Propósito del Control 8.21
En informática, un "servicio de red" puede describirse en términos generales como un sistema que se ejecuta en la "capa de aplicación de red", como correo electrónico, impresión, o un servidor de archivos. Los servicios de red también incluyen aplicaciones administradas y soluciones de seguridad como cortafuegos o puerta de enlace plataformas antivirus, sistema de deteccion de intrusos y servicios de conexión.
Los servicios de red suelen representar las partes funcionales más importantes de una red y son fundamentales para el funcionamiento diario de una red TIC comercial moderna. Por lo tanto, la seguridad es primordial y el uso de los servicios de red debe monitorearse de cerca y administrarse directamente para minimizar el riesgo asociado de fallas, intrusiones e interrupciones comerciales.
Tabla de Atributos de Control 8.21
Control 8.21 es un control preventivo que mantiene el riesgo estableciendo un conjunto de reglas que rigen el uso tanto de los servicios de red como, por asociación, de la propia red anfitriona.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Proteger | #Seguridad del sistema y de la red | #Proteccion |
| #Integridad | ||||
| #Disponibilidad |
Propiedad del Control 8.21
El Control 8.21 trata conceptos técnicos relacionados con el mantenimiento y la gestión de varios componentes clave de la red TIC de una organización. Como tal, la propiedad debe recaer en el Jefe de TI o su equivalente organizacional.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación general sobre cumplimiento
El Control 8.21 identifica tres tipos de seguridad principales, cuando aborda el concepto más amplio de seguridad del servicio de red:
- Características de seguridad
- Niveles de servicio
- Requisitos de servicio
Estas tres medidas deben ser tenidas en cuenta por todos los proveedores de servicios de red internos y externos, y la organización debe tomar medidas para garantizar que los proveedores cumplan con sus obligaciones en todo momento.
Las organizaciones deben juzgar a un proveedor de servicios de red por su capacidad para gestionar servicios según lo dictado por un conjunto inequívoco de SLA y monitorear el cumplimiento lo mejor que puedan.
Parte de esta evaluación operativa debe incluir referencias obtenidas de fuentes confiables que acrediten la capacidad de un proveedor de servicios de red para administrar servicios de manera segura y eficiente.
Las reglas de seguridad de la red deben incluir:
- Cualquier servicio de red y redes asociadas a las que se le permita acceder.
- Los requisitos de autenticación para acceder a dichos servicios de red, incluyendo quién está autorizado a acceder a ellos, desde dónde y cuándo puede hacerlo.
- Cómo el personal obtiene autorización previa para acceder a los servicios de red, incluida la aprobación final y el análisis de casos comerciales.
- Un sólido conjunto de controles de gestión de red que protegen los servicios de red contra el uso indebido y el acceso no autorizado.
- Cómo se permite al personal acceder a los servicios de red (es decir, de forma remota o exclusivamente en el sitio).
- Procedimientos de registro que detallan información clave sobre el acceso a los servicios de red y el personal que los utiliza (por ejemplo, hora, ubicación y datos del dispositivo).
- Seguimiento del uso de los servicios de red.
Guía: seguridad del servicio de red
Control 8.21 también incluye notas orientativas sobre cómo aumentar la seguridad en todos los servicios de red, incluida la funcionalidad de back-end y la operación del usuario.
- Las organizaciones deben considerar características de seguridad como autenticación, cifrado y controles de conexión.
- Se deben establecer parámetros rígidos que dicten la conexión a los servicios de red.
- Los usuarios deberían poder elegir la cantidad de datos almacenados en caché (almacenados temporalmente) por un servicio de red para aumentar el rendimiento general y garantizar que los datos no se almacenen excesivamente hasta el punto de representar un riesgo de seguridad tangible.
- Restringir el acceso a los servicios de red.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27002:2013
ISO 27002:2022-8.21 reemplaza a ISO 27002:2003-13.1.2 (Seguridad de los servicios de red).
27002:2022-8.21 contiene varias adiciones importantes a su contraparte de 2013, y esta última se centra completamente en la seguridad del servicio de red (que contiene el mismo conjunto de notas orientativas) y omite cualquier orientación general sobre las reglas de red (consulte los puntos 1 a 7 anteriores en 'Orientación general').
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
La norma ISO 27002 es un conjunto de directrices que ayudan a las organizaciones a proteger sus activos de información. Es aplicable a todo tipo de organizaciones, independientemente de su tamaño, estructura o industria.
ISMS.online es una plataforma basada en la nube que ofrece asistencia para implementar el estándar ISO 27002 de manera eficiente y rentable.
Proporciona a las organizaciones un fácil acceso a información actualizada sobre su estado de cumplimiento en todo momento a través de su interfaz de panel fácil de usar que permite a los gerentes monitorear su progreso hacia el cumplimiento de forma rápida y sencilla.
Contáctenos hoy para programa una demostración.
