Propósito del Control 8.8
Ninguna red informática, sistema, software o dispositivo es 100% seguro. Las vulnerabilidades son parte integral del funcionamiento de una LAN o WAN moderna, y es importante que las organizaciones reconozcan que, en primer lugar, existen y, en segundo lugar, la necesidad de minimizar los riesgos donde tienen el potencial de ocurrir.
Control 8.8 contiene una cantidad considerable de consejos que ayudan a las organizaciones a prevenir la explotación interna y externa de vulnerabilidades en toda su red. El Control 8.8 se basa en procedimientos y directrices de soporte de muchos otros controles ISO 27002:2022, particularmente aquellos que se relacionan con la gestión de cambios (ver Control 8.32) y protocolos de control de acceso.
Tabla de Atributos de Control 8.8
Control 8.8 es un preventivo controlar eso mantiene el riesgo mediante la implementación de procedimientos que recopilan información sobre vulnerabilidades técnicas y permiten a la organización tomar medidas adecuadas para salvaguardar activos, sistemas, datos y hardware.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Identificar | #Gestión de amenazas y vulnerabilidades | #Gobernanza y Ecosistema |
| #Integridad | #Proteger | #Proteccion | ||
| #Disponibilidad | #Defensa |
Propiedad del Control 8.8
El Control 8.8 se ocupa de la gestión técnica y administrativa de software, sistemas y activos TIC. Algunas de las directrices implican la implementación de un enfoque muy detallado para la gestión de software, la gestión de activos y la auditoría de seguridad de la red.
Como tal, la propiedad del Control 8.8 debe residir en la persona que tiene la responsabilidad general de mantener la infraestructura de TIC de la organización, como el Jefe de TI o su equivalente organizacional.
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Orientación: identificación de vulnerabilidades
Antes de implementar controles de vulnerabilidad, es esencial obtener una lista completa y actualizada de los activos físicos y digitales (ver Controles 5.9 y 5.14) que son propiedad de la organización y están operados por ella.
La información de los activos de software debe incluir:
- Nombre del vendedor
- Nombre de la aplicación
- Números de versión actualmente en funcionamiento
- Dónde se implementa el software en todo el patrimonio
Al intentar identificar vulnerabilidades técnicas, las organizaciones deberían:
- Describa claramente quién (dentro de la organización) es responsable de la gestión de vulnerabilidades desde una perspectiva técnica, de acuerdo con sus diversas funciones, que incluyen (pero no se limitan a):
- Gestión de activos
- Evaluación del riesgo
- Monitoring
- Actualización de
- ¿Quién es responsable del software dentro de la organización?
- Mantener un inventario de aplicaciones y recursos que se utilizarán para identificar vulnerabilidades técnicas.
- Solicitar a los proveedores y vendedores que revelen las vulnerabilidades al suministrar nuevos sistemas y hardware (ver Control 5.20), y especificarlo como tal en todos los contratos y acuerdos de servicio relevantes.
- Utilice herramientas de escaneo de vulnerabilidades, incluidas las funciones de parcheo.
- Realice pruebas de penetración periódicas y documentadas, ya sea internamente o a través de un tercero certificado.
- Tenga en cuenta el uso de bibliotecas de código de terceros y/o código fuente para vulnerabilidades programáticas subyacentes (consulte Control 8.28).
Orientación – Actividades públicas
Además de los sistemas internos, las organizaciones deben desarrollar políticas y procedimientos que detecten vulnerabilidades en todos sus productos y servicios, y recibir evaluaciones de vulnerabilidad relacionadas con el suministro de dichos productos y servicios.
ISO aconseja a las organizaciones que hagan un esfuerzo público para rastrear cualquier vulnerabilidad y alienten a terceros a participar en esfuerzos de gestión de vulnerabilidades mediante el uso de programas de recompensas (donde se buscan exploits y se informan a la organización para obtener una recompensa).
Las organizaciones deben ponerse a disposición del público en general a través de foros, direcciones de correo electrónico públicas y actividades de investigación para que el conocimiento colectivo del público en general pueda utilizarse para salvaguardar los productos y servicios en origen.
Cuando se hayan tomado medidas correctivas que afecten a usuarios o clientes, las organizaciones deberían considerar la posibilidad de divulgar información relevante a las personas u organizaciones afectadas y colaborar con organizaciones de seguridad especializadas para difundir información sobre vulnerabilidades y vectores de ataque.
Además, las organizaciones deberían considerar ofrecer un procedimiento de actualización automática en el que los clientes puedan optar por participar o no, según sus necesidades comerciales.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Orientación: evaluación de vulnerabilidades
La presentación de informes adecuados es clave para garantizar medidas correctivas rápidas y eficaces cuando se descubren vulnerabilidades.
Al evaluar las vulnerabilidades, las organizaciones deberían:
- Analice cuidadosamente cualquier informe y decida qué medidas deben tomarse, incluidas (entre otras) la modificación, actualización o eliminación de los sistemas y/o hardware afectados.
- Acordar una resolución que tenga en cuenta otros controles ISO (particularmente los relacionados con ISO 27002:2022) y reconozca el nivel de riesgos involucrados.
Orientación: contrarrestar las vulnerabilidades del software
La mejor manera de combatir las vulnerabilidades de software es con un enfoque proactivo de las actualizaciones de software y la gestión de parches.
Antes de implementar cualquier modificación, las organizaciones deben asegurarse de que se conserven las versiones de software vigentes, que todos los cambios se prueben completamente y se apliquen a una copia designada del software.
Al abordar directamente las vulnerabilidades una vez identificadas, las organizaciones deberían:
- Buscar resolver todas las vulnerabilidades de manera oportuna y eficiente.
- Cuando sea posible, siga los procedimientos organizacionales sobre gestión de cambios (ver Control 8.32) y respuesta a incidentes (ver Control 5.26).
- Aplique únicamente actualizaciones y parches que provengan de fuentes confiables y/o certificadas, particularmente en el caso de software y equipos de proveedores externos.
- En lo que respecta al software del proveedor, las organizaciones deben tomar una decisión basada en la información disponible sobre si es necesario aplicar actualizaciones automáticas (o partes de las mismas) al software y hardware adquiridos.
- Pruebe las actualizaciones necesarias antes de la instalación para evitar incidentes imprevistos en un entorno operativo.
- Buscar abordar como prioridad los sistemas críticos y de alto riesgo para el negocio.
- Asegúrese de que cualquier acción correctiva sea efectiva y auténtica.
En caso de que una actualización no esté disponible o de cualquier problema que impida su instalación (como problemas de costos), las organizaciones deben considerar otras medidas, como:
- Pedirle consejo al proveedor sobre una solución alternativa o de “esparadrapo” mientras se intensifican los esfuerzos de reparación.
- Deshabilitar o detener cualquier servicio de red que se vea afectado por la vulnerabilidad.
- Implementar controles de seguridad de la red en puntos de entrada críticos, incluidas reglas y filtros de tráfico.
- Incrementar el nivel general de seguimiento en función del riesgo asociado.
- Asegúrese de que todas las partes afectadas sean conscientes de la vulnerabilidad, incluidos proveedores y clientes.
- Retrasar la actualización para evaluar mejor los riesgos asociados, especialmente cuando el costo operativo puede ser un problema.
Controles de apoyo
- 5.14
- 5.20
- 5.9
- 8.20
- 8.22
- 8.28
Orientación complementaria sobre control 8.8
- Las organizaciones deben mantener un registro de auditoría de todas las actividades relevantes de gestión de vulnerabilidades, con el fin de ayudar en los esfuerzos correctivos y mejorar los procedimientos en caso de un incidente de seguridad.
- Todo el proceso de gestión de vulnerabilidades debe revisarse y evaluarse periódicamente para mejorar el rendimiento e identificar más vulnerabilidades en origen.
- Si la organización utilizó software alojado por un proveedor de servicios en la nube, la organización debe asegurarse de que la postura del proveedor de servicios hacia la gestión de vulnerabilidades esté alineada con la suya y debe formar una parte clave de cualquier acuerdo de servicio vinculante entre las dos partes, incluidos los procedimientos de presentación de informes. (ver Control 5.32).
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27002:2013
ISO 27002:2022-8.8 reemplaza dos controles de ISO 27002:2013:
- 12.6.1 – Gestión de vulnerabilidades técnicas
- 18.2.3 – Revisión de cumplimiento técnico
27002:2022-8.8 representa un enfoque fundamentalmente diferente para la gestión de vulnerabilidades que el contenido en 27002:2013.
27002:2013-12.6.1 se ocupa en gran medida de la implementación de acciones correctivas una vez que se ha identificado una vulnerabilidad, mientras que 18.2.3 se limita a herramientas técnicas (principalmente pruebas de penetración).
27002:2022-8.8 contiene secciones completamente nuevas sobre temas como las actividades públicas de una organización, cómo se identifican las vulnerabilidades en primer lugar y el papel que desempeñan los proveedores de la nube para garantizar que las vulnerabilidades se mantengan al mínimo.
En general, ISO pone un mayor énfasis en el papel que desempeña la gestión de vulnerabilidades en otras áreas de 27002:2022 (en particular, la gestión de cambios) y aboga por un enfoque holístico que incluya muchos otros controles y procedimientos de seguridad de la información.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
Nuestra plataforma es intuitiva y fácil de usar. No es sólo para gente muy técnica; es para todos en su organización. Le animamos a involucrar al personal de todos los niveles de su negocio en el proceso de construcción de su SGSI, porque eso le ayudará a construir un sistema verdaderamente sostenible.
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
