En nuestra publicación anterior, titulada «ISO 27002:2022 – Nuevos controles de seguridad. Parte I«, examinamos detalladamente cómo la normativa ISO 27002 emerge como un pilar fundamental en el ámbito de la seguridad de la información. Esta normativa no solo se destaca por su relevancia, sino también por ofrecer directrices actualizadas y versátiles, concebidas para enfrentar de manera eficaz los desafíos que plantea el entorno digital contemporáneo. Su metodología pone especial énfasis en la implementación de prácticas de vanguardia y en la aplicación de controles detallados, todo ello con el objetivo primordial de salvaguardar la información.
Ahora, en este artículo, avanzaremos hacia la segunda parte de nuestro análisis sobre los nuevos controles de seguridad introducidos en la versión ISO 27002:2022, continuando nuestro recorrido por las innovaciones y estrategias esenciales que esta actualización trae consigo.
7.4 Supervisión de la Seguridad Física
Con la nueva ISO 27002 la importancia de la seguridad física es un componente fundamental en la protección de la información, y este control se centra en la vigilancia continua de los locales para prevenir accesos físicos no autorizados. La supervisión efectiva de los locales físicos es esencial para detectar e impedir accesos no autorizados, así como para identificar comportamientos sospechosos.
Las organizaciones deben emplear sistemas de vigilancia adecuados, como cámaras de seguridad, alarmas, y otros sistemas de detección. Es importante instalar estos sistemas en lugares estratégicos, como las entradas y salidas, y áreas sensibles dentro de la organización. Además, se deben proteger los sistemas de vigilancia para evitar el acceso no autorizado a la información recopilada, como las grabaciones de video, y garantizar que los sistemas no puedan ser desactivados a distancia.
8.9 Gestión de la Configuración
La gestión de la configuración, como se describe en la sección 8.9 de la ISO 27002:2022, es un control crucial en el ámbito de la seguridad de la información. Este control aborda la necesidad de gestionar adecuadamente las configuraciones de diversos elementos como hardware, software, servicios y redes. La importancia de este control reside en asegurar que estos componentes funcionen de manera efectiva y segura, y que estén protegidos contra cambios no autorizados o incorrectos.
Para implementar eficazmente este control, las organizaciones deben:
Definir y aplicar procesos y herramientas para configurar la seguridad: Esto implica el uso de plantillas estándar para configuraciones seguras y la gestión de cambios en la configuración.
Supervisión continua de las configuraciones: Las organizaciones deben vigilar de manera constante las configuraciones para detectar cualquier desviación de los estándares establecidos y actuar rápidamente para corregir estas desviaciones.
Gestión y seguimiento de cambios de configuración: Es esencial que cualquier cambio en la configuración se gestione y rastree eficientemente para garantizar que no comprometa la seguridad de los sistemas.
Implementación de herramientas de gestión de la configuración: El uso de estas herramientas ayuda a automatizar parte del proceso de gestión de la configuración, facilitando el seguimiento y la implementación de cambios de manera controlada y segura.
Controles adicionales para la gestión de configuraciones: Pueden incluir el establecimiento de listas blancas o negras (whitelists y blacklists) para permitir o denegar la ejecución de ciertos comandos en los sistemas, garantizando así que solo las actividades autorizadas puedan realizarse.
Para este nuevo control de la ISO 27002, la gestión eficaz de la configuración es fundamental para mantener la integridad, la confidencialidad y la disponibilidad de la información, así como para proteger los sistemas de información contra accesos no autorizados y posibles brechas de seguridad. En resumen, una gestión adecuada de la configuración garantiza que los sistemas de información operen de manera segura y eficiente, alineados con los objetivos de seguridad de la información de la organización
8.10 Eliminación de Información
La eliminación de información, detallada en la sección 8.10 de la ISO 27002:2022, se enfoca en la eliminación segura de la información almacenada en sistemas, dispositivos y medios de almacenamiento, cuando ya no es necesaria. Este control es fundamental para prevenir la exposición de información sensible y cumplir con los requisitos legales y contractuales. La norma destaca varios aspectos clave:
Selección de Métodos de Supresión Adecuados: Las organizaciones deben elegir cuidadosamente los métodos para eliminar la información de manera que esta no pueda ser recuperada o accedida indebidamente. Los métodos pueden variar dependiendo del tipo de información y del medio en el que esté almacenada.
Mantenimiento de Registros de Eliminación: Es crucial llevar un registro detallado de la información eliminada, incluyendo qué se eliminó, cómo y cuándo, para garantizar un seguimiento adecuado y cumplimiento normativo.
Inclusión de Requisitos de Eliminación en Acuerdos con Terceros: Las organizaciones deben asegurarse de que los terceros que almacenan información en su nombre también sigan prácticas de eliminación segura. Esto implica incluir cláusulas específicas en los contratos con proveedores de servicios y auditar su cumplimiento.
Enfoque en la Eliminación de Datos Residuales: Es importante reconocer el riesgo de que los datos residuales permanezcan en dispositivos de almacenamiento incluso después de haber sido borrados o formateados. Deben aplicarse métodos de borrado seguro para garantizar la eliminación completa de la información sensible .
Cumplimiento Normativo y Privacidad de Datos: Al eliminar información, especialmente datos personales, es esencial cumplir con las regulaciones de privacidad de datos, como el GDPR en la Unión Europea. Esto incluye garantizar que se eliminen por completo los datos anteriores y que se cumplan las obligaciones de protección de datos para evitar violaciones de privacidad y posibles sanciones legales .
Controles de Garantía para la Finalización de Contratos: Es importante implementar controles y garantías adicionales en la finalización de contratos con proveedores estratégicos o de alto riesgo. Esto incluye la verificación del borrado seguro de datos y la gestión adecuada de las copias de seguridad .
Para la ISO 27002 la implementación efectiva de este control es crucial para la seguridad y la integridad de la información, así como para la reputación y el cumplimiento normativo de la organización.
8.11 Enmascaramiento de Datos
El enmascaramiento de datos es una técnica crucial para proteger datos sensibles, incluida la información de identificación personal. Este control se enfoca en la aplicación del enmascaramiento de datos en línea con las políticas de la organización y los requisitos empresariales.
En cuanto a las consideraciones prácticas para la implementación efectiva del enmascaramiento de datos, estos son algunos puntos clave a considerar:
Generación de Datos de Prueba: Esta técnica implica la creación de bases de datos con datos no sensibles basados en una base de datos real. Utiliza técnicas como el desordenamiento y la aleatorización para generar un conjunto de datos que se asemeja al original en tamaño y estructura, pero sin contener datos sensibles.
Enmascaramiento Dinámico: Se refiere a la técnica de reescritura de datos sobre la marcha, utilizando típicamente un mecanismo de proxy para enmascarar todo o una parte de los datos a un usuario. Por ejemplo, enmascarar todos excepto los últimos dígitos de un número de tarjeta de crédito cuando se presenta a un usuario.
Controles de Acceso a Datos Enmascarados: Es fundamental establecer controles de acceso robustos para los datos enmascarados, asegurándose de que solo el personal autorizado tenga acceso a los datos desenmascarados.
Acuerdos sobre el Uso de Datos Procesados: Debe existir claridad en los términos y condiciones relacionados con el uso de datos enmascarados, especialmente cuando se comparten con terceros.
Mantenimiento de Registros: Llevar un registro detallado de los datos suministrados y recibidos, incluyendo detalles sobre el enmascaramiento aplicado.
Cumplimiento de Requisitos Legales y Reglamentarios: Asegurarse de que las técnicas de enmascaramiento empleadas cumplan con las normativas aplicables en materia de protección de datos y privacidad.
Revisión y Actualización de Técnicas de Enmascaramiento: Es esencial revisar periódicamente las técnicas de enmascaramiento para asegurarse de que siguen siendo efectivas frente a las nuevas amenazas y vulnerabilidades.
Para la ISO 27002 la implementación adecuada del enmascaramiento de datos ayuda a las organizaciones a proteger información sensible y cumplir con las obligaciones legales y éticas de privacidad y seguridad de la información.
8.12 Prevención de Fugas de Datos
El control de prevención de fugas de datos es vital en la era digital para proteger contra la divulgación y extracción no autorizadas de información sensible. Las organizaciones deben aplicar medidas efectivas en sistemas, redes y dispositivos que procesen, almacenen o transmitan información sensible.
Este control implica:
- Identificar y clasificar la información a proteger.
- Vigilar canales potenciales de fuga de datos, como el correo electrónico y dispositivos portátiles.
- Implementar herramientas para identificar, controlar y bloquear la divulgación no autorizada de información sensible.
El enfoque debe ser proactivo, anticipando posibles fugas y estableciendo mecanismos para prevenirlas. Además, es esencial educar al personal sobre las políticas de prevención de fugas de datos y su implementación efectiva.
Con la nueva ISO 27002 las soluciones DLP (prevención de fugas de datos) adquirirán una nueva dimensión.
8.16 Actividades de Seguimiento
Este control enfatiza la importancia de supervisar redes, sistemas y aplicaciones para detectar comportamientos anómalos y posibles incidentes de seguridad de la información. La supervisión adecuada permite a las organizaciones identificar y responder a tiempo a actividades sospechosas o malintencionadas.
Aspectos clave del control incluyen:
- Monitoreo del tráfico de red y acceso a sistemas y aplicaciones críticas.
- Revisión periódica de registros y configuraciones críticas.
- Establecimiento de una línea de base de comportamiento normal para identificar anomalías.
Según la ISO 27002 las herramientas de supervisión deben ser capaces de manejar grandes volúmenes de datos y adaptarse a amenazas cambiantes, facilitando la notificación y respuesta en tiempo real.
8.23 Filtrado Web
El control de filtrado web se centra en la gestión del acceso a sitios web externos para reducir la exposición a contenidos maliciosos y prevenir el acceso a recursos web no autorizados. Este control es crucial para proteger los sistemas de amenazas como malware y phishing.
Las organizaciones deben:
- Identificar tipos de sitios web a los que se debe restringir el acceso.
- Bloquear sitios maliciosos o sospechosos y servidores de mando y control.
- Mantener actualizadas las políticas de uso seguro de recursos en línea y proporcionar formación al personal.
El filtrado web efectivo según la ISO 27002 requiere una combinación de técnicas, incluyendo el uso de firmas, heurística y listas de sitios permitidos o prohibidos.
8.28 Codificación Segura
La codificación segura es fundamental para garantizar la seguridad del software desarrollado. Este control aboga por la aplicación de principios de codificación segura durante el desarrollo de software para minimizar vulnerabilidades.
Elementos esenciales del control incluyen:
- Establecimiento de procesos de gobernanza para la codificación segura.
- Uso de herramientas de desarrollo actualizadas y prácticas de programación segura.
- Revisión y mantenimiento continuo del código, incluyendo la gestión de vulnerabilidades notificadas.
El enfoque debe ser integral, abarcando tanto el desarrollo interno como el uso de componentes de software de terceros y código abierto. La seguridad debe integrarse en todas las fases del desarrollo de software, desde la planificación hasta la implementación y el mantenimiento.
Cada uno de estos controles refleja un aspecto crítico de la seguridad de la información en la era digital. La efectiva implementación de estos controles ayuda a las organizaciones a fortalecer su postura de seguridad, adaptarse a las cambiantes amenazas cibernéticas y proteger sus activos de información valiosos.
Con la nueva ISO 27002, directrices de codificación segura como la OWASP Secure Coding Practices o la NIST Secure Coding Guidelines se convierten en más relevantes que nunca, proporcionando un marco robusto para desarrollar software resistente y seguro. Estas directrices juegan un papel crucial en la prevención de vulnerabilidades comunes y ataques cibernéticos, alineándose con la meta global de la norma de fortalecer las defensas de las organizaciones en el ámbito de la ciberseguridad.
Conclusión final ISO 27002
Esta norma ISO 27002 enfatiza un enfoque holístico, considerando tanto la seguridad física como la digital, lo que subraya la importancia de una estrategia integral de seguridad. La ISO 27002:2022 se convierte en una herramienta esencial para las organizaciones que buscan fortalecer su postura de seguridad, adaptándose a las cambiantes amenazas cibernéticas y protegiendo sus activos de información valiosos en un entorno cada vez más tecnológico y conectado.
