ISO 27001:2022 Anexo A Control 5.30

¿Cuál es el propósito del Anexo A 27001 de la norma ISO 2022:5.30?

El Control 27001 del Anexo A de ISO 5.30 reconoce el importante papel que desempeñan las plataformas y servicios de TIC en el mantenimiento de la continuidad del negocio durante una interrupción o un evento de importancia crítica.

El objetivo de tiempo de recuperación (RTO) de una organización y el análisis de impacto empresarial (BIA) se definen en el Anexo Control 5.30, que analiza cómo los servicios de TIC interactúan con esas métricas y controles de apoyo.

Antes, durante y después de una interrupción del negocio, el objetivo es mantener la integridad y disponibilidad de la información.

Orientación general sobre el Anexo A 5.30

Para crear procesos y procedimientos según el Control 5.30 del Anexo A, se debe realizar una BIA exhaustiva para determinar cómo debe responder una organización cuando ocurre una interrupción operativa.

Un análisis de impacto empresarial tiene como objetivo establecer cómo la interrupción de cualquier tipo podría afectar la continuidad del negocio, independientemente de los tipos de impactos y las variables organizativas involucradas.

Para formular un RTO acordado que establezca objetivos claros para el regreso a la operación normal, las organizaciones deben tener en cuenta dos variables clave:

• Una evaluación de la magnitud de la disrupción.
• La naturaleza de la perturbación.

Las organizaciones deberían poder identificar los servicios y funciones de TIC precisos necesarios para la recuperación y sus requisitos de rendimiento y capacidad dentro de su BIA.

Es esencial que las organizaciones realicen una evaluación de riesgos que evalúe sus sistemas de TIC y forme la base para una estrategia (o estrategias) de continuidad de las TIC que pueda lanzarse antes, durante y después de una interrupción.

Una vez que se ha acordado una estrategia, es necesario implementar procesos específicos para garantizar que los servicios de TIC sean resilientes y adecuados para respaldar procesos y sistemas críticos durante y después de las interrupciones.

Estos son los principales puntos de orientación dentro del Anexo A Control 5.30 con respecto a los planes de continuidad de las TIC:

1. Para acelerar el proceso de recuperación de incidentes de TIC, los altos funcionarios a menudo deben tomar decisiones rápidas con respecto a la seguridad de la información.
2. Continuidad del negocio y el cumplimiento de los RTO requieren una cadena de mando sólida que incluya personas competentes que puedan tomar decisiones autorizadas.
3. Para facilitar una comunicación adecuada y acelerar los tiempos de recuperación, las estructuras organizativas deben estar actualizadas y ampliamente comunicadas.
4. Las pruebas y evaluaciones periódicas y la aprobación de la alta dirección son componentes esenciales de los planes de continuidad de las TIC.
5. Se debe realizar una prueba para medir la efectividad de los sistemas y se deben medir métricas clave, como los tiempos de respuesta y resolución.
6. La siguiente información debe incluirse en un plan de continuidad de las TIC:
• Los requisitos de rendimiento y capacidad de cualquier sistema o proceso utilizado como parte del esfuerzo de recuperación.
• Un RTO claro para cada servicio TIC en cuestión y cómo la organización pretende restaurarlos.
• Para cada recurso de TIC, se define un objetivo de punto de recuperación (RPO) y se crean procedimientos para garantizar que se pueda restaurar la información.

¿Cuáles son los cambios con respecto a ISO 27001:2013?

No hay precedentes para el control 5.30 en ISO 27001:2013, es un nuevo control en ISO 27001:2022.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Controlar.

Cómo ayuda ISMS.online

Implementar ISO 27001 es más fácil con nuestra lista de verificación paso a paso que lo guía a través de todo el proceso, desde definir el alcance de su SGSI hasta identificando riesgos e implementar controles del Anexo A.

Contamos con una plataforma sencilla e intuitiva. Es para todos los miembros de su organización, no sólo para personas altamente técnicas.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.