¿Qué es el Control? 5.4 Responsabilidades de la Gerencia
¿Qué es una política de seguridad de la información?
Una política de seguridad de la información es un documento formal que establece las directrices, los objetivos y los principios de la dirección para proteger la información de una organización. Una política de seguridad de la información eficaz debe adaptarse a las necesidades específicas de la organización y contar con el respaldo de la alta dirección para garantizar una asignación adecuada de recursos.
La política comunica los principios generales sobre cómo la dirección desea que los empleados manejen los datos confidenciales y cómo la empresa protegerá sus activos de información.
La política a menudo se deriva de leyes, regulaciones y mejores prácticas que la organización debe cumplir. Las políticas de seguridad de la información suelen ser creadas por la alta dirección de una organización, con aportaciones de su personal de seguridad de TI.
Las políticas también deben incluir un marco para definir las funciones y responsabilidades , así como un cronograma para la revisión periódica.
Tabla de atributos
Los atributos son una forma de categorizar diferentes tipos de controles. Estos atributos le permiten alinear sus controles con los estándares de la industria. En el control 5.4 son:
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Identificar | #Gobernancia | #Gobernanza y Ecosistema |
| #Integridad | ||||
| #Disponibilidad |
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
¿Cuál es el propósito del Control 5.4?
El control 5.4 se diseñó para garantizar que la dirección comprenda su responsabilidad en materia de seguridad de la información y que tome medidas para asegurar que todos los empleados conozcan y cumplan sus obligaciones en materia de seguridad de la información.
Control 5.4 Explicado
La información es un activo valioso y debe protegerse contra pérdidas, daños o uso indebido. La organización debe garantizar que se tomen las medidas adecuadas para proteger este activo. Para ello, la dirección debe asegurar que todo el personal aplique la política de seguridad de la información, así como las políticas y los procedimientos específicos de la organización.
El control 5.4 abarca el propósito y las directrices de implementación para definir la responsabilidad de la dirección con respecto a la seguridad de la información en una organización, de acuerdo con el marco de la norma ISO 27001.
Este control se centra en garantizar que la dirección esté comprometida con el programa de seguridad de la información y que todos los empleados y contratistas conozcan y cumplan la política de seguridad de la información de la organización. Nadie debe estar exento del cumplimiento obligatorio de las políticas de seguridad de la organización, así como de las políticas y procedimientos específicos sobre cada tema.
Qué implica y cómo cumplir los requisitos
La clave para cumplir con los requisitos de este control es garantizar que la administración sea capaz de obligar a todo el personal relevante a adherirse a las políticas, estándares y procedimientos de seguridad de la información de la organización.
El primer paso es obtener el respaldo y la aceptación de la dirección. Esta debe demostrar su compromiso cumpliendo con todas las políticas y procedimientos establecidos. Por ejemplo, si se exige a los empleados que realicen cursos anuales de capacitación en seguridad , los directivos deben dar el ejemplo y completarlos primero.
A continuación, es fundamental comunicar la importancia de la seguridad de la información a todos los miembros de la empresa, independientemente de su función. Esto incluye al consejo de administración, a los ejecutivos y a la gerencia, así como a los empleados. Todos deben comprender su papel en el mantenimiento de la seguridad de los datos confidenciales, tal como se establece en el programa de SGSI de la empresa.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Diferencias entre ISO 27002:2013 e ISO 27002:2022
El control 5.4 Responsabilidades de la Dirección de la norma ISO 27002:2022 se conocía anteriormente como control 7.2.1 Responsabilidades de la Dirección en la norma ISO 27002:2013. No se trata de un control nuevo, sino de una interpretación más sólida de la versión de 2013.
Si bien el control 5.4 y el control 7.2.1 cubren en términos generales lo mismo, existen pocas diferencias que las organizaciones y los gerentes comerciales deben tener en cuenta. Estas diferencias se tratan en la guía de implementación del control.
Control 5.4 Comparación de las pautas de implementación de ISO 27002:2013-2022
En ISO 27002: 2013, las responsabilidades de gestión cubren garantizar que los empleados y contratistas:
a) ser debidamente informados sobre sus funciones y responsabilidades en materia de seguridad de la información antes de que se les conceda acceso a información confidencial o sistemas de información;
b) reciben pautas para establecer las expectativas de seguridad de la información de su rol dentro del
Organización;
c) están motivados para cumplir con las políticas de seguridad de la información de la organización;
d) alcanzar un nivel de conocimiento sobre seguridad de la información relevante para sus funciones y responsabilidades dentro de la organización;
e) cumplir con los términos y condiciones de empleo, que incluyen la política de seguridad de la información de la organización y los métodos de trabajo apropiados;
f) seguir teniendo las habilidades y cualificaciones adecuadas y recibir formación de forma regular;
g) se les proporciona un canal de denuncia anónimo para informar sobre violaciones de las políticas o procedimientos de seguridad de la información ("denuncia de irregularidades").
La dirección debe demostrar apoyo a las políticas, procedimientos y controles de seguridad de la información y actuar como modelo a seguir.
Control 5.4 es una versión más fácil de usar y requiere que las responsabilidades de gestión garanticen que los empleados y contratistas:
a) Se les informa adecuadamente sobre sus funciones y responsabilidades en materia de seguridad de la información antes de que se les conceda acceso a la información de la organización y otros activos asociados;
b) Se les proporcionan directrices que establecen las expectativas de seguridad de la información de su función dentro de la organización;
c) Tienen la obligación de cumplir con la política de seguridad de la información y las políticas temáticas específicas de la organización;
d) Alcanzar un nivel de conocimiento sobre seguridad de la información relevante para sus funciones y responsabilidades dentro de la organización;
e) Cumplimiento de los términos y condiciones de empleo, contrato o acuerdo, incluida la política de seguridad de la información de la organización y los métodos de trabajo apropiados;
f) Mantener las habilidades y cualificaciones adecuadas en materia de seguridad de la información mediante formación profesional continua;
g) Cuando sea factible, se proporciona un canal confidencial para denunciar violaciones de la política de seguridad de la información, políticas o procedimientos específicos sobre seguridad de la información («denuncia de irregularidades»). Esto puede permitir denuncias anónimas o contar con disposiciones para garantizar que la identidad del denunciante sea conocida únicamente por quienes necesiten tramitar dichas denuncias;
h) Se les proporcionan recursos adecuados y tiempo de planificación de proyectos para implementar los procesos y controles relacionados con la seguridad de la organización.
Como puede ver, ISO 27002:2022 requiere específicamente que para ejecutar los procedimientos y controles relacionados con la seguridad de la organización, los trabajadores y contratistas reciban los recursos necesarios, así como el tiempo de planificación del proyecto.
La redacción de algunas de las directrices de implementación de ISO 27002:2013 frente a ISO 27002:2020 también se vio afectada. Mientras que la pauta C de la versión de 2013 establece que los empleados y contratistas deben ser "motivados" para adoptar las políticas SGSI de la empresa, la versión 2022 utiliza la palabra "obligatorio".
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
¿Quién está a cargo de este proceso?
La respuesta a esta pregunta es bastante simple: ¡la dirección! Es responsabilidad de la dirección garantizar que se implemente un SGSI (Sistema de gestión de seguridad de la información) adecuado.
Esto normalmente está respaldado por el nombramiento de un gerente de seguridad de la información debidamente calificado y con experiencia, quien será responsable ante la alta dirección por el desarrollo, implementación, gestión y mejora continua del SGSI.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | de 16.1.2 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | de 11.1.2 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
Uno de los mayores desafíos al implementar un SGSI alineado con la norma ISO 27001 es mantener actualizados los controles de seguridad de la información. Nuestro sistema lo hace fácil.
Comprendemos la importancia de proteger los datos y la reputación de su organización . Por eso, nuestra plataforma en la nube está diseñada para simplificar la implementación de la norma ISO 27001, proporcionarle un marco sólido de controles de seguridad de la información y ayudarle a obtener la certificación con un mínimo de recursos y tiempo.
Hemos incorporado a nuestra plataforma diversas funciones y herramientas fáciles de usar para ahorrarle tiempo y garantizarle la creación de un SGSI realmente sólido . Con ISMS.online , puede obtener fácilmente la certificación ISO 27001 y gestionarla sin complicaciones.
Reserva una demostración hoy mismo.
