|
Nos han mantenido en suspenso
durante mucho tiempo, pero finalmente la han publicado en febrero de este
año. La nueva versión del estándar internacional ISO 27002, supone una
revisión muy esperada por los profesionales y empresas que tienen implantado
un Sistema de Gestión de Seguridad de la Información (SGSI) basado en la ISO
27001. La última gran versión data del año 2013 y, como podemos suponer, la
seguridad de la información, ciberseguridad y la privacidad de los datos
personales han sufrido grandes cambios y han introducido nuevos conceptos en
nuestro día a día. Recordemos que la ISO 27002 es
un código de prácticas para los controles de seguridad que nos propone la
propia norma ISO 27001. Al implantar el SGSI, debemos aplicar los controles
necesarios para tratar los riesgos evaluados en la organización, y ahí opera
este código para guiarnos en su implantación, gestión y comprobación de su
idoneidad. Hasta la fecha, la ISO 27002 estaba compuesta de un total de 114
controles, agrupados en los que denominamos dominios o áreas de actuación de
los controles (control de acceso, recursos humanos, desarrollo, etc.).
Algunos controles ha perdido mucho peso, como los controles sobre soportes
(apena usamos CDs o cintas, por mencionar algunos), y otros controles tienen
una estructura poco consistente con la realidad, como es el caso de los
dedicados al desarrollo de aplicaciones. ¿Y qué nos propone la nueva versión de la ISO
27002? Vamos a resumir los principales cambios: 1. El número total de controles se ha reducido a 94. 2. Se han eliminado los dominios, tal como los
conocemos en la versión anterior. Ahora los controles se organizan en cuatro
secciones: controles organizativos, sobre las personas, físicos y
tecnológicos. 3. Los controles ahora disponen de atributos. ¿Para
qué nos sirven? Dependiendo de la perspectiva desde la cual necesitemos
acudir a clasificar o ver los controles, los atributos nos permiten
filtrarlos. Así pues, cada control tiene la siguientes características: a. Tipo de control, que puede ser preventivo, detective o correctivo. b. Propiedad de seguridad de la
información a la que afecta: confidencialidad, disponibilidad e integridad. c. Concepto de ciberseguridad al que
aplica: identificar, proteger, detectar, responder o recuperar. d. Capacidades operativas. Este
atributo del control es el más extenso y útil desde la perspectiva de quien
aplica el control. Muy similar a los dominios de la versión anterior, los
controles se agrupan, entre otros, en gobierno, seguridad física, control de
vulnerabilidad y amenazas, recursos humanos o gestión de activos. e. Por último, se encuentra el
atributo de dominios de seguridad, que se agrupan en cuatro: Gobierno y
ecosistema, protección, defensa y resiliencia. Si analizamos en detalle los nuevos controles,
podemos observar que se adaptan mucho mejor a un entorno como es la
ciberseguridad. Echábamos en falta un nuevo enfoque de los controles hacia un
área concreta de la seguridad de la información que ha cobrado tanta
relevancia, como es la ciberseguridad. Las empresas han emprendido un proceso
de digitalización desde hace años, con mayor o menor velocidad, pero
inevitable en cualquier caso. Esta digitalización no venía soportada por un
elenco de medidas de seguridad más racional y con capacidad de adaptación a
la empresa, sea cual sea su tamaño o complejidad. Asimismo, la capacidad para
poder clasificar los controles en función de las diferentes necesidades
(implantación de ciberseguridad, gobierno de la seguridad, implantación de
controles o área donde se aplican), por fin permite darle más sentido a su
aplicación. Destacar que la norma deberá implantarse en todas
las organizaciones que tengan certificada la norma ISO 27001, en un plazo de
dos a tres años. Nos vienen años de trabajo, aplicando los nuevos controles,
actualizando políticas y procedimientos, revisando su cumplimiento y, sobre
todo, aprendiendo a asegurar la información de las empresas. Los 10 nuevos controles de la ISO 27002:2022 La edición recientemente publicada
de ISO/IEC 27002:2022 es la última actualización del
catálogo principal de controles ISO 27002, oficialmente, un “conjunto de
controles de referencia sobre seguridad de la información”. Además de reestructurar y
actualizar en general los controles de la segunda edición de 2013, el comité aprovechó la oportunidad para
reforzar (por fin) la cobertura de la “Seguridad para la computación
en la nube” con el nuevo control 5.23, además de otros diez
controles nuevos, principalmente en la sección 8 (controles tecnológicos):
Este nuevo estándar revisado
es bastante débil en cuanto a la seguridad en Internet de las Cosas (IoT), lo
que no sorprende dado que este campo aún es inmaduro. Las cosas de la IoT
proliferan tan rápidamente y la tecnología es tan limitada en términos de procesamiento,
almacenamiento y otras capacidades, que los controles de seguridad de la
información son problemáticos. |
