ISO 27701 – Cláusula 6.10 – Seguridad de las Comunicaciones

Comprensión de la cláusula 27701 de la norma ISO 6.10: Seguridad de las comunicaciones

La seguridad de las comunicaciones es el pan y la mantequilla de la mayoría de las operaciones de protección de la privacidad, incluidas las actividades que limitan y monitorean el acceso a la PII y a los activos relacionados con la privacidad.

Las organizaciones deben ejercer un control estricto sobre quién y qué puede acceder a los recursos de TIC relacionados con la seguridad y la privacidad mediante el uso generalizado de controles de red seguros, gestión de servicios y segregación.

Qué se cubre en la cláusula 27701 de la norma ISO 6.10

ISO 27701 contiene tres subcláusulas que tratan de distintas áreas de seguridad de las comunicaciones:

• ISO 27701 6.10.1.1 – Controles de red (ISO 27002 Controlar 8.20)
• ISO 27701 6.10.1.2 – Seguridad en los servicios de red (ISO 27002 Control 8.21)
• ISO 27701 6.10.1.3 – Segregación en redes (ISO 27002 Control 8.22)

Cada cláusula contiene información adjunta de la Norma ISO 27002, con un extenso conjunto de cláusulas de respaldo (particularmente dentro de la subcláusula 6.10.1.1), como corresponde a la naturaleza compleja del tema.

ISO no ofrece ninguna orientación adicional relacionada con PIMS o PII sobre el tema de la seguridad de las comunicaciones, ni tampoco hay ninguna guía del Reino Unido. GDPR Artículos a tener en cuenta.

ISO 27701 Cláusula 6.10.1.1 – Controles de red

Referencias ISO 27002 Control 8.20

La cláusula 27701 de ISO 6.10.1.1 se centra en dos aspectos clave de la seguridad de la red:

• Protección de la privacidad
• Protección contra acceso no autorizado

Las organizaciones deberían:

1. Clasificar los datos (incluida la PII) por tipo y classification.
2. Asegúrese de que solo se solicite personal calificado para mantener el equipo de red, de acuerdo con un conjunto claro de funciones y responsabilidades.
3. Mantenga un registro de diagramas de red, versiones de firmware y archivos de configuración de dispositivos críticos como enrutadores, firewalls, WAP y conmutadores de red.
4. Segregar las responsabilidades de la red (consulte ISO 27002 Control 5.3), incluida la separación del tráfico administrativo del tráfico de red estándar.
5. Cumpla con los controles que faciliten el almacenamiento y la transferencia seguros de datos, incluidas todas las aplicaciones y sistemas conectados (consulte los Controles ISO 27002 5.22, 8.24, 5.14 y 6.6).
6. Mantenga registros de seguridad para todo el sistema y los componentes individuales, según sea necesario (consulte los Controles ISO 27002 8.16 y 8.15).
7. Realizar tareas de gestión y administración de redes en armonía con otros procesos comerciales.
8. Asegúrese de que se solicite y otorgue la autorización adecuada antes de que el personal acceda a partes relevantes de la red.
9. Utilice restricciones de tráfico, filtrado de contenido y reglas de datos en toda la red, tanto para datos entrantes como salientes.
10. Asegúrese de que cualquier dispositivo que esté conectado a la red pueda ser administrado por el personal administrativo.
11. Tener la capacidad de segregar y particionar áreas críticas de la red, para garantizar la continuidad del negocio luego de eventos críticos, incluida la suspensión de protocolos de red.

Controles ISO 27002 relevantes

• ISO 27002 5.14
• ISO 27002 5.22
• ISO 27002 5.3
• ISO 27002 6.6
• ISO 27002 8.15
• ISO 27002 8.16
• ISO 27002 8.24

ISO 27701 Cláusula 6.10.1.2 – Seguridad en los servicios de red

Referencias ISO 27002 Control 8.21

Al considerar el concepto más amplio de seguridad del servicio de red, hay tres factores principales a tener en cuenta:

• Características de seguridad.
• Niveles de servicio.
• Requisitos de servicio.

Las organizaciones deben asegurarse de que los proveedores de servicios comprendan lo que se espera de ellos y cumplan con sus obligaciones establecidas de manera consistente.

Las organizaciones deberían poder hacer referencia a un conjunto inequívoco de SLA y monitorear el cumplimiento durante la duración de un acuerdo de servicio.

Se deben buscar y obtener referencias de fuentes confiables, con el objetivo final de establecer la capacidad del proveedor de servicios para cumplir con los requisitos comerciales y operativos de la organización.

Las reglas de seguridad deben incluir:

• Todos los servicios de red a los que se permite acceder, incluida una lista exhaustiva de requisitos previos de autenticación.
• Controles de gestión de red que protegen la PII y los activos relacionados con la privacidad contra el uso indebido y el acceso no autorizado.
• Acceso remoto y presencial.
• El registro de información clave sobre el acceso al servicio de red, incluido el tiempo de acceso, la ubicación de acceso y los datos del dispositivo.
• Actividades de seguimiento.

Seguridad del servicio de red

A las organizaciones se les presentan varias medidas de seguridad adicionales que salvaguardan aún más la integridad y disponibilidad de la PII.

Las organizaciones deberían:

1. Considere características de seguridad como autenticación, cifrado y controles de conexión.
2. Establecer pautas claras que regulen las conexiones a los servicios de red.
3. Permita a los usuarios elegir la cantidad de datos almacenados en caché para aumentar el rendimiento y minimizar los riesgos de privacidad asociados con el almacenamiento excesivo.
4. Restringir el acceso a los servicios de red.

ISO 27701 Cláusula 6.10.1.3 – Segregación en Redes

Referencias ISO 27002 Control 8.22

Para mejorar la integridad y disponibilidad de la PII y los activos relacionados con la privacidad, las organizaciones deben segregar los servicios, usuarios y sistemas en toda su red, en función de sus requisitos de seguridad únicos y de acuerdo con un tema específico enfoque (ver ISO 27002 Control 5.15).

Para lograr esto, las organizaciones deberían:

• Separe los dominios de cualquier red pública, incluida Internet.
• Segregar áreas de la red en función de la confianza, la criticidad y la sensibilidad.
• Considere funciones operativas distintas al segregar la red, como recursos humanos, finanzas y marketing.
• Segregue utilizando una combinación de controles físicos y lógicos.
• Opere con perímetros de red claramente definidos y puertas de enlace estrictamente controladas.
• Considere el acceso WiFi de acuerdo con lo que a menudo es un perímetro de red vagamente definido, con diferentes requisitos de acceso, y para garantizar que el tráfico externo pase a través de una puerta de enlace antes de que se otorgue el acceso interno (consulte ISO 27002 Control 8.20).
• Separe el acceso WiFi de invitados y empleados, y aplique fuertes restricciones al acceso de invitados para desalentar el uso por parte del personal.

Controles ISO 27002 relevantes

• ISO 27002 5.15
• ISO 27002 8.20

Controles de soporte de ISO 27002 y GDPR

Cómo ayuda ISMS.online

ISO 27701 le muestra cómo construir un sistema de gestión de información de privacidad que cumpla con la mayoría de las regulaciones de privacidad, incluido el RGPD de la UE. BS 10012 y POPIA de Sudáfrica. Nuestro software simplificado, seguro y sostenible le ayuda a seguir fácilmente el enfoque descrito por el estándar reconocido internacionalmente.

Nuestra plataforma todo en uno garantiza que su trabajo de privacidad se alinee y satisfaga las necesidades de cada sección del estándar ISO 27701. Y como es independiente de las regulaciones, puede asignarlo a cualquier regulación que necesite.

Descubre más por reservar una demostración.