Como seguramente ya sabrás, la ISO 27001 y su anexo A, es decir la ISO 27002, se actualizó durante el 2022, ¡y en este artículo te contaremos todo al respecto!

💡 Recordemos que la ISO 27001 nos indica las cláusulas y requisitos de seguridad, mientras que la ISO 27002 nos proporciona los controles técnicos a implementar.

A continuación te compartimos cuáles son los requisitos y controles con ajustes, el detalle de los cambios aplicados y en qué consiste la nueva estructura del anexo A.

Vamos a utilizar la siguiente nomenclatura para identificar fácilmente cuál es el tipo de cambio o ajuste realizado:

⚡: Ajustes o adición de información.

🚀: Nuevo inciso o control.

⛔: Eliminación de información.

Cambios: Se añade el inciso c), el cual solicita que se identifiquen las necesidades y expectativas que se abordan a través del SGSI.

Cambios: Se añade que el SGSI debe incluir además, los procesos necesarios y sus interacciones.

Cambios: Se le da mayor énfasis a la importancia de que los roles y responsabilidades deben ser asignados y comunicados dentro de la organización.

Cambios: Se añaden los incisos f) y g), los cuales solicitan que los objetivos de seguridad sean actualizados según corresponda (se entiende con esto que deben ser monitoreados), y que deben estar disponibles como información documentada.

Descripción: Cuando la organización determine que se deben realizar cambios en el sistema de gestión de seguridad de la información, estos deben llevarse a cabo de manera planificada.

Cambios: Se elimina el inciso e), el cual solicitaba la definición de los procesos por los que se efectuaría la comunicación.

Cambios:

Cambios: Se añade al inciso b) que menciona que los métodos seleccionados deben producir resultados comparables y reproducibles para que se consideren válidos. Esto anteriormente se encontraba como una nota y no era parte del inciso como tal.

Cambios: Se dividió la información en subrequisitos, es decir que ahora hay 9.2.1 General y 9.2.2 Programa de auditoría interna, y cambia un poco la estructura de la información (pero lo solicitado es lo mismo).

Cambios:

Cambios: Se ajusta el orden de los requisitos. En la versión 2013 se tenía como:

Pero en la versión 2022 se cambian a:

Como podrás ver, mayormente estos cambios afectan la estructura y formato de las cláusulas, y dan más relevancia a ciertos puntos, pero las bases son las mismas.

Nuestro template de Política de SGSI ya se encuentra actualizado y alineado con todos estos cambios para mantener tu cumplimiento normativo ✨.

Antes de contarte sobre los cambios, debes conocer la nueva estructura del anexo A, la cual ahora categoriza los controles en temas y atributos.

Podemos definir el tema como el aspecto o enfoque principal del control para comprender qué es lo que te está ayudando a proteger. La norma nos indica cuatro temas:

A continuación te mostramos la cantidad total de controles por cada tema:

💡 En esta nueva versión 2022 de ISO 27001, en total tenemos 93 controles, mientras que en la versión pasada eran 114. ¡Sigue leyendo para conocer más sobre esto!

La nomenclatura que utilizan los controles (es decir su ID) es la siguiente:

Además de los temas, en esta nueva versión cada control ahora cuenta con cinco atributos que lo definen, los cuales son tipo de control, propiedades de seguridad de la información, conceptos de ciberseguridad, capacidades operativas y dominios de seguridad.

Tipo de control: Indica cuándo y cómo el control modifica el riesgo con respecto a la ocurrencia de un incidente de seguridad de la información.

Propiedades de seguridad de la información: Indica qué característica de la información contribuye a preservar el control.

Conceptos de ciberseguridad: Corresponde al objetivo principal del control en términos de acciones de seguridad.

Capacidades operativas: Corresponde a los aspectos o categorías de seguridad generales que forman parte de la descripción del control.

Dominios de seguridad: La norma establece cuatro dominios que consisten en:

Estos atributos nos ayudan a comprender mejor la finalidad del control, para qué nos sirve, cómo podemos implementarlo, las áreas de la organización en las que impacta, y en general nos brinda un contexto más completo sobre él.

Nuestro template de Declaración de ApIicabilidad ya se encuentra actualizado con toda esta información para mantener tu cumplimiento normativo ✨.

Ahora sí, tomando en cuenta la misma nomenclatura que usamos anteriormente, a continuación te contamos los cambios a los controles de ISO 27002.

Descripción: Se recomienda que la información relacionada con las amenazas a la seguridad de la información se recopile y analice para producir inteligencia sobre amenazas.

Descripción: Es conveniente que los procesos de adquisición, uso, gestión y salida de los servicios en la nube se establezcan de acuerdo con los requisitos de seguridad de la información de la organización.

Descripción: La preparación para las TIC se sugiere se planifique, aplique, mantenga y pruebe sobre la base de los objetivos de continuidad de las actividades y los requisitos de continuidad de las TIC.

Descripción: Es conveniente que las instalaciones sean monitoreadas continuamente para detectar accesos físicos no autorizados.

Descripción: Se recomienda que las configuraciones, incluidas las configuraciones de seguridad, de hardware, software, servicios y redes establezcan, documenten, implementen, supervisen y revisen.

Descripción: La información almacenada en sistemas de información, dispositivos o en cualquier otro medio de almacenamiento debería eliminarse cuando ya no sea necesaria.

Descripción: El enmascaramiento de datos se sugiere utilizar de acuerdo con la política específica del tema de la organización sobre control de acceso y otras políticas relacionadas con temas específicos, y los requisitos comerciales, teniendo en cuenta la legislación aplicable.

Descripción: Se recomienda que las medidas de prevención de fugas de datos se apliquen a los sistemas, redes y cualquier otro dispositivo que procese, almacene o transmita información confidencial.

Descripción: Las redes, los sistemas y las aplicaciones es conveniente que sean monitoreados para detectar comportamientos anómalos y se sugiere tomar las medidas apropiadas para evaluar posibles incidentes de seguridad de la información.

Descripción: El acceso a sitios web externos se sugiere gestionar para reducir la exposición a contenido malicioso.

Descripción: Los principios de codificación segura se sugiere aplicar al desarrollo de software.

Además de los controles nuevos, ISO decidió agrupar aquellos controles que llegaban a ser redundantes para facilitar su implementación, por lo que a continuación te mostramos con una tablita donde se plasman estas agrupaciones:

En conclusión, tenemos 11 nuevos controles y 24 controles agrupados 📝.

Y seguro te estarás preguntando, ¿cómo voy a cumplir con esto? ¡No te preocupes! Todos nuestros recursos de Soporte (artículos, templates, acompañamiento) y nuestra plataforma estarán alineados a esta actualización para ayudarte a cubrir los nuevos requerimientos y hacer que tu proceso de transición sea lo más fácil y eficiente posible.

¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! Recuerda que también puedes contactarnos por nuestro chat de soporte y te brindaremos la atención que necesites.