ISO 27001:2022 anexo A 5.23 es un nuevo control que describe los procesos necesarios para la adquisición, uso, gestión y salida de los servicios en la nube, en relación con los requisitos únicos de seguridad de la información de la organización.
El Control 5.23 del Anexo A permite a las organizaciones especificar primero y luego gestionar y administrar conceptos de seguridad de la información en lo relacionado con los servicios en la nube, en su calidad de “cliente de servicios en la nube”.
El Anexo A 5.23 es un control preventivo esa mantiene el riesgo especificando políticas y procedimientos que rigen la seguridad de la información, dentro del ámbito de los servicios comerciales en la nube.
Tal es la proliferación de servicios en la nube durante la última década, ISO 27001 2022 El Anexo A Control 5.23 contiene una serie de procedimientos que abarcan muchos elementos distintos de la operación de una organización.
Dado que no todos los servicios en la nube son específicos de las TIC (aunque podría afirmarse razonablemente que la mayoría lo son), la propiedad del Anexo A Control 5.23 debe distribuirse entre los CTO or Directora de Operaciones, dependiendo de las circunstancias operativas prevalecientes.
El cumplimiento del Control 5.23 implica adherirse a lo que se conoce como enfoque 'temático específico' a servicios en la nube y seguridad de la información.
Dada la variedad de servicios en la nube que se ofrecen, los enfoques temáticos específicos alientan a las organizaciones a crear políticas de servicios en la nube que se adapten a funciones comerciales individuales, en lugar de adherirse a una política general que se aplique a seguridad de la información y servicios en la nube en todos los ámbitos.
Cabe señalar que ISO considera el cumplimiento del Anexo A Control 5.23 como un esfuerzo de colaboración entre la organización y su socio de servicios en la nube. El Control 5.23 del Anexo A también debe estar estrechamente alineado con los Controles 5.21 y 5.22, que tratan de la gestión de la información en la cadena de suministro y la gestión de los servicios de los proveedores, respectivamente.
Independientemente de cómo decida operar una organización, el Control 5.23 del Anexo A no debe tomarse de forma aislada y debe complementar los esfuerzos existentes para gestionar las relaciones con los proveedores.
Con la seguridad de la información a la vanguardia, la organización debe definir:
El Control 5.23 del Anexo A reconoce que, a diferencia de otras relaciones con proveedores, los acuerdos de servicios en la nube son documentos rígidos que no se pueden modificar en la gran mayoría de los casos.
Teniendo esto en cuenta, las organizaciones deben examinar los acuerdos de servicios en la nube y asegurarse de que se cumplan cuatro requisitos operativos principales:
Al igual que con otros contratos con proveedores, antes de su aceptación, los acuerdos de servicios en la nube deben someterse a una evaluación de riesgos exhaustiva que resalte los problemas potenciales en su origen.
Como mínimo, la organización debe celebrar un acuerdo de servicios en la nube sólo cuando esté convencida de que se han cumplido las siguientes 10 disposiciones:
Además de la guía anterior, el Anexo A Control 5.23 sugiere que las organizaciones establezcan una estrecha relación de trabajo con los proveedores de servicios en la nube, de acuerdo con el importante servicio que brindan no solo en términos de seguridad de la información, sino en toda la operación comercial de una organización.
Las organizaciones, cuando sea posible, deben buscar las siguientes estipulaciones de los proveedores de servicios en la nube para mejorar la resiliencia operativa y disfrutar de mayores niveles de seguridad de la información:
El Control 5.23 del Anexo A es un nuevo control que no figura en ISO 27001:2013 de ninguna manera.
En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.
Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
---|---|---|---|
Controles organizacionales | Anexo A 5.1 | Anexo A 5.1.1 Anexo A 5.1.2 | Políticas de Seguridad de la Información |
Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
Controles organizacionales | Anexo A 5.8 | Anexo A 6.1.5 Anexo A 14.1.1 | Seguridad de la información en la gestión de proyectos |
Controles organizacionales | Anexo A 5.9 | Anexo A 8.1.1 Anexo A 8.1.2 | Inventario de Información y Otros Activos Asociados |
Controles organizacionales | Anexo A 5.10 | Anexo A 8.1.3 Anexo A 8.2.3 | Uso aceptable de la información y otros activos asociados |
Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
Controles organizacionales | Anexo A 5.14 | Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 | Transferencia de información |
Controles organizacionales | Anexo A 5.15 | Anexo A 9.1.1 Anexo A 9.1.2 | Control de Acceso |
Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
Controles organizacionales | Anexo A 5.17 | Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 | Información de autenticación |
Controles organizacionales | Anexo A 5.18 | Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 | Derechos de acceso |
Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
Controles organizacionales | Anexo A 5.22 | Anexo A 15.2.1 Anexo A 15.2.2 | Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
Controles organizacionales | Anexo A 5.29 | Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 | Seguridad de la información durante la disrupción |
Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
Controles organizacionales | Anexo A 5.31 | Anexo A 18.1.1 Anexo A 18.1.5 | Requisitos legales, estatutarios, reglamentarios y contractuales |
Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
Controles organizacionales | Anexo A 5.36 | Anexo A 18.2.2 Anexo A 18.2.3 | Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
---|---|---|---|
Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
Controles de personas | Anexo A 6.8 | Anexo A 16.1.2 Anexo A 16.1.3 | Informes de eventos de seguridad de la información |
Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
---|---|---|---|
Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
Controles físicos | Anexo A 7.2 | Anexo A 11.1.2 Anexo A 11.1.6 | Entrada Física |
Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
Controles físicos | Anexo A 7.10 | Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 | Medios de almacenamiento |
Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
---|---|---|---|
Controles Tecnológicos | Anexo A 8.1 | Anexo A 6.2.1 Anexo A 11.2.8 | Dispositivos terminales de usuario |
Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
Controles Tecnológicos | Anexo A 8.8 | Anexo A 12.6.1 Anexo A 18.2.3 | Gestión de Vulnerabilidades Técnicas |
Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
Controles Tecnológicos | Anexo A 8.15 | Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 | Inicio de sesión |
Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados |
Controles Tecnológicos | Anexo A 8.19 | Anexo A 12.5.1 Anexo A 12.6.2 | Instalación de Software en Sistemas Operativos |
Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
Controles Tecnológicos | Anexo A 8.24 | Anexo A 10.1.1 Anexo A 10.1.2 | Uso de criptografía |
Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
Controles Tecnológicos | Anexo A 8.26 | Anexo A 14.1.2 Anexo A 14.1.3 | Requisitos de seguridad de la aplicación |
Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Principios de ingeniería y arquitectura de sistemas seguros |
Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
Controles Tecnológicos | Anexo A 8.29 | Anexo A 14.2.8 Anexo A 14.2.9 | Pruebas de seguridad en desarrollo y aceptación |
Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
Controles Tecnológicos | Anexo A 8.31 | Anexo A 12.1.4 Anexo A 14.2.6 | Separación de entornos de desarrollo, prueba y producción. |
Controles Tecnológicos | Anexo A 8.32 | Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 | Gestión del cambio |
Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
ISMS.online agiliza el proceso de implementación de ISO 27001 al proporcionar un marco sofisticado basado en la nube para documentar los procedimientos y listas de verificación del sistema de gestión de seguridad de la información para garantizar el cumplimiento de estándares reconocidos.
Cuando utilice ISMS.online, podrá:
Ponte en contacto y RESERVAR UNA DEMOSTRACIÓN.
Reserva una sesión práctica personalizada
en base a tus necesidades y objetivos
Reserva tu demostración