ISO 27002:2022 – Control 8.7 – Protección contra malware

Propósito del Control 8.7

El malware representa la mayor amenaza para la continuidad del negocio y la seguridad de la información que enfrentan las empresas en la era digital.

La comunidad comercial global enfrenta innumerables amenazas diarias provenientes de una amplia gama de vectores de ataque que buscan obtener acceso no autorizado a sistemas y datos confidenciales, extraer información y dinero, engañar a empleados modestos y aprovechar los datos rescatados para obtener sumas de dinero exorbitantes.

El enfoque de una organización respecto de la protección contra malware debe estar al frente y al centro de cualquier política de seguridad de la información.

Control 8.7 contiene una serie de medidas que ayudan a las organizaciones a educar a sus empleados sobre los peligros del software malicioso e implementar medidas prácticas significativas que detengan los ataques internos y externos antes de que tengan la oportunidad de causar interrupciones y pérdida de datos.

Tabla de Atributos de Control 8.7

Control 8.7 es un preventivo de triple propósito, detective y correctivo controlar eso mantiene el riesgo mediante la implementación de políticas y procedimientos que garanticen que la información, los datos y los activos de una organización estén protegidos contra el malware.

Propiedad del Control 8.7

Si bien la protección contra malware implica pasos prácticos que deben tomar el personal administrativo de TIC y los usuarios estándar, el tema en sí es amplio y abarca múltiples funciones comerciales distintas con diferentes niveles de riesgo y numerosos controles ISO adicionales. Como tal, la propiedad del Control 8.7 debe residir en el Director de Información de Seguridad, o equivalente organizacional.

Orientación general sobre cumplimiento

Control 8.7 pide a las organizaciones que adopten un enfoque de protección contra malware que abarque cuatro áreas clave:

• Software anti-malware
• Concientización sobre la seguridad de la información organizacional (capacitación de usuarios)
• Sistemas controlados y acceso a cuentas.
• Gestión del cambio

ISO señala categóricamente que es un error suponer que el software antimalware por sí solo representa un conjunto adecuado de medidas. En cambio, Control 8.7 pide a las organizaciones que adopten un enfoque de extremo a extremo para la protección contra malware que comienza con la educación del usuario y termina con una red estrechamente controlada que minimice el riesgo de intrusión a través de una variedad de vectores de ataque.

Para lograr este objetivo, las organizaciones deben implementar controles que:

1. Prevenir el uso de software no autorizado (ver Controles 8.19 y 8.32).
2. Bloquee el tráfico a sitios web maliciosos o inapropiados.
3. Minimizar la cantidad de vulnerabilidades residentes en su red que tienen el potencial de ser explotadas por malware o intenciones maliciosas (ver Controles 8.8 y 8.19).
4. Lleve a cabo auditorías de software periódicas que escaneen la red en busca de software, modificaciones del sistema y/o datos no autorizados.
5. Asegúrese de que los datos y las aplicaciones se obtengan con un riesgo mínimo, ya sea internamente o como adquisición externa.
6. Establezca una política de detección de malware que incluya análisis periódicos y exhaustivos de todos los sistemas y archivos relevantes, en función de los riesgos únicos de cada área a analizar. Las organizaciones deben adoptar un enfoque de "defensa en profundidad" que abarque dispositivos terminales y controles de puerta de enlace, y tenga en cuenta una amplia gama de vectores de ataque (por ejemplo, ransomware).
7. Protéjase contra intrusiones que emanan de procedimientos y protocolos de emergencia, especialmente durante un incidente o actividades de mantenimiento de alto riesgo.
8. Redacte un proceso que permita al personal técnico desactivar algunos o todos los esfuerzos antimalware, especialmente cuando dichas actividades obstaculizan la capacidad de la organización para hacer negocios.
9. Implementar un plan sólido de respaldo y recuperación ante desastres (BUDR) que permita a la organización reanudar la actividad operativa lo más rápido posible, luego de una interrupción (ver Control 8.13). Esto debería incluir procedimientos relacionados con software que no puede ser cubierto por software antimalware (es decir, software de maquinaria).
10. Dividir áreas de la red y/o entornos de trabajo digitales y virtuales que puedan causar interrupciones catastróficas en caso de un ataque.
11. Brinde a todos los empleados relevantes capacitación sobre concientización sobre malware que eduque a los usuarios sobre una amplia gama de temas, que incluyen (entre otros):
• Ingeniería social
• Seguridad del correo
• Instalación de software malicioso
12. Recopile información relacionada con la industria sobre los últimos desarrollos en protección contra malware.
13. Asegúrese de que las notificaciones sobre posibles ataques de malware (particularmente de proveedores de software y hardware) provengan de una fuente confiable y sean precisas.

Controles de apoyo

• 8.13
• 8.19
• 8.32
• 8.8

Cambios y diferencias con respecto a ISO 27002:2013

ISO 27002:2022-8.7 reemplaza a ISO 27002:2003-12.2.1 (Controles contra malware).

27002:2022-8.7 contiene los mismos puntos de orientación básicos que 27002:2003-12.2.1 y eleva algunas de las directrices complementarias a puntos de orientación generales, de acuerdo con su importancia para los esfuerzos antimalware de una organización, en particular:

• Protección contra malware durante los periodos de mantenimiento.

27002:2003-12.2.1 también pide a las organizaciones que consideren el uso de dos plataformas antimalware independientes, mientras que 27002:2022-8.7 se contenta con una única solución unificada.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

Nuestra plataforma le proporciona paneles personalizables que le brindan visibilidad en tiempo real de su estado de cumplimiento.

Puede monitorear y gestionar todos los aspectos de su proceso de cumplimiento de ISO 27002 desde un solo lugar: gestión de auditorías, análisis de brechas, gestión de capacitación, evaluación de riesgos, etc.

Proporciona una solución integrada y fácil de usar a la que se puede acceder las 24 horas del día, los 7 días de la semana a través de cualquier dispositivo con conexión a Internet. La plataforma permite a todos los empleados trabajar juntos de forma fluida y segura para gestionar los riesgos de seguridad y realizar un seguimiento del cumplimiento de la organización, así como del camino hacia la certificación ISO 27001.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.