ISO 27001:2022 Anexo A 8.22 – Segregación de redes

• See Norma ISO 27002:2022 8.22 para obtener más información.
• See ISO 27001:2013 Anexo A 13.1.3 para obtener más información.

ISO 27001 Anexo A 8.22: Fortalecimiento de la seguridad mediante la segregación de la red

Cuando los ciberdelincuentes se infiltran en sistemas, servicios o dispositivos informáticos, no se limitan únicamente a esos activos.

Utilizan la primera infiltración para penetrar en toda la red de una empresa, obtener acceso a datos confidenciales o realizar ataques de ransomware.

Los ciberdelincuentes podrían robar los datos de inicio de sesión del personal de recursos humanos de un hospital después de un ataque de phishing exitoso, permitiéndoles acceder a los sistemas de recursos humanos.

Utilizando su punto de acceso, los atacantes pueden atravesar la red y descubrir redes que contienen datos confidenciales de pacientes. Esta intrusión podría provocar la pérdida de datos, interrumpir las operaciones o incluso abrir la puerta a un ataque de ransomware.

El hospital podría evitar el acceso no autorizado a datos confidenciales y reducir las consecuencias de una infracción mediante el uso de técnicas de segmentación de red como firewalls, redes virtuales o aislamiento de servidores.

El Anexo A 27001 de ISO 2022:8.22 describe cómo las empresas pueden aplicar y preservar métodos adecuados de segregación de red para evitar riesgos para la disponibilidad, integridad y confidencialidad de los activos de información.

Propósito de ISO 27001:2022 Anexo A 8.22

ISO 27001:2022 Anexo A 8.22 permite a las organizaciones dividir sus redes de TI en subredes dependiendo del grado de sensibilidad e importancia, y limitar la transmisión de información entre esas diferentes subredes.

Las organizaciones pueden utilizar esto para evitar que el malware y los virus viajen desde las redes infectadas a aquellas que contienen datos confidenciales.

Esto garantiza que organizaciones seguras la confidencialidad, integridad y accesibilidad de los activos de datos almacenados en subredes esenciales.

Propiedad del Anexo A 8.22

Los Oficial de seguridad de la información debe ser responsable de adherirse al Anexo A 27001 de la norma ISO 2022:8.22, que requiere la segmentación de redes, dispositivos y sistemas según los riesgos y la aplicación de técnicas y procedimientos de segregación de redes.

Orientación general sobre el cumplimiento de ISO 27001:2022 Anexo A 8.22

Las organizaciones deben esforzarse por lograr el equilibrio entre las necesidades operativas y las preocupaciones de seguridad al instituir regulaciones de segregación de redes.

ISO 27001:2022 anexo A Control 8.22 proporciona tres recomendaciones a tener en cuenta al configurar la segregación de la red.

Cómo separar la red en subredes más pequeñas

Al dividir la red en subdominios más pequeños, las organizaciones deben considerar la sensibilidad y la importancia de cada dominio de la red. Dependiendo de esta evaluación, los subdominios de la red pueden etiquetarse como "dominios públicos", "dominios de escritorio", "dominios de servidor" o "sistemas de alto riesgo".

Las organizaciones deben tener en cuenta departamentos comerciales como recursos humanos, marketing y finanzas en el proceso de segmentación de su red.

Las organizaciones también pueden combinar estos dos criterios, asignando subdominios de red en categorías como "dominio de servidor vinculado al departamento de ventas".

Perímetros de Seguridad y Control de Acceso

Las organizaciones deben delinear explícitamente los límites de cada subdominio de la red. Si va a haber acceso entre dos dominios de red diferentes, esta conexión debe limitarse a nivel perimétrico mediante el uso de puertas de enlace como firewalls o enrutadores de filtrado.

Las organizaciones deben evaluar las necesidades de seguridad de cada dominio al establecer la separación de la red y al otorgar acceso a través de puertas de enlace.

Esta evaluación debe realizarse de acuerdo con la política de control de acceso exigida por la norma ISO 27001:2022 Anexo A 5.15, teniendo en cuenta lo siguiente:

• La clasificación asignada a los activos de información es en qué nivel.
• La importancia de la información es primordial.
• El costo y la practicidad son factores importantes a la hora de decidir qué tecnología de puerta de enlace utilizar.

Conexiones inalámbricas

ISO 27001:2022 El Anexo A 8.22 recomienda que las organizaciones observen las siguientes prácticas al crear parámetros de seguridad de red para redes inalámbricas:

• Evaluar el uso de métodos de ajuste de cobertura de radio para dividir redes inalámbricas.
• Para redes delicadas, las organizaciones pueden considerar todos los intentos de acceso inalámbrico como conexiones externas y prohibir el acceso a las redes internas hasta que el control de la puerta de enlace dé su aprobación.
• El personal sólo debe utilizar sus propios dispositivos de acuerdo con la política de la organización; el acceso a la red proporcionado al personal y a los invitados debe mantenerse separado.
• Los visitantes deben estar sujetos a las mismas normas relativas al uso de Wi-Fi que los miembros del equipo.

Orientación complementaria sobre ISO 27001:2022 Anexo A 8.22

Las organizaciones deben garantizar que todas las asociaciones comerciales estén sujetas a medidas de seguridad adecuadas. El Anexo A 8.22 aconseja a las organizaciones implementar medidas para proteger su red, dispositivos de TI y otras instalaciones de información cuando interactúan con socios comerciales.

Las redes que son sensibles pueden estar expuestas a un mayor riesgo de acceso no autorizado. Para protegerse contra esto, las organizaciones deben tomar las medidas adecuadas.

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 8.22 reemplaza a ISO 27001:2013 Anexo A 13.1.3 de la última revisión ISO.

En comparación con ISO 27001:2013, la revisión ISO 27001:2022 requiere lo siguiente para las redes inalámbricas:

• Si el personal cumple con la política de la organización y solo usa sus propios dispositivos, entonces el acceso a la red inalámbrica proporcionado para el personal y los visitantes debe mantenerse separado.
• Los huéspedes deben estar sujetos a las mismas restricciones y controles en materia de Wi-Fi que el personal.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada control individual del Anexo A de ISO 27001:2022.

Cómo ayuda ISMS.online

ISMS.Online le facilita:

• Documente los procesos fácilmente con esta interfaz fácil de usar. No se requiere instalación de software en su computadora o red.
• Agilice su procedimiento de evaluación de riesgos automatizándolo.
• Logre el cumplimiento con facilidad mediante el uso de informes y listas de verificación en línea.
• Mantenga un registro de su progresión mientras trabaja para obtener la certificación.

ISMS.online proporciona un conjunto completo de funcionalidades para ayudar a las organizaciones y empresas a satisfacer la industria. ISO 27002 y/o estándar SGSI ISO 27001:2022.

Ponte en contacto con nosotros para organizar una manifestación.