ISO 27001:2022 Anexo A 8.2 – Derechos de acceso privilegiado

• See Norma ISO 27002:2022 8.2 para obtener más información.
• See ISO 27001:2013 Anexo A 9.2.3 para obtener más información.

¿Cuál es el propósito del Anexo A 27001 de la norma ISO 2022:8.2?

En las redes comerciales de todo el mundo, el uso indebido o abuso de privilegios elevados de administrador de sistemas es una causa importante de interrupción de las TIC.

Al utilizar derechos de acceso privilegiados, las organizaciones pueden controlar el acceso a su infraestructura, aplicaciones, activos y datos.

ISO 27001:2022 El Anexo A 8.2 establece un proceso de autorización para manejar todas las solicitudes de acceso a través de las redes y activos de TIC de una organización. Es un control preventivo diseñado para mantener el riesgo.

¿Quién es propietario del Anexo A 8.2?

Una organización puede controlar el acceso a los datos a través de derechos de acceso mejorados asociados con las cuentas de usuario, como en el Anexo A 8.6.

Esto significa que la capacidad de la organización para administrar y monitorear dominios privilegiados o cuentas de usuarios de aplicaciones debe ser responsabilidad del Jefe de Tecnología de la Información (o equivalente).

Orientación general sobre ISO 27001:2022 Anexo A 8.2

El Anexo A 27001 de ISO 2022:8.2 describe 12 puntos de orientación principales que las empresas deben seguir en función de una política "temática específica" sobre control de acceso (ver Anexo A 5.15) que apunta a funciones comerciales específicas.

Es crucial que las organizaciones:

1. Prepare una lista de usuarios que requieren algún grado de acceso privilegiado, ya sea a un sistema individual, una aplicación o el sistema operativo subyacente.
2. Asegúrese de que los derechos de acceso privilegiados se asignen a los usuarios “evento por evento”; a los usuarios se les deben otorgar derechos de acceso basados ​​en el mínimo indispensable para realizar sus tareas.
3. Mantenga un registro de todos los derechos de acceso que se han otorgado y describa un proceso de autorización sencillo para todas las solicitudes de acceso privilegiado.
4. Los derechos de acceso deben estar sujetos a las fechas de vencimiento correspondientes.
5. Los usuarios deben ser informados explícitamente cuando operan con acceso privilegiado a un sistema.
6. Cuando sea relevante, se solicita a los usuarios que se vuelvan a autenticar antes de utilizar derechos de acceso privilegiados para mejorar la seguridad de la información y los datos.
7. Auditar periódicamente derechos de acceso privilegiados, especialmente después de un período de cambio organizacional. Los derechos de acceso deben revisarse en función de los “deberes, roles, responsabilidades y competencias” de los usuarios (ver Anexo A 5.18).
8. Considere un procedimiento de “romper cristales”, es decir, otorgar derechos de acceso privilegiados dentro de plazos estrictamente controlados que cumplan con los requisitos mínimos para que se complete una operación (cambios críticos, administración del sistema, etc.).
9. Asegúrese de que se registren todas las actividades que impliquen acceso privilegiado.
10. No se deben utilizar nombres de usuario y contraseñas estandarizados (consulte el Anexo A 5.17) para iniciar sesión en el sistema.
11. Mantenga una política de asignación de usuarios con identidades separadas para controlar mejor los derechos de acceso privilegiado. Como resultado, estas identidades se pueden agrupar, concediéndose distintos niveles de acceso al grupo asociado.
12. Garantizar que los derechos de acceso privilegiado estén reservados para tareas críticas para el correcto funcionamiento de una red de TIC, como la administración y el mantenimiento de la red.

Controles adjuntos al Anexo A

• ISO 27001:2022 Anexo A 5.15

¿Cuáles son los cambios con respecto a ISO 27001:2013?

ISO 27001:2022 Anexo A 8.2 reemplaza a ISO 27001:2013 Anexo A 9.2.3 ('Gestión de Derechos de Acceso Privilegiado').

El Anexo A 8.2 de ISO 27001:2022 contiene cinco puntos de orientación principales que no se incluyeron en su contraparte de 2013:

1. El Anexo A 8.2 no requiere explícitamente una identificación de usuario diferente para el acceso privilegiado.
2. El Anexo A 8.2 enfatiza la necesidad de volver a autenticarse antes de recibir derechos de acceso privilegiado.
3. Se sugiere un enfoque de rotura de vidrio al realizar tareas de mantenimiento críticas basadas en ventanas de tiempo estrictamente controladas en el Anexo A 8.2.
4. El Anexo A 8.2 requiere que las organizaciones mantengan registros detallados de acceso privilegiado para fines de auditoría.
5. El Anexo A 8.2 requiere que las organizaciones limiten los derechos de acceso privilegiado a las tareas administrativas.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control:

Cómo ayuda ISMS.online

Con la ayuda de nuestra plataforma y herramientas basadas en la nube, las organizaciones pueden configurar una sistema de gestión de la seguridad de la información (SGSI) de acuerdo con la norma ISO 27001:2022.

Entre estas herramientas se encuentran:

1. Plantillas para documentos corporativos comunes.
2. Políticas y procedimientos que están predefinidos.
3. Apoyar las auditorías internas con una herramienta de auditoría.
4. Un flujo de trabajo de aprobación para todos los cambios realizados en políticas y procedimientos.
5. Lista de verificación para garantizar que su políticas de seguridad de la información y los procesos siguen estándares internacionales.

Infórmese sobre la gama completa de funciones de nuestro conjunto de herramientas visitando reservar una demostración.