ISO 27002:2022, Control 5.17 – Información de autenticación

Propiedad del Control 5.17

Teniendo en cuenta que el Control 5.17 implica el establecimiento y la implementación de reglas, procedimientos y medidas en toda la organización para la asignación y gestión de la información de autenticación, los responsables de seguridad de la información deben ser responsables del cumplimiento del Control 5.17.

Orientación sobre la asignación de información de autenticación

Las organizaciones deben cumplir con los siguientes seis requisitos para la asignación y gestión de la información de autenticación:

• Cuando las contraseñas personales o los números de identificación personal se generan automáticamente para la inscripción de nuevos usuarios, no deben ser adivinables. Además, las contraseñas deben ser únicas para cada usuario y debe ser obligatorio cambiarlas después del primer uso.
• Las organizaciones deben establecer procedimientos sólidos para autenticar la identidad de un usuario antes de que se le otorgue información de autenticación nueva o de reemplazo o se le proporcione información temporal.
• Las organizaciones deben garantizar la transmisión segura de la información de autenticación a las personas a través de canales seguros y no deben enviar esta información a través de mensajes electrónicos no seguros (por ejemplo, texto sin cifrar).
• Los usuarios deben confirmar la recepción de la información de autenticación.
• Después de instalar nuevos sistemas de TI y programas de software, las organizaciones deben cambiar la información de autenticación predeterminada de inmediato.
• Las organizaciones deben establecer y mantener registros de todos los eventos importantes relacionados con la gestión y asignación de información de autenticación. Además, estos registros deben mantenerse confidenciales y deben autorizarse métodos de mantenimiento de registros, como el uso de una herramienta de contraseña aprobada.

Orientación sobre las responsabilidades del usuario

Los usuarios que puedan acceder y utilizar información de autenticación deben recibir instrucciones de cumplir con lo siguiente:

1. Los usuarios deben mantener la confidencialidad de la información de autenticación secreta, como las contraseñas, y no deben compartir dicha información secreta con nadie más. Cuando varios usuarios participan en el uso de información de autenticación o la información está vinculada a entidades no personales, la información de autenticación no debe revelarse a personas no autorizadas.
2. Los usuarios deben cambiar sus contraseñas inmediatamente si la confidencialidad de sus contraseñas se ve comprometida.
3. Los usuarios deben seleccionar contraseñas seguras y difíciles de adivinar siguiendo las mejores prácticas de la industria. Por ejemplo:
• Las contraseñas no deben seleccionarse basándose en información personal que sea fácil de obtener, como nombres o fechas de nacimiento.
• Las contraseñas no deben crearse basándose en nada que pueda adivinarse fácilmente.
• Las contraseñas no deben incluir palabras del diccionario ni combinaciones de estas palabras.
• En la contraseña se deben utilizar caracteres alfanuméricos y especiales.
• Debe haber una longitud mínima para las contraseñas.
4. Los usuarios no deben utilizar la misma contraseña para diferentes servicios.
5. Las organizaciones deben incluir los requisitos para la creación y uso de contraseñas en los contratos laborales con sus empleados.

Orientación sobre sistemas de gestión de contraseñas

Las organizaciones deben cumplir con lo siguiente al establecer un sistema de gestión de contraseñas:

• Se debe permitir a los usuarios crear y cambiar sus contraseñas y debe existir un procedimiento de confirmación para garantizar que los errores de entrada se identifiquen y resuelvan.
• Las organizaciones deben implementar un proceso de selección de contraseñas sólido, teniendo en cuenta las mejores prácticas de la industria para la selección de contraseñas.
• Se debe obligar a los usuarios a cambiar sus contraseñas predeterminadas después de acceder por primera vez a un sistema.
• Los cambios de contraseña deben implementarse cuando sea necesario. Por ejemplo, el cambio de contraseña será necesario después de un incidente de seguridad o después de la terminación de un empleo con un usuario si ese usuario tiene acceso a las contraseñas.
• Las contraseñas anteriores no se deben reutilizar.
• Debería prohibirse el uso de contraseñas muy comunes o contraseñas comprometidas o nombres de usuario utilizados para acceder a sistemas pirateados.
• Cuando se ingresan las contraseñas, deben estar visibles en la pantalla en texto sin formato.
• Las contraseñas deben almacenarse y transferirse a través de canales protegidos y en un formato seguro.

Además, las organizaciones deben realizar técnicas de hash y cifrado de acuerdo con los métodos de criptografía autorizados para contraseñas como se establece en el Control 8.24.

Orientación complementaria sobre control 5.17

Además de las contraseñas, existen otros tipos de información de autenticación, como claves criptográficas, tarjetas inteligentes y datos biométricos como las huellas dactilares.

Se recomienda a las organizaciones que consulten la serie ISO/IEC 24760 para obtener orientación más detallada sobre la información de autenticación.

Teniendo en cuenta que el cambio frecuente de contraseñas puede resultar engorroso y molesto para los usuarios, las organizaciones pueden considerar implementar métodos alternativos, como el inicio de sesión único o bóvedas de contraseñas. Sin embargo, cabe señalar que estos métodos alternativos pueden exponer la información de autenticación a un mayor riesgo de divulgación no autorizada.

Cambios y diferencias con respecto a ISO 27002:2013

27002:2022/5.17 reemplaza 27002:2013/(9.2.4, 9.3.1 9.4.3)

La versión 2022 contiene un nuevo requisito para la asignación y gestión de información de autenticación

Aunque la Versión 2013 y 2022 son muy similares en términos de los requisitos para la asignación y gestión de la información de autenticación, el Control 5.17 en la Versión 2022 introduce el siguiente requisito, que no estaba incluido en la Versión 2013:

• Las organizaciones deben establecer y mantener registros de todos los eventos importantes relacionados con la gestión y asignación de información de autenticación. Además, estos registros deben mantenerse confidenciales y deben autorizarse métodos de mantenimiento de registros, como el uso de una herramienta de contraseña aprobada.

Control 5.17 en la Versión 2022 Contiene un Requisito Adicional para el Uso de Información de Autenticación

El Control 5.17 introduce el siguiente requisito para las responsabilidades del usuario al que no se hizo referencia en el Control 9.3.1 en la Versión 2013.

• Las organizaciones deben incluir los requisitos para la creación y uso de contraseñas en sus contratos laborales con sus empleados y personal.

La versión 2013 contenía requisitos adicionales para las responsabilidades del usuario que no se incluyeron en la versión 2022.

A diferencia de la versión 2022, Control 9.3.1 contenía el siguiente requisito para el uso de información de autenticación:

• Los usuarios no deben utilizar la misma información de autenticación, como una contraseña, para fines comerciales y no comerciales.

La versión 2013 contenía un requisito adicional para los sistemas de gestión de contraseñas que no estaba incluido en la versión 2022

Control 9.4.3 en la versión 2013 incluyó el siguiente requisito para los sistemas de administración de contraseñas.

• Los archivos que contienen contraseñas deben alojarse en un sistema separado de los datos del sistema de la aplicación.

Control 5.17 en la versión 2022, por el contrario, no contenía este requisito.

Cómo ayuda ISMS.online

ISMS.Online ayuda a las organizaciones y empresas a cumplir los requisitos de la norma ISO 27002 proporcionándoles una plataforma que facilita la gestión de sus políticas y procedimientos de confidencialidad o no divulgación, los actualiza según sea necesario, los prueba y supervisa su eficacia.

Proporcionamos una plataforma basada en la nube para la gestión de sistemas de gestión de confidencialidad y seguridad de la información, incluidas cláusulas de confidencialidad, gestión de riesgos, políticas, planes y procedimientos, en una ubicación central. La plataforma es fácil de usar y tiene una interfaz intuitiva que facilita aprender a usarla.

Contáctenos hoy para programa una demostración.