Propósito del Control 5.30
Control 5.30 reconoce el importante papel que desempeñan las plataformas y servicios TIC en manteniendo la continuidad del negocio, tras una interrupción o un evento crítico.
El Control 5.30 describe cómo los servicios de TIC interactúan con varias métricas clave y controles de apoyo, incluido el de una organización. objetivo de tiempo de recuperación (RTO) y el general análisis de impacto empresarial (BIA).
El objetivo final es garantizar que la integridad y disponibilidad de la información se mantengan antes, durante y después de un período de interrupción del negocio.
Tabla de Atributos de Control 5.30
5.30 es una correctivo control que mantiene el riesgo mediante la creación Planes de continuidad de las TIC que contribuyan al nivel general de resiliencia operativa de la organización.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Correctivo | #Disponibilidad | #Responder | #Continuidad | #Resiliencia |
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación General de Control 5.30
Los procesos y procedimientos creados a través del Control 5.30 deben redactarse siguiendo un BIA exhaustivo, que considere cómo un necesidades de la organización reaccionar cuando se experimenta una interrupción operativa.
Un BIA debe hacer uso de diferentes tipos de impacto y variables específicas de la organización para medir cómo se verá afectada la continuidad del negocio, en caso de que alguno o todos los productos y servicios dejen de estar disponibles o sean inoperables, debido a cualquier nivel de interrupción.
Las organizaciones deben utilizar dos variables clave para formular un RTO acordado, que establezca objetivos claros para la reanudación de las operaciones normales:
a) el magnitud de la perturbación
b) el tipo de perturbación experimentada
Dentro de su BIA, las organizaciones deberían poder especificar con precisión qué servicios y funciones de TIC se requieren para lograr la recuperación, incluidos los individuales. performance y para actuar • Requisitos.
Las organizaciones deberían someterse a una evaluación de riesgos que evalúe sus sistemas de TIC y forme la base de una estrategia (o estrategias) de continuidad de las TIC que impulse la recuperación antes, durante y después de un período de disrupción.
Una vez que se haya acordado una estrategia, se deben implementar procesos y planes específicos para garantizar que los servicios de TIC sean lo suficientemente resilientes y adecuados para contribuir a la recuperación de procesos y sistemas críticos, antes, durante y después de la interrupción.
Dentro del alcance de los planes de continuidad de las TIC, el Control 5.30 describe tres puntos de orientación principales:
- Los incidentes de TIC a menudo requieren que los miembros superiores del personal tomen decisiones rápidas relacionadas con la seguridad de la información, para acelerar la recuperación.
- Se debe prestar mucha atención a los planes de continuidad de las TIC, incluidas pruebas y evaluaciones periódicas y la aprobación por parte de la alta dirección.
- Los planes de continuidad de las TIC deben contener la siguiente información:
Las organizaciones necesitan mantener una cadena de mando sólida que incluye personas competentes con la capacidad de tomar decisiones autorizadas sobre asuntos técnicos relacionados con la continuidad del negocio y el cumplimiento de RTO.
Las estructuras organizativas deben estar actualizadas y ampliamente comunicadas, para facilitar una comunicación adecuada y acelerar los tiempos de recuperación.
Las organizaciones deben realizar pruebas para medir su eficacia y medir métricas clave como los tiempos de respuesta y resolución.
a) Requisitos de rendimiento y capacidad de cualquier sistema o proceso utilizado en los esfuerzos de recuperación.
b) un RTO claro para cada servicio TIC en cuestión, y cómo la organización pretende restaurarlos
c) Se designa un objetivo de punto de recuperación (RPO) para cada recurso de TIC y se crean procedimientos que garantizan que la información se pueda restaurar.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Cambios desde ISO 27002:2013
ISO 27002:2022, el control 5.30 es un nuevo control sin precedencia en ISO 27002:2013.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
ISO 27002, La implementación es más sencilla con nuestra lista de verificación paso a paso que lo guía a través de todo el proceso, desde la definición del alcance de su SGSI hasta la identificación de riesgos y la implementación del control.
Nuestra plataforma es intuitivo y fácil de usar. No es sólo para gente muy técnica; es para todos en su organización. Le animamos a involucrar al personal de todos los niveles de su empresa en el proceso de construyendo su SGSI, porque eso te ayuda a construir un sistema verdaderamente sostenible.
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
