Propósito del Control 5.22
El Control 5.22 estipula los métodos que las organizaciones deben adoptar al monitorear, revisar y gestionar los cambios en las prácticas de seguridad de la información y los estándares de prestación de servicios de un proveedor, y evaluar el impacto sobre los propios niveles de seguridad de la información de la organización.
Al gestionar el relación con sus proveedores, una organización debe tratar de mantener un nivel básico de seguridad de la información que se adhiera a cualquier acuerdo que se haya celebrado.
5.22 es una control preventivo que modifica el riesgo manteniendo un “nivel acordado de seguridad de la información y prestación de servicios” por parte del proveedor.
Atributos de Control 5.22
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Identificar | #Seguridad en las relaciones con proveedores | #Gobernanza y Ecosistema |
| #Integridad | #Proteccion | |||
| #Disponibilidad | #Defensa | |||
| #Garantía de seguridad de la información |
Propiedad del Control 5.22
La propiedad del Control 5.22 debe recaer en un miembro del alto nivel Gestión que supervisa la operación comercial de una organización.y mantiene una relación directa con los proveedores de una organización, como por ejemplo Jefa de Operaciones.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación general sobre control 5.22
Control 5.22 contiene 13 áreas principales que las organizaciones necesitan a considerar al gestionar las relaciones con los proveedores y el efecto que tienen en sus propios estándares de seguridad de la información.
Las organizaciones deben tomar medidas para garantizar que los empleados responsables de gestionar los SLA y las relaciones con los proveedores tengan los niveles necesarios de habilidades y recursos técnicos para poder evaluar adecuadamente el desempeño de los proveedores, y que no se infrinjan los estándares de seguridad de la información.
Las organizaciones deberían redactar políticas y procedimientos que:
- Supervise constantemente los niveles de servicio de acuerdo con los SLA publicados y solucione cualquier deficiencia.
- Supervisar cualquier cambio realizado por el proveedor en su propia operación, incluidos (pero no limitados a):
a) Mejoras de servicio
b) La introducción de nuevas aplicaciones, sistemas o procesos de software.
c) Revisiones relevantes y significativas de los documentos de gobierno interno de los proveedores.
d) Año la gestión de incidencias cambios de procedimiento o esfuerzos destinados a aumentar los niveles de seguridad de la información - Supervise cualquier cambio específico del servicio, incluidos (entre otros):
a) Modificaciones de infraestructura
b) La aplicación de tecnologías emergentes.
c) El lanzamiento de actualizaciones de productos o actualizaciones de versiones.
d) Cambios en el entorno de desarrollo.
e) Cambios logísticos y físicos en las instalaciones de los proveedores, incluidas nuevas ubicaciones.
f) Cualquier cambio en los socios de subcontratación o subcontratistas
g) La intención de subcontratar, cuando la práctica no existía anteriormente. - Solicite informes de servicio periódicos, analice datos y asista a reuniones de revisión de acuerdo con los niveles acordados de prestación de servicios.
- Audite a los socios y subcontratistas de subcontratación y busque cualquier área de preocupación.
- Revisar los incidentes de seguridad de acuerdo con los estándares y prácticas de gestión de incidentes acordados y el acuerdo con el proveedor.
- Mantenga un registro exhaustivo de los eventos de seguridad de la información, problemas operativos tangibles, registros de fallas y barreras generales para los estándares de prestación de servicios que se han acordado.
- Responder proactivamente y tomar medidas correctivas ante eventos relacionados con la seguridad de la información.
- Resalte cualquier vulnerabilidades de seguridad de la información y mitigarlos al máximo.
- Analizar los factores de seguridad de la información relevantes inherentes a la relación de proveedores con sus propios proveedores y subcontratistas.
- Asegúrese de que la prestación de servicios se entregue a niveles aceptables luego de una interrupción significativa del lado del proveedor, incluida la recuperación ante desastres.
- Describa el personal clave en la operación del proveedor que es responsable de mantener el cumplimiento y adherirse a los términos de un acuerdo.
- Auditar regularmente la capacidad de un proveedor para mantener un estándar básico de seguridad de la información.
Controles de apoyo
- 5.29
- 5.30
- 5.35
- 5.36
- 8.14
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
ISO 27002, La implementación es más sencilla con nuestra lista de verificación paso a paso que lo guía a través de todo el proceso, desde la definición del alcance de su SGSI hasta la identificación de riesgos y la implementación del control.
Algunos de los beneficios clave de usar ISMS.online incluyen:
- Puede Cree su SGSI compatible con ISO 27001 dentro de la plataforma.
- Los usuarios pueden completar tareas y enviar pruebas para demostrar el cumplimiento del estándar.
- Es fácil delegar responsabilidades y monitorear el progreso hacia el cumplimiento.
- El amplio conjunto de herramientas de evaluación de riesgos ahorra tiempo y esfuerzo durante todo el proceso.
- Tenemos un dedicado equipo de consultores disponibles para apoyarle a lo largo de su camino hacia el cumplimiento.
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
