Propósito del Control 8.3
El acceso a la información procedente de fuentes internas y externas es la piedra angular de la política de seguridad de la información de una organización.
El control 8.3 es un control preventivo que mantiene el riesgo mediante el establecimiento de una serie de reglas y procedimientos que impiden el acceso no autorizado o el uso indebido de la información y los activos de TIC de una organización.
Tabla de Atributos de Control 8.3
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Proteger | #Gestión de identidad y acceso | #Proteccion |
| #Integridad | ||||
| #Disponibilidad |
Propiedad del Control 8.3
El control 8.3 trata sobre la capacidad de una organización para controlar el acceso a la información.
Por lo tanto, la responsabilidad debe recaer en el Director de Seguridad de la Información (o su equivalente en la organización), quien es responsable de las prácticas generales de seguridad de la información y los datos de la organización.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación general sobre control 8.3
Para mantener un control efectivo sobre la información y los activos de TIC , y como apoyo a las medidas de restricción de acceso, las organizaciones deben garantizar lo siguiente, de acuerdo con un enfoque temático específico para el acceso a la información:
- Impedir el acceso anónimo a la información, incluido el acceso público de gran alcance.
- Cuando se concede acceso público o de terceros, las organizaciones deben garantizar que el acceso no se extienda a datos sensibles o críticos para el negocio.
- Operar con medidas de mantenimiento adecuadas que controlen el acceso a los sistemas y cualquier aplicación o proceso comercial asociado.
- Dictar el acceso a los datos usuario por usuario.
- Especifique derechos de acceso a datos entre grupos que validen operaciones de datos específicas, como lectura, escritura, eliminación y ejecución.
- Conservar la capacidad de dividir Procesos y aplicaciones críticos para el negocio utilizando una variedad de controles de acceso físicos y digitales..
Orientación: gestión de acceso dinámico
El Control 8.3 aboga por un enfoque dinámico del acceso a la información.
La gestión de acceso dinámico tiene numerosos beneficios residuales para los procesos organizacionales que presentan la necesidad de compartir o utilizar datos internos con usuarios externos, incluidos tiempos de resolución de incidentes más rápidos.
Las técnicas de gestión de acceso dinámico protegen una amplia gama de tipos de información, desde documentos estándar hasta correos electrónicos e información de bases de datos, y tienen la capacidad de aplicarse de forma granular archivo por archivo, lo que permite un control estricto de los datos a nivel organizativo.
Las organizaciones deberían considerar este enfoque cuando:
- Requerir un control granular sobre qué usuarios humanos y no humanos pueden acceder a dicha información en un momento dado.
- Surge la necesidad de compartir información con partes externas (como proveedores u organismos reguladores).
- Considerar un enfoque en “tiempo real” para la gestión y distribución de datos que implique monitorear y gestionar el uso de los datos a medida que ocurre.
- Proteger la información contra modificaciones, intercambio o salida no autorizados (impresión, etc.).
- Vigilar el acceso y la modificación de la información, especialmente cuando la información en cuestión sea de carácter sensible.
La gestión de acceso dinámico es de particular utilidad para organizaciones que necesitan monitorear y proteger datos desde su creación hasta su eliminación, incluyendo:
- Describir un caso de uso (o una serie de casos de uso) que aplican reglas de acceso a datos basadas en las siguientes variables:
- Identidad
- Inteligencia del
- Ubicacion
- Aplicación
- Delinear un proceso que cubra la Inteligente y monitoreo de datos y establecer un proceso de presentación de informes exhaustivo que, a su vez, se base en una infraestructura técnica sólida.
Todos los esfuerzos por formular un enfoque de gestión de acceso dinámico deben dar como resultado que los datos estén protegidos mediante:
- Garantizar que el acceso a los datos sea el resultado final de un proceso de autenticación exitoso.
- Un grado de acceso restringido, según el tipo de datos y su capacidad de impacto. continuidad del negocio.
- Cifrado
- Permisos de impresión.
- A fondo registros de auditoría que registra quién accede a los datos y cómo se utilizan esos datos.
- Un procedimiento de alerta que señala el uso inapropiado de datos, incluido (entre otros) el acceso y la distribución no autorizados y el intento de eliminación.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27002:2013
La norma 27002:2022-8.3 sustituye a la 27002:2013-9.4.1 (Restricción del acceso a la información) y representa un cambio importante en la forma en que la ISO considera la gestión del acceso a la información de acuerdo con el enfoque dinámico mencionado anteriormente (una técnica que no se menciona en la norma 27002:2013-9.4.1).
27002:2022-8.3 contiene una gran cantidad de notas de orientación relacionadas con la gestión de acceso dinámico que no se encuentran en su contraparte de 2013, y se recomienda a las organizaciones que las consideren tema por tema cuando busquen la certificación.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | de 16.1.2 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | de 11.1.2 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
ISMS.Online es el software líder de sistemas de gestión ISO 27002 que facilita el cumplimiento de la norma ISO 27002 y ayuda a las empresas a alinear sus políticas y procedimientos de seguridad con dicho estándar.
La plataforma basada en la nube proporciona un conjunto completo de herramientas para ayudar a las organizaciones a establecer un sistema de gestión de la seguridad de la información (SGSI) de acuerdo con la norma ISO 27002.
Nuestra plataforma ha sido diseñada desde cero con la ayuda de expertos en seguridad de la información de todo el mundo y la hemos desarrollado de forma que resulte fácil de usar para personas sin conocimientos técnicos sobre sistemas de gestión de la seguridad de la información (SGSI).
Ponte en contacto hoy mismo para reservar una demostración.
