ISO 27701 – Cláusula 6.9.5 – Control del software operativo

Cláusula 27701 de la norma ISO 6.9.5: Fortalecimiento de los controles de seguridad del software

Las implementaciones de software, parches, actualizaciones y nuevas instalaciones tienen el potencial de afectar la PII y los activos relacionados con la privacidad de diversas maneras.

Las organizaciones deben tener mucho cuidado al instalar aplicaciones, programas de utilidad y códigos ejecutables en sistemas operativos.

Qué se cubre en la cláusula 27701 de la norma ISO 6.9.5

La cláusula 27701 de ISO 6.9.5 contiene solo una subcláusula (ISO 27701 6.9.5.1) que trata únicamente de la instalación de software en sistemas operativos.

No hay puntos de orientación adicionales relacionados con PIMS o PII, ni tampoco hay ningún enlace del Reino Unido GDPR Artículos a considerar.

ISO 27701 Cláusula 6.9.5.1 – Instalación de software en sistemas operativos

Referencias ISO 27002 Control 8.19

Para proteger la disponibilidad e integridad de la PII y administrar el cambio, las organizaciones deben:

• Asegúrese de que las actualizaciones de software sean realizadas por personal competente (consulte ISO 27002 Controlar 8.5).
• Asegúrese de que el código haya salido de forma segura de la etapa de desarrollo y esté libre de errores.
• Pruebe todo el software antes de actualizarlo o instalarlo para asegurarse de que no se produzcan conflictos ni errores.
• Mantener un sistema de biblioteca de software actualizado.
• Mantener un 'sistema de control de configuración' para administrar el software operativo.
• Redactar una "estrategia de reversión" que restaure los sistemas a un estado que funcionaba anteriormente, para garantizar la continuidad del negocio.
• Mantenga un registro completo de cualquier actualización realizada.
• Asegúrese de que las aplicaciones de software no utilizadas (y todo el material asociado) se almacenen de forma segura para su posterior uso y análisis.
• Operar con una política de restricción de software, que se ejecute de acuerdo con las diversas funciones y responsabilidades de la organización.

Cuando se utiliza software proporcionado por el proveedor, las aplicaciones deben mantenerse en buen estado de funcionamiento y de acuerdo con las pautas del emisor.

ISO deja explícitamente claro que las organizaciones deben evitar el uso de software no compatible a menos que sea absolutamente necesario. Las organizaciones deben buscar actualizar los sistemas existentes, en lugar de utilizar aplicaciones heredadas obsoletas o sin soporte.

Un proveedor puede requerir acceso a la red de una organización para realizar una instalación o actualización. Dichas actividades deben estar autorizadas y monitoreadas en todo momento (ver Control ISO 27002 5.22).

Orientación complementaria

1. Las organizaciones deben actualizar, parchear e instalar software de acuerdo con sus procedimientos de gestión de cambios publicados.
2. Los parches que erradican las vulnerabilidades de seguridad o mejoran la protección de la privacidad de la organización siempre deben considerarse como un cambio prioritario.
3. Las organizaciones deben tener mucho cuidado al utilizar software de código abierto y deben identificar la última versión disponible públicamente para garantizar que se cumplan al máximo los requisitos de seguridad.

Controles de apoyo

• ISO 27002 5.22
• ISO 27002 8.5

Controles compatibles con ISO 27002 y GDPR

Cómo ayuda ISMS.online

Debe crear un Sistema de gestión de información de privacidad (PIMS) para cumplir con los estándares ISO 27701. Con nuestro PIMS preconfigurado, puede organizar y gestionar rápida y fácilmente la información de clientes, proveedores y empleados para cumplir plenamente con los estándares ISO 27701.

ISMS.online también puede adaptarse al creciente número de regulaciones de privacidad globales, regionales y específicas del sector.

Primero debe obtener la certificación ISO 27001 (seguridad de la información) para lograr la certificación ISO 27701 (privacidad). Afortunadamente, nuestra plataforma puede ayudarle con ambas certificaciones.