ISO 27001:2022 Anexo A Control 8.5

Orientación general sobre ISO 27001:2022 Anexo A 8.5

Las organizaciones deben tener en cuenta el tipo y la sensibilidad de los datos y la red a los que se accede al considerar los controles de autenticación. Ejemplos de tales controles incluyen:

• Controles de acceso inteligentes (tarjetas inteligentes).
• Inicios de sesión biométricos.
• Fichas seguras.
• Autenticación multifactor (MFA).
• Certificados digitales.

El objetivo principal de las medidas de autenticación segura de una empresa debe ser disuadir y reducir la posibilidad de acceso no autorizado a sus sistemas protegidos.

Para lograr esto, el Anexo A 27001 de la norma ISO 2022:8.5 establece doce pautas principales. Las empresas deberían:

1. Asegúrese de que la información solo se muestre después de un proceso de autenticación exitoso.
2. Mostrar un mensaje de advertencia antes de iniciar sesión que indique claramente que solo los usuarios autorizados pueden acceder a los datos.
3. Reducir la ayuda brindada a personas no autorizadas que intentan ingresar al sistema. Por ejemplo, las empresas no deben revelar qué parte del inicio de sesión ha sido incorrecta, como un factor biométrico de un inicio de sesión de autenticación multifactor; en cambio, solo deben indicar que el inicio de sesión no ha funcionado.
4. Verifique el intento de inicio de sesión solo cuando se haya proporcionado toda la información necesaria al servicio de inicio de sesión, para mantener la seguridad.
5. Implemente medidas de seguridad estándar de la industria para protegerse contra el acceso general y los ataques de fuerza bruta en los portales de inicio de sesión. Estos pueden incluir:
• CAPTCHA es una característica de seguridad que requiere que ingrese una cadena de caracteres para verificar que es un usuario humano.
• Aplicar el restablecimiento de una contraseña después de un número definido de intentos fallidos de inicio de sesión.
• Después de un cierto número de intentos fallidos, se frustran nuevos inicios de sesión. Para evitarlo, establezca un límite.
6. Para auditoría y seguridad, se anotará cada intento fallido de inicio de sesión, incluso en procedimientos penales y/o regulatorios.
7. En caso de discrepancias importantes en el inicio de sesión, como una sospecha de intrusión, se debe iniciar inmediatamente un incidente de seguridad. Se debe notificar de inmediato al personal interno, en particular a aquellos con acceso de administrador de sistemas o con la capacidad de frustrar intentos de inicio de sesión maliciosos.
8. Una vez que se haya confirmado un inicio de sesión exitoso, ciertos datos deben transmitirse a otro repositorio que detalla:
• El último inicio de sesión exitoso se produjo el [fecha] a las [hora].
• Registro de todos los intentos de inicio de sesión desde el último inicio de sesión autenticado.
9. Mostrar contraseñas como asteriscos u otros símbolos abstractos similares, a menos que exista un motivo para no hacerlo (por ejemplo, accesibilidad del usuario).
10. No se tolera que las contraseñas se compartan o se muestren en texto plano y legible.
11. Asegúrese de que las sesiones de inicio de sesión inactivas finalicen después de un período de tiempo establecido. Esto es especialmente pertinente para sesiones en lugares de alto riesgo (remote work situaciones) o en dispositivos propiedad del usuario, como computadoras portátiles personales o teléfonos móviles.
12. Restrinja la duración durante la cual una sesión autenticada puede permanecer abierta, incluso cuando esté activa, dependiendo de los datos a los que se accede (por ejemplo, información comercial vital o programas relacionados con el dinero).

Orientación sobre inicios de sesión biométricos

La Organización Internacional de Normalización insta a que los procesos de inicio de sesión biométricos se combinen con al menos otra técnica de inicio de sesión, debido a su efectividad e integridad comparativas en comparación con los métodos tradicionales como contraseñas, MFA y tokens.

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 8.5 reemplaza a ISO 27001:2013 Anexo A 9.4.2 (Protocolos de inicio de sesión seguros).

ISO 27001:2022 Anexo A 8.5 es una revisión de la versión 2013, con ligeras modificaciones en el lenguaje y los mismos principios de seguridad subyacentes. El documento todavía contiene los 12 puntos de orientación familiares.

En línea con el mayor uso de tecnologías de autenticación multifactor y de inicio de sesión biométrico en los últimos diez años, el Anexo A 27001 de la norma ISO 2022:8.5 proporciona instrucciones explícitas sobre cómo las organizaciones deben incorporar estas técnicas al formular sus propios controles de inicio de sesión.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Controlar.

Cómo ayuda ISMS.online

Nuestra plataforma basada en la nube le proporciona un sólido marco de seguridad de la información controles para ayudar al proceso SGSI y garantizar que cumpla con los criterios ISO 27001:2022. Utilizado correctamente, ISMS.online puede ayudarle a obtener la certificación con un mínimo de tiempo y recursos.

Contáctenos hoy para organizar una demostración.