ISO 27002:2022 (Lilian Perez)

ISO 27002 es un estándar internacional que establece una serie de directrices y mejores prácticas para los controles de seguridad de la información que son utilizadas por la mayoría de las empresas con el fin de gestionar y mitigar los riesgos para sus activos de información. Se diferencia de la ISO 27001 ya que esta es una norma de apoyo que guía cómo se pueden implementar los controles de seguridad de la información.

Dicho estándar cuenta con una estructura dividida en 17 capítulos. Los capítulos iniciales (0-4) ofrecen una introducción, el alcance de la norma, los términos y definiciones relevantes, así como una descripción de la estructura del documento. Los capítulos 5-8 detallan los controles de seguridad de la información, agrupados en controles organizacionales (37), controles de personas (8), controles físicos (14) y controles tecnológicos (34). Finalmente, los anexos A y B proporcionan información adicional sobre el uso de atributos y la correspondencia con otras normas ISO 27000. 

Controles Organizacionales:

Se centra en el marco administrativo y las políticas de una organización para gestionar la seguridad de la información, en ella se establecen la dirección, la estructura y los procesos para asegurar la información. Entre sus controles mas relevantes se encuentran los siguiente:

·         5.1 Políticas de seguridad de la información

·         5.2 Roles y responsabilidades de seguridad de la información

·         5.3 Separación de funciones

·         5.4 Contacto con las autoridades

·         5.15 Seguridad de la información en la gestión de proyectos

Controles de Personas

Enfatiza en los aspectos de seguridad en cuanto al personal de la organización, comenzando desde las contrataciones hasta la finalización del mismo con el fin de asegurar que las personas comprendan sus responsabilidades de seguridad y actúen de manera segura, un ejemplo de dichos controles son los siguientes:

·         6.1 Evaluación de seguridad en el empleo: verificación de antecedentes

·         6.2 Términos y condiciones de empleo

·         6.3 Concienciación, educación y formación en seguridad de la información

·         6.5 Responsabilidades tras la finalización o el cambio de empleo

Controles Físicos

Se enfoca en la protección de los activos físicos de la organización y su entorno para la prevención de acceso físico no autorizado, daño e interferencia a los activos de información. Entre ellos se encuentran puntos esenciales como los siguientes:

·         7.1 Perímetros de seguridad física

·         7.2 Controles de entrada física

·         7.3 Seguridad de oficinas, salas y dependencias

·         7.8 Monitorización

·         7.12 Protección contra amenazas físicas y ambientales

4. Controles Tecnológicos

Se centra en la seguridad de la información en los sistemas, redes y datos de la organización con el fin de proteger la confidencialidad, integridad y disponibilidad de la información a través de medidas técnicas. Algunos controles son los siguientes:

·         8.1 Control de acceso

·         8.3 Gestión de credenciales de acceso

·         8.7 Protección contra malware

·         8.23 Copia de seguridad de la información

·         8.32 Eliminación de información

Para la última versión publicada en  2022 se fusionaron e implementaron nuevos controles, por lo que la norma paso de 114 a 93 controles de los cuales 58 se actualizaron, 24 fueron fusionados y 11 se han establecido.