ISO 27001:2022 Anexo A 5.33 – Protección de registros

El propósito de ISO 27001:2022 Anexo A 5.33

Las organizaciones tienen una responsabilidad de proteger los datos que poseen (que abarcan personas, detalles financieros y áreas operativas) respetando todas las regulaciones aplicables.

ISO 27001:2022 Anexo A 5.33 aborda la protección de los registros comerciales contra cinco riesgos clave:

1. Falsificación.
2. Acceso no autorizado.
3. Liberación o publicación no autorizada.
4. Pérdida.
5. Destrucción.

Orientación general sobre ISO 27001:2022 Anexo A 5.33

El Anexo A 5.33 reconoce que los requisitos de registros de una organización, tanto en términos de cantidad como de tipo, pueden variar de un día a otro.

ISO 27001:2022 Anexo A 5.33 identifica cuatro atributos principales de la gestión de registros:

• Integridad.
• Usabilidad.
• Autenticidad.
• Confiabilidad.

ISO 27001:2022 Anexo A 5.33 requiere que las organizaciones:

1. Redactar y publicar directrices que aborden cuatro funciones principales, así como políticas temáticas específicas que reflejen la esencia de los registros.
• Eliminación de registros.
• Previniendo la manipulación.
• Almacenamiento de registros.
• Cadena de custodia del manejo de registros.
2. Mantener un cronograma de retención de registros funcional que especifique cuánto tiempo se deben conservar los distintos tipos de registros en relación con su respectivo propósito comercial.
3. Construir procesos de almacenamiento y manipulación que consideren:
• Se deben cumplir todas las leyes vigentes relativas al mantenimiento de registros comerciales.
• La comunidad y la sociedad en general tienen expectativas sobre cómo las organizaciones deben gestionar sus registros.
4. Destruya los registros de forma segura y adecuada tan pronto como se complete el período de retención.
5. Clasificar los registros de acuerdo con su riesgo de seguridad, observando los períodos de retención correspondientes y los medios en los que se almacenan, incluidos (entre otros):
• Registros de personal.
• Registros legales.
• Registros contables.
• Transacciones de negocios.
6. Asegúrese de que los procedimientos de almacenamiento permitan un período de tiempo adecuado para la recuperación si lo solicita un tercero o internamente.
7. Cuando se guarden registros electrónicos, pensar y reducir el riesgo de que el acceso o la recuperación de los registros se vea obstaculizado por cambios tecnológicos, como el mantenimiento de detalles criptográficos (ver ISO 27001:2022 Anexo A 8.24).
8. Siga las instrucciones del fabricante al mantener o gestionar registros electrónicamente, teniendo en cuenta el deterioro natural de los medios.

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 5.33 reemplaza ISO 27001:2013 Anexo A 18.1.3 (Protección de registros) en el norma ISO revisada de 2022.

En ISO 27001:2022, ISO reconoce la gravedad de definir qué constituye un registro comercial. ISO 27001:2022 Anexo A 5.33 tiene una serie de ejemplos de lo que ISO considera registros (ver arriba), que no están presentes en ISO 27001:2013 Anexo A 18.1.3.

ISO 27001:2022 Anexo A 5.33 destaca dos puntos de orientación fundamentales que forman la base de la política de registros de una organización. Estos puntos, no están incluidos en la versión ISO 27001:2013. La política de registros, en particular, estipula la cantidad de tiempo que se deben conservar los registros y los requisitos específicos del medio.

Los metadatos han hecho su debut en la gestión de registros. Mientras que ISO 27001:2013 Anexo A 18.1.3 no hace referencia a él, ISO 27001:2022 Anexo A 5.33 lo considera un “componente esencial”.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control:

Cómo ayuda ISMS.online

ISMS.online le facilita la construcción de una infraestructura segura para sus datos, el seguimiento de la seguridad de su información, la detección de amenazas y la adopción de medidas de precaución, y el cultivo de una cultura de protección de la información.

ISMS.online permite usted a:

• Implementar un Sistema de Gestión de Seguridad de la Información (SGSI) rápidamente.
• Supervise fácilmente la documentación de su SGSI.
• Garantizar el cumplimiento de todas las normas aplicables.
• Supervisar toda la gama de seguridad de la información, desde la gestión de riesgos hasta la capacitación en concientización sobre seguridad.
• Transmita eficientemente su mensaje a toda su organización con nuestras funciones de comunicación integradas.

Póngase en contacto ahora para concertar una demostración.