ISO 27001:2022 Anexo A 8.26 – Requisitos de seguridad de las aplicaciones

• See Norma ISO 27002:2022 8.26 para obtener más información.
• See ISO 27001:2013 Anexo A 14.1.2 para obtener más información.
• See ISO 27001:2013 Anexo A 14.1.3 para obtener más información.

Comprensión de la norma ISO 27001:2022 Anexo A 8.26: Fundamentos de seguridad de aplicaciones

El software de aplicaciones, como aplicaciones web, programas de gráficos, bases de datos y procesamiento de pagos, son esenciales para muchas operaciones comerciales.

Las aplicaciones suelen ser vulnerables a problemas de seguridad que pueden provocar la exposición de datos confidenciales.

Por ejemplo, la agencia de crédito Equifax, con sede en EE. UU., se olvidó de aplicar un parche de seguridad al marco de la aplicación web que empleaban para gestionar las quejas de los clientes. Esta negligencia permitió a los ciberatacantes explotar las debilidades de seguridad de la aplicación web, infiltrarse en las redes corporativas de Equifax y robar información confidencial de alrededor de 145 millones de personas.

ISO 27001:2022 Anexo A 8.26 describe cómo las organizaciones pueden implementar e implementar seguridad de la información requisitos para las aplicaciones durante su desarrollo, uso y adquisición. Garantiza que las medidas de seguridad estén integradas en el ciclo de vida de las aplicaciones.

Propósito de ISO 27001:2022 Anexo A 8.26

ISO 27001:2022 El Anexo A 8.26 permite a las organizaciones defender sus activos de datos almacenados o procesados ​​por aplicaciones mediante el reconocimiento y la aplicación de especificaciones de seguridad de la información apropiadas.

Propiedad del Anexo A 8.26

Los Director de Información de Seguridad, respaldado por expertos en seguridad de la información, debe emprender la identificación, aprobación e implementación de las demandas de información relacionadas con la adquisición, utilización y desarrollo de aplicaciones.

Orientación general sobre el cumplimiento de ISO 27001:2022 Anexo A 8.26

Las organizaciones deben realizar una evaluación de riesgos para establecer los requisitos de seguridad de la información necesarios para una aplicación en particular.

El contenido y los tipos de requisitos de seguridad de la información pueden diferir según la aplicación, pero estos deben cubrir:

• Basado en ISO 27001:2022 Anexo A 5.17, 8.2 y 8.5, el nivel de confianza asignado a la identidad de una entidad específica.
• Se debe identificar la clasificación de los activos de información que el software guardará o manejará.
• ¿Es necesario separar el acceso a las funciones y los datos almacenados en la aplicación?
• Evalúe si la aplicación es robusta contra intrusiones cibernéticas como inyecciones SQL o intercepciones no deseadas como desbordamiento de búfer.
• Se deben cumplir requisitos y estándares legales, reglamentarios y estatutarios al tratar con transacciones procesadas, generadas, guardadas o finalizadas por la aplicación.
• La privacidad es de suma importancia para todos los involucrados.
• Garantizar la protección de los datos confidenciales es esencial.
• Garantizar la seguridad de la información cuando se emplea, transfiere o almacena es primordial.
• Es esencial que todas las partes relevantes tengan cifrado seguro de sus comunicaciones si necesario.
• La implementación de controles de entrada, como validar la entrada y realizar comprobaciones de integridad, garantiza la precisión.
• Realización de controles automatizados.
• Garantizar que los derechos de acceso, así como quién puede ver los resultados, se tengan en cuenta para el control de los mismos.
• Es esencial imponer límites a lo que se puede incluir en los campos de “texto libre” para protegerse contra la distribución involuntaria de información confidencial.
• Requisitos reglamentarios, como los que rigen el registro de transacciones y el no repudio.
• Otros controles de seguridad pueden requerir el cumplimiento de requisitos específicos; por ejemplo, sistemas de detección de fugas de datos.
• Cómo maneja su organización los mensajes de error.

Orientación sobre servicios transaccionales

ISO 27001:2022 Anexo A 8.26 requiere que las organizaciones consideren las siguientes siete recomendaciones al proporcionar servicios transaccionales entre ellas y un socio:

• El grado de fe que cada parte debe tener en la identidad de la otra es esencial en cualquier transacción.
• Se debe garantizar la confiabilidad de los datos enviados o procesados ​​y se debe identificar un sistema adecuado para reconocer cualquier déficit de integridad, incluidos el hash y las firmas digitales.
• La empresa debe establecer un sistema para determinar quién está autorizado para aprobar, firmar y aprobar documentos transaccionales críticos.
• Velar por el secreto y exactitud de los documentos esenciales, y verificar la transmisión y recepción de dichos documentos.
• Preservando la confidencialidad y exactitud de las transacciones, ya sean pedidos y facturas.
• Requisitos sobre cómo las transacciones deben permanecer confidenciales durante un período de tiempo específico.
• Deben cumplirse las obligaciones contractuales y los requisitos de seguro.

Orientación sobre solicitudes de pedidos y pagos electrónicos

Las organizaciones deben considerar lo siguiente al incorporar capacidades de pago y pedidos electrónicos en las aplicaciones:

• Garantizar la confidencialidad y la integridad de la información del pedido es esencial.
• Establecer un nivel apropiado de confirmación para afirmar la información de pago proporcionada por un cliente.
• Evitar la extravío o replicación de datos de transacciones.
• Asegúrese de que la información relativa a la información se mantenga alejada de un área disponible públicamente, por ejemplo, un medio de almacenamiento ubicado dentro de la intranet de la organización.
• Siempre que una organización depende de una autoridad externa para emitir firmas digitales, debe garantizar que la seguridad esté integrada durante todo el proceso.

Orientación sobre redes

Cuando se accede a las aplicaciones a través de redes, podrían quedar expuestas a desacuerdos contractuales, comportamientos fraudulentos, desvíos, alteraciones no aprobadas del contenido de la comunicación o se podría violar la confidencialidad de datos sensibles.

ISO 27001:2022 Anexo A 8.26 aconseja a las organizaciones que realicen evaluaciones de riesgos exhaustivas para identificar controles adecuados, como la criptografía, para proteger la seguridad de las transferencias de información.

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 8.26 reemplaza ISO 27001:2013 Anexo A 14.1.2 y 14.1.3 en la norma revisada de 2022.

Hay tres distinciones principales entre las dos versiones.

Todas las aplicaciones versus aplicaciones que pasan a través de redes públicas

ISO 27001:2013 describe una lista de requisitos de seguridad de la información que se deben tener en cuenta para las aplicaciones que se transmitirán a través de redes públicas.

ISO 27001:2022 Anexo A 8.26, por el contrario, proporciona una lista de requisitos de seguridad de la información que se aplican a todas las aplicaciones.

Orientación adicional sobre solicitudes de pedidos y pagos electrónicos

ISO 27001:2022 Anexo A 8.26 proporciona orientación específica sobre aplicaciones de pedidos y pagos electrónicos, algo que no se abordó en la versión 2013.

Requisito sobre servicios transaccionales

Mientras que la edición de 2022 y la edición de 2013 son casi iguales en cuanto a los requisitos previos para los servicios transaccionales, la edición de 2022 introduce una demanda adicional no considerada en la edición de 2013:

• Las organizaciones deben tener en cuenta las obligaciones contractuales y las estipulaciones de seguros.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control:

Cómo ayuda ISMS.online

ISMS.online es un sistema basado en la nube que ayuda a las organizaciones a demostrar la alineación con ISO 27001:2022. Este sistema se puede utilizar para supervisar los requisitos de ISO 27001, garantizando que su organización siga cumpliendo con el estándar.

Nuestra la plataforma es fácil de usar y accesible a todos. No requiere conocimientos técnicos complejos; cualquier persona en su negocio puede hacer uso de él.

Contáctenos ahora para programar una demostración.