Propósito del Control 5.36
Una parte fundamental para operar con un conjunto sólido y seguro de prácticas de seguridad de la información es la necesidad de cumplir con todas las políticas y procedimientos publicados.
El control 5.36 exige que las organizaciones obtengan una visión integral del cumplimiento de la seguridad de la información, en relación con sus diversas políticas (tanto generales como específicas de cada tema), reglas y estándares.
Tabla de atributos
El control 5.36 es un control preventivo y correctivo que modifica el riesgo al mantener el cumplimiento de las políticas y los procedimientos preexistentes dentro del ámbito de la seguridad de la información.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Identificar | #Legal y Cumplimiento | #Gobernanza y Ecosistema |
| #Integridad | #Proteger | #Garantía de seguridad de la información | ||
| #Disponibilidad |
Propiedad del Control 5.36
El Control 5.36 se ocupa principalmente de cuestiones operativas. Como tal, la propiedad debe residir en el director de operaciones o el CISO (si está presente).
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación general sobre control 5.36
Los gerentes y los propietarios de la información (incluidos los propietarios de servicios y productos) deberían poder revisar el cumplimiento de todas las políticas, reglas y estándares de seguridad de la información de una organización.
Los gerentes deben implementar métodos de presentación de informes específicos del negocio (incorporando cualquier herramienta técnica que sea necesaria) sobre el cumplimiento de la seguridad de la información, con el objetivo general de realizar revisiones periódicas (que se registren, almacenen e informen minuciosamente) que resalten áreas de mejora.
Si se descubren problemas y se encuentran casos de incumplimiento, los gerentes deberían poder hacer lo siguiente:
- Establecer la causa subyacente del incumplimiento.
- Decidir si se requiere acción correctiva.
- De ser necesario, planificar e implementar dicha acción correctiva para asegurar el cumplimiento continuo.
- Una vez promulgada, revise cualquier acción correctiva tomada para explorar su efectividad y resaltar las áreas para un mayor desarrollo.
Las acciones correctivas deben tomarse “oportunamente”, e idealmente antes de la próxima revisión. Si las acciones no se han completado para cuando llegue la próxima revisión, los gerentes deberían poder evidenciar al menos el progreso.
Controles de apoyo
- 5.35
- 8.15
- 8.16
- 8.17
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27002:2013
27002:2022-5.36 reemplaza dos controles de 27002:2013, a saber:
- 18.2.2 – Cumplimiento de políticas y estándares de seguridad
- 18.2.3 – Revisión de cumplimiento técnico
27002:2022-5.36 condensa toda la compleja orientación técnica ofrecida en 27002:2013-18.2.3, simplemente afirmando que los gerentes deberían poder revisar el cumplimiento siempre que sea necesario.
La norma 27002:2022-5.36 contiene exactamente el mismo conjunto de puntos de orientación que la norma 27002:2013-18.2.2, en relación con las acciones que deben realizarse cuando una revisión detecta casos de incumplimiento.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | de 16.1.2 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | de 11.1.2 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
La implementación de la norma ISO 27002 es más sencilla con nuestra lista de verificación paso a paso que le guía a lo largo de todo el proceso, desde la definición del alcance de su SGSI hasta la identificación de riesgos y la implementación de controles.
Ponte en contacto hoy mismo para reservar una demostración.
