ISO 27002:2022 – Control 5.37 – Procedimientos operativos documentados

Propósito del Control 5.37

El control 5.37 trata de la concepto de seguridad de la información como una actividad operativa, cuyos elementos constitutivos son realizados y/o gestionados por una o más personas.

El Control 5.37 describe una serie de procedimientos operativos que aseguran una seguridad de la información de la organización instalación sigue siendo eficiente y segura, y en línea con sus requisitos documentados.

Tabla de atributos

Control 5.37 es un preventivo y correctivo controlar eso mantiene el riesgo mediante la creación de un banco de trámites asociados a una seguridad de la información de la organización actividades.

Propiedad del Control 5.37

El Control 5.37 aborda un conjunto diverso de circunstancias que tienen el potencial de incluir múltiples departamentos y roles laborales bajo el ámbito de procedimientos operativos documentados. Dicho esto, se puede asumir con seguridad que la mayoría de los procedimientos afectarán al personal, los equipos y los sistemas de TIC.

Cuando esto ocurra, la propiedad debe residir en un miembro superior del equipo de gestión responsable de todas las actividades relacionadas con las TIC, como un jefe de TI.

Orientación general sobre control 5.37

Se deben crear procedimientos para las actividades relacionadas con la seguridad de la información. de acuerdo con 5 consideraciones operativas clave:

1. Cualquier instancia de una actividad que es realizada por una o más personas, de la misma manera.
2. Cuando una actividad no se realiza con frecuencia.
3. Cuando un procedimiento conlleva el riesgo de ser olvidado.
4. Cualquier actividad nueva que no sea familiar para el personal y que, por tanto, esté sujeta a un mayor grado de riesgo.
5. Cuando la responsabilidad de la realización de una actividad se transfiere a un empleado o grupo de empleados diferente.

Cuando ocurran estos casos, los procedimientos operativos documentados deben describir claramente:

1. Cualquier persona responsable, tanto los operadores establecidos como los nuevos.
2. Un conjunto de pautas que mantienen la seguridad durante la instalación y posterior configuración de cualquier sistema empresarial relacionado.
3. Cómo se procesa la información a lo largo de la actividad.
4. Planes BUDR e implicaciones, en caso de pérdida de datos o de un evento importante (ver Control 8.13).
5. Dependencias vinculadas con cualquier otro sistema, incluida la programación.
6. Un procedimiento claro para tratar con “errores de manejo” o eventos diversos que tienen el potencial de ocurrir (ver Control 8.18).
7. Una lista completa del personal con el que se contactará en caso de cualquier interrupción, incluidos procedimientos claros de escalamiento.
8. Cómo operar cualquier medio de almacenamiento relevante asociado con la actividad (ver Controles 7.10 y 7.14).
9. Cómo reiniciar y recuperarse de una falla del sistema.
10. Registro de seguimiento de auditoría, incluidos todos los registros de eventos y del sistema asociados (ver Controles 8.15 y 8.17).
11. Sistemas de monitoreo de video que monitorean las actividades en el sitio (ver Control 7.4).
12. Un conjunto sólido de procedimientos de seguimiento que atiendan a la capacidad operativa, potencial de rendimiento y seguridad de dicha actividad.
13. Cómo se debe mantener la actividad para mantenerla en niveles óptimos de rendimiento.

Todos los procedimientos anteriores deben estar sujetos a revisiones periódicas y/o ad hoc, cuando sea necesario, y todos los cambios deben ser ratificados por la Gerencia de manera oportuna para salvaguardar la actividad de seguridad de la información en toda la organización.

Cambios y diferencias con respecto a ISO 27002:2013

27002:2022-5.37 reemplaza a 27002:2013-12.1.1 (Procedimientos operativos documentados).

27002:2022-5.37 amplía 27002:2013-12.1.1 al ofrecer un conjunto mucho más amplio de circunstancias que justificarían el cumplimiento de un procedimiento de documento.

27002:2013-12.1.1 enumera actividades de procesamiento de información, como procedimientos de inicio y cierre de computadoras, copias de seguridad, mantenimiento de equipos, manejo de medios, mientras que 27002:2022-5.37 amplía el mandato del control a actividades generalizadas que no se limitan a actividades específicas. funciones técnicas.

Aparte de algunas adiciones menores, como la categorización de las personas responsables de una actividad, 27002:2022-5.37 contiene los mismos puntos de orientación generales que 27002:2013-12.1.1.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

ISO 27002 La implementación es más sencilla con nuestra lista de verificación paso a paso que lo guía a través de todo el proceso, desde la definición del alcance de su SGSI hasta la identificación de riesgos y la implementación del control.

• Los usuarios pueden completar tareas y enviar pruebas para demostrar el cumplimiento del estándar.
• Es fácil delegar responsabilidades y monitorear el progreso hacia el cumplimiento.
• El extenso El conjunto de herramientas de evaluación de riesgos ahorra tiempo y esfuerzo durante todo el proceso..
• Tenemos un dedicado equipo de consultores disponibles para apoyar usted a lo largo de su camino hacia el cumplimiento.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.