Propósito del Control 8.14
Un 'instalación de procesamiento de información' (IPF) es un término amplio que se utiliza para describir cualquier pieza de infraestructura de TIC que esté involucrada en el procesamiento de datos, como equipos de TI, software e instalaciones y ubicaciones físicas.
Las IPF desempeñan un papel clave a la hora de mantener la continuidad del negocio y garantizar el buen funcionamiento de las redes TIC de una organización. Para aumentar la resiliencia, las organizaciones deben implementar medidas que aumenten la redundancia de sus IPF, es decir, metodologías y procesos a prueba de fallas que mitiguen el riesgo para los sistemas y los datos en caso de falla, uso indebido o intrusión.
Tabla de Atributos de Control 8.14
Control 8.14 es un control preventivo que mantiene el riesgo mediante la implementación de planes y procedimientos que mantengan las operaciones continuas de las instalaciones de procesamiento de información y, por delegación, de toda la red TIC de una organización.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Disponibilidad | #Proteger | #Continuidad | #Proteccion |
| #Gestión de activos | #Resiliencia |
Propiedad del Control 8.14
El Control 8.14 aborda la capacidad de una organización para continuar haciendo negocios en caso de fallas críticas o menores que tengan el potencial de afectar la resiliencia. Como tal, la propiedad de 8.14 debe residir en el Director de Operaciones o su equivalente organizacional.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Orientación general sobre cumplimiento
El objetivo primordial del Control 8.14 es aumentar la disponibilidad de lo que ISO considera beneficios y sistemas de información, que puede interpretarse como cualquier aspecto de una red que permite a la organización realizar negocios.
Control 8.14 aboga por duplicación como los métodos principales para lograr redundancia en sus diversas IPF, principalmente mediante el mantenimiento de un inventario de repuestos, componentes duplicados (hardware y software) y dispositivos periféricos adicionales.
Un sistema redundante es tan bueno como su alertando instalación. Como tal, las organizaciones deben garantizar que los IPF fallidos se detecten rápidamente y que se tomen medidas correctivas para conmutar por error al hardware en espera o reparar el IPF que funciona mal lo más rápido posible.
Al diseñar e instalar medidas de redundancia, las organizaciones deben considerar lo siguiente:
- Entrar en una relación comercial con dos proveedores de servicios separados, para reducir el riesgo de tiempo de inactividad general en caso de un evento crítico (por ejemplo, un proveedor de servicios de Internet o un proveedor de VoIP).
- Adherirse a los principios de redundancia al diseñar redes de datos (CD secundarios, sistemas BUDR redundantes, etc.).
- Haciendo uso de ubicaciones geográficamente separadas en la contratación de servicios de datos, especialmente en el caso de instalaciones de almacenamiento de archivos y/o centros de datos.
- Departamento de Compras sistemas de poder que tengan la capacidad de lograr la redundancia ya sea total o parcialmente, según sea necesario.
- Usando balanceo de carga y fallo automático entre dos componentes o sistemas de software idénticos y redundantes, para mejorar tanto el rendimiento en tiempo real como la resiliencia después de un evento crítico. Esto es de particular importancia cuando se considera un modelo operativo que abarca tanto servicios de nube pública como servicios locales. Los sistemas redundantes deben probarse periódicamente (cuando sea posible) mientras están en modo de producción para garantizar que los sistemas de conmutación por error funcionen correctamente.
- Duplicar componentes físicos TIC tanto dentro de servidores como ubicaciones de almacenamiento de archivos (matrices RAID, CPU) y cualquiera que actúe como dispositivo de red (firewalls, conmutadores redundantes). Las actualizaciones de firmware deben realizarse en todos los dispositivos vinculados y redundantes para garantizar la continuidad.
Orientación complementaria sobre control 8.14
El Control 8.14 reconoce el vínculo inherente entre sistemas robustos y redundantes y la planificación de la continuidad del negocio (ver Control 5.30) y pide a las organizaciones que consideren ambos como parte de la solución al mismo conjunto de desafíos.
Es importante señalar que cuando se trata de aplicaciones empresariales, es extremadamente difícil solucionar errores críticos en la propia aplicación (particularmente en el caso de aplicaciones administradas).
Controles de apoyo
- 5.30
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27002:2013
ISO 27002:2022-8.14 reemplaza a ISO 27002:2003-17.2.1 (Disponibilidad de instalaciones de procesamiento de información).
27002:2022-8.14 es un enorme salto operativo con respecto a 27002:2003-17.2.1, y la diferencia entre los dos controles representa el cambio más grande a lo largo de toda la actualización ISO 27002:2022.
27002:2003-17.2.1 contiene solo unos pocos párrafos superficiales sobre la necesidad de lograr redundancia, mientras que 27002:2022-8.14 contiene una guía extensa sobre cómo lograr esto precisamente en componentes físicos, lógicos, locales y basados en la nube.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
En ISMS.online, hemos creado un sistema integral y fácil de usar que puede ayudarlo a implementar controles ISO 27002 y administrar todo su SGSI.
ISMS.online facilita la implementación de ISO 27002 al proporcionar un conjunto de herramientas para ayudarlo a administrar la seguridad de la información en su organización. Le ayudará a identificar riesgos y desarrollar controles para mitigarlos y luego le mostrará cómo implementarlos dentro de la organización.
Contáctenos hoy para programa una demostración.
