Propósito del Control 5.30
El control 5.30 reconoce el importante papel que desempeñan las plataformas y los servicios de TIC para mantener la continuidad del negocio tras una interrupción o un evento crítico.
El control 5.30 describe cómo los servicios de TIC interactúan con varias métricas clave y controles de apoyo, incluido el objetivo de tiempo de recuperación (RTO) de una organización y el análisis general del impacto en el negocio (BIA).
El objetivo final es garantizar que la integridad y disponibilidad de la información se mantengan antes, durante y después de un período de interrupción del negocio.
Tabla de Atributos de Control 5.30
5.30 es un control correctivo que mantiene el riesgo mediante la creación de planes de continuidad de las TIC que contribuyen al nivel general de resiliencia operativa de la organización.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Correctivo | #Disponibilidad | #Responder | #Continuidad | #Resiliencia |
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación General de Control 5.30
Los procesos y procedimientos creados a través del Control 5.30 deben elaborarse siguiendo un análisis de impacto en el negocio (BIA) exhaustivo, que considere cómo debe reaccionar una organización cuando experimenta una interrupción operativa.
Un análisis de impacto en el negocio (BIA, por sus siglas en inglés) debe utilizar diferentes tipos de impacto y variables específicas de la organización para evaluar cómo se verá afectada la continuidad del negocio si alguno o todos los productos y servicios dejan de estar disponibles o de funcionar debido a cualquier nivel de interrupción.
Las organizaciones deben utilizar dos variables clave para formular un RTO acordado, que establezca objetivos claros para la reanudación de las operaciones normales:
a) la magnitud de la perturbación
b) el tipo de interrupción experimentada
En su Análisis de Impacto en el Negocio (BIA, por sus siglas en inglés), las organizaciones deben poder especificar con precisión qué servicios y funciones de TIC se requieren para lograr la recuperación, incluidos los requisitos individuales de rendimiento y capacidad.
Las organizaciones deben someterse a una evaluación de riesgos que valore sus sistemas de TIC y que sirva de base para una estrategia (o estrategias) de continuidad de las TIC que refuerce la recuperación antes, durante y después de un período de interrupción.
Una vez que se haya acordado una estrategia, se deben implementar procesos y planes específicos para garantizar que los servicios de TIC sean lo suficientemente resilientes y adecuados para contribuir a la recuperación de procesos y sistemas críticos, antes, durante y después de la interrupción.
En el marco de los planes de continuidad de las TIC, el Control 5.30 describe tres puntos de orientación principales :
- Los incidentes de TIC a menudo requieren que los miembros superiores del personal tomen decisiones rápidas relacionadas con la seguridad de la información, para acelerar la recuperación.
- Se debe prestar mucha atención a los planes de continuidad de las TIC, incluidas pruebas y evaluaciones periódicas y la aprobación por parte de la alta dirección.
- Los planes de continuidad de las TIC deben contener la siguiente información:
Las organizaciones deben mantener una cadena de mando sólida que incluya personas competentes con capacidad para tomar decisiones autorizadas sobre asuntos técnicos relacionados con la continuidad del negocio y el cumplimiento de las normas RTO.
Las estructuras organizativas deben estar actualizadas y ampliamente comunicadas, para facilitar una comunicación adecuada y acelerar los tiempos de recuperación.
Las organizaciones deben realizar pruebas para medir su eficacia y medir métricas clave como los tiempos de respuesta y resolución.
a) Requisitos de rendimiento y capacidad de cualquier sistema o proceso utilizado en las labores de recuperación.
b) una RTO clara para cada servicio de TIC en cuestión, y cómo la organización pretende restaurarlos.
c) Se designa un objetivo de punto de recuperación (RPO) para cada recurso de TIC y se crean procedimientos que garantizan que la información pueda ser restaurada.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Cambios desde ISO 27002:2013
El control 5.30 de la norma ISO 27002:2022 es un control nuevo sin precedentes en la norma ISO 27002:2013.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | de 16.1.2 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | de 11.1.2 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
La implementación de la norma ISO 27002 es más sencilla con nuestra lista de verificación paso a paso que le guía a lo largo de todo el proceso, desde la definición del alcance de su SGSI hasta la identificación de riesgos y la implementación de controles.
Nuestra plataforma es intuitiva y fácil de usar. No está dirigida únicamente a personas con conocimientos técnicos avanzados; está pensada para todos en su organización. Le animamos a involucrar al personal de todos los niveles de su empresa en el proceso de creación de su SGSI , ya que esto le ayudará a construir un sistema verdaderamente sostenible.
Ponte en contacto hoy mismo para reservar una demostración.
