Propósito del Control 8.6
La gestión de la capacidad, en el contexto de las TIC, no se limita a garantizar que las organizaciones tengan espacio adecuado en servidores y medios de almacenamiento asociados para el acceso a los datos y con fines de copia de seguridad y recuperación ante desastres (BUDR).
Las organizaciones deben asegurarse de tener la capacidad de operar con un conjunto de recursos que atiendan una amplia gama de funciones comerciales, incluidos recursos humanos, procesamiento de información, gestión de oficinas físicas e instalaciones adjuntas.
Todas estas funciones tienen la capacidad de afectar negativamente los controles de gestión de la información de una organización.
Control 8.6 es un doble propósito preventivo y control de detectives que mantiene el riesgo mediante la implementación de controles de detección que identifiquen y mantengan la capacidad adecuada para procesar información en toda la organización.
Tabla de Atributos de Control 8.6
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Integridad | #Proteger | #Continuidad | #Gobernanza y Ecosistema |
| #Detective | #Disponibilidad | #Identificar | #Proteccion | |
| #Detectar |
Propiedad del Control 8.6
El Control 8.6 trata de la capacidad de una organización para operar como un negocio de forma continua.
Como tal, la propiedad debe residir en el Director de Operaciones (o equivalente organizacional), con responsabilidad por la integridad y eficiencia del día a día de las funciones comerciales de una organización.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación general sobre control 8.6
En términos amplios que no son exclusivos de un tipo particular de recurso, Control 8.6 contiene 7 puntos de orientación generales:
- Las organizaciones deben considerar La continuidad del negocio como máxima prioridad. al implementar controles de gestión de capacidad, incluida la implementación generalizada de controles de detección que detectan problemas potenciales antes de que ocurran.
- La gestión de la capacidad debe basarse en las funciones proactivas de sintonización y monitoreo. Ambos elementos deben funcionar en armonía para garantizar que los sistemas y las funciones comerciales no se vean comprometidos.
- En términos operativos, las organizaciones deberían realizar periódicamente pruebas de estrés que cuestionan la capacidad del sistema para satisfacer las necesidades generales del negocio. Estas pruebas deben formularse caso por caso y ser pertinentes para la zona de operaciones a la que están destinadas.
- de Carga controles de gestión no debe limitarse a la actividad de una organización corriente datos u necesidades operativas, y debe incluir cualquier plan de expansión comercial y técnica (tanto desde una perspectiva física como digital) para permanecer lo más preparado para el futuro como sea realistamente posible.
- La ampliación de los recursos organizacionales está sujeta a diferentes tiempos de entrega y costos, según el sistema o la función comercial en cuestión. Los recursos que son más caros y más difíciles de ampliar deberían estar sujetos a un mayor grado de escrutinio, a fin de salvaguardar continuidad del negocio.
- La alta dirección debe ser consciente de los puntos únicos de falla relacionados con la dependencia de personal clave o recursos individuales. Si surge alguna dificultad con cualquiera de estos factores, a menudo puede provocar complicaciones que son mucho más difíciles de rectificar.
- Formular un para actuar Plan de gestión que se ocupa específicamente de los sistemas críticos para el negocio. y funciones empresariales.
Orientación: gestión de la demanda
27002:2022-8.6 aboga por un enfoque dual para la gestión de la capacidad que aumenta la capacidad o reduce la demanda sobre un recurso o conjunto de recursos.
Al intentar aumentar la capacidad, las organizaciones deberían:
- Considere contratar nuevos empleados para llevar a cabo una función comercial.
- Comprar, arrendar o alquilar nuevas instalaciones o espacios de oficina.
- Compre, arriende o alquile procesamiento adicional, almacenamiento de datos y RAM (ya sea local o alojado en la nube).
- Considere usar elástico y escalable recursos en la nube que se expanden con la computación necesidades de la organización, con mínima intervención.
Al intentar reducir la demanda, las organizaciones deberían:
- Elimine datos obsoletos para liberar espacio de almacenamiento en servidores y medios adjuntos.
- Deseche de forma segura cualquier copia impresa de información que la organización ya no necesita, y no está obligado legalmente a obtenerlo, ni por ley ni a través de un organismo regulador.
- Desmantelar cualquier recurso, aplicación o entorno virtual de TIC que ya no sea necesario.
- Examine las tareas de TIC programadas (incluidos informes, funciones de mantenimiento automatizadas y procesos por lotes) para optimizar los recursos de memoria y reducir el espacio de almacenamiento que ocupan los datos generados.
- Optimice cualquier código de aplicación o consulta de base de datos que se ejecute con suficiente regularidad como para tener un efecto en la capacidad operativa de la organización.
- Limite la cantidad de ancho de banda que se asigna a actividades no críticas dentro de los límites de la red de la organización. Esto puede incluir restringir el acceso a Internet y evitar la transmisión de video/audio desde dispositivos de trabajo.
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27002:2013
27002:2022-8.6 reemplaza a 27002:2013-12.1.3 (Gestión de capacidad).
27002:2022-8.6 contiene un conjunto mucho más completo de directrices que instruyen a las organizaciones sobre cómo aumentar la capacidad o reducir la demanda.
Además de esto, 27002:2013-12.1.3 no contiene orientación específica sobre cómo aumentar la capacidad, en contraste con 27002:2022-8.6 que describe cursos de acción específicos que conducen a un mayor espacio de respiro operativo.
27002:2013-12.1.3 tampoco contiene orientación sobre cómo realizar pruebas de estrés de la capacidad operativa, o De lo contrario, auditar la capacidad de una organización. gestionar la capacidad de forma continua, además de recomendar un plan de gestión de la capacidad.
De acuerdo con el meteórico ascenso de la computación en la nube durante la última década, 27002:2022-8.6 es explícito en su consejo a las organizaciones para que utilicen recursos basados en la nube que se escalen automáticamente con los requisitos comerciales.
27002:2013-12.1.3 no hace ninguna mención al almacenamiento externo o a las instalaciones informáticas.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
ISO 27002, La implementación es más sencilla con nuestra lista de verificación paso a paso que lo guía a través de todo el proceso. Su solución completa de cumplimiento para ISO / IEC 27002: 2022.
- Hasta un 81% de progreso desde que inicias sesión
- Solución simple y de cumplimiento total
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
