ISO 27001:2022 Anexo A 8.8 – Gestión de vulnerabilidades técnicas

• See Norma ISO 27002:2022 8.8 para obtener más información.
• See ISO 27001:2013 Anexo A 12.6.1 para obtener más información.
• See ISO 27001:2013 Anexo A 18.2.3 para obtener más información.

Propósito de ISO 27001:2022 Anexo A 8.8

Ninguna red informática, sistema, software o dispositivo es completamente seguro. Ejecutar una LAN o WAN moderna implica vulnerabilidades como parte del proceso, por lo que es esencial que las organizaciones acepten su presencia y se esfuercen por reducir los riesgos potenciales.

ISO 27001:2022 Anexo A 8.8 proporciona una gran cantidad de consejos para ayudar a las organizaciones a proteger sus redes contra la explotación interna y externa de vulnerabilidades. Hace uso de procedimientos y directrices de varios otros ISO 27001:2022 Anexo A Controles, particularmente aquellos para Gestión del cambio (ver Anexo A 8.32) y Control de Acceso .

Propiedad del Anexo A 8.8

ISO 27001:2022 Anexo A 8.8 aborda la gestión técnica y administrativa de software, sistemas y activos de TIC. Prescribe un enfoque integral para la gestión de software, gestión de activosy auditoría de seguridad de la red.

La persona que tiene la responsabilidad final del mantenimiento de la infraestructura de TIC de la organización, como el Jefe de TI o equivalente, debe ser el propietario del Anexo A 27001 de la norma ISO 2022:8.8.

Orientación para identificar vulnerabilidades

Antes de llevar a cabo controles de vulnerabilidad, es esencial adquirir una lista completa y actualizada de los activos físicos y digitales (consulte el Anexo A 5.9 y 5.14) que posee y opera la organización.

Los datos de los activos de software deben comprender:

• Números de versión actualmente en funcionamiento.
• Dónde se implementa el software en todo el patrimonio.
• Nombre del vendedor.
• Nombre de la aplicación.

Las organizaciones deben esforzarse por identificar vulnerabilidades técnicas mediante:

• Es esencial definir claramente quién en la organización es responsable de gestión de vulnerabilidades desde un punto de vista técnico punto de vista, cumpliendo sus diversas funciones, las cuales incluyen (pero no se limitan a):
• Seguimiento.
• Actualizando.
• Gestión de activos.
• Evaluación del riesgo.
• Dentro de la organización, quién es el responsable del software.
• Mantener un registro de aplicaciones y herramientas para identificar debilidades técnicas.
• Solicitar a los proveedores y vendedores que divulguen cualquier susceptibilidad con nuevos sistemas y hardware al proporcionarlos (según el Anexo A 5.20 de ISO 27001:2022), y especificarlo claramente en todos los contratos y acuerdos de servicio aplicables.
• Emplee herramientas de escaneo de vulnerabilidades e instalaciones de parcheo.
• Realice pruebas de penetración periódicas y documentadas, ya sea por personal interno o por un tercero autenticado.
• Tenga en cuenta la posibilidad de que se produzcan vulnerabilidades programáticas subyacentes al utilizar bibliotecas de código o código fuente de terceros (consulte ISO 27001:2022 Anexo A 8.28).

Orientación sobre actividades públicas

Las organizaciones deben crear políticas y procedimientos que detecten vulnerabilidades en todos sus productos y servicios y obtener evaluaciones de estas vulnerabilidades relacionadas con su suministro.

ISO aconseja a las organizaciones que tomen medidas para identificar cualquier vulnerabilidad y motivar a terceros a participar en actividades de gestión de vulnerabilidades ofreciendo programas de recompensas (donde se buscan posibles vulnerabilidades y se informan a la organización a cambio de una recompensa).

Las organizaciones deben hacerse accesibles al público a través de foros, direcciones de correo electrónico públicas e investigaciones para poder aprovechar el conocimiento colectivo del público para proteger sus productos y servicios.

Las organizaciones deben revisar cualquier medida correctiva adoptada y considerar divulgar información relevante a las personas u organizaciones afectadas. Además, deberían colaborar con organizaciones de seguridad especializadas para difundir el conocimiento sobre las vulnerabilidades y los vectores de ataque.

Las organizaciones deberían pensar en proporcionar un sistema de actualización automatizado opcional que los clientes puedan optar por utilizar o no, según sus requisitos comerciales.

Orientación sobre la evaluación de vulnerabilidades

La generación de informes precisos es esencial para garantizar acciones correctivas rápidas y efectivas cuando se detectan riesgos de seguridad.

Las organizaciones deben evaluar las vulnerabilidades mediante:

• Examine los informes minuciosamente y determine qué acción es necesaria, como cambiar, actualizar o eliminar los sistemas y/o equipos afectados.
• Alcanzar una resolución que tenga en cuenta otros controles ISO (especialmente los relacionados con ISO 27001:2022) y reconozca el nivel de riesgos.

Orientación para contrarrestar las vulnerabilidades del software

Las vulnerabilidades del software se pueden abordar eficazmente mediante un enfoque proactivo para las actualizaciones de software y la gestión de parches. Garantizar actualizaciones y parches periódicos puede ayudar a proteger su sistema de posibles amenazas.

Las organizaciones deben tener cuidado de conservar las versiones de software existentes antes de realizar modificaciones, realizar pruebas exhaustivas de todas las modificaciones y aplicarlas a una copia designada del software.

Una vez identificadas las vulnerabilidades, las organizaciones deben tomar medidas para abordarlas:

• Trate de solucionar rápida y eficazmente todas las debilidades de seguridad.
• Cuando sea posible, observar los protocolos organizacionales sobre Gestión de Cambios (ver ISO 27001:2022 Anexo A 8.32) y Manejo de Incidentes (ver ISO 27001:2022 Anexo A 5.26).
• Aplique únicamente parches y actualizaciones de fuentes confiables y certificadas, especialmente para software y equipos de proveedores externos:
• Las organizaciones deben evaluar los datos disponibles para decidir si es esencial aplicar actualizaciones automáticas (o componentes de ellas) al software y hardware adquiridos.
• Antes de instalar, pruebe las actualizaciones para evitar problemas imprevistos en un entorno real.
• Dar máxima prioridad a abordar los sistemas empresariales vitales y de alto riesgo.
• Asegúrese de que las acciones correctivas sean exitosas y genuinas.

En caso de que no haya ninguna actualización disponible o haya obstáculos para instalar una (por ejemplo, relacionados con el costo), las organizaciones deben contemplar otros métodos, como:

• Solicitar orientación al proveedor sobre una solución temporal mientras se intensifican los esfuerzos de reparación.
• Apague todos los servicios de red que se vean afectados por la vulnerabilidad.
• Implementar controles de seguridad en puertas de enlace clave, como regulaciones y filtros de tráfico, para proteger la red.
• Intensificar la vigilancia en proporción al riesgo asociado.
• Asegúrese de que todas las partes interesadas estén al tanto de la falla, incluidos proveedores y compradores.
• Retrasar la actualización y evaluar los riesgos, teniendo en cuenta especialmente los posibles costos operativos.

Controles adjuntos al Anexo A

• ISO 27001:2022 Anexo A 5.14
• ISO 27001:2022 Anexo A 5.20
• ISO 27001:2022 Anexo A 5.9
• ISO 27001:2022 Anexo A 8.20
• ISO 27001:2022 Anexo A 8.22
• ISO 27001:2022 Anexo A 8.28

Orientación complementaria sobre el Anexo A 8.8

Las organizaciones deben mantener un pista de auditoría de todas las actividades pertinentes de gestión de vulnerabilidades para ayudar con acciones correctivas y protocolos avanzados en caso de una violación de seguridad.

Evaluar y revisar periódicamente todo el proceso de gestión de vulnerabilidades es una excelente manera de mejorar el rendimiento e identificar de manera proactiva cualquier vulnerabilidad.

Si la organización emplea un proveedor de servicios en la nube, debe garantizar que el enfoque del proveedor para la gestión de vulnerabilidades sea compatible con el suyo y debe incluirse en el acuerdo de servicio vinculante entre ambas partes, incluido cualquier procedimiento de presentación de informes (consulte ISO 27001:2022 Anexo A 5.32). .

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 8.8 reemplaza dos controles del Anexo A de ISO 27001:2013, estos son:

• 12.6.1 – Gestión de vulnerabilidades técnicas
• 18.2.3 – Revisión de cumplimiento técnico

ISO 27001:2022 Anexo A 8.8 introduce un enfoque nuevo y distinto para la gestión de vulnerabilidades que el que se encuentra en ISO 27001:2013. Se trata de una divergencia notable con respecto a la norma anterior.

ISO 27001:2013 Anexo A 12.6.1 se centró principalmente en implementar medidas correctivas una vez que se detecta una vulnerabilidad, mientras que el Anexo A 18.2.3 solo se aplica a medios técnicos (en gran medida, pruebas de penetración).

ISO 27001:2022 Anexo A 8.8 introduce nuevas secciones que tratan sobre las responsabilidades públicas de una organización, los métodos para reconocer vulnerabilidades y el papel que desempeñan los proveedores de la nube para mantener las vulnerabilidades al mínimo.

ISO 27001:2022 pone un fuerte énfasis en el papel de la gestión de vulnerabilidades en otras áreas (como la gestión de cambios) y fomenta la adopción de un enfoque holístico, incorporando varios otros controles y procesos de seguridad de la información.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada individuo. ISO 27001:2022 Anexo A Control:

Cómo ayuda ISMS.online

Nuestra la plataforma es fácil de usar y sencillo. Está destinado a todos los miembros de la organización, no sólo a los expertos en tecnología. Recomendamos involucrar al personal de todos los niveles del negocio en construyendo su SGSI ya que esto ayuda a crear un sistema que durará.

Ponte en contacto ahora para organizar una demostración.