Propósito del Control 8.9
Las configuraciones, ya sea que actúen como un único archivo de configuración o como un grupo de configuraciones vinculadas entre sí, son los parámetros subyacentes que gobiernan cómo se administra el hardware, el software e incluso redes enteras.
Por ejemplo, el archivo de configuración de un firewall contendrá los atributos básicos que el dispositivo utiliza para administrar el tráfico hacia y desde la red de una organización, incluidas listas de bloqueo, reenvío de puertos, LAN virtuales e información de VPN.
La gestión de la configuración es una parte integral de la operación más amplia de gestión de activos de una organización. Las configuraciones son clave para garantizar que una red no solo funcione como debería, sino también para proteger los dispositivos contra cambios no autorizados o enmiendas incorrectas por parte del personal de mantenimiento y/o proveedores.
Tabla de Atributos de Control 8.9
Control 8.9 es un preventivo controlar eso mantiene el riesgo estableciendo una serie de políticas que rigen cómo una organización documenta, implementa, monitorea y revisa el uso de configuraciones en toda su red.
| Tipo de control | Propiedades de seguridad de la información | Conceptos de ciberseguridad | Capacidades operativas | Dominios de seguridad |
|---|---|---|---|---|
| #Preventivo | #Confidencialidad | #Proteger | #Configuración segura | #Proteccion |
| #Integridad | ||||
| #Disponibilidad |
Propiedad del Control 8.9
La gestión de la configuración es únicamente una tarea administrativa que se ocupa del mantenimiento y monitoreo de la información y los datos del lado de los activos que residen en una amplia gama de dispositivos y aplicaciones. Como tal, la propiedad debe residir en el Jefe de TI o su equivalente organizacional.
Libérate de una montaña de hojas de cálculo
Integre, amplíe y escale su cumplimiento normativo, sin complicaciones. IO le brinda la resiliencia y la confianza para crecer con seguridad.
Orientación general sobre cumplimiento
En general, la necesidad de las organizaciones de redactar e implementar políticas de gestión de la configuración tanto de los sistemas y hardware nuevos como de los que ya están en uso. Los controles internos deben incluir elementos críticos para el negocio, como configuraciones de seguridad, todo el hardware que contiene un archivo de configuración y cualquier aplicación o sistema de software relevante.
Control 8.9 pide a las organizaciones que consideren todos los roles y responsabilidades relevantes al implementar una política de configuración, incluida la propiedad delegada de las configuraciones dispositivo por dispositivo o aplicación por aplicación.
Orientación: plantillas estándar
Siempre que sea posible, las organizaciones deben utilizar plantillas estandarizadas para proteger todo el hardware, software y sistemas. Las plantillas deben:
- Intente utilizar orientación disponible públicamente, específica del proveedor y/o de código abierto sobre la mejor manera de configurar los activos de hardware y software.
- Cumplir con los requisitos mínimos de seguridad para el dispositivo, aplicación o sistema al que son aplicables.
- Trabajar en armonía con los esfuerzos más amplios de seguridad de la información de la organización, incluidos todos los controles ISO relevantes.
- Tenga en cuenta los requisitos comerciales únicos de la organización, especialmente en lo que respecta a las configuraciones de seguridad, incluida la viabilidad de aplicar o administrar una plantilla en un momento dado.
- Ser revisado a intervalos apropiados para atender las actualizaciones del sistema y/o del hardware, o cualquier amenaza de seguridad predominante.
Orientación – Controles de seguridad
La seguridad es primordial al aplicar plantillas de configuración o modificar plantillas existentes de acuerdo con la guía anterior.
Al considerar plantillas estándar para su uso en toda la organización, para minimizar cualquier riesgo de seguridad de la información, las organizaciones deben:
- Mantenga al mínimo el número de usuarios con privilegios de administrador.
- Deshabilite cualquier identidad no utilizada o innecesaria.
- Supervise de cerca el acceso a los programas de mantenimiento, aplicaciones de servicios públicos y configuraciones internas.
- Asegúrese de que los relojes estén sincronizados para registrar la configuración correctamente y ayude en cualquier investigación futura.
- Cambie inmediatamente cualquier contraseña predeterminada o configuración de seguridad predeterminada que se proporcione con cualquier dispositivo, servicio o aplicación.
- Implemente un período de cierre de sesión predeterminado para cualquier dispositivo, sistema o aplicación que haya permanecido inactivo durante un período de tiempo específico.
- Asegúrese de que se hayan cumplido todos los requisitos de licencia (ver Control 5.32).
ISO 27001 simplificado
Una ventaja del 81% desde el primer día
Hemos hecho el trabajo duro por ti y te damos una ventaja inicial del 81 % desde el momento en que inicias sesión. Todo lo que tienes que hacer es completar los espacios en blanco.
Guía: gestión y supervisión de configuraciones
Una organización tiene la responsabilidad de mantener y almacenar configuraciones, incluido el mantenimiento de un registro de auditoría de cualquier modificación o nueva instalación, de acuerdo con un proceso de gestión de cambios publicado (ver Control 8.32).
Los registros deben contener información que describa:
- A quién pertenece el activo.
- Una marca de tiempo para el último cambio de configuración.
- La versión actual de la plantilla de configuración.
- Cualquier información relevante que explique la relación de los activos con las configuraciones mantenidas en otros dispositivos o sistemas.
Las organizaciones deben implementar una amplia gama de técnicas para monitorear el funcionamiento de los archivos de configuración en su red, que incluyen:
- Automatización.
- Programas especializados de mantenimiento de configuración.
- Herramientas de soporte remoto que completan automáticamente la información de configuración dispositivo por dispositivo.
- Utilidades de administración de software y dispositivos empresariales diseñadas para monitorear grandes cantidades de datos de configuración a la vez.
- Software BUDR que realiza automáticamente copias de seguridad de las configuraciones en una ubicación segura y restaura plantillas de forma remota o in situ en dispositivos comprometidos o que no funcionan correctamente.
Las organizaciones deben configurar software especializado para rastrear cualquier cambio en la configuración de un dispositivo y tomar las medidas adecuadas para abordar la enmienda lo antes posible, ya sea validando el cambio o revirtiendo la configuración a su estado original.
Directrices de apoyo
- 5.32
- 8.32
Gestione todo su cumplimiento, todo en un solo lugar
ISMS.online admite más de 100 estándares y regulaciones, lo que le brinda una única plataforma para todas sus necesidades de cumplimiento.
Cambios y diferencias con respecto a ISO 27002:2013
Ninguno. Control 8.9 no tiene precedentes en ISO 27002:2013 ya que es nuevo.
Nuevos controles ISO 27002
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 5.7 | NUEVO | Inteligencia de amenazas |
| 5.23 | NUEVO | Seguridad de la información para el uso de servicios en la nube. |
| 5.30 | NUEVO | Preparación de las TIC para la continuidad del negocio |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 8.9 | NUEVO | gestión de la configuración |
| 8.10 | NUEVO | Eliminación de información |
| 8.11 | NUEVO | Enmascaramiento de datos |
| 8.12 | NUEVO | Prevención de fuga de datos |
| 8.16 | NUEVO | Actividades de monitoreo |
| 8.23 | NUEVO | Filtrado Web |
| 8.28 | NUEVO | Codificación segura |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 6.1 | 07.1.1 | examen en línea. |
| 6.2 | 07.1.2 | Términos y condiciones de empleo |
| 6.3 | 07.2.2 | Concientización, educación y capacitación sobre seguridad de la información. |
| 6.4 | 07.2.3 | Proceso Disciplinario |
| 6.5 | 07.3.1 | Responsabilidades tras el despido o cambio de empleo |
| 6.6 | 13.2.4 | Acuerdos de confidencialidad o no divulgación |
| 6.7 | 06.2.2 | Trabajo remoto |
| 6.8 | 16.1.2, 16.1.3 | Informes de eventos de seguridad de la información |
| Identificador de control ISO/IEC 27002:2022 | Identificador de control ISO/IEC 27002:2013 | Nombre de control |
|---|---|---|
| 7.1 | 11.1.1 | Perímetros de seguridad física |
| 7.2 | 11.1.2, 11.1.6 | Entrada física |
| 7.3 | 11.1.3 | Seguridad de oficinas, habitaciones e instalaciones. |
| 7.4 | NUEVO | Monitoreo de seguridad física |
| 7.5 | 11.1.4 | Protección contra amenazas físicas y ambientales. |
| 7.6 | 11.1.5 | Trabajar en áreas seguras |
| 7.7 | 11.2.9 | Escritorio claro y pantalla clara |
| 7.8 | 11.2.1 | Ubicación y protección de equipos. |
| 7.9 | 11.2.6 | Seguridad de los activos fuera de las instalaciones |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Medios de almacenamiento |
| 7.11 | 11.2.2 | Servicios públicos de apoyo |
| 7.12 | 11.2.3 | Seguridad del cableado |
| 7.13 | 11.2.4 | Mantenimiento de equipo |
| 7.14 | 11.2.7 | Eliminación segura o reutilización del equipo |
Cómo ayuda ISMS.online
ISMS.Online es una solución completa para la implementación de ISO 27002.
Es un sistema basado en web que le permite demostrar que su sistema de gestión de seguridad de la información (SGSI) cumple con los estándares aprobados utilizando procesos, procedimientos y listas de verificación bien pensados.
Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.
