Establecer:
Políticas de seguridad
ANTES DE ASUMIR EL EMPLEO Objetivo: Asegurar que los empleados y contratistas
comprenden sus responsabilidades y son idóneos en los roles para los que se consideran.
DURANTE LA EJECUCIÓN DEL EMPLEO Objetivo: Asegurarse de que los empleados y
contratistas tomen conciencia de sus responsabilidades de seguridad de la información y
las cumplan.
TERMINACIÓN Y CAMBIO DE EMPLEO Objetivo: Proteger los intereses de la organización
como parte del proceso de cambio o terminación del empleo.
8.1 RESPONSABILIDAD POR LOS ACTIVOS Objetivo: Identificar los activos organizacionales
y definir las responsabilidades de protección apropiadas.
8.2 CLASIFICACIÓN DE LA INFORMACIÓN Objetivo: Asegurar que la información recibe un
nivel apropiado de protección, de acuerdo con su importancia para la organización.
8.3 MANEJO DE MEDIOS Objetivo: Evitar la divulgación, la modificación, el retiro o la
destrucción no autorizados de información almacenada en los medios.
9.1 REQUISITOS DEL NEGOCIO PARA CONTROL DE ACCESO Objetivo: Limitar el acceso a
información y a instalaciones de procesamiento de información.
9.3 RESPONSABILIDADES DE LOS USUARIOS Objetivo: Hacer que los usuarios rindan
cuentas por la salvaguarda de su información de autenticación.
12.1 PROCEDIMIENTOS OPERACIONALES Y RESPONSABILIDADES Objetivo: Asegurar las
operaciones correctas y seguras de las instalaciones de procesamiento de información.
Implementar:
9.2 GESTIÓN DE ACCESO DE USUARIOS Objetivo: Asegurar el acceso de los usuarios
autorizados y evitar el acceso no autorizado a sistemas y servicios.
9.4 CONTROL DE ACCESO A SISTEMAS Y APLICACIONES Objetivo: Evitar el acceso no
autorizado a sistemas y aplicaciones.
10.1 CONTROLES CRIPTOGRÁFICOS Objetivo: Asegurar el uso apropiado y eficaz de la
criptografía para proteger la confidencialidad, la autenticidad y/o la integridad de la
información.
11.1 ÁREAS SEGURAS Objetivo: Prevenir el acceso físico no autorizado, el daño y la
interferencia a la información y a las instalaciones de procesamiento de información de la
organización.
12.2 PROTECCIÓN CONTRA CÓDIGOS MALICIOSOS Objetivo: Asegurarse de que la
información y las instalaciones de procesamiento de información estén protegidas contra
códigos maliciosos.
12.3 COPIAS DE RESPALDO Objetivo: Proteger contra la pérdida de datos.
12.4 REGISTRO (LOGGING) Y SEGUIMIENTO Objetivo: Registrar eventos y generar
evidencia.
12.5 CONTROL DE SOFTWARE OPERACIONAL
Objetivo: Asegurar la integridad de los sistemas operativos (Operational Systems)
17.2 REDUNDANCIAS Objetivo: Asegurar la disponibilidad de instalaciones de
procesamiento de información.
Mantener:
11.2 EQUIPOS Objetivo: Prevenir la pérdida, daño, robo o compromiso de activos, y la
interrupción de las operaciones de la organización.
13.1 Gestión de la seguridad de las redes Objetivo: Asegurar la protección de la
información en las redes, y sus instalaciones de procesamiento de información de soporte.
18.1 CUMPLIMIENTO DE REQUISITOS LEGALES Y CONTRACTUALES Objetivo: Evitar el
incumplimiento de las obligaciones legales, estatutarias, de reglamentación o
contractuales relacionadas con seguridad de la información, y de cualquier requisito de
seguridad.
15.2 GESTIÓN DE LA PRESTACIÓN DE SERVICIOS DE PROVEEDORES Objetivo: Mantener el
nivel acordado de seguridad de la información y de prestación del servicio en línea con los
acuerdos con los proveedores.
18.2 REVISIONES DE SEGURIDAD DE LA INFORMACIÓN Objetivo: Asegurar que la seguridad
de la información se implemente y opere de acuerdo con las políticas y procedimientos
organizacionales
12.6 GESTIÓN DE LA VULNERABILIDAD TÉCNICA Objetivo: Prevenir el aprovechamiento de
las vulnerabilidades técnicas.
.13.2 Transferencia de información Objetivo: Mantener la seguridad de la información
transferida dentro de una organización y con cualquier entidad externa.
Mejorar:
16.1 GESTIÓN DE INCIDENTES Y MEJORAS EN LA SEGURIDAD DE LA INFORMACIÓN
Objetivo: Asegurar un enfoque coherente y eficaz para la gestión de incidentes de
seguridad de la información, incluida la comunicación sobre eventos de seguridad y
debilidades.
17.1 CONTINUIDAD DE SEGURIDAD DE LA INFORMACIÓN Objetivo: La continuidad de
seguridad de la información se debería incluir en los sistemas de gestión de la continuidad
de negocio de la organización.
