ISO 27002:2022 – Control 8.12 – Prevención de fuga de datos

Propósito del Control 8.12

La fuga de datos puede describirse en términos generales como cualquier información a la que acceden, la transfieren o la extraen personal y sistemas internos y externos no autorizados, o fuentes maliciosas que tienen como objetivo la operación de información de una organización.

La fuga de datos es un problema común dentro de las organizaciones que manejan grandes cantidades de datos, de diferentes clasificaciones, en múltiples sistemas, aplicaciones y servidores de archivos de TIC independientes y vinculados.

Tabla de Atributos de Control 8.12

Control 8.12 es un doble propósito preventivo y detective controlar eso modifica el riesgo mediante la implementación de medidas técnicas que detecten y prevengan proactivamente la divulgación y/o extracción de información, ya sea por personal interno y/o externo, o sistemas lógicos.

Propiedad del Control 8.12

Control 8.12 se ocupa de las operaciones de TIC que se realizan mediante el acceso del administrador del sistema y se incluyen en el ámbito de la gestión y el mantenimiento de la red. Como tal, la propiedad del Control 8.12 debe recaer en el Jefe de TI o su equivalente organizacional.

Orientación general sobre cumplimiento

La fuga de datos es difícil de erradicar por completo. Dicho esto, para minimizar los riesgos que son exclusivos de su operación, las organizaciones deberían:

1. Clasifique los datos de acuerdo con estándares reconocidos de la industria (PII, datos comerciales, información de productos), para asignar diferentes niveles de riesgo en todos los ámbitos.
2. Supervise de cerca los canales de datos conocidos que se utilizan mucho y son propensos a fugas (por ejemplo, correos electrónicos, transferencias de archivos internos y externos, dispositivos USB).
3. Tome medidas proactivas para evitar la filtración de datos (por ejemplo, permisos de archivos sólidos y técnicas de autorización adecuadas).
4. Restrinja la capacidad de un usuario para copiar y pegar datos (cuando corresponda) hacia y desde plataformas y sistemas específicos.
5. Requerir autorización del titular de los datos antes de realizar cualquier exportación masiva.
6. Considere administrar o evitar que los usuarios tomen capturas de pantalla o fotografíen monitores que muestren tipos de datos protegidos.
7. Cifre las copias de seguridad que contienen información confidencial.
8. Formular medidas de seguridad de puerta de enlace y medidas de prevención de fugas que protejan contra factores externos como (entre otros) espionaje industrial, sabotaje, interferencia comercial y/o robo de propiedad intelectual.

La prevención de fuga de datos está vinculada a muchas otras pautas de seguridad ISO que buscan salvaguardar la información y los datos en toda la red de una organización, incluidas medidas de control de acceso (ver Control 5.12) y gestión segura de documentos (ver Control 5.15).

Orientación: herramientas de fuga de datos

Las organizaciones deberían considerar el uso de herramientas y programas de utilidad dedicados a la fuga de datos que:

1. Trabaje en conjunto con el enfoque de la organización para la clasificación de datos e identifique el potencial de fuga dentro de los tipos de datos de alto riesgo.
2. Detectar y alertar proactivamente sobre la transferencia y/o divulgación de datos, especialmente a sistemas, plataformas o aplicaciones para compartir archivos no autorizados.
3. Reconocer los riesgos inherentes a ciertos métodos de transferencia de datos (por ejemplo, copiar información financiera de una base de datos a una hoja de cálculo).

Las herramientas de prevención de fuga de datos son intrusivas por su propia naturaleza y deben implementarse y gestionarse de acuerdo con cualquier requisito reglamentario o legislación que se ocupe de la privacidad del usuario.

Controles de apoyo

• 5.12
• 5.15

Cambios y diferencias con respecto a ISO 27002:2013

Ninguno. ISO 27002:2022-8.12 es un nuevo control sin contraparte en ISO 27002:2003.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

Nuestra plataforma basada en la nube le permite gestionar rápida y fácilmente todos los aspectos de su SGSI, incluida la gestión de riesgos, políticas, planes, procedimientos y más, en una ubicación central. La plataforma es fácil de usar y tiene una interfaz intuitiva que facilita aprender a usarla.

ISMS.Online le permite:

• Documente sus procesos utilizando una interfaz web intuitiva sin necesidad de instalar ningún software en su computadora o red.
• Automatice su proceso de evaluación de riesgos.
• Demuestre el cumplimiento fácilmente con informes y listas de verificación en línea.
• Realice un seguimiento del progreso mientras trabaja para obtener la certificación.

Contáctenos hoy para RESERVAR UNA DEMOSTRACIÓN.