ISO 27002:2022 – Control 8.3 – Restricción de acceso a la información

Propósito del Control 8.3

El acceso a la información de fuentes internas y externas es la piedra angular de una política de seguridad de la información de la organización.

Control 8.3 es un control preventivo que mantiene el riesgo estableciendo una serie de normas y procedimientos que impidan Acceso no autorizado/uso indebido de la información y los activos TIC de una organización..

Tabla de Atributos de Control 8.3

Propiedad del Control 8.3

El Control 8.3 trata de la capacidad de una organización para controlar el acceso a la información.

Como tal, la propiedad debe residir en el director de seguridad de la información (o equivalente organizacional), quien tiene la responsabilidad de las prácticas generales de seguridad de la información y los datos de la organización.

Orientación general sobre control 8.3

Para mantener efectivo control sobre la información y los activos TIC, y en apoyo de las medidas de restricción de acceso, las organizaciones deben garantizar lo siguiente de acuerdo con un tema específico enfoque para el acceso a la información:

1. Impedir el acceso anónimo a la información, incluido el acceso público de gran alcance.
• Cuando se concede acceso público o de terceros, las organizaciones deben garantizar que el acceso no se extienda a datos sensibles o críticos para el negocio.
2. Operar con medidas de mantenimiento adecuadas que controlen el acceso a los sistemas y cualquier aplicación o proceso comercial asociado.
3. Dictar el acceso a los datos usuario por usuario.
4. Especifique derechos de acceso a datos entre grupos que validen operaciones de datos específicas, como lectura, escritura, eliminación y ejecución.
5. Conservar la capacidad de dividir Procesos y aplicaciones críticos para el negocio utilizando una variedad de controles de acceso físicos y digitales..

Orientación: gestión de acceso dinámico

El Control 8.3 aboga por una lugar de trabajo dinámico enfoque para el acceso a la información.

La gestión de acceso dinámico tiene numerosos beneficios residuales para los procesos organizacionales que presentan la necesidad de compartir o utilizar datos internos con usuarios externos, incluidos tiempos de resolución de incidentes más rápidos.

Acceso dinámico Las técnicas de gestión protegen una amplia gama de información. tipos, desde documentos estándar hasta correos electrónicos e información de bases de datos, y tienen la capacidad de aplicarse de forma granular archivo por archivo, lo que permite un control estricto de los datos a nivel organizacional.

Las organizaciones deberían considerar este enfoque cuando:

1. Requerir un control granular sobre qué usuarios humanos y no humanos pueden acceder a dicha información en un momento dado.
2. Surge la necesidad de compartir información con partes externas (como proveedores u organismos reguladores).
3. Considerar un enfoque en “tiempo real” para la gestión y distribución de datos que implique monitorear y gestionar el uso de los datos a medida que ocurre.
4. Proteger la información contra modificaciones, intercambio o salida no autorizados (impresión, etc.).
5. Vigilar el acceso y la modificación de la información, especialmente cuando la información en cuestión sea de carácter sensible.

La gestión de acceso dinámico es de particular utilidad para organizaciones que necesitan monitorear y proteger datos desde su creación hasta su eliminación, incluyendo:

1. Describir un caso de uso (o una serie de casos de uso) que aplican reglas de acceso a datos basadas en las siguientes variables:
• Identidad
• Device
• Ubicación
• Solicitud
2. Delinear un proceso que cubra la Inteligente y monitoreo de datos y establecer un proceso de presentación de informes exhaustivo que, a su vez, se base en una infraestructura técnica sólida.

Todos los esfuerzos por formular un enfoque de gestión de acceso dinámico deberían dar como resultado datos protegidos por:

1. Garantizar que el acceso a los datos sea el resultado final de un proceso de autenticación exitoso.
2. Un grado de acceso restringido, según el tipo de datos y su capacidad de impacto. continuidad del negocio.
3. Cifrado
4. Permisos de impresión.
5. A fondo registros de auditoría que registra quién accede a los datos y cómo se utilizan esos datos.
6. Un procedimiento de alerta que señala el uso inapropiado de datos, incluido (entre otros) el acceso y la distribución no autorizados y el intento de eliminación.

Cambios y diferencias con respecto a ISO 27002:2013

27002:2022-8.3 replaces 27002:2013-9.4.1 (restricción de acceso a la información), y representa un cambio importante en cómo ISO considera la gestión del acceso a la información de acuerdo con el enfoque dinámico antes mencionado (una técnica que no se menciona en 27002:2013-9.4.1)

27002:2022-8.3 contiene una gran cantidad de notas de orientación relacionadas con la gestión de acceso dinámico que no se encuentran en su contraparte de 2013, y se recomienda a las organizaciones que las consideren tema por tema cuando busquen la certificación.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

ISMS.Online es el software de sistema de gestión ISO 27002 líder que admite cumplimiento de la norma ISO 27002y ayuda a las empresas a alinear sus políticas y procedimientos de seguridad con el estándar.

La plataforma basada en la nube proporciona un conjunto completo de herramientas para ayudar a las organizaciones a configurar una sistema de gestión de la seguridad de la información (SGSI) según ISO 27002.

Nuestra plataforma ha sido diseñado desde cero con la ayuda de expertos en seguridad de la información de todo el mundo y lo hemos desarrollado de una manera que facilita su uso para personas sin ningún conocimiento técnico sobre sistemas de gestión de seguridad de la información (SGSI).

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.