadas, las organizaciones deberán incorporar las siguientes reglas y controles:

• Para acceder y utilizar activos de información relevantes, el propietario del activo de información debe autorizar el acceso y el uso. Además, las organizaciones deberían considerar solicitar una aprobación separada de la gerencia antes de otorgar derechos de acceso.
• Se deben tener en cuenta las necesidades comerciales de la organización y su política. en cuanto al control de acceso.
• Las organizaciones deberían considerar la separación de funciones. Por ejemplo, la aprobación y la implementación de los derechos de acceso pueden ser manejadas por personas separadas.
• Los derechos de acceso de una persona deben revocarse inmediatamente cuando ya no necesite acceso a los activos de información, especialmente si ha abandonado la organización.
• Se puede conceder un derecho de acceso temporal a los empleados u otro personal que trabaje temporalmente para la organización. Cuando dejen de ser empleados de la organización, sus derechos deberán ser revocados.
• La política de control de acceso de la organización debe determinar el nivel de acceso de un individuo y ser revisada y verificada periódicamente. Además, debe cumplir con otros requisitos de seguridad de la información, como ISO 27001:2022 Control 5.3, que especifica la segregación de funciones.
• La organización debe garantizar que los derechos de acceso se activen una vez que se haya completado el proceso de autorización adecuado.
• Los derechos de acceso asociados con cada identificación, como una identificación o una física, deben mantenerse en un sistema central de gestión de control de acceso.
• Es imperativo actualizar el nivel de derechos de acceso de un individuo si su función o deberes cambian.
• Se pueden utilizar los siguientes métodos para eliminar o modificar derechos de acceso físicos o lógicos: Eliminación o reemplazo de claves, tarjetas de identificación o información de autenticación.
• Es obligatorio registrar y mantener los cambios en los derechos de acceso físico y lógico de un usuario.

Directrices complementarias para la revisión de los derechos de acceso

Las revisiones periódicas de los derechos de acceso físico y lógico deben tener en cuenta lo siguiente:

• Cuando un usuario asciende o degrada dentro de la misma organización o cuando finaliza su empleo, sus derechos de acceso pueden cambiar.
• Procedimiento de autorización de acceso a privilegios.

Orientación sobre cambios de empleo o terminación del empleo

Se deben considerar los factores de riesgo. al evaluar y modificar los derechos de acceso de un empleado a los sistemas de procesamiento de información. Esto es antes de que sean ascendidos o degradados dentro de la misma organización:

• Esto incluye determinar si el empleado inició el proceso de despido o la organización lo inició y el motivo del despido.
• Una descripción de las responsabilidades actuales del empleado dentro de la organización.
• Acceso de los empleados a los activos de información y su importancia y valor.

Orientación suplementaria adicional

Se recomienda que las organizaciones establezcan roles de acceso de usuarios de acuerdo con sus requisitos comerciales. Además de los tipos y números de derechos de acceso que se otorgarán a cada grupo de usuarios, estos roles deben especificar el tipo de derechos de acceso.

Crear tales roles hará que solicitudes de acceso y derechos para ser gestionados y revisados ​​más fácilmente.

Se recomienda que las organizaciones incluyan disposiciones en sus contratos de empleo/servicio con su personal que aborden el acceso no autorizado a sus sistemas y las sanciones por dicho acceso. Se deben seguir los controles 5.20, 6.2, 6.4 y 6.6 del Anexo A.

Las organizaciones deben tener cuidado al tratar con empleados descontentos despedidos por la dirección, ya que pueden dañar intencionalmente los sistemas de información.

Las organizaciones que decidan utilizar técnicas de clonación para otorgar derechos de acceso deben hacerlo en función de los roles que la organización haya definido.

Existe un riesgo asociado con la clonación en el sentido de que se pueden conceder derechos de acceso excesivos.

¿Cuáles son los cambios y diferencias con respecto a ISO 27001:2013?

ISO 27001:2022 Anexo A 5.18 reemplaza a ISO 27001:2013 Anexo A Controles 9.2.2, 9.2.5 y 9.2.6.

La versión 2022 contiene requisitos más completos para otorgar y revocar derechos de acceso

La versión 2013 del Anexo A Control 9.2.2 describió seis requisitos para asignar y revocar derechos de acceso; sin embargo, el Anexo A Control 5.18 introduce tres requisitos adicionales además de estos seis:

1. Se podrán conceder temporalmente derechos de acceso temporal a empleados u otro personal que trabaje para la organización. Tan pronto como dejen de trabajar para la organización, estos derechos deberían ser revocados.
2. La eliminación o modificación de derechos de acceso físicos o lógicos se puede lograr de las siguientes maneras: Eliminación o reemplazo de claves, tarjetas de identificación o información de autenticación.
3. El cambio de los derechos de acceso físico o lógico de un usuario debe registrarse y documentarse.

Los requisitos de derechos de acceso privilegiado son más detallados en la versión 2013

Según ISO 27001:2013, el Anexo A Control 9.5 establece explícitamente que las organizaciones deben revisar la autorización de derechos de acceso privilegiados con más frecuencia que otros derechos de acceso. Este requisito no se incluyó en el Anexo A Control 5.18 en la Versión 2022.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control:

Cómo ayuda ISMS.online

ISO 27001:2022, Anexo A 5.18, es una de las cláusulas más discutidas. Muchos sostienen que es la cláusula más importante de todo el documento.

Esto se debe a que toda la Sistema de Gestión de Seguridad de la Información (SGSI) se basa en garantizar que las personas adecuadas tengan acceso a la información correcta en el momento adecuado. Alcanzar el éxito requiere hacerlo bien, pero puede afectar gravemente a su negocio.

Por ejemplo, imagínese si accidentalmente revelara información confidencial de un empleado a la persona equivocada, como el salario de cada empleado.

Un error aquí podría tener consecuencias importantes, por lo que vale la pena tomarse el tiempo para pensarlo detenidamente.

Nuestra La plataforma puede ser extremadamente útil. a este respecto. Como resultado, se adhiere a toda la estructura de ISO 27001 y le permite adoptar, adaptar y agregar contenido que proporcionamos. Esto le da una ventaja significativa. Por qué no programe una demostración para obtener más información?