Comprender la norma ISO/IEC 27002:2022
ISO 27002 es el código de buenas prácticas que detalla las medidas de seguridad del Anexo A deISO 27001. 4 temas, 93 medidas, 5 atributos: así podrá orientarse y aplicarlos correctamente.
¿Qué es la ISO/IEC 27002?
ISO/IEC 27002:2022 es el código de buenas prácticas que explica cómo implementar las 93 medidas del Anexo A deISO 27001 — no es certificable por sí misma.
ISO/IEC 27002:2022 es un código de buenas prácticas: una guía que describe detalladamente las medidas de seguridad de la información. Mientras que ISO 27001 establece los requisitos del SGSI, ISO 27002 explica el cómo: para cada medida, precisa el objetivo, las recomendaciones de implementación y consejos prácticos. Para consultar la presentación oficial del estándar, visite la página de ISO/IEC 27002 de PECB, organismo de certificación socio de BCIT.
Publicada por laISO en febrero de 2022, 8 meses antes de ISO 27001:2022, la edición actual describe 93 medidas en 4 temas: 37 organizativas, 8 relacionadas con las personas, 14 físicas y 34 tecnológicas, es decir, un 37 % de medidas técnicas. La edición de 2013 incluía 114 en 14 dominios. 11 medidas son nuevas:
- 5.7 Inteligencia sobre amenazas
- 5.23 Seguridad de la información en el uso de servicios en la nube
- 5.30 Preparación de las TIC para la continuidad de la actividad
- 7.4 Supervisión de la seguridad física
- 8.9 Gestión de la configuración
- 8.10 Eliminación de la información
- 8.11 Enmascaramiento de datos
- 8.12 Prevención de la fuga de datos
- 8.16 Actividades de supervisión
- 8.23 Filtrado web
- 8.28 Codificación segura
Estas medidas responden al requisito de un enfoque global que la directiva NIS 2 expresa así: «Las medidas contempladas en el apartado 1 se basan en un enfoque “de todos los riesgos” que tiene por objeto proteger las redes y los sistemas de información, así como su entorno físico, frente a los incidentes» (Directiva (UE) 2022/2555, artículo 21, apartado 2). Para una lectura práctica en francés, las 42 medidas de la guía de higiene informática de la ANSSI constituyen un buen punto de partida antes de cubrir todo el Anexo A.
Punto esencial: ISO 27002 no es certificable. Es un estándar de apoyo. No se obtiene una certificación «ISO 27002», sino que se utiliza para implementar correctamente las medidas seleccionadas en el marco de un SGSI conforme a ISO 27001.
¿Cuáles son los 4 temas de medidas?
Organizativas (37)
Políticas, funciones y responsabilidades, gestión de activos, relaciones con proveedores, gestión de incidentes y continuidad.
Relacionadas con las personas (8)
Sensibilización, formación, verificación de antecedentes, teletrabajo, proceso disciplinario y gestión de las salidas.
Físicas (14)
Seguridad de las instalaciones, zonas seguras, protección de equipos, soportes de almacenamiento y mantenimiento.
Tecnológicas (34)
Control de acceso, cifrado, registro de actividad, protección contra malware, seguridad del desarrollo y de la red.
| Tema | Número de medidas |
|---|---|
| Organizativas | 37 |
| Relacionadas con las personas | 8 |
| Físicas | 14 |
| Tecnológicas | 34 |
| Total | 93 |
¿Qué relación tiene con el Anexo A de ISO 27001?
La revisión de 2022 alineó perfectamente ambas normas: las 93 medidas de ISO 27002:2022 se corresponden una a una con las medidas delAnexo A deISO 27001:2022. El Anexo A indica el nombre y una breve descripción; ISO 27002 proporciona las instrucciones completas. En la práctica, se utiliza ISO 27002 para justificar, diseñar e implementar cada medida que su evaluación de riesgos le llevó a seleccionar en su Declaración de aplicabilidad (SoA).
Antes de 2022, la norma contaba con 114 medidas repartidas en 14 categorías; la revisión de 2022 las condensó en 93 medidas y 4 temas; la alineación descrita anteriormente solo existe desde esta edición.
¿Cuáles son los 5 atributos de la versión 2022?
La gran novedad de la edición de 2022: ahora cada medida cuenta con 5 atributos que permiten clasificarla y filtrarla según distintos ejes de gobernanza. Estos atributos son: el tipo de medida (preventiva, detectiva, correctiva), las propiedades de seguridad (confidencialidad, integridad, disponibilidad), los conceptos de ciberseguridad (identificar, proteger, detectar, responder, recuperar), las capacidades operativas y los dominios de seguridad. Facilitan la correspondencia con otros estándares (NIST, etc.) y la gestión.
¿Cómo pasar de la medida a su implementación?
Partir de los riesgos
Identificar los riesgos que deben tratarse a partir de la evaluación de riesgos del SGSI.
Seleccionar las medidas
Elegir entre las 93 medidas aquellas que realmente reducen sus riesgos y documentar la SoA.
Implementar
Implementar cada medida siguiendo las recomendaciones detalladas de ISO 27002.
Medir y mejorar
Evaluar la eficacia de las medidas y ajustarlas siguiendo el principio de mejora continua.
Documentar (SoA)
Justificar cada medida seleccionada o excluida en la Declaración de aplicabilidad, elemento central de la auditoría.
Auditar y revisar
Comprobar periódicamente la pertinencia de las medidas ante la evolución de los riesgos y del contexto.
¿Por qué contar con BCIT?
Selección pertinente
Le ayudamos a seleccionar las medidas importantes para sus riesgos, sin sobrecargas innecesarias ni puntos ciegos.
Implementación práctica
Una implementación operativa, adaptada a sus herramientas, equipos y nivel de madurez real.
SoA sólida
Una Declaración de aplicabilidad clara y defendible, lista para laauditoría de certificación.
¿Necesita ayuda para elegir e implementar sus medidas?
BCIT Formation le acompaña en la selección e implementación de las medidas ISO 27002, en coherencia con su SGSI — con una puntuación de 4,7/5 en Trustpilot. Hablemos de su contexto.
Comprender la norma ISO/IEC 27002:2022
ISO 27002 es el código de buenas prácticas que detalla las medidas de seguridad del Anexo A deISO 27001. 4 temas, 93 medidas, 5 atributos: así podrá orientarse y aplicarlos correctamente.
¿Qué es la ISO/IEC 27002?
ISO/IEC 27002:2022 es el código de buenas prácticas que explica cómo implementar las 93 medidas del Anexo A deISO 27001 — no es certificable por sí misma.
ISO/IEC 27002:2022 es un código de buenas prácticas: una guía que describe detalladamente las medidas de seguridad de la información. Mientras que ISO 27001 establece los requisitos del SGSI, ISO 27002 explica el cómo: para cada medida, precisa el objetivo, las recomendaciones de implementación y consejos prácticos. Para consultar la presentación oficial del estándar, visite la página de ISO/IEC 27002 de PECB, organismo de certificación socio de BCIT.
Publicada por laISO en febrero de 2022, 8 meses antes de ISO 27001:2022, la edición actual describe 93 medidas en 4 temas: 37 organizativas, 8 relacionadas con las personas, 14 físicas y 34 tecnológicas, es decir, un 37 % de medidas técnicas. La edición de 2013 incluía 114 en 14 dominios. 11 medidas son nuevas:
- 5.7 Inteligencia sobre amenazas
- 5.23 Seguridad de la información en el uso de servicios en la nube
- 5.30 Preparación de las TIC para la continuidad de la actividad
- 7.4 Supervisión de la seguridad física
- 8.9 Gestión de la configuración
- 8.10 Eliminación de la información
- 8.11 Enmascaramiento de datos
- 8.12 Prevención de la fuga de datos
- 8.16 Actividades de supervisión
- 8.23 Filtrado web
- 8.28 Codificación segura
Estas medidas responden al requisito de un enfoque global que la directiva NIS 2 expresa así: «Las medidas contempladas en el apartado 1 se basan en un enfoque “de todos los riesgos” que tiene por objeto proteger las redes y los sistemas de información, así como su entorno físico, frente a los incidentes» (Directiva (UE) 2022/2555, artículo 21, apartado 2). Para una lectura práctica en francés, las 42 medidas de la guía de higiene informática de la ANSSI constituyen un buen punto de partida antes de cubrir todo el Anexo A.
Punto esencial: ISO 27002 no es certificable. Es un estándar de apoyo. No se obtiene una certificación «ISO 27002», sino que se utiliza para implementar correctamente las medidas seleccionadas en el marco de un SGSI conforme a ISO 27001.
¿Cuáles son los 4 temas de medidas?
Organizativas (37)
Políticas, funciones y responsabilidades, gestión de activos, relaciones con proveedores, gestión de incidentes y continuidad.
Relacionadas con las personas (8)
Sensibilización, formación, verificación de antecedentes, teletrabajo, proceso disciplinario y gestión de las salidas.
Físicas (14)
Seguridad de las instalaciones, zonas seguras, protección de equipos, soportes de almacenamiento y mantenimiento.
Tecnológicas (34)
Control de acceso, cifrado, registro de actividad, protección contra malware, seguridad del desarrollo y de la red.
| Tema | Número de medidas |
|---|---|
| Organizativas | 37 |
| Relacionadas con las personas | 8 |
| Físicas | 14 |
| Tecnológicas | 34 |
| Total | 93 |
¿Qué relación tiene con el Anexo A de ISO 27001?
La revisión de 2022 alineó perfectamente ambas normas: las 93 medidas de ISO 27002:2022 se corresponden una a una con las medidas delAnexo A deISO 27001:2022. El Anexo A indica el nombre y una breve descripción; ISO 27002 proporciona las instrucciones completas. En la práctica, se utiliza ISO 27002 para justificar, diseñar e implementar cada medida que su evaluación de riesgos le llevó a seleccionar en su Declaración de aplicabilidad (SoA).
Antes de 2022, la norma contaba con 114 medidas repartidas en 14 categorías; la revisión de 2022 las condensó en 93 medidas y 4 temas; la alineación descrita anteriormente solo existe desde esta edición.
¿Cuáles son los 5 atributos de la versión 2022?
La gran novedad de la edición de 2022: ahora cada medida cuenta con 5 atributos que permiten clasificarla y filtrarla según distintos ejes de gobernanza. Estos atributos son: el tipo de medida (preventiva, detectiva, correctiva), las propiedades de seguridad (confidencialidad, integridad, disponibilidad), los conceptos de ciberseguridad (identificar, proteger, detectar, responder, recuperar), las capacidades operativas y los dominios de seguridad. Facilitan la correspondencia con otros estándares (NIST, etc.) y la gestión.
¿Cómo pasar de la medida a su implementación?
Partir de los riesgos
Identificar los riesgos que deben tratarse a partir de la evaluación de riesgos del SGSI.
Seleccionar las medidas
Elegir entre las 93 medidas aquellas que realmente reducen sus riesgos y documentar la SoA.
Implementar
Implementar cada medida siguiendo las recomendaciones detalladas de ISO 27002.
Medir y mejorar
Evaluar la eficacia de las medidas y ajustarlas siguiendo el principio de mejora continua.
Documentar (SoA)
Justificar cada medida seleccionada o excluida en la Declaración de aplicabilidad, elemento central de la auditoría.
Auditar y revisar
Comprobar periódicamente la pertinencia de las medidas ante la evolución de los riesgos y del contexto.
¿Por qué contar con BCIT?
Selección pertinente
Le ayudamos a seleccionar las medidas importantes para sus riesgos, sin sobrecargas innecesarias ni puntos ciegos.
Implementación práctica
Una implementación operativa, adaptada a sus herramientas, equipos y nivel de madurez real.
SoA sólida
Una Declaración de aplicabilidad clara y defendible, lista para laauditoría de certificación.
¿Necesita ayuda para elegir e implementar sus medidas?
BCIT Formation le acompaña en la selección e implementación de las medidas ISO 27002, en coherencia con su SGSI — con una puntuación de 4,7/5 en Trustpilot. Hablemos de su contexto.