ISO 27001:2022 Anexo A Control 8.2

Orientación general sobre ISO 27001:2022 Anexo A 8.2

El Anexo A 27001 de ISO 2022:8.2 describe 12 puntos de orientación principales que las empresas deben seguir en función de una política "temática específica" sobre control de acceso (ver Anexo A 5.15) que apunta a funciones comerciales específicas.

Es crucial que las organizaciones:

1. Prepare una lista de usuarios que requieren algún grado de acceso privilegiado, ya sea a un sistema individual, una aplicación o el sistema operativo subyacente.
2. Asegúrese de que los derechos de acceso privilegiados se asignen a los usuarios “evento por evento”; a los usuarios se les deben otorgar derechos de acceso basados ​​en el mínimo indispensable para realizar sus tareas.
   

3. Mantenga un registro de todos los derechos de acceso que se han otorgado y describa un proceso de autorización sencillo para todas las solicitudes de acceso privilegiado.
   

4. Los derechos de acceso deben estar sujetos a las fechas de vencimiento correspondientes.
   

5. Los usuarios deben ser informados explícitamente cuando operan con acceso privilegiado a un sistema.
   

6. Cuando sea relevante, se solicita a los usuarios que se vuelvan a autenticar antes de utilizar derechos de acceso privilegiados para mejorar la seguridad de la información y los datos.
   

7. Auditar periódicamente derechos de acceso privilegiados, especialmente después de un período de cambio organizacional. Los derechos de acceso deben revisarse en función de los “deberes, roles, responsabilidades y competencias” de los usuarios (ver Anexo A 5.18).
   

8. Considere un procedimiento de “romper cristales”, es decir, otorgar derechos de acceso privilegiados dentro de plazos estrictamente controlados que cumplan con los requisitos mínimos para que se complete una operación (cambios críticos, administración del sistema, etc.).
   

9. Asegúrese de que se registren todas las actividades que impliquen acceso privilegiado.
   

10. No se deben utilizar nombres de usuario y contraseñas estandarizados (consulte el Anexo A 5.17) para iniciar sesión en el sistema.
    

11. Mantenga una política de asignación de usuarios con identidades separadas para controlar mejor los derechos de acceso privilegiado. Como resultado, estas identidades se pueden agrupar, concediéndose distintos niveles de acceso al grupo asociado.
    

12. Garantizar que los derechos de acceso privilegiado estén reservados para tareas críticas para el correcto funcionamiento de una red de TIC, como la administración y el mantenimiento de la red.

Controles adjuntos al Anexo A

• ISO 27001:2022 Anexo A 5.15

¿Cuáles son los cambios con respecto a ISO 27001:2013?

ISO 27001:2022 Anexo A 8.2 reemplaza a ISO 27001:2013 Anexo A 9.2.3 ('Gestión de Derechos de Acceso Privilegiado').

El Anexo A 8.2 de ISO 27001:2022 contiene cinco puntos de orientación principales que no se incluyeron en su contraparte de 2013:

1. El Anexo A 8.2 no requiere explícitamente una identificación de usuario diferente para el acceso privilegiado.
2. El Anexo A 8.2 enfatiza la necesidad de volver a autenticarse antes de recibir derechos de acceso privilegiado.
3. Se sugiere un enfoque de rotura de vidrio al realizar tareas de mantenimiento críticas basadas en ventanas de tiempo estrictamente controladas en el Anexo A 8.2.
4. El Anexo A 8.2 requiere que las organizaciones mantengan registros detallados de acceso privilegiado para fines de auditoría.
5. El Anexo A 8.2 requiere que las organizaciones limiten los derechos de acceso privilegiado a las tareas administrativas.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Controlar.

Cómo ayuda ISMS.online

Con la ayuda de nuestra plataforma y herramientas basadas en la nube, las organizaciones pueden configurar una sistema de gestión de la seguridad de la información (SGSI) de acuerdo con la norma ISO 27001:2022.

Entre estas herramientas se encuentran:

1. Plantillas para documentos corporativos comunes.
2. Políticas y procedimientos que están predefinidos.
3. Apoyar las auditorías internas con una herramienta de auditoría.
4. Un flujo de trabajo de aprobación para todos los cambios realizados en políticas y procedimientos.
5. Lista de verificación para garantizar que su políticas de seguridad de la información y los procesos siguen estándares internacionales.

Infórmese sobre la gama completa de funciones de nuestro conjunto de herramientas visitando reservar una demostración.