ISO 27001:2022 Anexo A 8.9 – Gestión de la configuración

• See Norma ISO 27002:2022 8.9 para obtener más información.

Propósito de ISO 27001:2022 Anexo A 8.9

Las configuraciones, ya sea como un archivo de configuración individual o como una colección de configuraciones vinculadas entre sí, determinan cómo se administran el hardware, el software y las redes.

Por ejemplo, el archivo de configuración de un firewall contendrá los atributos básicos que utiliza el dispositivo para administrar el tráfico que ingresa y sale de la red de una organización, como listas de bloqueo, reenvío de puertos, LAN virtuales e información de VPN.

La gestión de la configuración forma una parte esencial del sistema de cualquier organización. gestión de activos estrategia. Las configuraciones son cruciales para garantizar que una red funcione como debería y para proteger los dispositivos de cambios no aprobados o alteraciones inapropiadas por parte del personal de mantenimiento y/o proveedores.

Propiedad del Anexo A 8.9

La gestión de la configuración es una tarea administrativa dedicada a mantener y observar datos e información relacionados con los activos presentes en diversos dispositivos y aplicaciones. Por lo tanto, la propiedad debe estar en manos del Jefe de informática o el equivalente

Orientación sobre ISO 27001:2022 Anexo A 8.9 Cumplimiento

Las organizaciones necesitan diseñar y promulgar políticas de gestión de configuración para sistemas y hardware nuevos y existentes. Los controles internos deben abarcar elementos clave como configuraciones de seguridad, hardware con archivos de configuración y cualquier software o sistema aplicable.

ISO 27001:2022 El Anexo A 8.9 requiere que las organizaciones contemplen todos los roles y deberes pertinentes al establecer una política de configuración, incluida la asignación de propiedad de las configuraciones dispositivo por dispositivo o aplicación por aplicación.

Orientación sobre plantillas estándar

Las organizaciones deben esforzarse por utilizar plantillas estandarizadas para proteger todo el hardware, software y sistemas siempre que sea práctico. Estas plantillas deberían:

• Intente utilizar instrucciones de código abierto, específicas del proveedor y disponibles gratuitamente para configurar de manera óptima los activos de hardware y software.
• Asegúrese de que el dispositivo, aplicación o sistema cumpla con los requisitos mínimos de seguridad.
• Cooperar con los más grandes de la empresa. seguridad de la información actividades, incluidas todas las normas ISO aplicables.
• Tenga en cuenta las necesidades comerciales especiales de la organización, particularmente con respecto a la configuración de seguridad, así como la posibilidad de aplicar o administrar una plantilla en cualquier momento.
• A intervalos regulares, revise las actualizaciones del sistema y del hardware, y cualquier amenaza de seguridad actual, para garantizar un rendimiento óptimo.

Orientación sobre controles de seguridad

La seguridad es de suma importancia al aplicar plantillas de configuración o cambiar las existentes de acuerdo con la guía mencionada anteriormente.

Al contemplar las plantillas que se implementarán en toda la empresa, las organizaciones deben esforzarse por reducir los posibles riesgos de seguridad de la información mediante:

• Restringir la cantidad de personal con autoridad administrativa a la menor cantidad posible.
• Desactive cualquier identidad que no se utilice o no sea necesaria.
• Realice un seguimiento cuidadoso del acceso a los programas de mantenimiento, utilidades y configuraciones internas.
• Asegúrese de que los relojes estén coordinados para registrar la configuración con precisión y ayudar en futuras sondas.
• Cambie inmediatamente cualquier contraseña predeterminada o configuración de seguridad proporcionada con cualquier dispositivo, servicio o programa.
• Implemente un período de cierre de sesión preestablecido para cualquier dispositivo, sistema o aplicación que haya estado inactivo durante un período de tiempo predeterminado.
• Asegurar el cumplimiento de ISO 27001:2022 Anexo A 5.32 para garantizar que se hayan cumplido todos los requisitos de licencia.

Orientación sobre la gestión y supervisión de configuraciones

La organización está obligada a conservar y registrar las configuraciones, junto con un historial de cualquier cambio o nueva configuración, de acuerdo con el proceso de gestión de cambios del Anexo A 27001 de la norma ISO 2022:8.32.

Los registros deben incluir información que detalle:

• Quién posee el activo.
• Registre la hora del último cambio de configuración.
• Esta versión de la plantilla de configuración que está vigente.
• Explique cualquier dato pertinente a la asociación del activo con configuraciones en otros dispositivos/sistemas.

Las organizaciones deben emplear un amplio espectro de métodos para controlar el funcionamiento de los archivos de configuración en su red, como por ejemplo:

• Automatización.
• Se encuentran disponibles para su uso programas de mantenimiento de configuración especializados. Estos programas permiten una gestión eficiente y eficaz de los entornos.
• Herramientas de soporte remoto que completan automáticamente los datos de configuración para cada dispositivo.
• Las utilidades de administración de software y dispositivos empresariales se crean para observar grandes cantidades de datos de configuración simultáneamente.
• El software BUDR proporciona copias de seguridad automatizadas de las configuraciones en un lugar seguro y puede restaurar plantillas de forma remota o in situ en dispositivos que no funcionan correctamente o están comprometidos.

Las organizaciones deben emplear software especializado para monitorear cualquier cambio en la configuración de un dispositivo, tomando medidas rápidas para aprobar o revertir la transformación a su estado inicial.

Controles adjuntos al Anexo A

• ISO 27001:2022 Anexo A 5.32
• ISO 27001:2022 Anexo A 8.32

Cambios y diferencias con respecto a ISO 27001:2013

ISO 27001:2022 Anexo A 8.9 no está presente en ISO 27001:2013, ya que es una nueva incorporación en la revisión de 2022.

Tabla de todos los controles del Anexo A de ISO 27001:2022

En la siguiente tabla encontrará más información sobre cada ISO 27001:2022 individual. anexo A Control:

Cómo ayuda ISMS.online

ISMS.Online proporciona un enfoque integral para Implementación de ISO 27001. Ofrece un paquete de servicio completo, lo que garantiza que todo el proceso se maneje de manera rápida y eficiente. Proporciona todas las herramientas, recursos y orientación necesarios para permitir a las organizaciones implementar el estándar con confianza.

Este sistema basado en web le permite demostrar que su Sistema de Gestión de Seguridad de la Información (SGSI) cumple con los estándares aceptados, con procesos, procedimientos y listas de verificación bien considerados.

Contáctenos ahora para organizar una demostración.