ISO 27002:2022 – Control 5.35 – Revisión independiente de la seguridad de la información

Control 27002 de la norma ISO 5.35: Por qué son importantes las revisiones de seguridad independientes

La seguridad de la información es un aspecto central del gobierno de datos de una organización. prácticas.

Tanto es así, que es necesario eliminar la complacencia mediante la realización de revisiones independientes periódicas de cómo una organización gestiona las personas, los procesos y las tecnologías involucradas en el mantenimiento de una seguridad de la información efectiva operación.

Propósito del Control 5.35

El Control 5.35 exige que las organizaciones lleven a cabo revisiones independientes de sus prácticas de seguridad de la información (tanto a intervalos planificados como cuando se produzcan cambios operativos importantes) para garantizar que las políticas de gestión de la seguridad de la información sean:

• Adecuado – Tienen la capacidad de lograr la adherencia.
• Adecuado: intentan alcanzar los objetivos correctos.
• Efectivo: funcionan según lo previsto

Tabla de atributos

Control 5.35 es un preventivo y correctivo controlar eso mantiene el riesgo mediante la creación de procesos que faciliten revisiones periódicas de las prácticas de gestión de seguridad de la información de una organización.

Propiedad del Control 5.35

El Control 5.35 se ocupa principalmente de cuestiones operativas. Como tal, la propiedad debe residir en el director de operaciones o el CISO (si está presente).

Orientación general sobre control 5.35

El objetivo general es que gestión para crear e implementar procesos que atiendan revisiones independientes de la seguridad de su información prácticas.

Las revisiones deben centrarse en cualquier cambio que sea Se requiere para mejorar el enfoque de una organización hacia la seguridad de la información.que incluyen:

1. El sistema política de seguridad de la información.
2. Políticas temáticas específicas.
3. Controles relacionados.

Cualquier revisión debe ser realizada por una persona dentro o fuera de la organización que no tenga ningún interés personal en lo que está investigando, como por ejemplo:

1. Auditores internos.
2. Responsables departamentales independientes.
3. Organizaciones de terceros.

Quien realice la revisión debe tener la información pertinente. competencia operativa emitir un juicio sólido sobre sus hallazgos y (en el caso del personal interno) su función laboral no debería impedirles realizar una evaluación válida y legítima.

Los resultados de la revisión deben registrarse, almacenarse e informarse minuciosamente al Gerente (o grupos de Gerentes) que la solicitaron y, en ciertos casos, al nivel C-suite o a la propiedad.

Los revisores deben tratar de establecer si las prácticas de seguridad de la información cumplen o no con los “objetivos y requisitos documentados” de la organización establecidos en la política de seguridad de la información, o cualquier política específica de un tema.

Además de las revisiones periódicas, puede ser necesario iniciar revisiones ad hoc. Estas revisiones pueden justificarse en cinco áreas clave:

1. Se modifica cualquier ley, directriz o reglamento que afecte la operación de seguridad de la información de la organización.
2. Clasificacion Mayor Se producen incidentes que tienen un impacto en la seguridad de la información. (pérdida de datos, intrusión, etc.).
3. Se crea un nuevo negocio o se implementan cambios importantes en el negocio actual.
4. El sistema La organización adopta un nuevo producto o servicio que tiene seguridad de la información. implicaciones, o realiza cambios subyacentes en un producto o servicio actual.
5. Se realizan cambios importantes en el banco de controles, políticas y procedimientos de seguridad de la información de la organización.

Orientación complementaria

ISO / IEC 27007 e ISO/IEC TS 27008 contienen más orientación sobre la práctica de revisiones independientes.

Cambios y diferencias con respecto a ISO 27002:2013

27002:2022-5.35 reemplaza a 27002:2013-18.1.2 (Revisión independiente de la seguridad de la información).

27002:2022-5.35 contiene la misma orientación general que 27002:2013-18.1.2, pero va un paso más allá al estipular ejemplos específicos de cuándo una organización debe llevar a cabo revisiones ad hoc, junto con sus revisiones periódicas.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

ISMS.online agiliza la ISO 27002 proceso de implementación al proporcionar un marco sofisticado basado en la nube para documentar los procedimientos y listas de verificación del sistema de gestión de seguridad de la información para garantizar el cumplimiento de estándares reconocidos.

Cuando utilizar ISMS.online, usted será capaz de:

crear un SGSI que sea compatible con ISO 27001 normas
realizar tareas y presentar pruebas para indicar que han cumplido con los requisitos de la norma.
asignar tareas y realizar un seguimiento del progreso hacia el cumplimiento de la ley.
obtenga acceso a un equipo especializado de asesores que lo ayudarán en su camino hacia el cumplimiento.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.