ISO 27002:2022, Control 8.19 – Instalación de Software en Sistemas Operativos

Orientación general sobre cumplimiento

Para gestionar de forma segura los cambios y las instalaciones en su red, las organizaciones deben:

1. Asegúrese de que las actualizaciones de software solo las realice personal capacitado y competente (consulte Control 8.5).
2. Instale únicamente código ejecutable robusto que esté libre de errores y que haya salido de forma segura de la etapa de desarrollo.
3. Instale y/o actualice el software únicamente después de que dicha actualización o parche se haya probado con éxito y la organización esté segura de que no se producirán conflictos ni errores.
4. Mantener un sistema bibliotecario actualizado.
5. Utilice un 'sistema de control de configuración' que administre todas las instancias del software operativo, incluida la documentación del programa.
6. Acuerde una "estrategia de reversión" antes de cualquier actualización o instalación, para garantizar la continuidad del negocio en caso de un error o conflicto imprevisto.
7. Mantenga un registro de cualquier actualización realizada en el software operativo, incluido un resumen de la actualización, el personal involucrado y una marca de tiempo.
8. Asegúrese de que el software no utilizado (incluida toda la documentación, los archivos de configuración, los registros del sistema y los procedimientos de soporte) se almacene de forma segura para su uso posterior, en caso de que surja la necesidad.
9. Hacer cumplir un conjunto estricto de reglas sobre el tipo de paquetes de software que los usuarios pueden instalar, basándose en los principios de "menos privilegios" y de acuerdo con las funciones y responsabilidades relevantes.

Orientación: software del proveedor

En lo que respecta al software proporcionado por el proveedor (por ejemplo, cualquier software utilizado en la operación de maquinaria o para una función comercial personalizada), dicho software siempre debe mantenerse en buen estado de funcionamiento consultando las pautas del proveedor para una operación segura.

Es importante tener en cuenta que incluso cuando el software o los módulos de software se suministran y administran externamente (es decir, la organización no es responsable de ninguna actualización), se deben tomar medidas para garantizar que las actualizaciones de terceros no comprometan la integridad de la red de la organización.

Las organizaciones deben evitar el uso de software de proveedores no compatibles a menos que sea absolutamente necesario y considerar los riesgos de seguridad asociados al uso de aplicaciones redundantes en lugar de una actualización a sistemas más nuevos y seguros.

Si un proveedor requiere acceso a la red de una organización para realizar una instalación o actualización, la actividad debe monitorearse y validarse de acuerdo con todos los procedimientos de autorización relevantes (ver Control 5.22).

Orientación complementaria sobre control 8.19

El software debe actualizarse, instalarse y/o parchearse de acuerdo con los procedimientos de gestión de cambios publicados por la organización, para garantizar la uniformidad con otras áreas del negocio.

Siempre que se identifica un parche que elimina totalmente una vulnerabilidad (o una serie de vulnerabilidades) o ayuda de alguna manera a mejorar la operación de seguridad de la información de la organización, dichos cambios casi siempre deben aplicarse (aunque todavía existe la necesidad de evaluar dichos cambios en caso por caso).

Cuando surja la necesidad de utilizar software de código abierto, éste siempre debe ser la última versión disponible públicamente y que se mantenga activamente. En consecuencia, las organizaciones deben considerar los riesgos inherentes del uso de software sin mantenimiento en todas las funciones comerciales.

Controles de apoyo

• 5.22
• 8.5

Cambios y diferencias con respecto a ISO 27002:2013

ISO 27002:2022-8.19 reemplaza a ISO 27002:2003-12.5.1 (Instalación de software en sistemas operativos) y 12.6.2 (Restricciones a la instalación de software).

27002:2022-8.19 es una combinación de la mayoría de los consejos contenidos en 27002:2003-12.5.1 y 12.6.2, con varios conceptos clave ampliados brevemente y con la adición de algunos principios rectores nuevos:

• Mantenimiento de un sistema bibliotecario.
• Normas que rigen el uso de software de código abierto.
• Controles lógicos más estrechos sobre la instalación y el mantenimiento del software del proveedor.

Cómo ayuda ISMS.online

ISMS.Online es una solución completa para la implementación de ISO 27002. Es un sistema basado en web que le permite demostrar que su sistema de gestión de seguridad de la información (SGSI) cumple con los estándares aprobados mediante procesos, procedimientos y listas de verificación bien pensados.

No es sólo una plataforma fácil de usar para gestionar su implementación de ISO 27002, sino también una excelente herramienta para capacitar a su personal sobre las mejores prácticas y procesos de seguridad de la información, así como para documentar todos sus esfuerzos.

Las ventajas de utilizar ISMS.Online:

• Plataforma online fácil de usar a la que se puede acceder desde cualquier dispositivo.
• Es completamente personalizable para satisfacer sus necesidades.
• Flujos de trabajo y procesos personalizables para satisfacer las necesidades de su negocio.
• Herramientas de capacitación para ayudar a los nuevos empleados a ponerse al día más rápido.
• Una biblioteca de plantillas para documentos como políticas, procedimientos, planes y listas de verificación.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.