ISO 27002:2022 – Control 5.12 – Clasificación de la Información

Propósito del Control 5.12

5.12 es un control preventivo que identifica riesgos al permitir a las organizaciones determinar el nivel de protección de cada activo de información en función del nivel de importancia y sensibilidad de la información.

5.12 advierte explícitamente a las organizaciones contra la clasificación excesiva o insuficiente de la información en la Guía complementaria. Afirma que las organizaciones deben tener en cuenta los requisitos de confidencialidad, disponibilidad e integridad cuando asignan activos a categorías relevantes.

Esto garantiza que el esquema de clasificación logre un equilibrio adecuado entre las necesidades comerciales de información y los requisitos de seguridad para cada categoría de información.

Atributos de Control 5.12

Propiedad del Control 5.12

Si bien debería haber una clasificación de los esquemas de información para toda la organización con niveles de clasificación y criterios sobre cómo clasificar activos de información, los propietarios de los activos de información son en última instancia responsables de la implementación de un esquema de clasificación.

5.12 reconoce explícitamente que los propietarios de los correspondientes activo de información debe rendir cuentas.

Por ejemplo, si el departamento de contabilidad tiene acceso a las carpetas con informes de nómina y extractos bancarios, debe clasificar la información según el esquema de clasificación de toda la organización.

Al clasificar la información, el propietario del activo debe tener en cuenta cuenta las necesidades del negocio, nivel de impacto que el compromiso de la información tendría en la organización y el nivel de importancia y sensibilidad de la información.

Orientación general sobre control 5.12

Para implementar un esquema sólido de clasificación de información, las organizaciones deben adoptar un enfoque temático específico, comprender las necesidades de información de cada unidad de negocios y determinar el nivel de sensibilidad y criticidad de la información.

5.12 requiere que las organizaciones tengan en cuenta los siguientes siete criterios al implementar un esquema de clasificación:

• Establecer una política temática específica y abordar las necesidades comerciales específicas.

5.12 se refiere explícitamente a 5.1, Control de acceso y requiere que las organizaciones se adhieran a políticas específicas de temas como se describe en 5.1. Además, el esquema y los niveles de clasificación deben tener en cuenta las necesidades empresariales específicas.

• Tener en cuenta las necesidades empresariales de compartir y utilizar información y la necesidad de disponibilidad.

Si asigna un activo de información a una categoría de clasificación que es innecesariamente más alta, esto puede generar el riesgo de interrupción de sus funciones comerciales críticas al restringir el acceso y el uso de la información.

Por lo tanto, debe esforzarse por encontrar un equilibrio entre las necesidades comerciales específicas de disponibilidad y uso de la información y los requisitos de confidencialidad e integridad de esa información.

• Considere las obligaciones legales

Algunas leyes pueden imponerle obligaciones más estrictas para garantizar la confidencialidad, integridad y disponibilidad de la información. Al asignar activos de información a categorías, las obligaciones legales deben tener prioridad sobre su propia clasificación.

• Adopte un enfoque basado en el riesgo y considere el impacto potencial de un compromiso

Cada tipo de información tiene un nivel diferente de criticidad para las operaciones de cada negocio y tiene un nivel diferente de sensibilidad según el contexto.

Al implementar un esquema de clasificación de información, las organizaciones deberían preguntarse:

¿Qué impacto tendría en la organización el compromiso de la integridad, disponibilidad y confidencialidad de esta información?

Por ejemplo, las bases de datos de direcciones de correo electrónico profesionales de clientes potenciales calificados y los registros médicos de los empleados difieren ampliamente en términos del nivel de sensibilidad y el impacto potencial.

• Revisar y actualizar periódicamente la clasificación.

5.12 señala que el valor, la criticidad y la sensibilidad de la información no son estáticos y pueden cambiar a lo largo del ciclo de vida de la información. Por lo tanto, es necesario revisar periódicamente cada clasificación y realizar las actualizaciones necesarias.

Como ejemplo de tal cambio, el 5.12 se refiere a la divulgación de información al público, lo que reduce en gran medida el valor y la sensibilidad de la información.

• Consulte con otras organizaciones con las que comparte información y aborde cualquier diferencia.

No existe una única forma de clasificar la información y cada organización puede tener diferentes nombres, niveles y criterios a la hora de clasificar los esquemas de información.

Estas diferencias pueden generar riesgos cuando las dos organizaciones intercambian activos de información entre sí. Por lo tanto, es necesario establecer un acuerdo con su contraparte para garantizar que haya coherencia en la clasificación de la información y la interpretación de los niveles de clasificación.

• Coherencia a nivel organizacional

Cada departamento dentro de la organización debe tener un entendimiento común de los niveles y procedimientos de clasificación para que las clasificaciones sean consistentes en toda la organización.

Orientación sobre cómo implementar el esquema de clasificación de información

Si bien 5.12 reconoce que no existe un esquema de clasificación único y que las organizaciones tienen margen para decidir y describir los niveles de clasificación individuales, ofrece el siguiente ejemplo como esquema de clasificación de información:

a) La divulgación no causa daño;

b) La divulgación causa un daño menor a la reputación o un impacto operativo menor;

c) La divulgación tiene un impacto significativo a corto plazo en las operaciones u objetivos comerciales;

d) La divulgación tiene un impacto grave en los objetivos comerciales a largo plazo o pone en riesgo la supervivencia de la organización.

Cambios y diferencias con respecto a ISO 27002:2013

La Clasificación de la Información fue abordada en el apartado 8.2.1 de la versión anterior.

Si bien las dos versiones son muy similares, existen dos diferencias clave:

En la versión anterior, no había ninguna referencia explícita al requisito de coherencia de los niveles de clasificación cuando se transfiere información entre organizaciones.

Sin embargo, en la versión 2022, es necesario establecer un acuerdo con su contraparte para garantizar que haya coherencia en la clasificación de la información y la interpretación de los niveles de clasificación.

En segundo lugar, la nueva versión requiere explícitamente que las organizaciones implementen políticas temáticas específicas. En la versión anterior, por el contrario, sólo se hacía una breve referencia al control de acceso.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

Nuestra plataforma es intuitivo y fácil de usar. No es sólo para gente muy técnica; es para todos en su organización. Le recomendamos que involucre al personal de todos los niveles de su negocio en el proceso de construcción de su ISMS, porque eso te ayuda a construir un sistema verdaderamente sostenible.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.