ISO 27001:2022, Anexo A control 5.4, Responsabilidades de la dirección cubre la necesidad de que la dirección garantice que todo el personal cumpla con todos los políticas específicas de temas de seguridad de la información y procedimientos definidos en la política de seguridad de la información establecida de la organización.
Los empleados y contratistas deben conocer y cumplir sus responsabilidades de seguridad de la información como se describe en este Anexo.
El Anexo A Control 5.4 describe cómo los empleados y contratistas aplican la seguridad de la información según las políticas y procedimientos de la organización.
Las responsabilidades impuestas a los gerentes deben incluir requisitos para:
Es responsabilidad de los gerentes garantizar que la conciencia y la escrupulosidad en materia de seguridad impregnen toda la organización y establecer una "cultura de seguridad" adecuada.
An La política de seguridad de la información es un documento formal. que proporciona dirección de gestión, objetivos y principios para proteger la información de una organización. Para garantizar la asignación adecuada de recursos, una política eficaz de seguridad de la información debe adaptarse a las necesidades específicas de una organización y contar con el apoyo de la alta dirección.
Especifica cómo la empresa protegerá sus activos de información y cómo los empleados deben manejar los datos confidenciales.
La mayoría de las Las políticas de seguridad de la información son desarrolladas por la alta dirección. en conjunto con el personal de seguridad de TI y se derivan de leyes, regulaciones y mejores prácticas.
Las políticas también deberían incluir un marco para definir funciones y responsabilidades y un período de revisión.
El Control 5.4 del Anexo A tiene como objetivo garantizar que la dirección sea consciente de sus responsabilidades en materia de seguridad de la información.
Toma medidas para garantizar que todos los empleados sean conscientes de esas responsabilidades.
La información es un activo valioso que debe protegerse contra pérdida, daño o uso indebido. La dirección debe garantizar que se tomen las medidas adecuadas para proteger este activo. Para lograr esto, la dirección debe garantizar que todo el personal cumpla con las políticas de seguridad de la información de la organización, políticas y procedimientos temáticos.
El control 5.4 del Anexo A define la responsabilidad de la gestión con respecto a la seguridad de la información en una organización con base en el marco de la norma ISO 27001.
La gerencia debe estar de acuerdo con el programa de seguridad de la información, y todos los empleados y contratistas deben conocer la política de seguridad de la información y seguirla. Las políticas de seguridad, las políticas y los procedimientos específicos de un tema nunca deben estar exentos del cumplimiento obligatorio por parte de ningún empleado o contratista.
La dirección debe hacer cumplir las políticas, estándares y procedimientos de seguridad de la información de una organización para cumplir con este control del Anexo A.
Conseguir el apoyo y la aceptación de la dirección es el primer paso.
Para demostrar compromiso, la dirección debe seguir todas sus políticas y procedimientos. Por ejemplo, si entrenamiento de conciencia de seguridad se requiere anualmente, los gerentes deben completar esos cursos ellos mismos.
Independientemente de su puesto, todas las personas en la empresa deben ser conscientes de la importancia de la seguridad de la información. Como se establece en el programa SGSI de la empresa, todos deben comprender su papel en el mantenimiento de la seguridad de los datos confidenciales. Esto incluye la junta directiva, los ejecutivos y gerentes y los empleados.
ISO 27001:2022 Anexo A 5.4 Responsabilidades de gestión se conocía anteriormente como Control 7.2.1 Responsabilidades de la Gerencia. No es un control recién agregado sino una interpretación más sólida del control correspondiente en ISO 27001:2013.
Existen algunas diferencias entre el control 5.4 del Anexo A y el control 7.2.1. Estas diferencias están documentadas en la guía de implementación para ambos.
Es responsabilidad de la gerencia garantizar que los empleados y contratistas sigan los siguientes estándares:
Una organización debe:
La dirección debe respaldar las políticas, los procedimientos y los controles del Anexo A de seguridad de la información.
El control 5.4 del Anexo A es más fácil de usar y requiere que la gerencia garantice que los empleados y contratistas sigan las siguientes pautas:
A) Están informados de sus responsabilidades y roles en la seguridad de la información antes de que se les otorgue acceso a la información de la organización.
B) Recibir pautas que especifiquen el nivel esperado de seguridad de la información en sus roles específicos.
C) Cumplir con la política de seguridad de la información de la organización y las políticas temáticas específicas.
D) Tomar conciencia de su rol y responsabilidades en materia de seguridad de la información.
E) Cumplimiento de las reglas del lugar de trabajo, incluida la política de seguridad de datos y los métodos de trabajo de la organización.
F) Infórmese continuamente sobre habilidades y calificaciones en seguridad de la información.
G) En casos de violaciones de las políticas de seguridad de la información, políticas o procedimientos específicos de un tema (“denuncia de irregularidades”), se debe proporcionar a los empleados un canal de comunicación confidencial. Es posible contar con una opción de denuncia anónima o disposiciones que garanticen que la identidad del denunciante sólo sea conocida por quienes necesitan ocuparse de estas denuncias.
H) Garantizar recursos adecuados y tiempo de planificación de proyectos para implementar procesos relacionados con la seguridad y controles del Anexo A.
El La norma ISO 27001:2022 exige explícitamente que los trabajadores y contratistas tengan acceso a los recursos necesarios y al tiempo de planificación del proyecto para implementar procedimientos y controles relacionados con la seguridad.
ISO 27001:2013 e ISO 27001:2022 utilizan una redacción diferente para algunas pautas de implementación. Por ejemplo, la directriz C de 2013 establece que los empleados y contratistas deben estar "motivados" para adoptar políticas SGSI; sin embargo, en 2022 se utilizará la palabra "obligatorio".
En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control.
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles organizacionales | Anexo A 5.1 | Anexo A 5.1.1 Anexo A 5.1.2 | Políticas de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.2 | Anexo A 6.1.1 | Funciones y responsabilidades de seguridad de la información |
| Controles organizacionales | Anexo A 5.3 | Anexo A 6.1.2 | Segregación de deberes |
| Controles organizacionales | Anexo A 5.4 | Anexo A 7.2.1 | Responsabilidades de gestión |
| Controles organizacionales | Anexo A 5.5 | Anexo A 6.1.3 | Contacto con autoridades |
| Controles organizacionales | Anexo A 5.6 | Anexo A 6.1.4 | Contacto con grupos de interés especial |
| Controles organizacionales | Anexo A 5.7 | NUEVO | Inteligencia de amenaza |
| Controles organizacionales | Anexo A 5.8 | Anexo A 6.1.5 Anexo A 14.1.1 | Seguridad de la información en la gestión de proyectos |
| Controles organizacionales | Anexo A 5.9 | Anexo A 8.1.1 Anexo A 8.1.2 | Inventario de Información y Otros Activos Asociados |
| Controles organizacionales | Anexo A 5.10 | Anexo A 8.1.3 Anexo A 8.2.3 | Uso aceptable de la información y otros activos asociados |
| Controles organizacionales | Anexo A 5.11 | Anexo A 8.1.4 | Devolución de Activos |
| Controles organizacionales | Anexo A 5.12 | Anexo A 8.2.1 | Clasificación de la información |
| Controles organizacionales | Anexo A 5.13 | Anexo A 8.2.2 | Etiquetado de información |
| Controles organizacionales | Anexo A 5.14 | Anexo A 13.2.1 Anexo A 13.2.2 Anexo A 13.2.3 | Transferencia de información |
| Controles organizacionales | Anexo A 5.15 | Anexo A 9.1.1 Anexo A 9.1.2 | Control de Acceso |
| Controles organizacionales | Anexo A 5.16 | Anexo A 9.2.1 | Gestión de identidad |
| Controles organizacionales | Anexo A 5.17 | Anexo A 9.2.4 Anexo A 9.3.1 Anexo A 9.4.3 | Información de autenticación |
| Controles organizacionales | Anexo A 5.18 | Anexo A 9.2.2 Anexo A 9.2.5 Anexo A 9.2.6 | Derechos de acceso |
| Controles organizacionales | Anexo A 5.19 | Anexo A 15.1.1 | Seguridad de la Información en las Relaciones con Proveedores |
| Controles organizacionales | Anexo A 5.20 | Anexo A 15.1.2 | Abordar la seguridad de la información en los acuerdos con proveedores |
| Controles organizacionales | Anexo A 5.21 | Anexo A 15.1.3 | Gestión de la seguridad de la información en la cadena de suministro de TIC |
| Controles organizacionales | Anexo A 5.22 | Anexo A 15.2.1 Anexo A 15.2.2 | Seguimiento, Revisión y Gestión de Cambios de Servicios de Proveedores |
| Controles organizacionales | Anexo A 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube |
| Controles organizacionales | Anexo A 5.24 | Anexo A 16.1.1 | Planificación y preparación de la gestión de incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.25 | Anexo A 16.1.4 | Evaluación y Decisión sobre Eventos de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.26 | Anexo A 16.1.5 | Respuesta a Incidentes de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.27 | Anexo A 16.1.6 | Aprender de los incidentes de seguridad de la información |
| Controles organizacionales | Anexo A 5.28 | Anexo A 16.1.7 | Recolección de evidencia |
| Controles organizacionales | Anexo A 5.29 | Anexo A 17.1.1 Anexo A 17.1.2 Anexo A 17.1.3 | Seguridad de la información durante la disrupción |
| Controles organizacionales | Anexo A 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| Controles organizacionales | Anexo A 5.31 | Anexo A 18.1.1 Anexo A 18.1.5 | Requisitos legales, estatutarios, reglamentarios y contractuales |
| Controles organizacionales | Anexo A 5.32 | Anexo A 18.1.2 | DERECHOS DE PROPIEDAD INTELECTUAL |
| Controles organizacionales | Anexo A 5.33 | Anexo A 18.1.3 | Protección de registros |
| Controles organizacionales | Anexo A 5.34 | Anexo A 18.1.4 | Privacidad y protección de la PII |
| Controles organizacionales | Anexo A 5.35 | Anexo A 18.2.1 | Revisión independiente de la seguridad de la información |
| Controles organizacionales | Anexo A 5.36 | Anexo A 18.2.2 Anexo A 18.2.3 | Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información |
| Controles organizacionales | Anexo A 5.37 | Anexo A 12.1.1 | Procedimientos operativos documentados |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles de personas | Anexo A 6.1 | Anexo A 7.1.1 | examen en línea. |
| Controles de personas | Anexo A 6.2 | Anexo A 7.1.2 | Términos y condiciones de empleo |
| Controles de personas | Anexo A 6.3 | Anexo A 7.2.2 | Concientización, educación y capacitación sobre seguridad de la información |
| Controles de personas | Anexo A 6.4 | Anexo A 7.2.3 | Proceso Disciplinario |
| Controles de personas | Anexo A 6.5 | Anexo A 7.3.1 | Responsabilidades después de la terminación o cambio de empleo |
| Controles de personas | Anexo A 6.6 | Anexo A 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| Controles de personas | Anexo A 6.7 | Anexo A 6.2.2 | Trabajo remoto |
| Controles de personas | Anexo A 6.8 | Anexo A 16.1.2 Anexo A 16.1.3 | Informes de eventos de seguridad de la información |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles físicos | Anexo A 7.1 | Anexo A 11.1.1 | Perímetros de seguridad física |
| Controles físicos | Anexo A 7.2 | Anexo A 11.1.2 Anexo A 11.1.6 | Entrada Física |
| Controles físicos | Anexo A 7.3 | Anexo A 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones |
| Controles físicos | Anexo A 7.4 | NUEVO | Monitoreo de seguridad física |
| Controles físicos | Anexo A 7.5 | Anexo A 11.1.4 | Protección contra amenazas físicas y ambientales |
| Controles físicos | Anexo A 7.6 | Anexo A 11.1.5 | Trabajar en áreas seguras |
| Controles físicos | Anexo A 7.7 | Anexo A 11.2.9 | Limpiar escritorio y limpiar pantalla |
| Controles físicos | Anexo A 7.8 | Anexo A 11.2.1 | Ubicación y protección de equipos |
| Controles físicos | Anexo A 7.9 | Anexo A 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| Controles físicos | Anexo A 7.10 | Anexo A 8.3.1 Anexo A 8.3.2 Anexo A 8.3.3 Anexo A 11.2.5 | Medios de almacenamiento |
| Controles físicos | Anexo A 7.11 | Anexo A 11.2.2 | Servicios públicos de apoyo |
| Controles físicos | Anexo A 7.12 | Anexo A 11.2.3 | Seguridad del cableado |
| Controles físicos | Anexo A 7.13 | Anexo A 11.2.4 | Mantenimiento De Equipo |
| Controles físicos | Anexo A 7.14 | Anexo A 11.2.7 | Eliminación segura o reutilización del equipo |
| Anexo A Tipo de control | Identificador del Anexo A de ISO/IEC 27001:2022 | Identificador del Anexo A de ISO/IEC 27001:2013 | Anexo A Nombre |
|---|---|---|---|
| Controles Tecnológicos | Anexo A 8.1 | Anexo A 6.2.1 Anexo A 11.2.8 | Dispositivos terminales de usuario |
| Controles Tecnológicos | Anexo A 8.2 | Anexo A 9.2.3 | Derechos de acceso privilegiados |
| Controles Tecnológicos | Anexo A 8.3 | Anexo A 9.4.1 | Restricción de acceso a la información |
| Controles Tecnológicos | Anexo A 8.4 | Anexo A 9.4.5 | Acceso al código fuente |
| Controles Tecnológicos | Anexo A 8.5 | Anexo A 9.4.2 | Autenticación Segura |
| Controles Tecnológicos | Anexo A 8.6 | Anexo A 12.1.3 | Gestión de capacidad |
| Controles Tecnológicos | Anexo A 8.7 | Anexo A 12.2.1 | Protección contra malware |
| Controles Tecnológicos | Anexo A 8.8 | Anexo A 12.6.1 Anexo A 18.2.3 | Gestión de Vulnerabilidades Técnicas |
| Controles Tecnológicos | Anexo A 8.9 | NUEVO | Configuration Management |
| Controles Tecnológicos | Anexo A 8.10 | NUEVO | Eliminación de información |
| Controles Tecnológicos | Anexo A 8.11 | NUEVO | Enmascaramiento de datos |
| Controles Tecnológicos | Anexo A 8.12 | NUEVO | Prevención de fuga de datos |
| Controles Tecnológicos | Anexo A 8.13 | Anexo A 12.3.1 | Copia de seguridad de la información |
| Controles Tecnológicos | Anexo A 8.14 | Anexo A 17.2.1 | Redundancia de instalaciones de procesamiento de información |
| Controles Tecnológicos | Anexo A 8.15 | Anexo A 12.4.1 Anexo A 12.4.2 Anexo A 12.4.3 | Inicio de sesión |
| Controles Tecnológicos | Anexo A 8.16 | NUEVO | Actividades de seguimiento |
| Controles Tecnológicos | Anexo A 8.17 | Anexo A 12.4.4 | Sincronización de reloj |
| Controles Tecnológicos | Anexo A 8.18 | Anexo A 9.4.4 | Uso de programas de utilidad privilegiados |
| Controles Tecnológicos | Anexo A 8.19 | Anexo A 12.5.1 Anexo A 12.6.2 | Instalación de Software en Sistemas Operativos |
| Controles Tecnológicos | Anexo A 8.20 | Anexo A 13.1.1 | Seguridad de Redes |
| Controles Tecnológicos | Anexo A 8.21 | Anexo A 13.1.2 | Seguridad de los servicios de red |
| Controles Tecnológicos | Anexo A 8.22 | Anexo A 13.1.3 | Segregación de Redes |
| Controles Tecnológicos | Anexo A 8.23 | NUEVO | Filtrado Web |
| Controles Tecnológicos | Anexo A 8.24 | Anexo A 10.1.1 Anexo A 10.1.2 | Uso de criptografía |
| Controles Tecnológicos | Anexo A 8.25 | Anexo A 14.2.1 | Ciclo de vida de desarrollo seguro |
| Controles Tecnológicos | Anexo A 8.26 | Anexo A 14.1.2 Anexo A 14.1.3 | Requisitos de seguridad de la aplicación |
| Controles Tecnológicos | Anexo A 8.27 | Anexo A 14.2.5 | Principios de ingeniería y arquitectura de sistemas seguros |
| Controles Tecnológicos | Anexo A 8.28 | NUEVO | Codificación segura |
| Controles Tecnológicos | Anexo A 8.29 | Anexo A 14.2.8 Anexo A 14.2.9 | Pruebas de seguridad en desarrollo y aceptación |
| Controles Tecnológicos | Anexo A 8.30 | Anexo A 14.2.7 | Desarrollo subcontratado |
| Controles Tecnológicos | Anexo A 8.31 | Anexo A 12.1.4 Anexo A 14.2.6 | Separación de entornos de desarrollo, prueba y producción. |
| Controles Tecnológicos | Anexo A 8.32 | Anexo A 12.1.2 Anexo A 14.2.2 Anexo A 14.2.3 Anexo A 14.2.4 | Gestión del cambio |
| Controles Tecnológicos | Anexo A 8.33 | Anexo A 14.3.1 | Información de prueba |
| Controles Tecnológicos | Anexo A 8.34 | Anexo A 12.7.1 | Protección de los sistemas de información durante las pruebas de auditoría |
En pocas palabras, la dirección de una empresa garantiza que un SGSI (Sistema de gestión de seguridad de la información) esta en su lugar.
Se debe nombrar un gerente de seguridad de la información que esté calificado, experimentado y responsable de desarrollar, implementar, gestionar y mejorar continuamente el SGSI.
Al implementar un SGSI alineado con ISO 27001, un desafío clave es realizar un seguimiento de los controles de seguridad de la información. Nuestro sistema simplifica este proceso.
Nuestro equipo comprende la importancia de proteger los datos y la reputación de su organización. En consecuencia, nuestra plataforma basada en la nube simplifica la implementación de la norma ISO 27001, le permite establecer un marco sólido para los controles de seguridad de la información y le ayuda a lograr la certificación de forma rápida y sencilla.
Usar SGSI.online, puede obtener rápidamente la certificación ISO 27001 y gestionarla posteriormente. Nuestra plataforma tiene varias características fáciles de usar. y kits de herramientas que le ahorrarán tiempo y le garantizarán la creación de un SGSI sólido.
Contáctenos hoy para programa una demostración.
Reserva una sesión práctica personalizada
en base a tus necesidades y objetivos
Reserva tu demostración
