Propósito del Control 8.2
El uso malicioso o incorrecto de privilegios elevados de administrador del sistema es una de las principales causas de la interrupción de las TIC en las redes comerciales de todo el mundo.
Los derechos de acceso privilegiados permiten a las organizaciones controlar el acceso a su infraestructura, aplicaciones y activos y mantener la integridad de todos los datos y sistemas almacenados.
Control 8.2 es un control preventivo que mantiene el riesgo mediante el establecimiento de una autorización proceso que maneja todas las solicitudes de acceso a través de la red TIC de una organización y los activos asociados.
Tabla de Atributos de Control 8.2
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Proteger | #Gestión de identidad y acceso | #Proteccion |
| #Integridad | ||||
| #Disponibilidad |
Propiedad del Control 8.2
El control 8.6 trata de un Capacidad de la organización para controlar el acceso. a los datos a través de cuentas de usuario que disfrutan de derechos de acceso mejorados.
Como tal, la propiedad debe residir en el Jefe de TI (o equivalente organizacional), quien posee responsabilidad de la organización capacidad de administrar y monitorear dominios privilegiados o cuentas de usuario de aplicaciones.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación general sobre control 8.2
El Control 8.2 describe 12 puntos de orientación principales que las organizaciones necesitan a seguir, de acuerdo con una política “tema específica” sobre control de acceso (ver Control 5.15) que apunta a funciones comerciales individuales.
Las organizaciones deberían:
- Identifique una lista de usuarios que requieren cualquier grado de acceso privilegiado, ya sea para un sistema individual, como una base de datos, una aplicación o un sistema operativo subyacente.
- Mantener una política que asigne derechos de acceso privilegiados a los usuarios en lo que se conoce como “evento por evento”: a los usuarios se les deben otorgar niveles de acceso basados en el mínimo indispensable para que puedan desempeñar su función.
- Describir un proceso de autorización claro que se ocupe de todas las solicitudes de acceso privilegiado, incluido el mantenimiento de un registro de todos los derechos de acceso que se hayan implementado.
- Asegúrese de que los derechos de acceso estén sujetos a las fechas de vencimiento pertinentes.
- Tome medidas para garantizar que los usuarios estén explícitamente consciente de cualquier período de tiempo en el que estén operando con acceso privilegiado a un sistema.
- Cuando sea relevante, se solicita a los usuarios que se vuelvan a autenticar antes de usar derechos de acceso privilegiados, para lograr una mayor seguridad de la información/datos.
- Llevar a cabo auditorías periódicas de los derechos de acceso privilegiado, especialmente después de un período de cambio organizacional. Los derechos de acceso de los usuarios deben revisarse en función de sus “deberes, roles, responsabilidades y competencias” (ver Control 5.18).
- Considere operar con lo que se conoce como un procedimiento de “romper vidrio”, es decir, garantizar que los derechos de acceso privilegiado se otorguen dentro de períodos de tiempo estrictamente controlados que cumplan con los requisitos mínimos para que se lleve a cabo una operación (cambios críticos, administración del sistema, etc.).
- Asegúrese de que todas las actividades de acceso privilegiado se registren en consecuencia.
- Evite el uso de información genérica de inicio de sesión del sistema (especialmente nombres de usuario y contraseñas estandarizados) (consulte Control 5.17).
- Mantenga una política de asignar a los usuarios una identidad separada, que permita un control más estricto de los derechos de acceso privilegiado. Luego, dichas identidades se pueden agrupar, proporcionando al grupo asociado diferentes niveles de derechos de acceso.
- Asegúrese de que los derechos de acceso privilegiado se reserven únicamente para tareas críticas relacionadas con el funcionamiento continuo de una red de TIC en funcionamiento, como la administración del sistema y el mantenimiento de la red.
Controles de apoyo
- 5.15
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Cambios y diferencias con respecto a ISO 27002:2013
El control 27002:2022-8.2 reemplaza a 27002:2013-9.2.3 (Gestión de derechos de acceso privilegiado).
27002:2022-8.2 contiene 5 puntos de orientación principales que no son explícitos en su contraparte de 2013:
- 27002:2022-8.2 no requiere explícitamente una identificación de usuario diferente para derechos de acceso privilegiados.
- 27002:2022-8.2 destaca la necesidad de volver a autenticarse antes de recibir derechos de acceso privilegiado.
- 27002:2022-8.2 aboga por un enfoque de rotura de cristales al realizar tareas de mantenimiento críticas, basado en ventanas de tiempo estrictamente controladas.
- 27002:2022-8.2 solicita a las organizaciones que mantengan registros completos de acceso privilegiado, para fines de auditoría.
- 27002:2022-8.2 pide a las organizaciones que limiten el uso de derechos de acceso privilegiados a tareas administrativas.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
ISO 27002, Control 6.6, cubre la necesidad de que las organizaciones eviten la fuga de información confidencial estableciendo acuerdos de confidencialidad con las partes interesadas y personal.
Nuestra plataforma basada en la nube proporciona un conjunto completo de herramientas para ayudar a las organizaciones a configurar una sistema de gestión de seguridad de la información (SGSI) según ISO 27002,.
Estas herramientas incluyen:
- Una biblioteca de plantillas para documentos corporativos comunes.
- Un conjunto de políticas y procedimientos predefinidos.
- Una herramienta de auditoría para apoyar las auditorías internas.
- Una interfaz de configuración para personalizar Políticas SGSI y procedimientos.
- Un flujo de trabajo de aprobación para todos los cambios realizados en políticas y procedimientos.
- Una lista de verificación para asegurarse de que sus políticas y procesos de seguridad de la información sigan los estándares internacionales aprobados.
ISMS.Online también permite a los usuarios:
- Gestionar todos los aspectos del SGSI. ciclo de vida con facilidad.
- Obtenga información en tiempo real sobre su postura de seguridad y brechas de cumplimiento.
- Integre con otros sistemas como recursos humanos, finanzas y gestión de proyectos.
- Demostrar el cumplimiento de sus SGSI con ISO 27001 normas
La herramienta ISMS.Online también proporciona orientación sobre la mejor manera de implementar su SGSI al brindar consejos sobre cómo crear políticas y procedimientos relacionados con aspectos como la gestión de riesgos, la capacitación en concientización sobre la seguridad del personal y la planificación de respuesta a incidentes.
