Si bien el cambio al trabajo remoto y el uso cada vez mayor de dispositivos móviles aumentan la productividad de los empleados y ahorran dinero a las organizaciones, los dispositivos finales de los usuarios, como computadoras portátiles, teléfonos móviles y tabletas, son vulnerables a las amenazas cibernéticas. Esto se debe a que los ciberdelincuentes suelen aprovechar estos dispositivos para obtener acceso no autorizado a redes corporativas y comprometer activos de información.
Por ejemplo, los ciberdelincuentes pueden atacar a los empleados con un ataque de phishing, persuadirlos para que descarguen un archivo adjunto de malware y luego utilizar este dispositivo terminal de usuario infectado con malware para propagar el malware por toda la red corporativa. Este ataque puede resultar en la pérdida de Disponibilidad, integridad o confidencialidad de los activos de información..
De acuerdo a una encuesta Realizado con 700 profesionales de TI, alrededor del 70% de las organizaciones experimentaron compromisos de activos de información y de infraestructura de TI como resultado de un ataque relacionado con un dispositivo de usuario final en 2020.
El Control 8.1 aborda cómo las organizaciones pueden establecer, mantener e implementar políticas, procedimientos y medidas técnicas específicas de temas para garantizar que los activos de información alojados o procesados en los dispositivos finales de los usuarios no se vean comprometidos, perdidos o robados.
Control 8.1 permite a las organizaciones proteger y mantener la seguridad, confidencialidad, integridad y disponibilidad de los activos de información alojados o accesibles a través de dispositivos de usuario finales al implementar políticas, procedimientos y controles adecuados.
El Control 8.1 es de carácter preventivo. Requiere que las organizaciones implementen políticas, procedimientos y medidas técnicas que se apliquen a todos los dispositivos terminales de los usuarios que alojan o procesan activos de información para que no se vean comprometidos, perdidos o robados.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad #Integridad #Disponibilidad | #Proteger | #Gestión de activos #Protección de la información | #Proteccion |
Considerando que el cumplimiento del Control 8.1 implica la creación, el mantenimiento y el cumplimiento de políticas, procedimientos y medidas técnicas específicas para temas específicos en toda la organización, el jefe El oficial de seguridad de la información debe asumir la responsabilidad del cumplimiento. con los requisitos del Control 8.1.
Control 8.1 requiere que las organizaciones creen una política de tema específico que aborde cómo los dispositivos terminales de los usuarios deben configurarse de forma segura y cómo los usuarios deben manejar estos dispositivos.
Todo el personal debe estar informado sobre esta Política y la Política debe cubrir lo siguiente:
Además, la Guía general señala que las organizaciones deberían considerar prohibir el almacenamiento de activos de información confidencial en los dispositivos finales de los usuarios mediante la implementación de controles técnicos.
Estos controles técnicos pueden incluir la desactivación de funciones de almacenamiento local, como las tarjetas SD.
Al poner en práctica estas recomendaciones, las organizaciones deben recurrir a la Gestión de la Configuración como se establece en el Control 8.9 y utilizar herramientas automatizadas.
Todo el personal debe estar informado sobre las medidas de seguridad para los dispositivos terminales de los usuarios y los procedimientos que deben seguir. Además, deberían ser conscientes de sus responsabilidades para aplicar estas medidas y procedimientos.
Las organizaciones deben instruir al personal para que cumpla con las siguientes reglas y procedimientos:
Además, también se recomienda a las organizaciones que establezcan un procedimiento especial en caso de pérdida o robo de los dispositivos terminales de los usuarios. Este procedimiento debe crearse teniendo en cuenta los requisitos legales, contractuales y de seguridad.
El único cumplimiento
solución que necesitas
Reserva tu demostración
Si bien permitir que el personal utilice sus propios dispositivos personales para fines relacionados con el trabajo ahorra dinero a las organizaciones, expone los activos de información confidencial a nuevos riesgos.
Control 8.1 enumera cinco recomendaciones que las organizaciones deben considerar al permitir que los empleados utilicen sus propios dispositivos para tareas relacionadas con el trabajo:
Las organizaciones deben desarrollar y mantener procedimientos para:
Cuando los dispositivos terminales de los usuarios se sacan de las instalaciones de la organización, los activos de información pueden quedar expuestos a mayores riesgos de compromiso. Por lo tanto, es posible que las organizaciones tengan que establecer controles diferentes para los dispositivos utilizados fuera de las instalaciones.
Además, Control 8.1 advierte a las organizaciones contra la pérdida de información debido a dos riesgos relacionados con las conexiones inalámbricas:
Le daremos una ventaja inicial del 81%
desde el momento en que inicias sesión
Reserva tu demostración
27002:2022/8.1 reemplaza a 27002:2013/(6.2.1 y 12.2.8)
In contraste con la versión 2022 que aborda los dispositivos terminales de usuario bajo un control (8.1), la versión 2013 incluía dos controles separados: Política de dispositivos móviles en Control 6.2.1 y Equipo de usuario desatendido en Control 11.2.8.
Además, mientras que Control 8.1 en la versión 2022 se aplica a todos los dispositivos terminales de los usuarios, como computadoras portátiles, tabletas y teléfonos móviles, la versión 2013 solo se refiere a los dispositivos móviles.
Si bien ambas versiones son muy similares en términos de requisitos de responsabilidad del usuario, la versión 2022 contiene un requisito adicional:
En comparación con la Versión 2013, el control 8.1 en la Versión 2022 introduce tres nuevos requisitos para el uso de dispositivos privados del personal (BYOD):
Al igual que la versión 2013, la versión 2022 también requiere que las organizaciones adopten una política de tema específico en los dispositivos terminales de los usuarios.
Sin embargo, el control 8.1 en la versión 2022 es más completo ya que contiene tres nuevos elementos que es necesario incluir:
ISMS.Online es el software de sistema de gestión ISO 27002 líder que respalda el cumplimiento de ISO 27002y ayuda a las empresas a alinear sus políticas de seguridad y procedimientos con la norma.
La plataforma basada en la nube proporciona un conjunto completo de herramientas para ayudar a las organizaciones a configurar una sistema de gestión de la seguridad de la información (SGSI) según ISO 27002.
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
Reserva una sesión práctica personalizada
en base a tus necesidades y objetivos
Reserva tu demostración
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | Nuevo | Inteligencia de amenazas |
| 5.23 | Nuevo | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | Nuevo | Preparación de las TIC para la continuidad del negocio |
| 7.4 | Nuevo | Monitoreo de seguridad física |
| 8.9 | Nuevo | gestión de la configuración |
| 8.10 | Nuevo | Eliminación de información |
| 8.11 | Nuevo | Enmascaramiento de datos |
| 8.12 | Nuevo | Prevención de fuga de datos |
| 8.16 | Nuevo | Actividades de monitoreo |
| 8.23 | Nuevo | Filtrado Web |
| 8.28 | Nuevo | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | Nuevo | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
