ISO 27001:2022 Anexo A 8.6 – Gestión de la capacidad

• See Norma ISO 27002:2022 8.6 para obtener más información.
• See ISO 27001:2013 Anexo A 12.1.3 para obtener más información.

Propósito de ISO 27001:2022 Anexo A 8.6

La gestión de la capacidad en TIC es más que simplemente asegurarse de que las organizaciones tengan suficiente espacio para el acceso a los datos y la copia de seguridad y recuperación ante desastres (BUDR). Requiere garantizar que haya potencia informática y recursos adecuados para satisfacer las demandas de los usuarios. También implica diseñar y gestionar redes, centros de datos y otras infraestructuras de TIC para satisfacer las necesidades de la organización.

Las organizaciones deben garantizar que pueden operar de manera efectiva con un conjunto de recursos que aborden una variedad de necesidades comerciales, incluidas Recursos Humanos, manejo de datos, administración de oficinas físicas y amenidades relacionadas.

Estas funciones pueden dañar el control de una organización sobre su información.

ISO 27001:2022 Anexo A 8.6 es una combinación de preventivo y controles de detección a mantener el riesgo niveles. Este control garantiza que la organización tenga capacidad suficiente para procesar la información.

Propiedad del Anexo A 8.6

El Anexo A 27001 de ISO 2022:8.6 aborda la capacidad de una organización para seguir siendo un negocio viable a largo plazo.

La propiedad debe recaer en el Chief Operating Officer o equivalente, asumiendo la responsabilidad de mantener la integridad y eficacia de las operaciones comerciales diariamente.

Orientación general sobre ISO 27001:2022 Anexo A 8.6

ISO 27001:2022 Anexo A Control 8.6 proporciona 7 consejos generales:

1. Las organizaciones deben considerar la continuidad del negocio como una preocupación principal al implementar controles de gestión de capacidad, como la implementación completa de controles de detección que identifiquen posibles problemas antes de que surjan.
2. La gestión de la capacidad debe basarse en funciones proactivas de ajuste y monitoreo, trabajando juntas para garantizar que los sistemas y las operaciones comerciales no se vean afectados.
3. Las organizaciones deben ejecutar regularmente pruebas de estrés para determinar su capacidad para satisfacer sus necesidades comerciales generales. Estas pruebas deben realizarse a medida para cada caso y guardar relación con el área de operación a la que están destinadas.
4. La gestión de la capacidad no debería simplemente considerar los datos existentes y las necesidades operativas de una organización; también deben planificar el crecimiento comercial y técnico potencial (tanto físico como digital) para que esté lo más preparado posible para el futuro.
5. Las organizaciones deben tener en cuenta los diferentes tiempos de entrega y costos al ampliar los recursos. Los recursos que son costosos y difíciles de aumentar deben someterse a una evaluación más exhaustiva para garantizar que las operaciones comerciales continúen.
6. La Alta Dirección debe ser consciente de cualquier riesgo de dependencia de personal clave o recursos individuales, ya que cualquier problema que surja de esto puede generar problemas complejos.
7. Construir una estrategia de planificación de capacidad que aborde específicamente los sistemas y procesos comerciales clave.

Orientación sobre la gestión de la demanda

El Anexo A 27001 de ISO 2022:8.6 fomenta una estrategia doble para la gestión de la capacidad: aumentar la capacidad o reducir la demanda de un conjunto determinado de recursos.

Al intentar aumentar la capacidad, las organizaciones deberían:

• Piense en contratar personal nuevo para realizar una tarea laboral.
• Obtener nuevas instalaciones o espacio de oficina mediante compra, arrendamiento o alquiler.
• Obtenga procesamiento, almacenamiento de datos y RAM adicionales (en el sitio o en la nube), ya sea mediante compra, arrendamiento o alquiler.
• Piense en utilizar recursos de la nube 'elásticos' y 'escalables' que se expandan de acuerdo con las necesidades computacionales de la organización, sin apenas participación.

Las organizaciones deben esforzarse por reducir la demanda mediante:

• Elimine información desactualizada para liberar capacidad de almacenamiento en servidores y medios asociados.
• Deseche de forma segura cualquier copia impresa de la información que la organización no necesite y que no esté obligada a conservar mediante legislación o regulación.
• Retire todos los recursos, aplicaciones o configuraciones virtuales de TIC que ya no sean necesarios.
• Examine las actividades de TIC planificadas (incluidas cuentas, mantenimiento automático y actividades por lotes) para maximizar las capacidades de la memoria y disminuir el área ocupada por los datos creados.
• Maximice el código de la aplicación y las consultas a la base de datos que ocurren con suficiente frecuencia como para afectar la capacidad operativa de la empresa.
• Limitar la cantidad de ancho de banda asignado a actividades no esenciales en la red de la empresa. Esto puede incluir restringir el acceso a Internet y bloquear la transmisión de video/audio desde dispositivos de trabajo.

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 8.6 reemplaza a ISO 27001:2013 Anexo A 12.1.3 (Gestión de Capacidad).

ISO 27001:2022 Anexo A 8.6 proporciona un conjunto completo de instrucciones a las organizaciones sobre cómo pueden ampliar su capacidad o disminuir su demanda.

A diferencia del Anexo A 27001 de ISO 2013:12.1.3, no hay ninguna dirección particular sobre cómo aumentar la capacidad. Sin embargo, el Anexo A 27001 de la norma ISO 2022:8.6 proporciona pasos precisos para crear más margen operativo de maniobra.

ISO 27001:2013 Anexo A 12.1.3 no proporciona ninguna instrucción sobre cómo evaluar la capacidad operativa o auditar la capacidad de una organización para manejar la capacidad a largo plazo, aparte de recomendar tener un plan de gestión de la capacidad.

En línea con el espectacular aumento de la computación en la nube en los últimos diez años, el Anexo A 27001 de la norma ISO 2022:8.6 establece claramente que las organizaciones deben utilizar recursos basados ​​en la nube que se ajusten a sus necesidades comerciales.

ISO 27001:2013 Anexo A 12.1.3 no se refiere a instalaciones informáticas o de almacenamiento fuera del sitio.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control.

Cómo ayuda ISMS.online

Nuestra lista de verificación ayuda a simplificar la implementación de ISO 27001:2022, guiándole durante todo el proceso. Nuestro Solución integral garantiza su cumplimiento con ISO/IEC 27001:2022.

Una vez que inicies sesión, lograrás hasta un 81% de progreso.

Se proporciona una solución integral y sencilla para el cumplimiento total.

Contáctenos ahora para programar una demostración.