ISO 27002:2022, Control 8.9 – Gestión de la configuración

Orientación general sobre cumplimiento

En general, la necesidad de las organizaciones de redactar e implementar políticas de gestión de la configuración tanto de los sistemas y hardware nuevos como de los que ya están en uso. Los controles internos deben incluir elementos críticos para el negocio, como configuraciones de seguridad, todo el hardware que contiene un archivo de configuración y cualquier aplicación o sistema de software relevante.

Control 8.9 pide a las organizaciones que consideren todos los roles y responsabilidades relevantes al implementar una política de configuración, incluida la propiedad delegada de las configuraciones dispositivo por dispositivo o aplicación por aplicación.

Orientación: plantillas estándar

Siempre que sea posible, las organizaciones deben utilizar plantillas estandarizadas para proteger todo el hardware, software y sistemas. Las plantillas deben:

1. Intente utilizar orientación disponible públicamente, específica del proveedor y/o de código abierto sobre la mejor manera de configurar los activos de hardware y software.
2. Cumplir con los requisitos mínimos de seguridad para el dispositivo, aplicación o sistema al que son aplicables.
3. Trabajar en armonía con los esfuerzos más amplios de seguridad de la información de la organización, incluidos todos los controles ISO relevantes.
4. Tenga en cuenta los requisitos comerciales únicos de la organización, especialmente en lo que respecta a las configuraciones de seguridad, incluida la viabilidad de aplicar o administrar una plantilla en un momento dado.
5. Ser revisado a intervalos apropiados para atender las actualizaciones del sistema y/o del hardware, o cualquier amenaza de seguridad predominante.

Orientación – Controles de seguridad

La seguridad es primordial al aplicar plantillas de configuración o modificar plantillas existentes de acuerdo con la guía anterior.

Al considerar plantillas estándar para su uso en toda la organización, para minimizar cualquier riesgo de seguridad de la información, las organizaciones deben:

1. Mantenga al mínimo el número de usuarios con privilegios de administrador.
2. Deshabilite cualquier identidad no utilizada o innecesaria.
3. Supervise de cerca el acceso a los programas de mantenimiento, aplicaciones de servicios públicos y configuraciones internas.
4. Asegúrese de que los relojes estén sincronizados para registrar la configuración correctamente y ayude en cualquier investigación futura.
5. Cambie inmediatamente cualquier contraseña predeterminada o configuración de seguridad predeterminada que se proporcione con cualquier dispositivo, servicio o aplicación.
6. Implemente un período de cierre de sesión predeterminado para cualquier dispositivo, sistema o aplicación que haya permanecido inactivo durante un período de tiempo específico.
7. Asegúrese de que se hayan cumplido todos los requisitos de licencia (ver Control 5.32).

Guía: gestión y supervisión de configuraciones

Una organización tiene la responsabilidad de mantener y almacenar configuraciones, incluido el mantenimiento de un registro de auditoría de cualquier modificación o nueva instalación, de acuerdo con un proceso de gestión de cambios publicado (ver Control 8.32).

Los registros deben contener información que describa:

1. A quién pertenece el activo.
2. Una marca de tiempo para el último cambio de configuración.
3. La versión actual de la plantilla de configuración.
4. Cualquier información relevante que explique la relación de los activos con las configuraciones mantenidas en otros dispositivos o sistemas.

Las organizaciones deben implementar una amplia gama de técnicas para monitorear el funcionamiento de los archivos de configuración en su red, que incluyen:

1. Automatización.
2. Programas especializados de mantenimiento de configuración.
3. Herramientas de soporte remoto que completan automáticamente la información de configuración dispositivo por dispositivo.
4. Utilidades de administración de software y dispositivos empresariales diseñadas para monitorear grandes cantidades de datos de configuración a la vez.
5. Software BUDR que realiza automáticamente copias de seguridad de las configuraciones en una ubicación segura y restaura plantillas de forma remota o in situ en dispositivos comprometidos o que no funcionan correctamente.

Las organizaciones deben configurar software especializado para rastrear cualquier cambio en la configuración de un dispositivo y tomar las medidas adecuadas para abordar la enmienda lo antes posible, ya sea validando el cambio o revirtiendo la configuración a su estado original.

Directrices de apoyo

• 5.32
• 8.32

Cambios y diferencias con respecto a ISO 27002:2013

Ninguno. Control 8.9 no tiene precedentes en ISO 27002:2013 ya que es nuevo.

Cómo ayuda ISMS.online

ISMS.Online es una solución completa para la implementación de ISO 27002.

Es un sistema basado en web que le permite demostrar que su sistema de gestión de seguridad de la información (SGSI) cumple con los estándares aprobados utilizando procesos, procedimientos y listas de verificación bien pensados.

Ponte en contacto hoy para RESERVAR UNA DEMOSTRACIÓN.