Propósito del Control 5.14
El Control 5.14 es un tipo de control preventivo que requiere que las organizaciones establezcan reglas, procedimientos y/o acuerdos apropiados para mantener la seguridad de los datos cuando se comparten dentro de una organización o cuando se transmiten a terceros.
Atributos de Control 5.14
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Proteger | #Gestión de activos | #Proteccion |
| #Integridad | #Protección de la información | |||
| #Disponibilidad |
Propiedad del Control 5.14
Si bien el desarrollo y la implementación de reglas, procedimientos y acuerdos requieren el apoyo y la aprobación de la gerencia de alto nivel, la cooperación y la experiencia de las diferentes partes interesadas dentro de una organización, incluido el equipo legal, el personal de TI y la alta gerencia, son de importancia crítica. .
Por ejemplo, el equipo legal debe garantizar que la organización celebre acuerdos de transferencia con terceros y que estos acuerdos estén en línea con los requisitos especificados en el Control 5.14. Asimismo, el equipo de TI debe participar activamente en la definición e implementación de controles para mantener la seguridad de los datos como se establece en 5.14.
Obtenga una ventaja inicial del 81%
Hemos hecho el trabajo duro por usted, brindándole una ventaja inicial del 81 % desde el momento en que inicia sesión.
Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación general sobre control 5.14
El cumplimiento de 5.14 implica el desarrollo de reglas, procedimientos y acuerdos, incluida una política de transferencia de información sobre temas específicos, que proporcione a los datos en tránsito un nivel de protección apropiado para la clasificación asignada a esa información.
En otras palabras, el nivel de protección debe coincidir con el nivel de criticidad y sensibilidad de la información transmitida.
Además, el Control 5.14 especifica que las organizaciones deben firmar acuerdos de transferencia con terceros destinatarios para garantizar la transmisión segura de datos.
El control 5.14 agrupa los tipos de transferencia en tres categorías:
- Transferencia electronica
- Transferencia de medios de almacenamiento físico
- transferencia verbal
Antes de pasar a describir los requisitos específicos para cada tipo de transferencia, el Control 5.14 enumera los elementos que deben incluirse en todas las reglas, procedimientos y acuerdos para los tres tipos de transferencias en general:
- Las organizaciones deben definir controles apropiado al nivel de clasificación de la información para proteger la información en tránsito del acceso no autorizado, modificación, interceptación, copia, destrucción y ataques de denegación de servicio.
- Una organización debe mantener el control sobre la cadena de custodia mientras está en tránsito y debe definir e implementar controles para garantizar la trazabilidad de la información.
- Se deben definir las partes relevantes involucradas en la transferencia de información y se deben proporcionar sus datos de contacto. Esto puede incluir propietarios de información y agentes de seguridad.
- Asignación de Responsabilidades en caso de violación de datos. ocurre.
- Utilizando un sistema de etiquetado.
- Garantizar la disponibilidad del servicio de transfer.
- Crear directrices temáticas específicas sobre los métodos de transferencia de información.
- Directrices para el almacenamiento y eliminación de todos los registros comerciales, incluidos los mensajes.
- Análisis del impacto que las leyes, reglamentos u otras obligaciones aplicables puedan tener sobre la transferencia.
El cumplimiento no tiene por qué ser complicado.
Hemos hecho el trabajo duro por usted, brindándole una ventaja inicial del 81 % desde el momento en que inicia sesión.
Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación complementaria sobre transferencia electrónica
Después de enumerar los requisitos de contenido mínimo para reglas, procedimientos y acuerdos comunes a los tres tipos de transferencia, el Control 5.14 enumera requisitos de contenido específicos para cada tipo de transferencia.
Las reglas, acuerdos y procedimientos deben abordar las siguientes cuestiones cuando la información se transfiere electrónicamente:
- Detección y prevención de ataques de malware.
- Proteger la información sensible contenida en los archivos adjuntos transferidos.
- Garantizar que todas las comunicaciones se envíen a los destinatarios correctos y al riesgo de enviar comunicaciones a direcciones de correo electrónico incorrectas, direcciones o números de teléfono.
- Obtener autorización previa antes de comenzar a utilizar cualquier servicio público de comunicación.
- Implementar métodos de autenticación más estrictos cuando los datos se transmiten a través de redes públicas.
- Imponer restricciones al uso de servicios de comunicaciones electrónicas, como la prohibición del reenvío automático.
- Aconseje al personal que no utilice servicios de mensajes cortos o instantáneos para compartir datos confidenciales porque este contenido puede ser visto por personas no autorizadas en espacios públicos.
- Asesorar al personal y otras partes relevantes sobre la los riesgos de seguridad que presentan las máquinas de fax, como el riesgo de acceso no autorizado o de redireccionamiento de mensajes a números específicos.
Orientación complementaria sobre la transferencia de medios de almacenamiento físico
Cuando la información se comparte a través de medios físicos, como documentos, las reglas, procedimientos y acuerdos deben cubrir lo siguiente:
- Asignación de responsabilidades para la notificación de transmisión, despacho y recepción.
- Garantizar el correcto direccionamiento y transporte del mensaje.
- El embalaje elimina el riesgo de daño al contenido que puede surgir cuando el contenido está en tránsito. Por ejemplo, el embalaje debe ser lo suficientemente bueno como para no verse afectado por el calor o la humedad.
- Una lista de mensajeros confiables acordados y autorizados por la dirección.
- Descripción de los estándares de identificación de mensajería.
- Uso de controles a prueba de manipulaciones, como bolsas, si el nivel de sensibilidad y criticidad de la información lo exige.
- Procedimientos para verificar las identificaciones de los mensajeros.
- Lista aprobada de terceros que prestan servicios de transporte o mensajería según el nivel de clasificación.
- Llevar registros del momento de la entrega, lista de destinatarios autorizados, protecciones aplicadas y recepción en destino.
Orientación complementaria sobre transferencia verbal
El Control 5.14 establece que cuando el personal intercambia información dentro de la organización o cuando transmite datos a partes externas, se le debe informar de los siguientes riesgos:
- Deben evitar tener conversaciones confidenciales en canales públicos inseguros o en espacios públicos.
- No deben dejar mensajes de voz que contengan información confidencial, considerando el riesgo de que personas no autorizadas los repitan y el riesgo de que el mensaje se redireccione a otros destinatarios. tercero.
- Cada individuo, ya sean empleados u otros terceros relevantes, debe ser examinado antes de que se le permita escuchar las conversaciones.
- Las salas donde se llevan a cabo conversaciones confidenciales deben estar equipadas con controles adecuados, como insonorización.
- Deberían dar un descargo de responsabilidad antes de tener cualquier conversación delicada.
Gestione todo su cumplimiento en un solo lugar
ISMS.online admite más de 100 estándares
y regulaciones, brindándole una única
plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27002:2013
27002:2022/5.14 reemplaza a 27002:2013/(13.2.1, 13.2.2. 13.2.3).
Si bien los dos controles son similares hasta cierto punto, dos diferencias clave hacen que los requisitos de la versión 2022 sean más onerosos.
Requisitos específicos para transferencias eléctricas, físicas y verbales
En la versión 2013, apartado 13.2.3 abordó los requisitos específicos para la transferencia de información a través de mensajería electrónica.
Sin embargo, no abordó por separado la transferencia de información de manera verbal o física.
En cambio, la versión 2022 identifica claramente tres tipos de transferencia de información y luego establece los requisitos de contenido para cada uno de ellos por separado.
La versión 2022 establece requisitos más estrictos para la transferencia electrónica
Si bien la sección 13.2.3 contenía requisitos específicos para el contenido de los acuerdos de mensajería electrónica, la versión 2022 impone obligaciones más estrictas a las organizaciones.
La Versión 2022 requiere que las organizaciones describan e implementen nuevos controles en las reglas, procedimientos y acuerdos para transferencias electrónicas.
Por ejemplo, las organizaciones deberían aconsejar a sus empleados que no utilicen servicios de SMS cuando incluyan información confidencial.
Requisitos más detallados para transferencias físicas
La versión 2022 establece requisitos más estrictos sobre la transferencia de medios de almacenamiento físico. Por ejemplo, sus requisitos son más completos con respecto a la autenticación de los mensajeros y los tipos de daños que deben evitarse.
Cambios estructurales
En la versión de 2013, hubo una referencia explícita a requisitos específicos para los acuerdos de transferencia de información. Sin embargo, las 'Reglas' y los 'Procedimientos' no se abordaron específicamente.
En cambio, la versión 2022 establece los requisitos específicos para cada uno de estos tres mecanismos.
Nuevos controles ISO 27002
Nuevos controles
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | Nuevo | Inteligencia de amenazas |
| 5.23 | Nuevo | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | Nuevo | Preparación de las TIC para la continuidad del negocio |
| 7.4 | Nuevo | Monitoreo de seguridad física |
| 8.9 | Nuevo | gestión de la configuración |
| 8.10 | Nuevo | Eliminación de información |
| 8.11 | Nuevo | Enmascaramiento de datos |
| 8.12 | Nuevo | Prevención de fuga de datos |
| 8.16 | Nuevo | Actividades de monitoreo |
| 8.23 | Nuevo | Filtrado Web |
| 8.28 | Nuevo | Codificación segura |
Controles organizacionales
Controles de personas
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
Controles físicos
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | Nuevo | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Controles Tecnológicos
Cómo ayuda ISMS.online
ISO 27002 La implementación es más sencilla con nuestra lista de verificación paso a paso que lo guía a través de todo el proceso, desde la definición del alcance de su SGSI hasta la identificación de riesgos y la implementación del control.
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
Saltar al tema
Obtenga la certificación hasta 5 veces más rápido
Simplemente rellene los espacios en blanco.
Solicite una demo Cotizar!
