ISO 27002:2022 – Control 8.16 – Actividades de seguimiento

Propósito del Control 8.16

El monitoreo de la red es la piedra angular de cualquier operación exitosa de soporte de TI y seguridad de la información.

Es de vital importancia que las organizaciones promuevan un enfoque proactivo de monitoreo que busque prevenir incidentes antes de que sucedan y trabaje en conjunto con esfuerzos reactivos para formar una estrategia de resolución de incidentes y seguridad de la información de extremo a extremo que cumpla hasta el último cuadro.

Tabla de Atributos de Control 8.16

Control 8.16 es un doble propósito detective y correctivo controlar eso modifica el riesgo optimizando las actividades de monitoreo para identificar comportamientos anómalos y ayuda en el análisis rápido de eventos e incidentes de seguridad de la información.

Propiedad del Control 8.16

Control 8.16 se ocupa de las operaciones de TIC que se realizan mediante el acceso del administrador del sistema y se incluyen en el ámbito de la gestión y el mantenimiento de la red.

Como tal, la propiedad del Control 8.16 debe recaer en el Jefe de TI o su equivalente organizacional.

Orientación general sobre cumplimiento

El seguimiento debe realizarse, ante todo, de acuerdo con los requisitos reglamentarios o la legislación vigente, y todos los registros deben conservarse de acuerdo con la política de conservación de la empresa.

Los eventos sospechosos deben informarse a todo el personal relevante para mantener la integridad de la red y mejorar la continuidad del negocio junto con los siguientes procesos (ver Control 5.25):

• Revisión de cuentas
• Evaluación de seguridad y riesgos.
• Escaneo de vulnerabilidades
• Monitoring

Las organizaciones deben incluir lo siguiente en su operación de monitoreo:

1. Ambos Tráfico de red entrante y saliente., incluidos datos hacia y desde aplicaciones
2. El acceso a plataformas críticas para el negocio, incluyendo pero no limitado a):
• Todas las funciones a su disposición
• Servidores
• hardware de red
• El propio sistema de seguimiento.
3. Archivos de configuración
4. Registros de eventos desde equipos de seguridad y plataformas de software
5. Comprobaciones de código que garantizan que cualquier programa ejecutable esté autorizado y libre de temperamento
6. Computación, almacenamiento y redes el uso de recursos

Orientación – Análisis de comportamiento

Las organizaciones deben adquirir un conocimiento firme de Actividad normal del usuario y comportamiento de la red.y utilizar esto como base para identificar comportamientos anómalos en la red, incluyendo:

1. Cierre o terminación repentina de procesos y solicitudes
2. Tráfico de red que se reconoce que emana hacia y/o desde Direcciones IP problemáticas y/o dominios externos.
3. Métodos de intrusión conocidos (por ejemplo, DDoS)
4. Comportamiento malicioso del sistema (por ejemplo, registro de claves)
5. Cuellos de botella en la red y tiempos de ping y/o latencia elevados
6. Acceso no autorizado o inexplicable y/o escaneo de datos, dominios o aplicaciones
7. Cualquier intento de acceder a recursos TIC críticos para el negocio (por ejemplo, controladores de dominio, servidores DNS, servidores de archivos y portales web)

Para establecer una línea de base exitosa, las organizaciones deben monitorear la utilización de la red y los tiempos de acceso en niveles de trabajo normales.

Orientación – Herramientas de seguimiento

Las organizaciones deben optimizar sus esfuerzos de monitoreo utilizando herramientas de monitoreo especializadas que se adapten al tipo de red y tráfico con el que manejan diariamente.

Las herramientas de seguimiento deberían poder:

1. Manejar grandes cantidades de datos de monitoreo
2. Reaccionar ante datos sospechosos, tráfico y patrones de comportamiento del usuario y actividades puntuales.
3. Modificar cualquier actividad de monitoreo para reaccionar ante diferentes niveles de riesgo.
4. Notificar a las organizaciones sobre actividad anómala en tiempo real, a través de una serie de alertas proactivas que contienen una cantidad mínima de falsos positivos (ver Control 5.26)
5. Confíe en un nivel adecuado de redundancia de aplicaciones para mantener una operación de monitoreo continuo

Orientación – Monitoreo de seguridad

La supervisión de la seguridad debe optimizarse mediante:

1. Sistemas de inteligencia de amenazas dedicados (ver Control 5.7) y plataformas de protección contra intrusiones
2. Plataformas de aprendizaje automático
3. Listas blancas, listas negras, listas de bloqueo y listas de permitidos en plataformas de gestión de IP y software de seguridad de correo electrónico
4. Combinar actividades de registro y monitoreo en un enfoque de extremo a extremo
5. Un enfoque dedicado a métodos de intrusión conocidos y actividades maliciosas, como el uso de botnets o ataques de denegación de servicio.

Controles de apoyo

• 5.25
• 5.26
• 5.7

Cambios y diferencias con respecto a ISO 27002:2013

ISO 27002:2022-8.16 es un nuevo control que no aparece en ISO 27002:2003.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

ISMS.online facilita la implementación de ISO 27002 al proporcionar un conjunto de herramientas para ayudarlo a administrar la seguridad de la información en su organización. Le ayudará a identificar riesgos y desarrollar controles para mitigarlos y luego le mostrará cómo implementarlos dentro de la organización.

Contáctenos hoy para RESERVAR UNA DEMOSTRACIÓN.