Saltar al contenido principal

Nueva ISO 27002

Nueva ISO/IEC 27002:2022: cambios con respecto a la versión de 2013

Portada » Blog Calidad y Excelencia » Nueva ISO/IEC 27002:2022: cambios con respecto a la versión de 2013

Nueva ISO/IEC 27002:2022

ISO/IEC 27002:2022 – Seguridad de la información, ciberseguridad y protección de la privacidad — Controles de seguridad de la información fue concebida como una guía que detallaba cómo implementar los 114 controles de la norma ISO/IEC 27001. No es certificable y con respecto a la versión anterior (2013), evolucionó. De ser una guía pasó a ser un documento que ofrece una visión integral. Es decir, Si ISO/IEC 27001 es el qué, ISO/IEC 27002 nació para ser el cómo.

El propósito del estándar se profundiza conforme va actualizándose:

  • 27002:2005 Establece directrices y principios generales para iniciar, implementar, mantener y mejorar la gestión de la seguridad de la información en una organización.
  • 27002:2013 Brinda pautas para los estándares de seguridad de la información de la organización y las prácticas de gestión de la seguridad de la información
  • 27002:2022 Proporciona un conjunto de referencia de controles genéricos de seguridad de la información, incluida una guía de implementación. Seguridad de la información, ciberseguridad y protección de datos.

La perspectiva integral de ISO/IEC 27002:

  • Prioriza el enfoque y protección de los activos de información
  • Enfatiza el monitoreo al separar los objetivos de algunos controles.
  • Favorece la priorización al integrar varios controles que se convierten en uno.
  • Se basa en resiliencia, protección, defensa y gestión.

El estándar está más cercano a las necesidades de seguridad de la información actuales. Ofrece una visión holística orientada a blindarnos en diferentes flancos.

Descargue el e-book fundamentos de gestión de Seguridad de la Información

Más necesario que nunca

La actualización de la norma es pertinente y necesaria. La respuesta a incidentes de seguridad de ISO/IEC 27002: 2022 es más rápida y eficaz. Esta nueva versión brinda a las organizaciones la posibilidad de desarrollar sus propias directrices, basadas en la gestión de riesgos de seguridad de la información.

Algunos de los cambios más relevantes son:

  • Cambio en la configuración general de «código de práctica» a «control de seguridad de la información».
  • Se presenta como una guía flexible que permite la toma de decisiones basada en riesgo.
  • Adición de atributos que permiten filtrar y referenciar fácilmente.
  • Las 14 cláusulas se cambian por 4 temas principales.
  • Disminución de la cantidad de controles (de 114 a 93).
  • Cuenta con 37 controles organizacionales, 8 controles de personas, 14 controles físicos y 34 controles tecnológicos.
  • 1 control eliminado (eliminación de activos).
  • 11 nuevos controles.
  • Enlace claro y documentado a otros marcos.
  • Tiene 152 páginas (la versión anterior tenía 80).

La reducción de controles no significa que se omitieron algunos requisitos, sino que muchos de los controles generales de la versión 2013 se fusionaron en un solo control y se agregaron 11 nuevos controles. Estos últimos representan los nuevos desarrollos en la industria de la seguridad cibernética y de la información. Debido a la naturaleza holística del estándar y el hecho de que la nueva forma de describir los controles deja a la organización la posibilidad de definir sus propias implementaciones de control adecuadas, esta nueva norma ISO/IEC 27002:2022 es capaz de adaptarse fácilmente a situaciones operativas cambiantes.

Nuevos controles ISO/IEC 27002:2022:

  • Inteligencia de amenazas.
  • Seguridad de la información para el uso de servicios en la nube.
  • Preparación de las TIC para la continuidad del negocio.
  • Supervisión de la seguridad física.
  • Gestión de la configuración.
  • Eliminación de información.
  • Enmascaramiento de datos.
  • Prevención de fuga de datos.
  • Actividades de seguimiento.
  • Filtrado web.
  • Codificación segura.

Hasta ahora vemos que el gran cambio ha sido el rediseño de las cláusulas. El segundo es que se crearon cinco categorías de atributos que se definen para cada uno de los controles:

AtributoElementos
Tipos de controlPreventivo, detectivo, correctivo.
Propiedades de seguridad de la informaciónConfidencialidad, integridad, disponibilidad
Conceptos de ciberseguridadIdentificar, proteger, detectar, responder, recuperar.
Capacidades operativas

Gobernanza, gestión de activos, protección de la información, Derechos Humanos, seguridad de recursos, seguridad física, seguridad de sistemas y redes,

seguridad de aplicaciones, configuración segura, identidad y acceso, gestión, gestión de amenazas y vulnerabilidades, continuidad, proveedor.

Aunque dispondremos de un tiempo prudencial para adaptarnos a estos cambios, ajustarnos al nuevo estándar nos dotará de una buena herramienta para garantizar la seguridad de la información y demostraremos a nuestros colaboradores, clientes y partes interesadas que estamos al tanto de los nuevos desarrollos en la industria de la seguridad de la información.

 

Más información sobre los nuevos controles de la ISO/IEC 27002:2022

Puedes ampliar información acerca de los nuevos controles en estos artículos:

Controles Organizacionales Parte 1, Parte 2 y Parte 3

Controles de personas ISO/IEC 27002:2022

Controles físicos ISO/IEC 27002:2022

Controles tecnológicos ISO/IEC 27002:2022

 

 

Con ISOTools es muy sencillo mantener y optimizar un SGSI eficaz e integrado con otras normas

La Plataforma ISOTools  posibilita la automatización de la gestión, de forma eficaz y exhaustiva, de cualquier tipo de riesgo: operacionales, financieros, industriales, legales u operativos, ajustándolos completamente a las necesidades de cada una de las organizaciones y facilitando, en gran medida, la adecuación a la normativa.

Con este software es posible llevar a cabo el desarrollo del ciclo completo de cada tipo de riesgo: identificación, análisis y evaluación del mismo. Además, gracias a su estructura modular, permite la integración con otras normas de la familia ISO, relativas tanto a riesgos como a calidad.

Fundamentos de gestión de Seguridad de la Información

¿Desea saber más?

Entradas relacionadas

Control De Riesgos
Control de riesgos y productividad. Cómo encontrar el equilibrio

Control de Riesgos La gestión de riesgos implica la creación de valor y la protección de este. No…

Ver más
CISO
CISO. Director de Seguridad de la Información. Problemas habituales y funciones clave

CISO Las nuevas tecnologías aumentan cada vez más, y con ello la adaptación de las organizaciones a los…

Ver más
Familia De Normas ISO 45000
Familia de normas ISO 45000 para la seguridad y salud en el trabajo

Familia de normas ISO 45000 Para una adecuada gestión eficiente a las posibles crisis que ocurren en un…

Ver más
Gestión De La Cadena De Suministro
Cómo evaluar la madurez de los programas de gestión de la cadena de suministro

Gestión de la Cadena de Suministro Las compras representan más del 60%de las ventas en dólares, y son…

Ver más