ISO 27002:2022, Control 8.15 – Registro

Propiedad del Control 8.15

Control 8.15 se ocupa de las operaciones de TIC que se realizan mediante el acceso del administrador del sistema y se incluyen en el ámbito de la gestión y el mantenimiento de la red. Como tal, la propiedad del Control 8.15 debe recaer en el Jefe de TI o su equivalente organizacional.

Orientación: información del registro de eventos

Un 'evento' es cualquier acción realizada por una presencia lógica o física en un sistema informático; por ejemplo, una solicitud de datos, un inicio de sesión remoto, un apagado automático del sistema, una eliminación de archivos.

El Control 8.15 especifica que cada registro de eventos individual debe contener 5 componentes principales, para que cumpla su propósito operativo:

• ID de usuario: quién o qué cuenta realizó las acciones.
• Actividad del sistema: qué pasó
• Marcas de tiempo: fecha y hora de dicho evento
• Identificadores y ubicación del dispositivo y del sistema: en qué activo ocurrió el evento
• Direcciones y protocolos de red: información de IP

Orientación: tipos de eventos

A efectos prácticos, puede que no sea factible registrar todos los eventos que ocurren en una red determinada.

Teniendo esto en cuenta, el Control 8.15 identifica los 10 eventos siguientes como particularmente importantes para fines de registro, dada su capacidad para modificar el riesgo y el papel que desempeñan en el mantenimiento de niveles adecuados de seguridad de la información:

1. Intentos de acceso al sistema.
2. Intentos de acceso a datos y/o recursos.
3. Cambios en la configuración del sistema/SO.
4. Uso de privilegios elevados.
5. Uso de programas de servicios públicos o instalaciones de mantenimiento (ver Control 8.18).
6. Solicitudes de acceso a archivos y lo que ocurrió (eliminación, migración, etc.).
7. Control de acceso, alarmas e interrupciones críticas.
8. Activación y/o desactivación de sistemas de seguridad front-end y back-end, como software antivirus del lado del cliente o sistemas de protección firewall.
9. Trabajos de administración de identidad (tanto física como lógica).
10. Ciertas acciones o alteraciones del sistema/datos realizadas como parte de una sesión dentro de una aplicación.

Como se explica en Control 8.17, es de vital importancia que todos los registros estén vinculados a la misma fuente de tiempo sincronizada (o conjunto de cursos) y, en el caso de registros de aplicaciones de terceros, cualquier discrepancia de tiempo atendida y registrada.

Orientación: protección de registros

Los registros son el mínimo común denominador para establecer el comportamiento del usuario, el sistema y la aplicación en una red determinada, especialmente cuando se enfrenta a una investigación.

Por lo tanto, es de vital importancia que las organizaciones se aseguren de que los usuarios, independientemente de sus niveles de permiso, no conserven la capacidad de eliminar o modificar sus propios registros de eventos.

Los registros individuales deben ser completos, precisos y estar protegidos contra cambios no autorizados o problemas operativos, incluidos:

• Modificaciones del tipo de mensaje.
• Archivos de registro eliminados o editados.
• Cualquier falla al generar un archivo de registro o sobrescritura innecesaria de archivos de registro debido a problemas predominantes con los medios de almacenamiento o el rendimiento de la red.

ISO recomienda que, para mejorar la seguridad de la información, los registros se protejan utilizando los siguientes métodos:

• Hashing criptográfico.
• Grabación de solo agregar.
• Grabación de sólo lectura.
• Utilización de ficheros públicos de transparencia.

Es posible que las organizaciones necesiten enviar registros a los proveedores para resolver incidentes y fallas. Si surgiera esta necesidad, los registros deben "desidentificarse" (ver Control 8.11) y la siguiente información debe enmascararse:

• Nombres de usuario
• Direcciones IP
• Nombres de host

Además de esto, se deben tomar medidas para salvaguardar la información de identificación personal (PII) de acuerdo con los protocolos de privacidad de datos propios de la organización y cualquier legislación vigente (ver Control 5.34).

Orientación: análisis de registros

Al analizar registros con el fin de identificar, resolver y analizar eventos de seguridad de la información, con el objetivo final de prevenir sucesos futuros, se deben tener en cuenta los siguientes factores:

• La experiencia del personal que realiza el análisis.
• Cómo se analizan los registros, de acuerdo con el procedimiento de la empresa.
• El tipo, categoría y atributos de cada evento que requiere análisis.
• Cualquier excepción que se aplique a través de reglas de red que surjan de plataformas y hardware de software de seguridad.
• El flujo predeterminado de tráfico de red, en comparación con patrones inexplicables.
• Tendencias que se identifican como resultado del análisis de datos especializados.
• Inteligencia de amenazas.

Guía: monitoreo de registros

El análisis de registros no debe realizarse de forma aislada, sino en conjunto con actividades de monitoreo rigurosas que identifiquen patrones clave y comportamientos anómalos.

Para lograr un enfoque dual, las organizaciones deberían:

1. Revise cualquier intento de acceder a recursos seguros y/o críticos para el negocio, incluidos servidores de dominio, portales web y plataformas para compartir archivos.
2. Examine los registros de DNS para descubrir tráfico saliente vinculado a fuentes maliciosas y operaciones dañinas del servidor.
3. Recopile informes de uso de datos de proveedores de servicios o plataformas internas para identificar actividades maliciosas.
4. Recopile registros de puntos de acceso físicos, como registros de tarjetas de acceso o llaveros e información de acceso a las habitaciones.

Información suplementaria

Las organizaciones deberían considerar el uso de programas de utilidad especializados que les ayuden a buscar entre las grandes cantidades de información que generan los registros del sistema, para ahorrar tiempo y recursos al investigar incidentes de seguridad, como una herramienta SIEM.

Si una organización utiliza una plataforma basada en la nube para llevar a cabo cualquier parte de su operación, la gestión de registros debe considerarse como una responsabilidad compartida entre el proveedor de servicios y la propia organización.

Controles de apoyo

• 5.34
• 8.11
• 8.17
• 8.18

Cambios y diferencias con respecto a ISO 27002:2013

ISO 27002:2002-8.15 reemplaza tres controles de ISO 27002:2003 que se ocupan del almacenamiento, gestión y análisis de archivos de registro:

• 12.4.1 – Registro de eventos
• 12.4.2 – Protección de la información de registro
• 12.4.3 – Registros de administrador y operador

27002:2002-8.15 corrobora en gran medida todos los puntos de orientación de los tres controles anteriores en un protocolo claro que se ocupa del registro, con algunas ampliaciones notables, que incluyen (pero no se limitan a):

• Un conjunto ampliado de directrices que tratan de la protección de la información de registro.
• Orientación adicional sobre los diversos tipos de eventos que deben considerarse para su escrutinio.
• Orientación sobre cómo se deben monitorear y analizar los registros en un esfuerzo conjunto para mejorar la seguridad de la información.
• Asesoramiento sobre cómo gestionar los registros producidos por plataformas basadas en la nube.

Cómo ayuda ISMS.online

La plataforma ISMS.Online ayuda con todos los aspectos de la implementación de ISO 27002, desde la gestión de actividades de evaluación de riesgos hasta el desarrollo de políticas, procedimientos y directrices para cumplir con los requisitos de la norma.

Con su conjunto de herramientas automatizadas, ISMS.Online facilita que las organizaciones demuestren el cumplimiento de la norma ISO 27002.

Contáctenos hoy para programa una demostración.