Si los empleados visitan sitios web con contenido malicioso, esto puede exponer las redes corporativas y los sistemas de información a riesgos de seguridad, como ataques de malware.
Por ejemplo, los ciberatacantes pueden enviar un correo electrónico de phishing al correo electrónico del trabajo de un empleado, persuadirlo para que haga clic en un enlace y visite un sitio web. Cuando el empleado visita este sitio web, puede cargar automáticamente malware en el dispositivo del empleado y luego infiltrarse en las redes corporativas. Este tipo de ataque se llama descarga automática y descarga automáticamente malware una vez que un empleado visita un sitio web.
Por lo tanto, las organizaciones deben implementar controles de filtrado web adecuados para restringir y controlar el acceso a sitios web externos y prevenir amenazas a la seguridad.
Control 8.23 permite a las organizaciones eliminar riesgos de seguridad, como la infección de malware, que pueden surgir como resultado del acceso a sitios web externos con contenido malicioso.
El Control 8.23 es un tipo de control preventivo que requiere que las organizaciones implementen controles y medidas de acceso adecuados para evitar el acceso a contenido malicioso en sitios web externos.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad #Integridad #Disponibilidad | #Proteger | #Seguridad del sistema y de la red | #Proteccion |
Teniendo en cuenta que 8.28 implica la identificación de sitios web externos de alto riesgo y el diseño e implementación de controles de acceso y filtrado web adecuados, el director de seguridad de la información debe ser responsable de tomar las medidas adecuadas para el cumplimiento.
Las organizaciones deben establecer e implementar los controles necesarios para evitar que los empleados accedan a sitios web externos que puedan contener virus, materiales de phishing u otros tipos de información ilegal.
Una técnica eficaz para impedir el acceso a sitios web externos peligrosos es bloquear la dirección IP o el dominio de los sitios web identificados como peligrosos. Por ejemplo, algunos navegadores y herramientas antimalware permiten a las organizaciones hacer esto automáticamente.
El Control 8.23 señala que las organizaciones deben determinar a qué tipos de sitios web no deben acceder los empleados.
En particular, se deben bloquear los siguientes tipos de sitios web:
Antes de diseñar e implementar este Control, se recomienda a las organizaciones que establezcan reglas para el acceso seguro y apropiado y el uso de los recursos en línea. Esto también debería incluir la imposición de restricciones a los sitios web que contengan materiales inapropiados.
Estas reglas deben revisarse y actualizarse periódicamente.
El Control 8.23 requiere que todo el personal reciba capacitación sobre cómo acceder y utilizar los recursos en línea de forma segura.
Esta capacitación debe cubrir las propias reglas de la organización y debe abordar cómo el personal puede plantear sus inquietudes sobre seguridad contactando a la persona relevante dentro de la organización.
Además, la capacitación también debe abordar cómo el personal puede acceder a sitios web restringidos por motivos comerciales válidos y cómo funciona este proceso de excepción para dicho acceso.
Por último, pero no menos importante, la capacitación debe abordar las advertencias del navegador que advierten a los usuarios que un sitio web no es seguro pero que les permite continuar. Se debe instruir al personal para que no ignore dichas advertencias.
El único cumplimiento
solución que necesitas
Reserva tu demostración
Existe una variedad de técnicas de filtrado web como:
27002:2022/8.23 es un nuevo tipo de control.
Puede monitorear y gestionar todos los aspectos de su proceso de cumplimiento de ISO 27002 desde un solo lugar: gestión de auditorías, análisis de brechas, gestión de capacitación, evaluación de riesgos, etc.
Proporciona una solución integrada y fácil de usar a la que se puede acceder las 24 horas del día, los 7 días de la semana a través de cualquier dispositivo con conexión a Internet. La plataforma permite a todos los empleados trabajar juntos de forma fluida y segura para gestionar los riesgos de seguridad y realizar un seguimiento del cumplimiento de la organización, así como del camino hacia la certificación ISO 27001.
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
Le daremos una ventaja inicial del 81%
desde el momento en que inicias sesión
Reserva tu demostración
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | Nuevo | Inteligencia de amenazas |
| 5.23 | Nuevo | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | Nuevo | Preparación de las TIC para la continuidad del negocio |
| 7.4 | Nuevo | Monitoreo de seguridad física |
| 8.9 | Nuevo | gestión de la configuración |
| 8.10 | Nuevo | Eliminación de información |
| 8.11 | Nuevo | Enmascaramiento de datos |
| 8.12 | Nuevo | Prevención de fuga de datos |
| 8.16 | Nuevo | Actividades de monitoreo |
| 8.23 | Nuevo | Filtrado Web |
| 8.28 | Nuevo | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | Nuevo | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
