¿Qué es el Control 5.9 Inventario de Información y Otros Activos Asociados?
El control 5.9 de la norma ISO 27002:2022 revisada describe cómo se debe desarrollar y mantener un inventario de información y otros activos asociados, incluidos los propietarios.
Inventario de activos de información
Para llevar a cabo sus actividades, la organización necesita saber qué activos de información tiene a su disposición.
Un inventario de activos de información (AI) es una lista de todo lo que una organización almacena, procesa o transmite. Incluye también la ubicación y los controles de seguridad de cada elemento. El objetivo es identificar cada dato. Se puede considerar como el equivalente contable de la protección de datos.
Una auditoría interna (AI) puede utilizarse para identificar deficiencias en su programa de seguridad y fundamentar las evaluaciones de riesgos cibernéticos, donde podría haber vulnerabilidades que podrían derivar en una brecha de seguridad. También puede servir como prueba durante las auditorías de cumplimiento para demostrar que ha actuado con la debida diligencia en la identificación de sus datos confidenciales, lo que le ayudará a evitar multas y sanciones.
El inventario de activos de información también debe incluir detalles sobre quién posee cada activo y quién lo administra. Asimismo, debe incluir información sobre el valor de cada elemento del inventario y su importancia para el éxito de las operaciones comerciales de la organización.
Es importante que los inventarios se mantengan actualizados para que reflejen los cambios dentro de la organización.
¿Por qué necesito un inventario de activos de información?
La gestión de activos de información tiene una larga trayectoria en la planificación de la continuidad del negocio (BCP), la recuperación ante desastres (DR) y la planificación de respuesta a incidentes.
El primer paso en cualquiera de esos procesos implica identificar sistemas, redes, bases de datos, aplicaciones, flujos de datos y otros componentes críticos que necesitan protección. Si no sabes qué necesita protección o dónde reside, entonces no puedes planificar cómo protegerlo.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Tabla de Atributos de Control 5.9
Los controles se clasifican mediante atributos. Al usarlos, puede hacer coincidir rápidamente su selección de control con los términos y especificaciones comúnmente utilizados en la industria.
Esta tabla complementa el trabajo que muchos clientes realizan actualmente como parte de su evaluación de riesgos y SOA, al identificar la confidencialidad , la integridad y la disponibilidad, entre otros factores. En el control 5.9, los atributos son:
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Identificar | #Gestión de activos | #Gobernanza y Ecosistema |
| #Integridad | #Proteccion | |||
| #Disponibilidad |
¿Cuál es el propósito del Control 5.9?
El propósito de este control es identificar la información de la organización y otros activos asociados con el fin de preservar la seguridad de su información y asignar la propiedad adecuada.
El Control 5.9 cubre el control, el propósito y la guía de implementación para crear un inventario de información y otros activos asociados en línea con el marco SGSI según lo definido por ISO 27001.
El control requiere realizar un inventario de toda la información y otros activos asociados, clasificarlos en distintas categorías, identificar a sus propietarios y documentar los controles que existen o deberían implementarse.
Este es un paso crucial para garantizar que todos los activos de información estén adecuadamente protegidos.
Qué implica y cómo cumplir los requisitos
Para cumplir con los requisitos de la nueva norma ISO 27002:2022 , es necesario identificar la información y otros activos asociados dentro de su organización. A continuación, debe determinar la importancia de estos elementos en términos de seguridad de la información. Si procede, la documentación debe conservarse en inventarios específicos o ya existentes.
El enfoque para desarrollar un inventario variará según el tamaño y la complejidad de una organización, sus controles y políticas existentes y los tipos de información y otros activos asociados que utiliza.
Según el control 5.9, el inventario de información y otros activos asociados debe ser preciso, actualizado, consistente y alineado con otros inventarios. Las opciones para garantizar la precisión de un inventario de información y otros activos asociados incluyen:
a) realizar revisiones periódicas de la información identificada y otros activos asociados en comparación con el inventario de activos;
b) aplicar automáticamente una actualización de inventario en el proceso de instalación, cambio o eliminación de un activo.
La ubicación de un activo debe incluirse en el inventario según corresponda.
Es posible que algunas organizaciones necesiten mantener varios inventarios para diferentes propósitos. Por ejemplo, algunas organizaciones tienen inventarios dedicados a licencias de software o a equipos físicos como computadoras portátiles y tabletas.
Otros pueden tener un único inventario que incluya todo el equipo físico, incluidos los dispositivos de red como enrutadores y conmutadores. Es importante que dichos inventarios se revisen periódicamente para garantizar que se mantengan actualizados y puedan utilizarse para facilitar las actividades de gestión de riesgos.
Puede encontrar más información sobre el cumplimiento de los requisitos para el control 5.9 en el nuevo documento ISO 27002:2022.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Diferencias entre ISO 27002:2013 e ISO 27002:2022
En ISO 27002:2022, 57 controles de ISO 27002:2013 se fusionaron en 24 controles. Por lo que no encontrará el control 5.9 como Inventario de Información y Otros Activos Asociados en la versión 2013. Más bien en la versión 2022, es una combinación de control 8.1.1 Inventario de activos y control 8.1.2 Propiedad de activos.
La intención del control 8.1.1 Inventario de activos es garantizar que todos los activos de información estén identificados, documentados y revisados periódicamente, y que existan procesos y procedimientos adecuados para garantizar que este inventario sea seguro.
Control 8.1.2 Propiedad de los Activos es responsable de garantizar que todos los activos de información bajo su control estén adecuadamente identificados y sean de su propiedad. Saber quién es el propietario de qué puede ayudarle a determinar qué activos necesita proteger y ante quién debe rendir cuentas.
Si bien ambos controles de ISO 27002:2013 son similares al control 5.9 de ISO 27002:2022, este último se ha ampliado para permitir una interpretación más fácil de usar. Por ejemplo, la guía de implementación para la propiedad de activos bajo control 8.1.2 establece que el propietario del activo debe:
a) asegurar que los activos estén inventariados;
b) garantizar que los activos estén debidamente clasificados y protegidos;
c) definir y revisar periódicamente las restricciones de acceso y las clasificaciones de los activos importantes, teniendo en cuenta las políticas de control de acceso aplicables;
d) garantizar un manejo adecuado cuando el activo sea eliminado o destruido.
Estos 4 puntos se han ampliado a 9 puntos en la sección de propiedad del control 5.9.
El propietario del activo debe ser responsable de la gestión adecuada del mismo durante todo su ciclo de vida, garantizando que:
a) la información y otros activos asociados se inventarian;
b) la información y otros activos asociados están debidamente clasificados y protegidos;
c) la clasificación se revisa periódicamente;
d) Los componentes que dan soporte a los activos tecnológicos se enumeran y vinculan, como por ejemplo la base de datos, el almacenamiento, los componentes de software y los subcomponentes;
e) se establecen los requisitos para el uso aceptable de la información y otros activos asociados (véase 5.10);
f) que las restricciones de acceso se correspondan con la clasificación y que sean efectivas y se revisen periódicamente;
g) la información y otros activos asociados, cuando se eliminan o se desechan, se manejan de manera segura y se eliminan del inventario;
h) participan en la identificación y gestión de los riesgos asociados a sus activos;
i) brindan apoyo al personal que tiene las funciones y responsabilidades de administrar su información.
Fusionar estos dos controles para formar uno permite una mejor comprensión por parte del usuario.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
¿Qué significan estos cambios para usted?
Las últimas modificaciones de la norma ISO 27002 no afectan a su certificación actual según la norma ISO 27001. Solo las actualizaciones de la ISO 27001 influyen en las certificaciones existentes , y los organismos de acreditación colaborarán con los organismos de certificación para desarrollar un ciclo de transición que proporcione a las organizaciones con certificados ISO 27001 el tiempo suficiente para migrar de una versión a otra.
Dicho esto, se deben seguir los siguientes pasos para cumplir con la versión revisada:
- Asegúrese de que su empresa cumpla con el nuevo requisito revisando su registro de riesgos y su gestión de riesgos practicas
- El SoA debería revisarse para reflejar los cambios en el anexo A.
- Sus políticas y procesos deben actualizarse para cumplir con las nuevas regulaciones.
Nuevas mejores prácticas y cualidades para la selección de controles estarán disponibles durante el tiempo de transición al nuevo estándar, lo que permitirá un proceso de selección más efectivo y eficiente.
Por ello, debe seguir empleando un enfoque basado en el riesgo para garantizar que solo se elijan los controles más relevantes y eficaces para su negocio.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | de 16.1.2 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | de 11.1.2 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
Puede utilizar ISMS.online para gestionar la implementación de su norma ISO 27002, ya que ha sido diseñada específicamente para ayudar a las empresas a implementar su sistema de gestión de seguridad de la información (SGSI) para cumplir con los requisitos de la norma ISO 27002.
La plataforma utiliza un enfoque basado en riesgos combinado con las mejores prácticas y plantillas líderes en la industria para ayudarlo a identificar los riesgos que enfrenta su organización y los controles necesarios para gestionar esos riesgos. Esto le permite reducir sistemáticamente tanto su exposición al riesgo como sus costos de cumplimiento.
Utilizando ISMS.online puedes:
- Implementar rápidamente un Sistema de Gestión de Seguridad de la Información (SGSI).
- Gestiona fácilmente la documentación de tu SGSI.
- Agilizar el cumplimiento de todos los estándares relevantes.
- Administre todos los aspectos de la seguridad de la información, desde la gestión de riesgos hasta la capacitación en concientización sobre seguridad.
- Comuníquese de manera efectiva en toda su organización utilizando nuestra funcionalidad de comunicación incorporada.
La plataforma ISMS.online se basa en el ciclo Planificar-Hacer-Verificar-Actuar (PDCA), un proceso iterativo de cuatro pasos para la mejora continua, y cumple con todos los requisitos de la norma ISO 27002:2022. Es muy sencillo: solo tienes que crear una cuenta de prueba gratuita y seguir los pasos que te indicamos.
Ponte en contacto hoy mismo para reservar una demostración.
