Protección de dispositivos de punto final de usuario: explicación del control 27002 de la norma ISO 8.1
Si bien el cambio al trabajo remoto y el uso cada vez mayor de dispositivos móviles aumentan la productividad de los empleados y ahorran dinero a las organizaciones, los dispositivos finales de los usuarios, como computadoras portátiles, teléfonos móviles y tabletas, son vulnerables a las amenazas cibernéticas. Esto se debe a que los ciberdelincuentes suelen aprovechar estos dispositivos para obtener acceso no autorizado a redes corporativas y comprometer activos de información.
Por ejemplo, los ciberdelincuentes pueden atacar a los empleados con un ataque de phishing, persuadirlos para que descarguen un archivo adjunto de malware y luego utilizar este dispositivo terminal de usuario infectado con malware para propagar el malware por toda la red corporativa. Este ataque puede resultar en la pérdida de Disponibilidad, integridad o confidencialidad de los activos de información..
De acuerdo a una en donde Realizado con 700 profesionales de TI, alrededor del 70% de las organizaciones experimentaron compromisos de activos de información y de infraestructura de TI como resultado de un ataque relacionado con un dispositivo de usuario final en 2020.
El Control 8.1 aborda cómo las organizaciones pueden establecer, mantener e implementar políticas, procedimientos y medidas técnicas específicas de temas para garantizar que los activos de información alojados o procesados en los dispositivos finales de los usuarios no se vean comprometidos, perdidos o robados.
Propósito del Control 8.1
Control 8.1 permite a las organizaciones proteger y mantener la seguridad, confidencialidad, integridad y disponibilidad de los activos de información alojados o accesibles a través de dispositivos de usuario finales al implementar políticas, procedimientos y controles adecuados.
Tabla de Atributos de Control 8.1
El Control 8.1 es de carácter preventivo. Requiere que las organizaciones implementen políticas, procedimientos y medidas técnicas que se apliquen a todos los dispositivos terminales de los usuarios que alojan o procesan activos de información para que no se vean comprometidos, perdidos o robados.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Proteger | #Gestión de activos | #Proteccion |
| #Integridad | #Protección de la información | |||
| #Disponibilidad |
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Propiedad del Control 8.1
Considerando que el cumplimiento del Control 8.1 implica la creación, el mantenimiento y el cumplimiento de políticas, procedimientos y medidas técnicas específicas para temas específicos en toda la organización, el jefe El oficial de seguridad de la información debe asumir la responsabilidad del cumplimiento. con los requisitos del Control 8.1.
Orientación general sobre cumplimiento
Control 8.1 requiere que las organizaciones creen una política de tema específico que aborde cómo los dispositivos terminales de los usuarios deben configurarse de forma segura y cómo los usuarios deben manejar estos dispositivos.
Todo el personal debe estar informado sobre esta Política y la Política debe cubrir lo siguiente:
- Qué tipo de información, particularmente en qué nivel de clasificación, se puede procesar, almacenar o utilizar en los dispositivos terminales de los usuarios.
- Cómo se deben registrar los dispositivos.
- Requisitos para la protección física de los dispositivos.
- Restricciones a la instalación de programas de software en dispositivos.
- Normas sobre la instalación de software en los dispositivos y sobre actualizaciones de software.
- Reglas sobre cómo los dispositivos terminales del usuario se pueden conectar a redes públicas o a redes en otras instalaciones externas.
- Controles de acceso.
- Cifrado de los medios de almacenamiento que alojan los activos de información.
- Cómo se protegerán los dispositivos contra ataques de malware.
- Cómo se pueden desactivar o bloquear los dispositivos. Cómo se puede borrar de forma remota la información contenida en los dispositivos.
- Métodos y procedimientos de respaldo.
- Normas sobre el uso de aplicaciones y servicios web.
- Análisis del comportamiento del usuario final.
- Cómo se pueden utilizar los medios de almacenamiento extraíbles, como las unidades USB, y cómo se pueden desactivar los puertos físicos, como los puertos USB.
- Cómo Las capacidades de segregación se pueden utilizar para separar la información de la organización. activos de otros activos almacenados en el dispositivo del usuario.
Además, la Guía general señala que las organizaciones deberían considerar prohibir el almacenamiento de activos de información confidencial en los dispositivos finales de los usuarios mediante la implementación de controles técnicos.
Estos controles técnicos pueden incluir la desactivación de funciones de almacenamiento local, como las tarjetas SD.
Al poner en práctica estas recomendaciones, las organizaciones deben recurrir a la Gestión de la Configuración como se establece en el Control 8.9 y utilizar herramientas automatizadas.
Orientación complementaria sobre la responsabilidad del usuario
Todo el personal debe estar informado sobre las medidas de seguridad para los dispositivos terminales de los usuarios y los procedimientos que deben seguir. Además, deberían ser conscientes de sus responsabilidades para aplicar estas medidas y procedimientos.
Las organizaciones deben instruir al personal para que cumpla con las siguientes reglas y procedimientos:
- Cuando un servicio ya no es necesario o cuando finaliza una sesión, los usuarios deben cerrar sesión y finalizar los servicios.
- El personal no debe dejar sus dispositivos desatendidos. Cuando los dispositivos no estén en uso, el personal debe mantener el Seguridad de los dispositivos contra el acceso o uso no autorizado mediante la aplicación de controles físicos. como cerraduras con llave y mediante controles técnicos como contraseñas robustas.
- El personal debe actuar con especial cuidado cuando utilice dispositivos terminales que contengan información confidencial en áreas públicas inseguras.
- Los dispositivos terminales de los usuarios deben protegerse contra robos, particularmente en áreas de riesgo como habitaciones de hotel, salas de conferencias o transporte público.
Además, también se recomienda a las organizaciones que establezcan un procedimiento especial en caso de pérdida o robo de los dispositivos terminales de los usuarios. Este procedimiento debe crearse teniendo en cuenta los requisitos legales, contractuales y de seguridad.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Guía complementaria sobre el uso de dispositivos personales (BYOD)
Si bien permitir que el personal utilice sus propios dispositivos personales para fines relacionados con el trabajo ahorra dinero a las organizaciones, expone los activos de información confidencial a nuevos riesgos.
Control 8.1 enumera cinco recomendaciones que las organizaciones deben considerar al permitir que los empleados utilicen sus propios dispositivos para tareas relacionadas con el trabajo:
- Deben existir medidas técnicas, como herramientas de software, para separar el uso personal y comercial de los dispositivos para que la información de la organización esté protegida.
- Se debe permitir al personal usar su propio dispositivo solo después de que acepte lo siguiente:
- El personal reconoce sus deberes de proteger físicamente los dispositivos y realizar las actualizaciones de software necesarias.
- El personal acepta no reclamar ninguna propiedad de los activos de información de la organización.
- El personal acepta que la información contenida en el dispositivo se puede eliminar de forma remota en caso de pérdida o robo del dispositivo, sujeto a requisitos legales para datos personales.
- Establecimiento de políticas sobre la titularidad de los derechos de propiedad intelectual creados mediante el uso de dispositivos terminales de usuario.
- Cómo se accederá a los dispositivos privados del personal considerando las restricciones legales a dicho acceso.
- Permitir que el personal utilice sus dispositivos privados puede generar responsabilidad legal debido al uso de software de terceros en estos dispositivos. Las organizaciones deben considerar los acuerdos de licencia de software que tienen con sus proveedores.
Orientación complementaria sobre conexiones inalámbricas
Las organizaciones deben desarrollar y mantener procedimientos para:
- Cómo se deben configurar las conexiones inalámbricas en los dispositivos.
- Cómo se utilizarán las conexiones inalámbricas o por cable con suficiente ancho de banda en cumplimiento de políticas temáticas específicas.
Orientación adicional sobre control 8.1
Cuando los dispositivos terminales de los usuarios se sacan de las instalaciones de la organización, los activos de información pueden quedar expuestos a mayores riesgos de compromiso. Por lo tanto, es posible que las organizaciones tengan que establecer controles diferentes para los dispositivos utilizados fuera de las instalaciones.
Además, Control 8.1 advierte a las organizaciones contra la pérdida de información debido a dos riesgos relacionados con las conexiones inalámbricas:
- Las conexiones inalámbricas con poco ancho de banda pueden provocar fallos en la copia de seguridad de los datos.
- Los dispositivos terminales de los usuarios pueden ocasionalmente desconectarse de la red inalámbrica y las copias de seguridad programadas pueden fallar.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27002:2013
27002:2022/8.1 reemplaza a 27002:2013/(6.2.1 y 12.2.8)
Diferencias estructurales
In contraste con la versión 2022 que aborda los dispositivos terminales de usuario bajo un control (8.1), la versión 2013 incluía dos controles separados: Política de dispositivos móviles en Control 6.2.1 y Equipo de usuario desatendido en Control 11.2.8.
Además, mientras que Control 8.1 en la versión 2022 se aplica a todos los dispositivos terminales de los usuarios, como computadoras portátiles, tabletas y teléfonos móviles, la versión 2013 solo se refiere a los dispositivos móviles.
La versión 2022 prescribe requisitos adicionales para la responsabilidad del usuario
Si bien ambas versiones son muy similares en términos de requisitos de responsabilidad del usuario, la versión 2022 contiene un requisito adicional:
- El personal debe actuar con especial cuidado cuando utilice dispositivos terminales que contengan información confidencial en áreas públicas inseguras.
La versión 2022 es más completa en términos de BYOD
En comparación con la Versión 2013, el control 8.1 en la Versión 2022 introduce tres nuevos requisitos para el uso de dispositivos privados del personal (BYOD):
- Establecimiento de políticas sobre la titularidad de los derechos de propiedad intelectual creados mediante el uso de dispositivos terminales de usuario.
- Cómo se accederá a los dispositivos privados del personal considerando las restricciones legales a dicho acceso.
- Permitir que el personal utilice sus dispositivos privados puede generar responsabilidad legal debido al uso de software de terceros en estos dispositivos. Las organizaciones deben considerar los acuerdos de licencia de software que tienen con sus proveedores.
La versión 2022 requiere una política de temas específicos más detallada
Al igual que la versión 2013, la versión 2022 también requiere que las organizaciones adopten una política de tema específico en los dispositivos terminales de los usuarios.
Sin embargo, el control 8.1 en la versión 2022 es más completo ya que contiene tres nuevos elementos que es necesario incluir:
- Análisis del comportamiento del usuario final.
- Cómo se pueden utilizar dispositivos extraíbles, como unidades USB, y cómo se pueden desactivar puertos físicos, como los puertos USB.
- Cómo Las capacidades de segregación se pueden utilizar para separar la información de la organización. activos de otros activos almacenados en el dispositivo del usuario.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
ISMS.Online es el software de sistema de gestión ISO 27002 líder que respalda el cumplimiento de ISO 27002, y ayuda a las empresas a alinear sus políticas de seguridad y procedimientos con la norma.
La plataforma basada en la nube proporciona un conjunto completo de herramientas para ayudar a las organizaciones a configurar una sistema de gestión de la seguridad de la información (SGSI) según ISO 27002.
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
