El Anexo A de ISO 27001 es el catálogo de controles de seguridad que toda organización debe revisar al implementar la norma. La versión 2022 lo simplificó: pasó a 93 controles organizados en cuatro temas, más fáciles de asignar a responsables concretos.
1. Controles organizacionales (37)
Definen las reglas del juego. Suelen estar a cargo de la dirección y del responsable de seguridad.
- Políticas de seguridad de la información.
- Roles y segregación de funciones.
- Inventario y clasificación de la información.
- Control de accesos y gestión de identidades.
- Seguridad en la relación con proveedores y servicios en la nube.
- Gestión de incidentes.
- Continuidad del negocio.
- Cumplimiento legal y protección de datos personales.
2. Controles de personas (8)
Cubren el ciclo del colaborador, y corresponden sobre todo a recursos humanos.
- Verificación de antecedentes en la selección.
- Cláusulas de confidencialidad en los contratos.
- Concientización y formación.
- Proceso disciplinario.
- Responsabilidades al terminar la relación laboral.
- Trabajo remoto.
- Reporte de eventos de seguridad.
3. Controles físicos (14)
Protegen instalaciones y equipos.
- Perímetros y control de ingreso.
- Protección de oficinas y áreas seguras.
- Escritorio y pantalla limpios.
- Protección y mantenimiento de equipos.
- Seguridad del cableado y de los suministros.
- Eliminación segura de equipos y soportes.
4. Controles tecnológicos (34)
Los que se implementan con tecnología, a cargo del área de TI.
- Protección de equipos de usuario y accesos privilegiados.
- Autenticación segura.
- Protección contra malware.
- Gestión de vulnerabilidades y de la configuración.
- Copias de respaldo.
- Registros de actividad y monitoreo.
- Seguridad de redes y criptografía.
- Desarrollo seguro de software.
Los once controles nuevos
La versión 2022 incorporó controles que responden a riesgos actuales: inteligencia de amenazas, seguridad en el uso de servicios en la nube, preparación de las TIC para la continuidad, monitoreo de la seguridad física, gestión de la configuración, eliminación de información, enmascaramiento de datos, prevención de fuga de datos, monitoreo de actividades, filtrado web y codificación segura.
Por dónde empezar
No todos los controles tienen el mismo efecto. En la mayoría de las pymes, estos cinco reducen una gran parte del riesgo:
- Copias de respaldo probadas.
- Autenticación de varios factores.
- Gestión de accesos: altas, bajas y revisión periódica.
- Actualización de sistemas.
- Concientización del personal.
La norma no exige implementar los 93 controles. Exige revisarlos todos y justificar, a partir de los riesgos, cuáles aplican a su organización.
Seleccionamos e implementamos los controles adecuados en nuestra implementación de ISO 27001.
