Propósito del Control 8.3
El acceso a la información de fuentes internas y externas es la piedra angular de una política de seguridad de la información de la organización.
Control 8.3 es un control preventivo que mantiene el riesgo estableciendo una serie de normas y procedimientos que impidan Acceso no autorizado/uso indebido de la información y los activos TIC de una organización..
Tabla de Atributos de Control 8.3
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Proteger | #Gestión de identidad y acceso | #Proteccion |
| #Integridad | ||||
| #Disponibilidad |
Propiedad del Control 8.3
El Control 8.3 trata de la capacidad de una organización para controlar el acceso a la información.
Como tal, la propiedad debe residir en el director de seguridad de la información (o equivalente organizacional), quien tiene la responsabilidad de las prácticas generales de seguridad de la información y los datos de la organización.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación general sobre control 8.3
Para mantener efectivo control sobre la información y los activos TIC, y en apoyo de las medidas de restricción de acceso, las organizaciones deben garantizar lo siguiente de acuerdo con un tema específico enfoque para el acceso a la información:
- Impedir el acceso anónimo a la información, incluido el acceso público de gran alcance.
- Cuando se concede acceso público o de terceros, las organizaciones deben garantizar que el acceso no se extienda a datos sensibles o críticos para el negocio.
- Operar con medidas de mantenimiento adecuadas que controlen el acceso a los sistemas y cualquier aplicación o proceso comercial asociado.
- Dictar el acceso a los datos usuario por usuario.
- Especifique derechos de acceso a datos entre grupos que validen operaciones de datos específicas, como lectura, escritura, eliminación y ejecución.
- Conservar la capacidad de dividir Procesos y aplicaciones críticos para el negocio utilizando una variedad de controles de acceso físicos y digitales..
Orientación: gestión de acceso dinámico
El Control 8.3 aboga por una lugar de trabajo dinámico enfoque para el acceso a la información.
La gestión de acceso dinámico tiene numerosos beneficios residuales para los procesos organizacionales que presentan la necesidad de compartir o utilizar datos internos con usuarios externos, incluidos tiempos de resolución de incidentes más rápidos.
Acceso dinámico Las técnicas de gestión protegen una amplia gama de información. tipos, desde documentos estándar hasta correos electrónicos e información de bases de datos, y tienen la capacidad de aplicarse de forma granular archivo por archivo, lo que permite un control estricto de los datos a nivel organizacional.
Las organizaciones deberían considerar este enfoque cuando:
- Requerir un control granular sobre qué usuarios humanos y no humanos pueden acceder a dicha información en un momento dado.
- Surge la necesidad de compartir información con partes externas (como proveedores u organismos reguladores).
- Considerar un enfoque en “tiempo real” para la gestión y distribución de datos que implique monitorear y gestionar el uso de los datos a medida que ocurre.
- Proteger la información contra modificaciones, intercambio o salida no autorizados (impresión, etc.).
- Vigilar el acceso y la modificación de la información, especialmente cuando la información en cuestión sea de carácter sensible.
La gestión de acceso dinámico es de particular utilidad para organizaciones que necesitan monitorear y proteger datos desde su creación hasta su eliminación, incluyendo:
- Describir un caso de uso (o una serie de casos de uso) que aplican reglas de acceso a datos basadas en las siguientes variables:
- Identidad
- Inteligencia del
- Ubicación
- Solicitud
- Delinear un proceso que cubra la Inteligente y monitoreo de datos y establecer un proceso de presentación de informes exhaustivo que, a su vez, se base en una infraestructura técnica sólida.
Todos los esfuerzos por formular un enfoque de gestión de acceso dinámico deberían dar como resultado datos protegidos por:
- Garantizar que el acceso a los datos sea el resultado final de un proceso de autenticación exitoso.
- Un grado de acceso restringido, según el tipo de datos y su capacidad de impacto. continuidad del negocio.
- Cifrado
- Permisos de impresión.
- A fondo registros de auditoría que registra quién accede a los datos y cómo se utilizan esos datos.
- Un procedimiento de alerta que señala el uso inapropiado de datos, incluido (entre otros) el acceso y la distribución no autorizados y el intento de eliminación.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27002:2013
27002:2022-8.3 replaces 27002:2013-9.4.1 (restricción de acceso a la información), y representa un cambio importante en cómo ISO considera la gestión del acceso a la información de acuerdo con el enfoque dinámico antes mencionado (una técnica que no se menciona en 27002:2013-9.4.1)
27002:2022-8.3 contiene una gran cantidad de notas de orientación relacionadas con la gestión de acceso dinámico que no se encuentran en su contraparte de 2013, y se recomienda a las organizaciones que las consideren tema por tema cuando busquen la certificación.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
ISMS.Online es el software de sistema de gestión ISO 27002 líder que admite cumplimiento de la norma ISO 27002y ayuda a las empresas a alinear sus políticas y procedimientos de seguridad con el estándar.
La plataforma basada en la nube proporciona un conjunto completo de herramientas para ayudar a las organizaciones a configurar una sistema de gestión de la seguridad de la información (SGSI) según ISO 27002.
Nuestra plataforma ha sido diseñado desde cero con la ayuda de expertos en seguridad de la información de todo el mundo y lo hemos desarrollado de una manera que facilita su uso para personas sin ningún conocimiento técnico sobre sistemas de gestión de seguridad de la información (SGSI).
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
