Gestión de información de autenticación segura: explicación del control 27002 de la norma ISO 5.17
La información de autenticación, como contraseñas, claves de cifrado y chips de tarjetas, son la puerta de entrada a los sistemas de información que albergan activos de información confidencial.
La mala gestión o la asignación inadecuada de la información de autenticación pueden dar lugar a un acceso no autorizado a los sistemas de información y a la pérdida de confidencialidad, disponibilidad e integridad de los activos de información sensible.
Por ejemplo, Investigación de GoodFirm para 2021 muestra que el 30% de todas las filtraciones de datos se producen como resultado de contraseñas débiles o prácticas deficientes de gestión de contraseñas.
Por lo tanto, las organizaciones deben contar con un proceso sólido de gestión de la información de autenticación para asignar, gestionar y proteger la información de autenticación.
Propósito del Control 5.17
Control 5.17 permite a las organizaciones asignar y gestionar adecuadamente la información de autenticación, eliminar riesgos de fallas en el proceso de autenticación y prevenir riesgos de seguridad que puedan surgir debido al compromiso de la información de autenticación.
Atributos de Control 5.17
El Control 5.17 es un tipo de control preventivo que requiere que las organizaciones establezcan e implementen un proceso apropiado de gestión de la información de autenticación.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Proteger | #Gestión de identidad y acceso | #Proteccion |
| #Integridad | ||||
| #Disponibilidad |
Propiedad del Control 5.17
Teniendo en cuenta que el Control 5.17 implica el establecimiento y la implementación de reglas, procedimientos y medidas en toda la organización para la asignación y gestión de la información de autenticación, los responsables de seguridad de la información deben ser responsables del cumplimiento del Control 5.17.
El cumplimiento no tiene por qué ser complicado.
Hemos hecho el trabajo duro por usted, brindándole una ventaja inicial del 81 % desde el momento en que inicia sesión.
Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación sobre la asignación de información de autenticación
Las organizaciones deben cumplir con los siguientes seis requisitos para la asignación y gestión de la información de autenticación:
- Cuando las contraseñas personales o los números de identificación personal se generan automáticamente para la inscripción de nuevos usuarios, no deben ser adivinables. Además, las contraseñas deben ser únicas para cada usuario y debe ser obligatorio cambiarlas después del primer uso.
- Las organizaciones deben establecer procedimientos sólidos para autenticar la identidad de un usuario antes de que se le otorgue información de autenticación nueva o de reemplazo o se le proporcione información temporal.
- Las organizaciones deben garantizar la transmisión segura de la información de autenticación a las personas a través de canales seguros y no deben enviar esta información a través de mensajes electrónicos no seguros (por ejemplo, texto sin cifrar).
- Los usuarios deben confirmar la recepción de la información de autenticación.
- Después de instalar nuevos sistemas de TI y programas de software, las organizaciones deben cambiar la información de autenticación predeterminada de inmediato.
- Las organizaciones deben establecer y mantener registros de todos los eventos importantes relacionados con la gestión y asignación de información de autenticación. Además, estos registros deben mantenerse confidenciales y deben autorizarse métodos de mantenimiento de registros, como el uso de una herramienta de contraseña aprobada.
Orientación sobre las responsabilidades del usuario
Los usuarios que puedan acceder y utilizar información de autenticación deben recibir instrucciones de cumplir con lo siguiente:
- Los usuarios deben mantener la confidencialidad de la información de autenticación secreta, como las contraseñas, y no deben compartir dicha información secreta con nadie más. Cuando varios usuarios participan en el uso de información de autenticación o la información está vinculada a entidades no personales, la información de autenticación no debe revelarse a personas no autorizadas.
- Los usuarios deben cambiar sus contraseñas inmediatamente si la confidencialidad de sus contraseñas se ve comprometida.
- Los usuarios deben seleccionar contraseñas seguras y difíciles de adivinar siguiendo las mejores prácticas de la industria. Por ejemplo:
- Las contraseñas no deben seleccionarse basándose en información personal que sea fácil de obtener, como nombres o fechas de nacimiento.
- Las contraseñas no deben crearse basándose en nada que pueda adivinarse fácilmente.
- Las contraseñas no deben incluir palabras del diccionario ni combinaciones de estas palabras.
- En la contraseña se deben utilizar caracteres alfanuméricos y especiales.
- Debe haber una longitud mínima para las contraseñas.
- Los usuarios no deben utilizar la misma contraseña para diferentes servicios.
- Las organizaciones deben incluir los requisitos para la creación y uso de contraseñas en los contratos laborales con sus empleados.
Gestione todo su cumplimiento en un solo lugar
ISMS.online admite más de 100 estándares
y regulaciones, brindándole una única
plataforma para todas sus necesidades de cumplimiento.
Orientación sobre sistemas de gestión de contraseñas
Las organizaciones deben cumplir con lo siguiente al establecer un sistema de gestión de contraseñas:
- Se debe permitir a los usuarios crear y cambiar sus contraseñas y debe existir un procedimiento de confirmación para garantizar que los errores de entrada se identifiquen y resuelvan.
- Las organizaciones deben implementar un proceso de selección de contraseñas sólido, teniendo en cuenta las mejores prácticas de la industria para la selección de contraseñas.
- Se debe obligar a los usuarios a cambiar sus contraseñas predeterminadas después de acceder por primera vez a un sistema.
- Los cambios de contraseña deben implementarse cuando sea necesario. Por ejemplo, el cambio de contraseña será necesario después de un incidente de seguridad o después de la terminación de un empleo con un usuario si ese usuario tiene acceso a las contraseñas.
- Las contraseñas anteriores no se deben reutilizar.
- Debería prohibirse el uso de contraseñas muy comunes o contraseñas comprometidas o nombres de usuario utilizados para acceder a sistemas pirateados.
- Cuando se ingresan las contraseñas, deben estar visibles en la pantalla en texto sin formato.
- Las contraseñas deben almacenarse y transferirse a través de canales protegidos y en un formato seguro.
Además, las organizaciones deben realizar técnicas de hash y cifrado de acuerdo con los métodos de criptografía autorizados para contraseñas como se establece en el Control 8.24.
Orientación complementaria sobre control 5.17
Además de las contraseñas, existen otros tipos de información de autenticación, como claves criptográficas, tarjetas inteligentes y datos biométricos como las huellas dactilares.
Se recomienda a las organizaciones que consulten la serie ISO/IEC 24760 para obtener orientación más detallada sobre la información de autenticación.
Teniendo en cuenta que el cambio frecuente de contraseñas puede resultar engorroso y molesto para los usuarios, las organizaciones pueden considerar implementar métodos alternativos, como el inicio de sesión único o bóvedas de contraseñas. Sin embargo, cabe señalar que estos métodos alternativos pueden exponer la información de autenticación a un mayor riesgo de divulgación no autorizada.
Obtenga una ventaja inicial del 81%
Hemos hecho el trabajo duro por usted, brindándole una ventaja inicial del 81 % desde el momento en que inicia sesión.
Todo lo que tienes que hacer es completar los espacios en blanco.
Cambios y diferencias con respecto a ISO 27002:2013
27002:2022/5.17 reemplaza 27002:2013/(9.2.4, 9.3.1 9.4.3)
La versión 2022 contiene un nuevo requisito para la asignación y gestión de información de autenticación
Aunque la Versión 2013 y 2022 son muy similares en términos de los requisitos para la asignación y gestión de la información de autenticación, el Control 5.17 en la Versión 2022 introduce el siguiente requisito, que no estaba incluido en la Versión 2013:
- Las organizaciones deben establecer y mantener registros de todos los eventos importantes relacionados con la gestión y asignación de información de autenticación. Además, estos registros deben mantenerse confidenciales y deben autorizarse métodos de mantenimiento de registros, como el uso de una herramienta de contraseña aprobada.
Control 5.17 en la Versión 2022 Contiene un Requisito Adicional para el Uso de Información de Autenticación
El Control 5.17 introduce el siguiente requisito para las responsabilidades del usuario al que no se hizo referencia en el Control 9.3.1 en la Versión 2013.
- Las organizaciones deben incluir los requisitos para la creación y uso de contraseñas en sus contratos laborales con sus empleados y personal.
La versión 2013 contenía requisitos adicionales para las responsabilidades del usuario que no se incluyeron en la versión 2022.
A diferencia de la versión 2022, Control 9.3.1 contenía el siguiente requisito para el uso de información de autenticación:
- Los usuarios no deben utilizar la misma información de autenticación, como una contraseña, para fines comerciales y no comerciales.
La versión 2013 contenía un requisito adicional para los sistemas de gestión de contraseñas que no estaba incluido en la versión 2022
Control 9.4.3 en la versión 2013 incluyó el siguiente requisito para los sistemas de administración de contraseñas.
- Los archivos que contienen contraseñas deben alojarse en un sistema separado de los datos del sistema de la aplicación.
Control 5.17 en la versión 2022, por el contrario, no contenía este requisito.
Nuevos controles ISO 27002
Nuevos controles
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | Nuevo | Inteligencia de amenazas |
| 5.23 | Nuevo | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | Nuevo | Preparación de las TIC para la continuidad del negocio |
| 7.4 | Nuevo | Monitoreo de seguridad física |
| 8.9 | Nuevo | gestión de la configuración |
| 8.10 | Nuevo | Eliminación de información |
| 8.11 | Nuevo | Enmascaramiento de datos |
| 8.12 | Nuevo | Prevención de fuga de datos |
| 8.16 | Nuevo | Actividades de monitoreo |
| 8.23 | Nuevo | Filtrado Web |
| 8.28 | Nuevo | Codificación segura |
Controles organizacionales
Controles de personas
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
Controles físicos
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | Nuevo | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Controles Tecnológicos
Cómo ayuda ISMS.online
ISMS.Online ayuda a las organizaciones y empresas a cumplir los requisitos de la norma ISO 27002 proporcionándoles una plataforma que facilita la gestión de sus políticas y procedimientos de confidencialidad o no divulgación, los actualiza según sea necesario, los prueba y supervisa su eficacia.
Proporcionamos una plataforma basada en la nube para la gestión de sistemas de gestión de confidencialidad y seguridad de la información, incluidas cláusulas de confidencialidad, gestión de riesgos, políticas, planes y procedimientos, en una ubicación central. La plataforma es fácil de usar y tiene una interfaz intuitiva que facilita aprender a usarla.
Contáctenos hoy para programa una demostración.
Saltar al tema
Obtenga la certificación hasta 5 veces más rápido
Simplemente rellene los espacios en blanco.
Solicite una demo Cotizar!
