Controles ISO 27001 / 27002

Establecer un conjunto de políticas que definan el enfoque de la organización para gestionar la seguridad de la información.

Definir y asignar claramente las responsabilidades para la seguridad de la información dentro de la organización.

Separar las funciones y áreas de responsabilidad para reducir el riesgo de acciones no autorizadas.

Asegurar que la dirección participa activamente y se responsabiliza de la seguridad de la información.

Establecer y mantener contacto con las autoridades pertinentes en materia de seguridad.

Mantener contacto con grupos de interés, foros y asociaciones profesionales de seguridad.

Recopilar y analizar información sobre amenazas a la seguridad para informar la defensa.

Integrar la seguridad de la información en la gestión de proyectos de la organización.

Identificar y mantener un inventario de los activos de información de la organización.

Definir reglas para el uso aceptable de la información y los activos asociados.

Asegurar que los empleados devuelvan todos los activos al terminar su empleo.

Clasificar la información en función de su valor, requisitos legales y sensibilidad.

Aplicar un esquema de etiquetado para la información que refleje la clasificación.

Establecer reglas para la transferencia segura de información dentro y fuera de la organización.

Limitar el acceso a la información y sistemas en función de los requisitos del negocio.

Gestionar el ciclo de vida completo de las identidades de usuarios y sistemas.

Asegurar la correcta gestión de contraseñas y otros secretos de autenticación.

Gestionar y controlar los derechos de acceso a la información y sistemas.

Gestionar los riesgos de seguridad asociados a las relaciones con proveedores.

Reflejar requisitos de seguridad en los acuerdos con proveedores.

Gestionar riesgos de seguridad en la cadena de suministro de productos y servicios TIC.

Supervisar, revisar y gestionar cambios en servicios de proveedores.

Establecer requisitos de seguridad para servicios en la nube.

Planificar y prepararse para la gestión de incidentes de seguridad.

Evaluar eventos de seguridad y decidir si se clasifican como incidentes.

Responder a los incidentes de seguridad de manera eficaz y eficiente.

Aprender de los incidentes para mejorar la postura de seguridad.

Recopilar y preservar pruebas manteniendo su integridad.

Mantener la seguridad de la información durante interrupciones del negocio.

Asegurar que la infraestructura TIC está preparada para la continuidad del negocio.

Identificar y documentar requisitos legales, reglamentarios y contractuales.

Proteger los derechos de propiedad intelectual.

Proteger registros contra pérdida, destrucción y acceso no autorizado.

Asegurar la privacidad y protección de información de identificación personal según las leyes.

Asegurar revisión independiente de la implementación de seguridad.

Asegurar el cumplimiento de las políticas y estándares de seguridad.

Documentar y mantener los procedimientos operativos de seguridad.

Asegurar que los candidatos son adecuados para las funciones que se les encomiendan.

Asegurar que empleados y contratistas conocen y aceptan sus responsabilidades de seguridad.

Asegurar que todo el personal recibe formación adecuada en seguridad de la información.

Tomar medidas correctivas contra empleados que violan la seguridad.

Asegurar devolución de activos y cumplimiento de obligaciones al terminar empleo.

Asegurar que las partes interesadas mantienen la confidencialidad de la información.

Asegurar la seguridad de la información cuando los empleados trabajan remotamente.

Asegurar que los eventos de seguridad se notifiquen por los canales adecuados.

Definir y utilizar perímetros de seguridad para proteger áreas sensibles.

Asegurar las entradas físicas a las instalaciones de la organización.

Diseñar y aplicar medidas de seguridad física para oficinas y recursos.

Supervisar instalaciones para detectar y disuadir acceso no autorizado.

Diseñar protección contra desastres naturales, ataques y accidentes.

Establecer y aplicar procedimientos para el trabajo en áreas seguras.

Adoptar políticas de escritorio limpio y pantalla limpia.

Ubicar y proteger equipos para reducir riesgos de amenazas.

Asegurar los activos fuera de las instalaciones de la organización.

Gestionar medios de almacenamiento para evitar divulgación no autorizada.

Proteger servicios de suministro de energía contra interrupciones.

Proteger el cableado de red y alimentación contra interceptaciones.

Asegurar que los equipos se mantienen correctamente.

Asegurar eliminación o reutilización segura de equipos con información sensible.

Asegurar la protección de los dispositivos de punto final de los usuarios.

Gestionar y controlar los derechos de acceso privilegiado.

Restringir el acceso a información y funciones del sistema según requisitos.

Gestionar y controlar el acceso al código fuente.

Asegurar la autenticación segura de usuarios y sistemas.

Gestionar la capacidad de los sistemas para garantizar rendimiento.

Protegerse contra malware mediante detección, prevención y recuperación.

Gestionar las vulnerabilidades técnicas de los sistemas.

Gestionar la configuración de sistemas para garantizar seguridad.

Eliminar información de forma segura cuando ya no sea necesaria.

Utilizar enmascaramiento de datos para proteger información sensible.

Implementar medidas para prevenir la fuga de datos.

Realizar copias de seguridad y probar planes de restauración.

Asegurar la disponibilidad de las instalaciones de procesamiento.

Producir, proteger y revisar registros de actividad y eventos.

Supervisar sistemas para detectar comportamientos anómalos.

Sincronizar relojes de sistemas de procesamiento de información.

Restringir y controlar el uso de programas utilitarios privilegiados.

Controlar la instalación de software en sistemas operativos.

Asegurar la seguridad de las redes y servicios de red.

Identificar e implementar mecanismos de seguridad para servicios de red.

Segregar grupos de servicios, usuarios y sistemas de información.

Gestionar el acceso a sitios web externos para reducir exposición a contenido malicioso.

Definir e implementar reglas para el uso efectivo de criptografía.

Establecer reglas para el desarrollo seguro de software y sistemas.

Identificar y especificar requisitos de seguridad de aplicaciones.

Establecer principios de ingeniería de sistemas seguros.

Aplicar principios de codificación segura al desarrollo de software.

Definir y realizar pruebas de seguridad durante el desarrollo.

Supervisar y controlar el desarrollo de sistemas externalizado.

Separar entornos de desarrollo, prueba y producción.

Gestionar cambios en sistemas de información de forma controlada.

Seleccionar, proteger y gestionar la información de prueba.

Planificar y acordar pruebas de auditoría minimizando interrupciones.