¿Qué es el Control 5.6 Contacto con Grupos de Interés Especial?
Grupos de intereses especiales
En general, un grupo de interés especial puede definirse como una asociación de personas u organizaciones interesadas en un campo de especialización concreto, o que trabajan en él, donde los miembros cooperan para resolver problemas, generar soluciones y adquirir conocimientos. En nuestro caso, esta área de especialización sería la seguridad de la información.
Los fabricantes, los foros especializados y los grupos profesionales son ejemplos de este tipo de entidades. El gobierno también es un ejemplo de grupo de interés especial.
Tabla de atributos
Los controles se clasifican mediante atributos. Al usarlos, puede hacer coincidir rápidamente su selección de control con los términos y especificaciones comúnmente utilizados en la industria. Los atributos para el control 5.6 son:
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Proteger | #Gobernancia | #Defensa |
| #Correctivo | #Integridad | #Responder | ||
| #Disponibilidad | #Recuperar |
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
¿Cuál es el propósito del Control 5.6?
Hoy en día, la mayoría de las organizaciones tienen algún tipo de relación con grupos de intereses especiales. Puede ser un grupo de clientes, un grupo de proveedores o un grupo que tiene alguna influencia en la organización. El propósito del control 5.6 es garantizar que se lleve a cabo un flujo apropiado de información con respecto a la seguridad de la información entre estos grupos de intereses especiales.
El control 5.6 abarca los requisitos, el propósito y las directrices de implementación sobre cómo contactar con grupos de interés especiales para garantizar que su organización participe activamente en el contacto y la consulta periódicos con las partes interesadas pertinentes , incluidos los consumidores y sus representantes, los proveedores, los socios y el gobierno, con el fin de mejorar sus capacidades de seguridad de la información.
Es posible que estas organizaciones puedan identificar peligros de seguridad que usted haya ignorado. Como asociación, ambas partes pueden beneficiarse del conocimiento mutuo en términos de nuevas ideas y mejores prácticas, lo cual es un escenario en el que todos ganan.
Además, estos grupos pueden proporcionar sugerencias o recomendaciones útiles sobre prácticas, procedimientos o tecnologías de seguridad que pueden hacer que su sistema sea más seguro sin dejar de alcanzar sus objetivos comerciales.
Qué implica y cómo cumplir los requisitos
En lo que respecta al cumplimiento de los requisitos del Control 5.6 de la norma ISO 27002:2022 , es importante que las organizaciones sigan las directrices de implementación definidas por la norma.
Según el control 5.6, la membresía en grupos o foros de intereses especiales debería ser un medio para:
- mejorar el conocimiento sobre las mejores prácticas y mantenerse actualizado con información de seguridad relevante.
- garantizar que la comprensión del entorno de seguridad de la información esté actualizada.
- Reciba alertas tempranas de alertas, avisos y parches relacionados con ataques y vulnerabilidades.
- obtener acceso a asesoramiento especializado en seguridad de la información.
- compartir e intercambiar información sobre nuevas tecnologías, productos, servicios, amenazas o vulnerabilidades.
- proporcionar puntos de enlace adecuados al tratar con incidentes de seguridad de la información.
La norma ISO/IEC 27000 exige el establecimiento y mantenimiento de un sistema de gestión de la seguridad de la información (SGSI). El control 5.6 es fundamental en este proceso. El contacto con grupos de interés especial es importante, ya que permite obtener retroalimentación de otros profesionales sobre la eficacia de los procesos de seguridad de la información.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Diferencias entre ISO 27002:2013 e ISO 27002:2022
Según lo ya expuesto, el control 5.6 de la norma ISO 27002:2022 , «Contacto con grupos de interés especial», no es un control nuevo. Se trata, esencialmente, de una versión modificada del control 6.1.4, que figura en la norma ISO 27002:2013.
Si bien los fundamentos de los dos controles son esencialmente los mismos, existen algunas modificaciones menores en la versión 2022 del control. En el caso de la norma ISO 27002:2022, el propósito del control está establecido en la norma. En la edición de 2013 falta esta finalidad de control.
Además, si bien las pautas de implementación para ambas versiones son las mismas, la fraseología utilizada en cada versión difiere.
Todas estas mejoras tienen como objetivo garantizar que el estándar se mantenga actualizado y relevante a la luz de las crecientes preocupaciones de seguridad y desarrollos tecnológicos. Las organizaciones también se beneficiarán de esto, ya que facilitará el cumplimiento del estándar.
¿Quién está a cargo de este proceso?
En una organización típica, el jefe de seguridad de la información (también conocido como Director de Seguridad de la Información - CISO) está a cargo de todos los aspectos de la privacidad y seguridad de los datos, incluido el cumplimiento.
Esta función también puede ser desempeñada por el Gerente de Seguridad de la Información (Gerente de SGSI) . Sin embargo, independientemente de quién la ocupe, no podrá implementarse sin el respaldo de la alta dirección.
¿Qué significa esto para las organizaciones?
Si su organización ya ha implementado la norma ISO 27002:2013, deberá actualizar sus procedimientos para garantizar el cumplimiento con la norma actualizada, que se lanzó en febrero de 2022.
Si bien habrá algunos cambios en la versión 2022, la mayoría de las organizaciones deberían poder realizar las modificaciones necesarias sin problemas. Además, las organizaciones certificadas tendrán una fase de transición de dos años durante la cual podrán renovar su certificación para garantizar que cumple con la nueva versión del estándar.
Dicho esto, nuestra guía ISO 27002:2022 puede ayudarle a comprender mejor cómo la nueva norma ISO 27002 afectará a sus operaciones de seguridad de datos y a la certificación ISO 27001.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | de 16.1.2 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | de 11.1.2 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.Online
En ISMS.online , hemos creado un sistema integral y fácil de usar que puede ayudarle a implementar los controles ISO 27002 y a gestionar todo su SGSI (Sistema de Gestión de Seguridad de la Información).
ISMS.online facilita la implementación de la norma ISO 27002 al proporcionar un conjunto de herramientas que le ayudarán a gestionar la seguridad de la información en su organización. Le ayudará a identificar riesgos y desarrollar controles para mitigarlos , y luego le mostrará cómo implementarlos dentro de la organización.
ISMS.online también le ayudará a demostrar el cumplimiento de la norma, proporcionándole un panel de control de gestión, informes y registros de auditoría.
Nuestra plataforma basada en la nube ofrece:
- Un sistema de gestión de documentación fácil de usar y personalizar
- Acceso a una biblioteca de plantillas de documentación pulidas y preescritas
- Un proceso simplificado para realización de auditorías internas
- Un método eficaz para comunicarse con la dirección y las partes interesadas.
- Un módulo de flujo de trabajo para agilizar el proceso de implementación.
ISMS.online tiene todas estas características y más.
Ponte en contacto hoy mismo para reservar una demostración.
