ISO 27002:2022 – Control 8.11 – Enmascaramiento de datos

Propósito del Control 8.11

El enmascaramiento de datos es una técnica utilizada para proteger datos confidenciales (normalmente cualquier dato que pueda considerarse información de identificación personal (PII)) más allá de los protocolos de seguridad de la información estándar de una organización, como el control de acceso, etc.

El enmascaramiento de datos se menciona a menudo en directrices y leyes legales, reglamentarias y reglamentarias que rigen el almacenamiento y el acceso a la información de empleados, clientes, usuarios y proveedores.

Tabla de Atributos de Control 8.11

Control 8.11 es un preventivo controlar eso modifica el riesgo sugiriendo una serie de técnicas de enmascaramiento de datos que salvaguardan la PII y ayudan a la organización a cumplir con lo que les exigen las autoridades legales y las agencias reguladoras.

Propiedad del Control 8.11

El enmascaramiento de datos es un proceso técnico complejo que implica alterar información confidencial y evitar que los usuarios identifiquen a los interesados ​​mediante una variedad de medidas.

Si bien esto es en sí mismo una tarea administrativa, la naturaleza del enmascaramiento de datos está directamente relacionada con la capacidad de una organización para cumplir con las leyes, regulaciones y directrices estatutarias relativas al almacenamiento, acceso y procesamiento de datos. Como tal, la propiedad debe residir en el Director de Información de Seguridad, o equivalente organizacional.

Orientación general sobre cumplimiento

Control 8.11 pide a las organizaciones que consideren el enmascaramiento de datos a través del alcance de dos técnicas principales: seudonimización y/o anonimización. Ambos métodos están diseñados para disfrazar el verdadero propósito de la PII mediante la disociación, es decir, ocultando el vínculo entre los datos sin procesar y el sujeto (normalmente una persona).

Las organizaciones deben tener mucho cuidado para garantizar que ningún dato comprometa la identidad del sujeto.

Al utilizar cualquiera de estas técnicas, las organizaciones deben considerar:

1. El nivel de seudonimización y/o anonimización requerido, en relación con la naturaleza de los datos.
2. Cómo se accede a los datos enmascarados.
3. Cualquier acuerdo vinculante que restrinja el uso de los datos a enmascarar.
4. Mantener los datos enmascarados separados de cualquier otro tipo de datos, para evitar que el interesado sea fácilmente identificado.
5. Registrar cuándo se recibieron los datos y cómo se proporcionaron a fuentes internas o externas.

Orientación – Técnicas adicionales

La seudonimización y la anonimización no son los únicos métodos disponibles para las organizaciones que buscan enmascarar PII o datos confidenciales. Control 8.11 describe otros cinco métodos que se pueden utilizar para reforzar la seguridad de los datos:

1. Cifrado basado en claves.
2. Anular o eliminar caracteres dentro del conjunto de datos.
3. Números y fechas variables.
4. Reemplazo de valores en los datos.
5. Enmascaramiento de valores basado en hash.

Orientación: principios de enmascaramiento de datos

El enmascaramiento de datos es una parte importante de la política de una organización para proteger la PII y salvaguardar la identidad de las personas sobre las que guarda datos.

Además de las técnicas anteriores, las organizaciones deben considerar las siguientes sugerencias al diseñar su estrategia para el enmascaramiento de datos:

1. Implementar técnicas de enmascaramiento que sólo revelen la cantidad mínima de datos a cualquiera que lo utilice.
2. 'Ocultar' (ocultar) ciertos datos a petición del sujeto y permitir que solo ciertos miembros del personal accedan a las secciones que sean relevantes para ellos.
3. Construir su operación de enmascaramiento de datos en torno a pautas legales y regulatorias específicas.
4. Cuando se implementa la seudonimización, el algoritmo que se utiliza para "desenmascarar" los datos se mantiene seguro y protegido.

Cambios y diferencias con respecto a ISO 27002:2013

Ninguno. Control 8.11 no tiene precedentes en ISO 27002:2013 ya que es nuevo.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

Nuestra plataforma basada en la nube le proporciona un marco sólido de controles de seguridad de la información para que pueda verificar su proceso SGSI a medida que avanza para asegurarse de que cumple con los requisitos de ISO 27002:2022.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.