Controles de identidad en ISO 27002

Las dos normas se citan juntas y no hacen lo mismo. ISO/IEC 27001 define los requisitos de un sistema de gestión de la seguridad de la información; es la que una empresa puede certificar mediante una auditoría. ISO/IEC 27002 es una guía: describe los controles, su propósito y cómo implementarlos, y no es certificable por sí sola.

El Anexo A de la edición 2022 de la 27001 enumera los mismos controles que la 27002:2022, y esta explica cada uno. La edición 2022 reúne sus controles en cuatro temas: organizacionales, de personas, físicos y tecnológicos.

En el trabajo nadie te dice el número: te dicen lo que pasa. Abre el catálogo y localiza el control cuya idea es dar, revisar, modificar y retirar los derechos de acceso a lo largo de la relación con la persona.

Un hallazgo bien escrito dice qué pasa; el control dice qué se esperaba. Para unirlos, mira qué verbo tiene el hallazgo: si el problema es que varias personas se esconden detrás de una misma cuenta, el problema es de identificación, no de contraseñas.

Cotopaxi tiene cuatro hallazgos sin control asignado. Lee el primero y busca en el catálogo qué control habla de identificar de forma única a quien accede.

Cada control pertenece a un tema, y el tema ayuda a decidir quién debe responder: los organizacionales suelen responderlos la gerencia o el área de procesos, los tecnológicos los equipos de TI. El catálogo de Cotopaxi trae doce controles con su tema.

El jefe de TI de Cotopaxi dice: «ISO 27002 exige que las cuentas de quien sale se cierren en 24 horas». La norma pide retirar o ajustar los derechos cuando termina o cambia la relación y deja el plazo a lo que la organización decida según su riesgo. Un plazo de horas puede ser una buena regla interna, pero entonces es del proyecto, no de la norma.