ISO 27001:2022 Anexo A 8.7 – Protección contra malware

• See Norma ISO 27002:2022 8.7 para obtener más información.
• See ISO 27001:2013 Anexo A 12.2.1 para obtener más información.

Propósito de ISO 27001:2022 Anexo A 8.7

El malware es una de las mayores amenazas para la continuidad del negocio y la seguridad de los datos en la era digital.

El mundo empresarial global enfrenta innumerables peligros diarios provenientes de una amplia gama de vectores de ataque destinados a obtener acceso a sistemas y datos confidenciales sin permiso, extraer datos y dinero, engañar al personal desprevenido y utilizar datos rescatados para exigir grandes rescates.

La protección segura contra malware debe ser una prioridad al crear una política de seguridad de la información. Es esencial que las organizaciones tomen medidas para protegerse contra el software malicioso.

ISO 27001:2022 El Anexo A 8.7 describe una variedad de medidas para educar al personal sobre los riesgos del software malicioso e implementar medidas preventivas efectivas para proteger contra amenazas internas y externas, evitando así interrupciones y pérdida de datos.

Propiedad del Anexo A 8.7

La protección contra malware es un tema amplio que abarca múltiples funciones comerciales con distintos grados de riesgo y numerosos controles ISO. Como tal, la responsabilidad del Anexo A 27001 de ISO 2022:8.7 debe recaer en el Director de Información de Seguridad, o equivalente. El personal de administración de TIC y los usuarios estándar deben tomar medidas prácticas para protegerse contra el malware.

Orientación sobre ISO 27001:2022 Anexo A 8.7 Cumplimiento

El Anexo A 8.7 exige que las empresas ejecuten una defensa contra malware que abarca cuatro aspectos principales:

1. Sistemas controlados y acceso a cuentas.
2. Gestión del cambio.
3. Software antimalware.
4. Organizacionales: seguridad de la información Sensibilización (formación de usuarios).

ISO advierte contra la creencia de que el software antimalware es suficiente para proporcionar un entorno seguro. El Anexo A 27001 de ISO 2022:8.7 exige que las organizaciones adopten una estrategia de extremo a extremo contra el malware, una que comience con educar a los usuarios y culmine en una red segura que minimice la posibilidad de intrusión de una multitud de fuentes de ataque.

Las organizaciones deben tomar medidas para lograr su objetivo, incluyendo:

• Desalentar el empleo de software no aprobado (consulte el Anexo A 8.19 y el Anexo A 8.32).
• Detenga el acceso a sitios maliciosos o inadecuados.
• Reducir el número de susceptibilidades existentes en su red que podrían ser aprovechadas por malware o personas con malas intenciones (observar el Anexo A 8.8 y el Anexo A 8.19).
• Realizar evaluaciones frecuentes de software para detectar software no autorizado, modificaciones del sistema y/o datos en la red.
• Proteja datos y aplicaciones con un riesgo mínimo, mediante adquisición interna o externa.
• Las organizaciones deben implementar una política de detección de malware que implique análisis regulares y completos de todos los sistemas y archivos pertinentes, adaptados a los distintos riesgos de cada área. Se debe adoptar un enfoque de "defensa en profundidad" que incluya dispositivos terminales y controles de puerta de enlace, teniendo en cuenta numerosos vectores de ataque (por ejemplo, ransomware).
• Evite las intrusiones provenientes de protocolos y procedimientos de emergencia, particularmente cuando hay un incidente o actividades de mantenimiento de alto riesgo.
• Redactar un proceso que permita al personal técnico desactivar algunos o todos los esfuerzos antimalware cuando impidan las operaciones de la organización.
• Implementar un sólido plan de respaldo y recuperación ante desastres (BUDR) que facilite la reanudación de las operaciones de la organización lo antes posible, después de la interrupción (consulte el Anexo A 8.13). Esto debería incluir procedimientos para el software que no puede protegerse con software antimalware (por ejemplo, software de maquinaria).
• Divida la red y/o los espacios de trabajo digitales y virtuales en secciones para evitar daños catastróficos en caso de que se produzca un ataque.
• Proporcionar a todo el personal capacitación antimalware para mejorar su comprensión de una gran variedad de temas, que incluyen (pero no se limitan a):
• Seguridad del correo
• Instalación de software malicioso
• Ingeniería social
• Recopile información sobre los avances más recientes en seguridad contra malware pertenecientes a la industria.
• Asegúrese de que todas las notificaciones sobre posibles ataques de malware (especialmente de proveedores de software y hardware) provengan de una fuente confiable y sean precisas.

Controles adjuntos al Anexo A

• ISO 27001:2022 Anexo A 8.13
• ISO 27001:2022 Anexo A 8.19
• ISO 27001:2022 Anexo A 8.32
• ISO 27001:2022 Anexo A 8.8

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 8.7 reemplaza a ISO 27001:2013 Anexo A 12.2.1 (que abordaba los controles contra el malware).

ISO 27001:2022 Anexo A 8.7 es similar a ISO 27001:2013 Anexo A 12.2.1, pero a algunos de los consejos adicionales se les ha dado mayor prioridad, considerando su importancia para los programas antimalware de las empresas. En concreto, incluye:

• Garantizar la seguridad contra el malware durante los períodos de mantenimiento es fundamental.

ISO 27001:2013 Anexo A 12.2.1 solicita a las organizaciones que piensen en utilizar dos plataformas antimalware diferentes, mientras que ISO 27001:2022 Anexo A 8.7 se contenta con una única solución integrada.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control:

Cómo ayuda ISMS.online

Nuestra plataforma le brinda paneles personalizables que le permiten comprender en tiempo real su situación de cumplimiento.

Puede supervisar y controlar la totalidad de su conformidad con ISO 27001:2022 desde una ubicación, incluido gestión de auditoría, análisis de brechas, gestión de capacitación, evaluación de riesgos y más.

Esta plataforma integral ofrece una solución simple e integrada que se puede utilizar las 27001 horas del día desde cualquier dispositivo conectado a Internet. Facilita una colaboración fluida y segura entre los empleados para monitorear los riesgos de seguridad y realizar un seguimiento del progreso de la organización para lograr la certificación ISO 2022:XNUMX.

Contáctenos ahora para organizar una demostración.