ISOIEC TR 27008

¿Qué son los controles de seguridad de la información?

Los controles de seguridad de la información son medidas que se toman para mitigar las vulnerabilidades de seguridad de la información, como fallas de dispositivos, robo de datos, violaciones del sistema y modificaciones no deseadas de información o procesos digitales.

Estas Los controles de seguridad generalmente se aplican en respuesta a un riesgo de seguridad de la información. evaluación para garantizar mejor la disponibilidad, confidencialidad y privacidad de los datos y las redes.

Estos controles salvaguardan la confidencialidad, integridad y disponibilidad de la información en el campo de la seguridad de la información.

Tipos de controles de seguridad de la información

Los protocolos, procedimientos, cronogramas, dispositivos y aplicaciones de seguridad entran en la categoría de controles de seguridad de la información.

1. Controles preventivos de seguridad, protocolos de seguridad que tienen como objetivo evitar accidentes de ciberseguridad
2. Controles de seguridad de detectives destinado a identificar y alertar al personal de ciberseguridad sobre un intento de intrusión de ciberseguridad o una posible violación de la seguridad.
3. Los controles de seguridad correctivos se utilizan después de un evento de ciberseguridad para ayudar a mitigar la pérdida de datos y la interrupción del dispositivo o la red y recuperar fácilmente sistemas y operaciones empresariales sensibles.

Además, las medidas de seguridad se pueden clasificar según su finalidad, de la siguiente manera:

Controles de acceso:

Estos incluyen monitores de entrada física, como guardias armados en las salidas de los edificios, cerraduras y vallas perimetrales.

Controles de procedimiento:

Conciencia de amenazas instrucción, capacitación sobre aplicación del marco de seguridad y procesos y procedimientos de respuesta a incidentes.

Controles técnicos:

Estos incluyen autenticación de cuenta multifactor en el punto de entrada (iniciar sesión) y controles de acceso lógico, aplicaciones antivirus y cortafuegos.

Controles de cumplimiento:

Estos incluyen reglas, marcos y requisitos de privacidad, así como enfoques y estándares de ciberseguridad.

¿Cuál es el propósito de la norma ISO 27008?

ISO 27008 fue creada para:

• Ayuda en la preparación e implementación de auditorías del SGSI y el método de gestión de riesgos de la información;
• Proporcionar directrices para auditar los controles de seguridad de la información de acuerdo con la guía de controles de ISO/IEC 27002;
• Mejora las auditorías de ISMS optimizando las relaciones entre los procesos de ISMS y los controles necesarios;
• Garantiza que los recursos de auditoría se utilicen de forma eficaz y eficiente.
• Agrega valor y mejora la coherencia y el beneficio de las especificaciones ISO 27k al salvar la diferencia entre actualizar el SGSI en principio y, cuando sea necesario, verificar pruebas de los controles SGSI aplicados (por ejemplo, evaluar los elementos de seguridad de las operaciones comerciales, las estructuras de TI y las operaciones de TI). entornos en organizaciones de usuarios ISO27k);

¿Cuál es el alcance de la norma ISO 27008?

ISO 27008 proporciona orientación a todos los auditores sobre los controles de los sistemas de gestión de seguridad de la información. Guía el proceso de gestión de riesgos de la información así como evaluaciones internas, externas y de terceros de un SGSI demostrando la asociación entre el SGSI y los controles que lo acompañan.

Incluye directrices sobre cómo probar en qué medida se aplican los “controles del sistema de gestión de seguridad de la información” necesarios. Además, ayuda a las organizaciones que están implementando ISO/IEC 27001 o ISO/IEC 27002 a cumplir con los criterios de cumplimiento y servir como plataforma técnica para la gobernanza de la tecnología de la información.

¿Cómo funciona la norma ISO 27008?

ISO 27008 define procedimientos generales, no técnicas para ningún control o forma de control en particular.

Define revisiones sistemáticas y luego describe los diversos enfoques y formas de revisiones que son aplicables a los controles de seguridad de la información. Finalmente, analiza las prácticas necesarias para un proceso de revisión exitoso.

Relación con ISO 27001 e ISO 27002

ISO 27008 es muy similar a la ISO 27007 especificación de auditoría para sistemas de gestión de seguridad de la información.

Sin embargo, a diferencia de ISO 27007, que se centra en revisar los componentes del sistema de gestión de un SGSI tal como se define en ISO 27001, ISO 27008 se centra en auditar controles de seguridad de la información específicos, como los enumerados en ISO 27002 y detallados en Anexo A de ISO 27001.

ISO 27008 “se centra en evaluaciones de controles de seguridad de la información, incluido el cumplimiento normativo, frente a un estándar de implementación de seguridad de la información establecido por la organización.

Sin embargo, no pretende proporcionar directrices detalladas sobre las pruebas de cumplimiento con respecto al cálculo, la evaluación de riesgos o la auditoría de un SGSI, como se especifica en ISO 27004, ISO 27005, o 27007, respectivamente.

¿Quién debería implementar la ISO 27008?

ISO 27008 está destinada a auditores internos y externos encargados de la responsabilidad de revisar los controles de gestión de la información que forman parte de un SGSI. Sin embargo, sería beneficioso para cualquiera que realice un análisis o evaluación de los controles de un SGSI, ya sea como parte de un procedimiento de auditoría estructurado o de otro modo. El documento está dirigido principalmente a auditores de seguridad de la información que son responsables de verificar que los controles de seguridad de la información de una organización cumplen técnicamente con ISO/IEC 27002 y todos los demás requisitos de control utilizados por la organización.

ISO 27008 les ayudará de las siguientes maneras:

• Reconocer y comprender el alcance de posibles problemas y debilidades en los controles de seguridad de la información.
• Identificar y comprender las posibles consecuencias para la empresa de los riesgos y debilidades de la tecnología informática mal mitigados.
• Priorizar las prácticas de control de riesgos relacionados con la gestión de la información.
• Asegúrese de que las vulnerabilidades o defectos encontrados previamente o recientemente descubiertos se hayan resuelto suficientemente.

ISO 27008 es aplicable a una amplia gama de organizaciones, incluidas empresas públicas y privadas, agencias gubernamentales y organizaciones sin fines de lucro.