Comprensión del control 27002 de la norma ISO 8.23: filtrado web para la ciberseguridad
Si los empleados visitan sitios web con contenido malicioso, esto puede exponer las redes corporativas y los sistemas de información a riesgos de seguridad, como ataques de malware.
Por ejemplo, los ciberatacantes pueden enviar un correo electrónico de phishing al correo electrónico del trabajo de un empleado, persuadirlo para que haga clic en un enlace y visite un sitio web. Cuando el empleado visita este sitio web, puede cargar automáticamente malware en el dispositivo del empleado y luego infiltrarse en las redes corporativas. Este tipo de ataque se llama descarga automática y descarga automáticamente malware una vez que un empleado visita un sitio web.
Por lo tanto, las organizaciones deben implementar controles de filtrado web adecuados para restringir y controlar el acceso a sitios web externos y prevenir amenazas a la seguridad.
Propósito del Control 8.23
Control 8.23 permite a las organizaciones eliminar riesgos de seguridad, como la infección de malware, que pueden surgir como resultado del acceso a sitios web externos con contenido malicioso.
Tabla de Atributos de Control 8.23
El Control 8.23 es un tipo de control preventivo que requiere que las organizaciones implementen controles y medidas de acceso adecuados para evitar el acceso a contenido malicioso en sitios web externos.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Proteger | #Seguridad del sistema y de la red | #Proteccion |
| #Integridad | ||||
| #Disponibilidad |
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Propiedad del Control 8.23
Teniendo en cuenta que 8.28 implica la identificación de sitios web externos de alto riesgo y el diseño e implementación de controles de acceso y filtrado web adecuados, el director de seguridad de la información debe ser responsable de tomar las medidas adecuadas para el cumplimiento.
Orientación general sobre cumplimiento
Las organizaciones deben establecer e implementar los controles necesarios para evitar que los empleados accedan a sitios web externos que puedan contener virus, materiales de phishing u otros tipos de información ilegal.
Una técnica eficaz para impedir el acceso a sitios web externos peligrosos es bloquear la dirección IP o el dominio de los sitios web identificados como peligrosos. Por ejemplo, algunos navegadores y herramientas antimalware permiten a las organizaciones hacer esto automáticamente.
El Control 8.23 señala que las organizaciones deben determinar a qué tipos de sitios web no deben acceder los empleados.
En particular, se deben bloquear los siguientes tipos de sitios web:
- Sitios web con funcionalidad de carga de información. El acceso debe estar sujeto a permiso y solo debe otorgarse por motivos comerciales válidos.
- Sitios web que se sabe o se sospecha que contienen material malicioso, como sitios web con contenido de malware.
- Servidores de mando y control.
- Sitios web maliciosos obtenidos de inteligencia sobre amenazas. Las organizaciones deben consultar el Control 5.7 para obtener más detalles.
- Sitios web que distribuyen contenidos y materiales ilegales.
Antes de diseñar e implementar este Control, se recomienda a las organizaciones que establezcan reglas para el acceso seguro y apropiado y el uso de los recursos en línea. Esto también debería incluir la imposición de restricciones a los sitios web que contengan materiales inapropiados.
Estas reglas deben revisarse y actualizarse periódicamente.
Orientación complementaria sobre formación del personal
El Control 8.23 requiere que todo el personal reciba capacitación sobre cómo acceder y utilizar los recursos en línea de forma segura.
Esta capacitación debe cubrir las propias reglas de la organización y debe abordar cómo el personal puede plantear sus inquietudes sobre seguridad contactando a la persona relevante dentro de la organización.
Además, la capacitación también debe abordar cómo el personal puede acceder a sitios web restringidos por motivos comerciales válidos y cómo funciona este proceso de excepción para dicho acceso.
Por último, pero no menos importante, la capacitación debe abordar las advertencias del navegador que advierten a los usuarios que un sitio web no es seguro pero que les permite continuar. Se debe instruir al personal para que no ignore dichas advertencias.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Orientación complementaria sobre control 8.23
Existe una variedad de técnicas de filtrado web como:
- Heurística.
- Firmas.
- Lista de sitios web prohibidos y aceptables.
- Configuración del dominio.
Cambios y diferencias con respecto a ISO 27002:2013
27002:2022/8.23 es un nuevo tipo de control.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
Puede monitorear y gestionar todos los aspectos de su proceso de cumplimiento de ISO 27002 desde un solo lugar: gestión de auditorías, análisis de brechas, gestión de capacitación, evaluación de riesgos, etc.
Proporciona una solución integrada y fácil de usar a la que se puede acceder las 24 horas del día, los 7 días de la semana a través de cualquier dispositivo con conexión a Internet. La plataforma permite a todos los empleados trabajar juntos de forma fluida y segura para gestionar los riesgos de seguridad y realizar un seguimiento del cumplimiento de la organización, así como del camino hacia la certificación ISO 27001.
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
