El objetivo del Anexo A 27001 de ISO 2022:5.24 es garantizar un enfoque consistente y práctico para gestión de la seguridad de la información incidentes, eventos y debilidades.
Definir cómo la dirección establece responsabilidades y procedimientos para abordar debilidades, eventos e incidentes de seguridad es la definición de control adecuado.
El término incidente se refiere a una situación en la que se ha producido una pérdida de confidencialidad, integridad o disponibilidad.
Para planificar una respuesta a un incidente, una respuesta a un evento o una respuesta a una debilidad, su liderazgo debe definir esos procedimientos antes de que ocurra un incidente. Esos procedimientos son fáciles de desarrollar ya que el resto de este control del Anexo A los detalla. Debe demostrar que estos procedimientos formales y documentados funcionan con su auditor.
En el Anexo A Control 5.24 se puede ver un enfoque de gestión de incidentes para la seguridad de la información.
Este control describe cómo las organizaciones deben abordar los incidentes relacionados con la seguridad de la información mediante la creación de procesos eficientes, la planificación adecuada y la definición de roles y responsabilidades claramente definidos.
Enfatiza la comunicación constructiva y las respuestas profesionales a escenarios de alta presión, especialmente cuando se trata de información personal comercialmente sensible.
Su propósito es minimizar cualquier daño comercial u operativo causado por problemas críticos. eventos de seguridad de la información estableciendo un conjunto estándar de procedimientos de gestión de incidentes.
En un sentido más amplio, una estrategia de gestión de incidentes suele utilizarse para gestionar incidentes relacionados con el servicio. El control 5.24 del Anexo A trata específicamente de incidentes y violaciones relacionadas con la seguridad de la información.
Debido a la naturaleza sensible de estos eventos, los CISO o equivalentes de una organización deben hacerse cargo del Control 5.24.
Dado que los CISO suelen ser empleados de grandes empresas, la propiedad también podría recaer en el director de operaciones o el director de servicios, según la naturaleza de la organización.
Para lograr los resultados más efectivos en la gestión de incidentes, el personal de una organización debe trabajar en conjunto para resolver problemas específicos.
El Anexo A Control 5.24 especifica cinco pautas principales sobre cómo las organizaciones pueden hacer que sus operaciones de gestión de la información sean más eficientes y cohesivas.
Es fundamental que las organizaciones:
Crear un procedimiento de respuesta a incidentes para que la organización pueda evaluar y responder a los incidentes. Una empresa también debería considerar la necesidad de aprender de los incidentes una vez resueltos. Esto evita recurrencias y proporciona al personal un contexto histórico para escenarios futuros.
Asegúrese de que sólo personal capacitado y competente participe en los incidentes. Además, asegúrese de que tengan acceso completo a la documentación de los procedimientos y de que reciban capacitación de actualización periódica que esté directamente relacionada con los incidentes de seguridad de la información.
Identificar las necesidades de capacitación de los miembros del personal para resolver incidentes relacionados con la seguridad de la información mediante el establecimiento de un proceso. Se debe permitir al personal resaltar las necesidades de desarrollo profesional relacionadas con la seguridad de la información y las certificaciones específicas de proveedores.
Una organización debería gestionar incidentes de seguridad de la información para garantizar que todas las personas involucradas en resolverlos comprendan tres áreas principales:
Todos los procesos deben trabajar juntos armoniosamente para mantener estas tres variables como máximas prioridades:
Una conclusión exitosa de un incidente de seguridad de la información debe incluir los siguientes procedimientos:
Cumplimiento de lineamientos y regulaciones externas e internas respecto del manejo de evidencia (incluidos datos y conversaciones) (ver Anexo A Control 5.28).
Una vez que se haya resuelto el incidente, se llevará a cabo una investigación exhaustiva y un análisis de la causa raíz.
Una descripción completa de cualquier mejora necesaria para evitar que el incidente se repita, incluido cualquier cambio en el proceso de gestión de incidentes.
Una política de gestión de incidentes debe centrarse en las actividades de presentación de informes para garantizar que la información se difunda con precisión en toda la organización. Las actividades de presentación de informes deben concentrarse en cuatro áreas principales:
El Anexo A Control 5.24 necesita orientación sobre cómo cumplir con los requisitos de presentación de informes externos (por ejemplo, directrices reglamentarias y legislación vigente). A pesar de esto, las organizaciones deben coordinar una respuesta que cumpla con todos los requisitos legales, regulatorios y específicos del sector compartiendo información sobre incidentes con todas las partes relevantes.
ISO 27001:2022 Anexo A 5.24 reemplaza ISO 27001:2013 Anexo A 16.1.1 ('Gestión de Incidentes y Mejoras de Seguridad de la Información').
En el Anexo A 5.24 se reconoce que las organizaciones deben someterse a una preparación exhaustiva para ser resilientes y cumplir con los incidentes de seguridad de la información.
En este sentido, 27001:2022 A.5.24 proporciona un desglose completo de los pasos que una organización debe tomar en la delegación de roles, la gestión de incidentes y las funciones de presentación de informes, así como referencias a otros controles ISO que ayudan a las organizaciones a obtener una visión más completa de los incidentes. gestión en su conjunto, no sólo en relación con incidentes de seguridad de la información.
Hay tres áreas distintas a considerar al compartimentar las operaciones de gestión de incidentes en ISO 27001:2022 Anexo A 5.24 en contraposición a ISO 27001:2013 Anexo A 16.1.1:
En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control.
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 | Anexo A 5.1.1 Anexo A 5.1.2 | Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 | Anexo A 6.1.5 Anexo A 14.1.1 | Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 | Anexo A 8.1.1 Anexo A 8.1.2 | Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 | Anexo A 8.1.3 Anexo A 8.2.3 | Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 | Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 | Transferencia de información |
| Controles organizacionales | Anexo A 5.15 | Anexo A 9.1.1 Anexo A 9.1.2 | Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 | Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 | Información de autenticación |
| Controles organizacionales | Anexo A 5.18 | Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 | Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 | Anexo A 15.2.1 Anexo A 15.2.2 | Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 | Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 | Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 | Anexo A 18.1.1 Anexo A 18.1.5 | Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 | Anexo A 18.2.2 Anexo A 18.2.3 | Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 | Anexo A 16.1.2 Anexo A 16.1.3 | Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 | Anexo A 11.1.2 Anexo A 11.1.6 | Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 | Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 | Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 | Anexo A 6.2.1 Anexo A 11.2.8 | Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 | Anexo A 12.6.1 Anexo A 18.2.3 | Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 | Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 | Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados |
| Controles Tecnológicos | Anexo A 8.19 | Anexo A 12.5.1 Anexo A 12.6.2 | Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 | Anexo A 10.1.1 Anexo A 10.1.2 | Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 | Anexo A 14.1.2 Anexo A 14.1.3 | Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Principios de ingeniería y arquitectura de sistemas seguros |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 | Anexo A 14.2.8 Anexo A 14.2.9 | Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 | Anexo A 12.1.4 Anexo A 14.2.6 | Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 | Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 | Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
ISMS.online proporciona una política integrada para abordar 16.1.1 – 16.1.7 durante todo el ciclo de vida y herramientas integradas que puede utilizar para demostrarlo. La gestión de incidentes de seguridad es un proceso sencillo y sin esfuerzo con la herramienta de gestión de incidentes de seguridad de ISMS.online. Un plan integral de gestión de incidentes guía un incidente a través de todas las etapas clave, garantizando que el estándar se cumpla de manera pragmática pero conforme.
Con ISMS.online, puede adaptarlo rápidamente según sea necesario. Las estadísticas prediseñadas y la información sobre informes ayudan a que las revisiones de la gestión sean mucho más sencillas y ahorren tiempo, ya que se combinan elegantemente con partes relacionadas del SGSI. ¿Le gustaría vincular un incidente específico a una mejora, un riesgo, una auditoría, o un activo de información y las políticas que debe considerar?
A continuación se muestra un título del seguimiento de incidentes de seguridad, que ayuda a resaltar todo el trabajo que se está realizando. Esto es fácil y también evita la duplicación de trabajo. Para asegurarse de centrarse primero en las cosas más importantes, puede filtrarlas y administrar recursos, categorías y tipos de incidentes.
Póngase en contacto con nosotros hoy para programa una demostración.
Reserva una sesión práctica personalizada
en base a tus necesidades y objetivos
Reserva tu demostración
