ISO 27001:2022 Anexo A 5.23 – Seguridad de la información para el uso de servicios en la nube

Propósito de ISO 27001:2022 Anexo A 5.23

ISO 27001:2022 anexo A 5.23 es un nuevo control que describe los procesos necesarios para la adquisición, uso, gestión y salida de los servicios en la nube, en relación con los requisitos únicos de seguridad de la información de la organización.

El Control 5.23 del Anexo A permite a las organizaciones especificar primero y luego gestionar y administrar conceptos de seguridad de la información en lo relacionado con los servicios en la nube, en su calidad de “cliente de servicios en la nube”.

El Anexo A 5.23 es un control preventivo que mantiene el riesgo especificando políticas y procedimientos que rigen la seguridad de la información, dentro del ámbito de los servicios comerciales en la nube.

Propiedad del Anexo A 5.23

Tal es la proliferación de servicios en la nube durante la última década, ISO 27001 2022 El Anexo A Control 5.23 contiene una serie de procedimientos que abarcan muchos elementos distintos de la operación de una organización.

Dado que no todos los servicios en la nube son específicos de las TIC (aunque podría afirmarse razonablemente que la mayoría lo son), la propiedad del Anexo A Control 5.23 debe distribuirse entre los CTO or Directora de Operaciones, dependiendo de las circunstancias operativas prevalecientes.

Orientación sobre ISO 27001:2022 Anexo A Control 5.23 – Obligaciones organizativas

El cumplimiento del Control 5.23 implica adherirse a lo que se conoce como enfoque 'temático específico' a servicios en la nube y seguridad de la información.

Dada la variedad de servicios en la nube que se ofrecen, los enfoques temáticos específicos alientan a las organizaciones a crear políticas de servicios en la nube que se adapten a funciones comerciales individuales, en lugar de adherirse a una política general que se aplique a seguridad de la información y servicios en la nube en todos los ámbitos.

Cabe señalar que ISO considera el cumplimiento del Anexo A Control 5.23 como un esfuerzo de colaboración entre la organización y su socio de servicios en la nube. El Control 5.23 del Anexo A también debe estar estrechamente alineado con los Controles 5.21 y 5.22, que tratan de la gestión de la información en la cadena de suministro y la gestión de los servicios de los proveedores, respectivamente.

Independientemente de cómo decida operar una organización, el Control 5.23 del Anexo A no debe tomarse de forma aislada y debe complementar los esfuerzos existentes para gestionar las relaciones con los proveedores.

Con la seguridad de la información a la vanguardia, la organización debe definir:

1. Cualquier requisito de seguridad relevante o inquietud involucrada en el uso de una plataforma en la nube.
2. Los criterios involucrados en la selección de un proveedor de servicios en la nube y cómo se utilizarán sus servicios.
3. Descripción detallada de las funciones y responsabilidades relevantes que rigen cómo se utilizarán los servicios en la nube en toda la organización.
4. Precisamente qué áreas de seguridad de la información controla el proveedor de servicios en la nube y cuáles son competencia de la propia organización.
5. Las mejores formas de recopilar primero y luego utilizar cualquier componente de servicio relacionado con la seguridad de la información proporcionado por la plataforma de servicios en la nube.
6. Cómo obtener garantías categóricas sobre cualquier control relacionado con la seguridad de la información promulgado por el proveedor de servicios en la nube.
7. Los pasos que se deben tomar para gestionar los cambios, la comunicación y los controles en múltiples plataformas en la nube distintas, y no siempre desde el mismo proveedor.
8. Gestión de Incidentes procedimientos que se refieren únicamente a la prestación de servicios en la nube.
9. Cómo espera la organización gestionar su uso continuo y/o adopción generalizada de plataformas en la nube, en línea con sus obligaciones más amplias de seguridad de la información.
10. Una estrategia para el cese o modificación de los servicios en la nube, ya sea proveedor por proveedor o mediante el proceso de migración de la nube a las instalaciones.

Orientación sobre el control del Anexo A 5.23 – Acuerdos de servicios en la nube

El Control 5.23 del Anexo A reconoce que, a diferencia de otras relaciones con proveedores, los acuerdos de servicios en la nube son documentos rígidos que no se pueden modificar en la gran mayoría de los casos.

Teniendo esto en cuenta, las organizaciones deben examinar los acuerdos de servicios en la nube y asegurarse de que se cumplan cuatro requisitos operativos principales:

1. Confidencialidad.
2. Seguridad/integridad de datos.
3. Servicio disponible.
4. Manejo de información.

Al igual que con otros contratos con proveedores, antes de su aceptación, los acuerdos de servicios en la nube deben someterse a una evaluación de riesgos exhaustiva que resalte los problemas potenciales en su origen.

Como mínimo, la organización debe celebrar un acuerdo de servicios en la nube sólo cuando esté convencida de que se han cumplido las siguientes 10 disposiciones:

• Los servicios en la nube se aprovisionan e implementan en función de los requisitos únicos de la organización relacionados con su área de operación, incluidos los estándares y prácticas aceptados por la industria para la arquitectura basada en la nube y la infraestructura alojada.
• El acceso a cualquier plataforma en la nube cumple con los requisitos de seguridad de la información fronteriza de la organización.
• Se da la debida consideración a los servicios antimalware y antivirus, incluida la supervisión proactiva y la protección contra amenazas.
• El proveedor de la nube se adhiere a un conjunto predefinido de estipulaciones de procesamiento y almacenamiento de datos, relacionadas con una o más regiones globales y entornos regulatorios distintos.
• Se brinda soporte proactivo a la organización, en caso de que la plataforma en la nube sufra una falla catastrófica o un incidente relacionado con la seguridad de la información.
• Si surge la necesidad de subcontratar o subcontratar cualquier elemento de la plataforma en la nube, los requisitos de seguridad de la información del proveedor siguen siendo una consideración constante.
• Si la organización necesita ayuda para recopilar información digital para cualquier propósito relevante (aplicación de la ley, alineación regulatoria, fines comerciales), el proveedor de servicios en la nube apoyará a la organización en la medida de lo posible.
• Al final de la relación, el proveedor de servicios en la nube debe brindar soporte razonable y disponibilidad adecuada durante el período de transición o desmantelamiento.
• El proveedor de servicios en la nube debe operar con un plan BUDR sólido y centrado en realizar copias de seguridad adecuadas de los datos de la organización.
• La transferencia de todos los datos complementarios relevantes del proveedor de servicios en la nube a la organización, incluida la información de configuración y el código sobre los que la organización tiene derecho.

Información complementaria sobre el control del Anexo A 5.23

Además de la guía anterior, el Anexo A Control 5.23 sugiere que las organizaciones establezcan una estrecha relación de trabajo con los proveedores de servicios en la nube, de acuerdo con el importante servicio que brindan no solo en términos de seguridad de la información, sino en toda la operación comercial de una organización.

Las organizaciones, cuando sea posible, deben buscar las siguientes estipulaciones de los proveedores de servicios en la nube para mejorar la resiliencia operativa y disfrutar de mayores niveles de seguridad de la información:

1. Todas las modificaciones de la infraestructura deben comunicarse con anticipación para informar el conjunto de estándares de seguridad de la información de la propia organización.
2. La organización debe mantenerse informada sobre cualquier cambio en los procedimientos de almacenamiento de datos que impliquen la migración de datos a una jurisdicción o región global diferente.
3. Cualquier intención por parte del proveedor de servicios en la nube de utilizar proveedores de “nube pares” o subcontratar áreas de sus operaciones a subcontratistas que puedan tener implicaciones de seguridad de la información para la organización.

Controles de apoyo del Anexo A

• ISO 27001:2022 Anexo A 5.21
• ISO 27001:2022 Anexo A 5.22

¿Cuáles son los cambios y diferencias con respecto a ISO 27001:2013?

El Control 5.23 del Anexo A es un nuevo control que no figura en ISO 27001:2013 de ninguna manera.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.

Cómo ayuda ISMS.online

ISMS.online agiliza el proceso de implementación de ISO 27001 al proporcionar un marco sofisticado basado en la nube para documentar los procedimientos y listas de verificación del sistema de gestión de seguridad de la información para garantizar el cumplimiento de estándares reconocidos.

Cuando utilice ISMS.online, podrá:

• Crear un SGSI que sea compatible con los estándares ISO 27001.
• Realizar tareas y presentar pruebas que indiquen que han cumplido con los requisitos de la norma.
• Asigne tareas y realice un seguimiento del progreso hacia el cumplimiento de la ley.
• Obtenga acceso a un equipo especializado de asesores que lo ayudarán en su camino hacia el cumplimiento.

Ponte en contacto y RESERVAR UNA DEMOSTRACIÓN.