Control 27002 de la norma ISO 8.33: Consideraciones clave sobre seguridad de los datos de prueba
Si bien los entornos de prueba que no son de producción, como los entornos de prueba, son esenciales para crear productos y aplicaciones de software de alta calidad libres de errores, el uso de datos reales y la falta de medidas de seguridad en estos entornos exponen los activos de información a mayores riesgos.
Por ejemplo, los desarrolladores pueden utilizar credenciales fáciles de recordar (por ejemplo, "admin" tanto para el nombre de usuario como para la contraseña) para probar entornos en los que se almacenan activos de datos confidenciales.
Los ciberatacantes pueden aprovechar esto para obtener fácil acceso a entornos de prueba y robar activos de información confidencial.
Por lo tanto, las organizaciones deben implementar controles y procedimientos adecuados para proteger los datos del mundo real utilizados para las pruebas.
Propósito del Control 8.33
Control 8.33 permite a las organizaciones lograr dos propósitos:
- Proteger y mantener la confidencialidad de la información utilizada en el entorno de pruebas.
- Selección y uso de información de prueba que producirá resultados confiables.
Tabla de Atributos de Control 8.33
El Control 8.33 es un tipo de control preventivo que requiere que las organizaciones seleccionen y protejan la información más adecuada para la etapa de prueba a fin de mantener la confidencialidad e integridad de la información.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Proteger | #Protección de la información | #Proteccion |
| #Integridad |
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Propiedad del Control 8.33
Considerando que el Control 8.33 implica la selección, protección y gestión de la información de prueba más apropiada que se utilizará para las pruebas, los oficiales de seguridad de la información, en cooperación con el equipo de desarrollo, deben ser los responsables en última instancia de establecer controles y procedimientos apropiados.
Orientación general sobre cumplimiento
Las organizaciones no deben utilizar información confidencial, incluidos datos personales, en los entornos de desarrollo y prueba.
Para proteger la información de la prueba contra la pérdida de confidencialidad e integridad, las organizaciones deben cumplir con lo siguiente:
- Los controles de acceso aplicados en entornos del mundo real también deberían implementarse en entornos de prueba.
- Establecer e implementar un procedimiento de autorización separado para la copia de información real en entornos de prueba.
- Para mantener un registro de auditoría, se deben registrar todas las actividades relacionadas con la copia y el uso de información confidencial en entornos de prueba.
- Si se va a utilizar información confidencial en el entorno de prueba, se debe proteger con controles adecuados, como el enmascaramiento o la eliminación de datos.
- Una vez completadas las pruebas, la información utilizada en el entorno de prueba debe eliminarse de forma segura y permanente para eliminar el riesgo de acceso no autorizado.
Además, las organizaciones deben aplicar medidas adecuadas para garantizar el almacenamiento seguro de los activos de información.
Orientación complementaria sobre control 8.33
Cabe señalar que las pruebas de aceptación y del sistema pueden requerir una enorme cantidad de información de prueba, equivalente a información operativa.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27002:2013
27002:2022/8.33 replaces 27002:2013/(14.3.1)
Aunque la versión 2022 es similar en gran medida a la versión 2013, la versión 2022 introduce el siguiente requisito:
- Si se va a utilizar información confidencial en el entorno de prueba, se debe proteger con controles adecuados, como el enmascaramiento o la eliminación de datos.
La versión 27002:2013, en cambio, no incluía este requisito.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
ISMS.online es una solución basada en la nube que ayuda a las empresas a demostrar el cumplimiento de la norma ISO 27002. La solución ISMS.online se puede utilizar para gestionar los requisitos de la norma ISO 27002 y garantizar que su organización siga cumpliendo con el nuevo estándar.
La norma ISO 27002 se ha actualizado para reflejar las crecientes amenazas cibernéticas que enfrentamos como sociedad. El estándar actual se publicó por primera vez en 2005 y se revisó en 2013 para reflejar los cambios en la tecnología, las regulaciones y los estándares de la industria. La nueva versión de ISO 27002 incorpora estas actualizaciones en un solo documento, además de agregar nuevos requisitos para las organizaciones para ayudarlas a proteger mejor sus activos de datos de los ataques cibernéticos.
La solución ISMS.online ayuda a las organizaciones a implementar ISO 27002: 2022 al proporcionar un marco fácil de usar para documentar políticas y procedimientos de seguridad de la información. También proporciona una ubicación centralizada donde puede almacenar toda su documentación de cumplimiento para que las diferentes partes interesadas de la empresa puedan acceder fácilmente a ella (por ejemplo, RRHH, TI).
Nuestra plataforma es fácil de usar y sencilla. No es sólo para personas altamente técnicas; es para todos en su empresa.
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
