ISO 27002:2022 – Control 8.9 – Gestión de la configuración

Propósito del Control 8.9

Las configuraciones, ya sea que actúen como un único archivo de configuración o como un grupo de configuraciones vinculadas entre sí, son los parámetros subyacentes que gobiernan cómo se administra el hardware, el software e incluso redes enteras.

Por ejemplo, el archivo de configuración de un firewall contendrá los atributos básicos que el dispositivo utiliza para administrar el tráfico hacia y desde la red de una organización, incluidas listas de bloqueo, reenvío de puertos, LAN virtuales e información de VPN.

La gestión de la configuración es una parte integral de la operación más amplia de gestión de activos de una organización. Las configuraciones son clave para garantizar que una red no solo funcione como debería, sino también para proteger los dispositivos contra cambios no autorizados o enmiendas incorrectas por parte del personal de mantenimiento y/o proveedores.

Tabla de Atributos de Control 8.9

Control 8.9 es un preventivo controlar eso mantiene el riesgo estableciendo una serie de políticas que rigen cómo una organización documenta, implementa, monitorea y revisa el uso de configuraciones en toda su red.

Propiedad del Control 8.9

La gestión de la configuración es únicamente una tarea administrativa que se ocupa del mantenimiento y monitoreo de la información y los datos del lado de los activos que residen en una amplia gama de dispositivos y aplicaciones. Como tal, la propiedad debe residir en el Jefe de TI o su equivalente organizacional.

Orientación general sobre cumplimiento

En general, la necesidad de las organizaciones de redactar e implementar políticas de gestión de la configuración tanto de los sistemas y hardware nuevos como de los que ya están en uso. Los controles internos deben incluir elementos críticos para el negocio, como configuraciones de seguridad, todo el hardware que contiene un archivo de configuración y cualquier aplicación o sistema de software relevante.

Control 8.9 pide a las organizaciones que consideren todos los roles y responsabilidades relevantes al implementar una política de configuración, incluida la propiedad delegada de las configuraciones dispositivo por dispositivo o aplicación por aplicación.

Orientación: plantillas estándar

Siempre que sea posible, las organizaciones deben utilizar plantillas estandarizadas para proteger todo el hardware, software y sistemas. Las plantillas deben:

1. Intente utilizar orientación disponible públicamente, específica del proveedor y/o de código abierto sobre la mejor manera de configurar los activos de hardware y software.
2. Cumplir con los requisitos mínimos de seguridad para el dispositivo, aplicación o sistema al que son aplicables.
3. Trabajar en armonía con los esfuerzos más amplios de seguridad de la información de la organización, incluidos todos los controles ISO relevantes.
4. Tenga en cuenta los requisitos comerciales únicos de la organización, especialmente en lo que respecta a las configuraciones de seguridad, incluida la viabilidad de aplicar o administrar una plantilla en un momento dado.
5. Ser revisado a intervalos apropiados para atender las actualizaciones del sistema y/o del hardware, o cualquier amenaza de seguridad predominante.

Orientación – Controles de seguridad

La seguridad es primordial al aplicar plantillas de configuración o modificar plantillas existentes de acuerdo con la guía anterior.

Al considerar plantillas estándar para su uso en toda la organización, para minimizar cualquier riesgo de seguridad de la información, las organizaciones deben:

1. Mantenga al mínimo el número de usuarios con privilegios de administrador.
2. Deshabilite cualquier identidad no utilizada o innecesaria.
3. Supervise de cerca el acceso a los programas de mantenimiento, aplicaciones de servicios públicos y configuraciones internas.
4. Asegúrese de que los relojes estén sincronizados para registrar la configuración correctamente y ayude en cualquier investigación futura.
5. Cambie inmediatamente cualquier contraseña predeterminada o configuración de seguridad predeterminada que se proporcione con cualquier dispositivo, servicio o aplicación.
6. Implemente un período de cierre de sesión predeterminado para cualquier dispositivo, sistema o aplicación que haya permanecido inactivo durante un período de tiempo específico.
7. Asegúrese de que se hayan cumplido todos los requisitos de licencia (ver Control 5.32).

Guía: gestión y supervisión de configuraciones

Una organización tiene la responsabilidad de mantener y almacenar configuraciones, incluido el mantenimiento de un registro de auditoría de cualquier modificación o nueva instalación, de acuerdo con un proceso de gestión de cambios publicado (ver Control 8.32).

Los registros deben contener información que describa:

1. A quién pertenece el activo.
2. Una marca de tiempo para el último cambio de configuración.
3. La versión actual de la plantilla de configuración.
4. Cualquier información relevante que explique la relación de los activos con las configuraciones mantenidas en otros dispositivos o sistemas.

Las organizaciones deben implementar una amplia gama de técnicas para monitorear el funcionamiento de los archivos de configuración en su red, que incluyen:

1. Automatización.
2. Programas especializados de mantenimiento de configuración.
3. Herramientas de soporte remoto que completan automáticamente la información de configuración dispositivo por dispositivo.
4. Utilidades de administración de software y dispositivos empresariales diseñadas para monitorear grandes cantidades de datos de configuración a la vez.
5. Software BUDR que realiza automáticamente copias de seguridad de las configuraciones en una ubicación segura y restaura plantillas de forma remota o in situ en dispositivos comprometidos o que no funcionan correctamente.

Las organizaciones deben configurar software especializado para rastrear cualquier cambio en la configuración de un dispositivo y tomar las medidas adecuadas para abordar la enmienda lo antes posible, ya sea validando el cambio o revirtiendo la configuración a su estado original.

Directrices de apoyo

• 5.32
• 8.32

Cambios y diferencias con respecto a ISO 27002:2013

Ninguno. Control 8.9 no tiene precedentes en ISO 27002:2013 ya que es nuevo.

Nuevos controles ISO 27002

Cómo ayuda ISMS.online

ISMS.Online es una solución completa para la implementación de ISO 27002.

Es un sistema basado en web que le permite demostrar que su sistema de gestión de seguridad de la información (SGSI) cumple con los estándares aprobados utilizando procesos, procedimientos y listas de verificación bien pensados.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.