ISO 27001:2022 Anexo A Control 8.26

Orientación general sobre el cumplimiento de ISO 27001:2022 Anexo A 8.26

Las organizaciones deben realizar una evaluación de riesgos para establecer los requisitos de seguridad de la información necesarios para una aplicación en particular.

El contenido y los tipos de requisitos de seguridad de la información pueden diferir según la aplicación, pero estos deben cubrir:

• Basado en ISO 27001:2022 Anexo A 5.17, 8.2 y 8.5, el nivel de confianza asignado a la identidad de una entidad específica.
• Se debe identificar la clasificación de los activos de información que el software guardará o manejará.
• ¿Es necesario separar el acceso a las funciones y los datos almacenados en la aplicación?
• Evalúe si la aplicación es robusta contra intrusiones cibernéticas como inyecciones SQL o intercepciones no deseadas como desbordamiento de búfer.
• Se deben cumplir requisitos y estándares legales, reglamentarios y estatutarios al tratar con transacciones procesadas, generadas, guardadas o finalizadas por la aplicación.
• La privacidad es de suma importancia para todos los involucrados.
• Garantizar la protección de los datos confidenciales es esencial.
• Garantizar la seguridad de la información cuando se emplea, transfiere o almacena es primordial.
• Es esencial que todas las partes relevantes tengan cifrado seguro de sus comunicaciones si necesario.
• La implementación de controles de entrada, como validar la entrada y realizar comprobaciones de integridad, garantiza la precisión.
• Realización de controles automatizados.
• Garantizar que los derechos de acceso, así como quién puede ver los resultados, se tengan en cuenta para el control de los mismos.
• Es esencial imponer límites a lo que se puede incluir en los campos de “texto libre” para protegerse contra la distribución involuntaria de información confidencial.
• Requisitos reglamentarios, como los que rigen el registro de transacciones y el no repudio.
• Otros controles de seguridad pueden requerir el cumplimiento de requisitos específicos; por ejemplo, sistemas de detección de fugas de datos.
• Cómo maneja su organización los mensajes de error.

Orientación sobre servicios transaccionales

ISO 27001:2022 Anexo A 8.26 requiere que las organizaciones consideren las siguientes siete recomendaciones al proporcionar servicios transaccionales entre ellas y un socio:

• El grado de fe que cada parte debe tener en la identidad de la otra es esencial en cualquier transacción.
• Se debe garantizar la confiabilidad de los datos enviados o procesados ​​y se debe identificar un sistema adecuado para reconocer cualquier déficit de integridad, incluidos el hash y las firmas digitales.
• La empresa debe establecer un sistema para determinar quién está autorizado para aprobar, firmar y aprobar documentos transaccionales críticos.
• Velar por el secreto y exactitud de los documentos esenciales, y verificar la transmisión y recepción de dichos documentos.
• Preservando la confidencialidad y exactitud de las transacciones, ya sean pedidos y facturas.
• Requisitos sobre cómo las transacciones deben permanecer confidenciales durante un período de tiempo específico.
• Deben cumplirse las obligaciones contractuales y los requisitos de seguro.

Orientación sobre solicitudes de pedidos y pagos electrónicos

Las organizaciones deben considerar lo siguiente al incorporar capacidades de pago y pedidos electrónicos en las aplicaciones:

• Garantizar la confidencialidad y la integridad de la información del pedido es esencial.
• Establecer un nivel apropiado de confirmación para afirmar la información de pago proporcionada por un cliente.
• Evitar la extravío o replicación de datos de transacciones.
• Asegúrese de que la información relativa a la información se mantenga alejada de un área disponible públicamente, por ejemplo, un medio de almacenamiento ubicado dentro de la intranet de la organización.
• Siempre que una organización depende de una autoridad externa para emitir firmas digitales, debe garantizar que la seguridad esté integrada durante todo el proceso.

Orientación sobre redes

Cuando se accede a las aplicaciones a través de redes, podrían quedar expuestas a desacuerdos contractuales, comportamientos fraudulentos, desvíos, alteraciones no aprobadas del contenido de la comunicación o se podría violar la confidencialidad de datos sensibles.

ISO 27001:2022 Anexo A 8.26 aconseja a las organizaciones que realicen evaluaciones de riesgos exhaustivas para identificar controles adecuados, como la criptografía, para proteger la seguridad de las transferencias de información.

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 8.26 reemplaza ISO 27001:2013 Anexo A 14.1.2 y 14.1.3 en la norma revisada de 2022.

Hay tres distinciones principales entre las dos versiones.

Todas las aplicaciones versus aplicaciones que pasan a través de redes públicas

ISO 27001:2013 describe una lista de requisitos de seguridad de la información que se deben tener en cuenta para las aplicaciones que se transmitirán a través de redes públicas.

ISO 27001:2022 Anexo A 8.26, por el contrario, proporciona una lista de requisitos de seguridad de la información que se aplican a todas las aplicaciones.

Orientación adicional sobre solicitudes de pedidos y pagos electrónicos

ISO 27001:2022 Anexo A 8.26 proporciona orientación específica sobre aplicaciones de pedidos y pagos electrónicos, algo que no se abordó en la versión 2013.

Requisito sobre servicios transaccionales

Mientras que la edición de 2022 y la edición de 2013 son casi iguales en cuanto a los requisitos previos para los servicios transaccionales, la edición de 2022 introduce una demanda adicional no considerada en la edición de 2013:

• Las organizaciones deben tener en cuenta las obligaciones contractuales y las estipulaciones de seguros.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Controlar.

Cómo ayuda ISMS.online

ISMS.online es un sistema basado en la nube que ayuda a las organizaciones a demostrar la alineación con ISO 27001:2022. Este sistema se puede utilizar para supervisar los requisitos de ISO 27001, garantizando que su organización siga cumpliendo con el estándar.

Nuestro la plataforma es fácil de usar y accesible a todos. No requiere conocimientos técnicos complejos; cualquier persona en su negocio puede hacer uso de él.

Contáctenos ahora para programar una demostración.