ISO 27002:2022 – Control 5.36 – Cumplimiento de Políticas, Reglas y Estándares de Seguridad de la Información

Propósito del Control 5.36

Una parte clave de operar con un sistema robusto, conjunto seguro de prácticas de seguridad de la información es la necesidad de seguir cumpliendo con las políticas y procedimientos publicados.

El Control 5.36 requiere que las organizaciones obtengan una visión de arriba hacia abajo vista de la seguridad de la información cumplimiento, en relación con sus diversas políticas (tanto singulares como temáticas), reglas y estándares.

Tabla de atributos

Control 5.36 es un preventivo y correctivo controlar eso modifica el riesgo manteniendo la adherencia a lo preexistente. políticas y procedimientos en el ámbito de la seguridad de la información.

Propiedad del Control 5.36

El Control 5.36 se ocupa principalmente de cuestiones operativas. Como tal, la propiedad debe residir en el director de operaciones o el CISO (si está presente).

Orientación general sobre control 5.36

Gestores y propietarios de la información. (incluidos los propietarios de servicios y productos) deberían poder revisar el cumplimiento en todo el banco de políticas, reglas y estándares de seguridad de la información de una organización.

Los gerentes deben implementar métodos de presentación de informes específicos del negocio (incorporando cualquier herramienta técnica que sea necesaria) sobre el cumplimiento de la seguridad de la información, con el objetivo general de realizar revisiones periódicas (que se registren, almacenen e informen minuciosamente) que resalten áreas de mejora.

Si se descubren problemas y se encuentran casos de incumplimiento, los gerentes deberían poder hacer lo siguiente:

1. Establecer la causa subyacente del incumplimiento.
2. Decidir si se requiere acción correctiva.
3. De ser necesario, planificar e implementar dicha acción correctiva para asegurar el cumplimiento continuo.
4. Una vez promulgada, revise cualquier acción correctiva tomada para explorar su efectividad y resaltar las áreas para un mayor desarrollo.

Las acciones correctivas deben tomarse “oportunamente”, e idealmente antes de la próxima revisión. Si las acciones no se han completado para cuando llegue la próxima revisión, los gerentes deberían poder evidenciar al menos el progreso.

Controles de apoyo

• 5.35
• 8.15
• 8.16
• 8.17

Cambios y diferencias con respecto a ISO 27002:2013

27002:2022-5.36 reemplaza dos controles de 27002:2013, a saber:

• 18.2.2 – Cumplimiento de políticas y estándares de seguridad
• 18.2.3 – Revisión de cumplimiento técnico

27002:2022-5.36 condensa toda la compleja orientación técnica ofrecida en 27002:2013-18.2.3, simplemente afirmando que los gerentes deberían poder revisar el cumplimiento siempre que sea necesario.

27002:2022-5.36 contiene precisamente el mismo conjunto de puntos de orientación que 27002:2013-18.2.2, relacionados con la acciones que se requieren cuando una revisión detecta casos de incumplimiento.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

ISO 27002 La implementación es más sencilla con nuestra lista de verificación paso a paso que lo guía a través de todo el proceso, desde la definición del alcance de su SGSI hasta la identificación de riesgos y la implementación del control.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.