UT5 Cuestionario ISO 27002 controles 8

01. ¿Cual es el propósito del control “8.1 Dispositivos finales de usuario“?. Minimizar el impacto de la auditoría y otras actividades de aseguramiento sobre los sistemas operativos y sobre los procesos de negocio. Garantizar la relevancia de las pruebas y la protección de la información operativa utilizada para las pruebas. Proteger la información contra los riesgos introducidos por el uso de dispositivos finales de usuario.

02. ¿Cual es el propósito del control “8.2 Gestión de privilegios de acceso“?. Minimizar el impacto de la auditoría y otras actividades de aseguramiento sobre los sistemas operativos y sobre los procesos de negocio. Garantizar que sólo los usuarios, componentes de software y servicios autorizados dispongan de derechos de acceso privilegiados. Proteger la información contra los riesgos introducidos por el uso de dispositivos finales de usuario.

03. ¿Cual es el propósito del control “8.3 Restricción del acceso a la información“?. Proteger la información contra los riesgos introducidos por el uso de dispositivos finales de usuario. Garantizar únicamente el acceso autorizado y evitar el acceso no autorizado a la información y otros activos asociados. Garantizar que sólo los usuarios, componentes de software y servicios autorizados dispongan de derechos de acceso privilegiados.

04. ¿Cual es el propósito del control “8.4 Acceso al código fuente“?. Garantizar que sólo los usuarios, componentes de software y servicios autorizados dispongan de derechos de acceso privilegiados. Garantizar únicamente el acceso autorizado y evitar el acceso no autorizado a la información y otros activos asociados. Impedir la introducción de funcionalidades no autorizadas, evitar cambios no intencionales o maliciosos y mantener la confidencialidad de la propiedad intelectual valiosa.

05. ¿Cual es el propósito del control “8.5 Autenticación segura“?. Impedir la introducción de funcionalidades no autorizadas, evitar cambios no intencionales o maliciosos y mantener la confidencialidad de la propiedad intelectual valiosa. Las tecnologías y procedimientos de autenticación segura deberían implementarse en función de las restricciones de acceso a la información y la política específica sobre control de acceso. Garantizar únicamente el acceso autorizado y evitar el acceso no autorizado a la información y otros activos asociados.

06. ¿Cual es el propósito del control “8.6 Gestión de capacidades“?. Las tecnologías y procedimientos de autenticación segura deberían implementarse en función de las restricciones de acceso a la información y la política específica sobre control de acceso. Asegurar la capacidad requerida, tanto de las instalaciones de tratamiento de la información, como de los recursos humanos, oficinas y otras instalaciones. Impedir la introducción de funcionalidades no autorizadas, evitar cambios no intencionales o maliciosos y mantener la confidencialidad de la propiedad intelectual valiosa.

07. ¿Cual es el propósito del control “8.7 Controles contra el código malicioso“?. Garantizar que la información y otros activos asociados estén protegidos contra el código malicioso. Asegurar la capacidad requerida, tanto de las instalaciones de tratamiento de la información, como de los recursos humanos, oficinas y otras instalaciones. Las tecnologías y procedimientos de autenticación segura deberían implementarse en función de las restricciones de acceso a la información y la política específica sobre control de acceso.

08. ¿Cual es el propósito del control “8.8 Gestión de vulnerabilidades técnicas“?. Asegurar la capacidad requerida, tanto de las instalaciones de tratamiento de la información, como de los recursos humanos, oficinas y otras instalaciones. Garantizar que la información y otros activos asociados estén protegidos contra el código malicioso. Evitar la explotación de vulnerabilidades técnicas.

09. ¿Cual es el propósito del control “8.9 Gestión de la configuración“?. Garantizar que la información y otros activos asociados estén protegidos contra el código malicioso. Garantizar que el hardware, el software, los servicios y las redes funcionen correctamente con la configuración de seguridad requerida y que la configuración no se vea alterada por cambios no autorizados o incorrectos. Evitar la explotación de vulnerabilidades técnicas.

10. ¿Cual es el propósito del control “8.10 Eliminación de la información“?. Evitar la exposición innecesaria de información sensible y cumplir con los requisitos legales, estatutarios, reglamentarios y contractuales para la eliminación de dicha información. Garantizar que el hardware, el software, los servicios y las redes funcionen correctamente con la configuración de seguridad requerida y que la configuración no se vea alterada por cambios no autorizados o incorrectos. Evitar la explotación de vulnerabilidades técnicas.

11. ¿Cual es el propósito del control “8.11 Enmascaramiento de datos“?. Garantizar que el hardware, el software, los servicios y las redes funcionen correctamente con la configuración de seguridad requerida y que la configuración no se vea alterada por cambios no autorizados o incorrectos. Limitar la exposición de datos sensibles, incluidos los datos de carácter personal y cumplir los requisitos legales, estatutarios, reglamentarios y contractuales. Evitar la exposición innecesaria de información sensible y cumplir con los requisitos legales, estatutarios, reglamentarios y contractuales para la eliminación de dicha información.

12. ¿Cual es el propósito del control “8.12 Prevención de fugas de datos“?. Detectar e impedir la divulgación y extracción no autorizadas de información por parte de personas o sistemas. Limitar la exposición de datos sensibles, incluidos los datos de carácter personal y cumplir los requisitos legales, estatutarios, reglamentarios y contractuales. Evitar la exposición innecesaria de información sensible y cumplir con los requisitos legales, estatutarios, reglamentarios y contractuales para la eliminación de dicha información.

13. ¿Cual es el propósito del control “8.13 Copias de seguridad de la información“?. Limitar la exposición de datos sensibles, incluidos los datos de carácter personal y cumplir los requisitos legales, estatutarios, reglamentarios y contractuales. Detectar e impedir la divulgación y extracción no autorizadas de información por parte de personas o sistemas. Permitir la recuperación tras la pérdida de datos o sistemas.

14. ¿Cual es el propósito del control “8.14 Redundancia de los recursos de tratamiento de la información“?. Garantizar el funcionamiento continuo de las instalaciones de tratamiento de la información. Detectar e impedir la divulgación y extracción no autorizadas de información por parte de personas o sistemas. Permitir la recuperación tras la pérdida de datos o sistemas.

15. ¿Cual es el propósito del control “8.15 Registros de eventos“?. Para registrar eventos, generar evidencias, garantizar la integridad de la información de registro, prevenir el acceso no autorizado, identificar eventos de seguridad de la información que pueden conducir a un incidente de seguridad de la información y apoyar las investigaciones. Permitir la recuperación tras la pérdida de datos o sistemas. Garantizar el funcionamiento continuo de las instalaciones de tratamiento de la información.

16. ¿Cual es el propósito del control “8.16 Seguimiento de actividades“?. Garantizar el funcionamiento continuo de las instalaciones de tratamiento de la información. Para registrar eventos, generar evidencias, garantizar la integridad de la información de registro, prevenir el acceso no autorizado, identificar eventos de seguridad de la información que pueden conducir a un incidente de seguridad de la información y apoyar las investigaciones. Detectar comportamientos anómalos y posibles incidentes de seguridad de la información.

17. ¿Cual es el propósito del control “8.17 Sincronización del reloj“?. Para registrar eventos, generar evidencias, garantizar la integridad de la información de registro, prevenir el acceso no autorizado, identificar eventos de seguridad de la información que pueden conducir a un incidente de seguridad de la información y apoyar las investigaciones. Deberían permitir la correlación y el análisis de eventos relacionados con la seguridad y otros datos registrados, y apoyar las investigaciones sobre incidentes de seguridad de la información. Detectar comportamientos anómalos y posibles incidentes de seguridad de la información.

18. ¿Cual es el propósito del control “8.18 Uso de los programas de utilidad con privilegios“?. Deberían permitir la correlación y el análisis de eventos relacionados con la seguridad y otros datos registrados, y apoyar las investigaciones sobre incidentes de seguridad de la información. Garantizar que el uso de programas de utilidades no perjudique los controles del sistema y de las aplicaciones para la seguridad de la información. Detectar comportamientos anómalos y posibles incidentes de seguridad de la información.

19. ¿Cual es el propósito del control “8.19 Instalación del software en sistemas de producción“?. Garantizar que el uso de programas de utilidades no perjudique los controles del sistema y de las aplicaciones para la seguridad de la información. Deberían permitir la correlación y el análisis de eventos relacionados con la seguridad y otros datos registrados, y apoyar las investigaciones sobre incidentes de seguridad de la información. Garantizar la integridad de los sistemas operacionales y evitar la explotación de vulnerabilidades técnicas.

20. ¿Cual es el propósito del control “8.20 Seguridad de redes“?. Garantizar la seguridad en el uso de los servicios de red y de sus instalaciones de tratamiento de la información de apoyo frente a riesgos a través de la red. Garantizar que el uso de programas de utilidades no perjudique los controles del sistema y de las aplicaciones para la seguridad de la información. Garantizar la integridad de los sistemas operacionales y evitar la explotación de vulnerabilidades técnicas.

21. ¿Cual es el propósito del control “8.21 Seguridad de los servicios de red“?. Garantizar la seguridad en el uso de los servicios de red y de sus instalaciones de tratamiento de la información de apoyo frente a riesgos a través de la red. Garantizar la integridad de los sistemas operacionales y evitar la explotación de vulnerabilidades técnicas. Garantizar la seguridad en el uso de los servicios de la red.

22. ¿Cual es el propósito del control “8.22 Segregación en redes“?. Garantizar la seguridad en el uso de los servicios de red y de sus instalaciones de tratamiento de la información de apoyo frente a riesgos a través de la red. Garantizar la seguridad en el uso de los servicios de la red. Dividir la red en los límites de seguridad y controlar el tráfico entre ellos en función de las necesidades de negocio.

23. ¿Cual es el propósito del control “8.23 Filtrado de webs“?. Dividir la red en los límites de seguridad y controlar el tráfico entre ellos en función de las necesidades de negocio. Garantizar la seguridad en el uso de los servicios de la red. Proteger que los sistemas sean comprometidos por código malicioso y para prevenir el acceso a recursos web no autorizados.

24. ¿Cual es el propósito del control “8.24 Uso de la criptografía“?. Dividir la red en los límites de seguridad y controlar el tráfico entre ellos en función de las necesidades de negocio. Garantizar un uso efectivo y adecuado de la criptografía para proteger la confidencialidad, autenticidad o la integridad de la información de acuerdo con los requisitos de negocio y de seguridad de la información, y tomando en consideración los requisitos legales, estatutarios, regulatorios y contractuales relativos a la criptografía. Proteger que los sistemas sean comprometidos por código malicioso y para prevenir el acceso a recursos web no autorizados.

25. ¿Cual es el propósito del control “8.25 Seguridad en el ciclo de vida del desarrollo“?. Proteger que los sistemas sean comprometidos por código malicioso y para prevenir el acceso a recursos web no autorizados. Garantizar un uso efectivo y adecuado de la criptografía para proteger la confidencialidad, autenticidad o la integridad de la información de acuerdo con los requisitos de negocio y de seguridad de la información, y tomando en consideración los requisitos legales, estatutarios, regulatorios y contractuales relativos a la criptografía. Garantizar que la seguridad de la información se diseña e implementa dentro del ciclo de vida de desarrollo seguro de software y sistemas.

26. ¿Cual es el propósito del control “8.26 Requisitos de seguridad de las aplicaciones“?. Garantizar que la seguridad de la información se diseña e implementa dentro del ciclo de vida de desarrollo seguro de software y sistemas. Garantizar que se identifican y abordan todos los requisitos de seguridad de información al desarrollar o adquirir aplicaciones. Garantizar un uso efectivo y adecuado de la criptografía para proteger la confidencialidad, autenticidad o la integridad de la información de acuerdo con los requisitos de negocio y de seguridad de la información, y tomando en consideración los requisitos legales, estatutarios, regulatorios y contractuales relativos a la criptografía.

27. ¿Cual es el propósito del control “8.27 Arquitectura segura de sistemas y principios de ingeniería“?. Garantizar que los sistemas de información se diseñan, implementan y operan de forma segura dentro del ciclo de vida de desarrollo. Garantizar que la seguridad de la información se diseña e implementa dentro del ciclo de vida de desarrollo seguro de software y sistemas. Garantizar que se identifican y abordan todos los requisitos de seguridad de información al desarrollar o adquirir aplicaciones.

28. ¿Cual es el propósito del control “8.28 Codificación segura“?. Garantizar que los sistemas de información se diseñan, implementan y operan de forma segura dentro del ciclo de vida de desarrollo. Garantizar que el software se escriba de forma segura, reduciendo así la cantidad de potenciales vulnerabilidades de seguridad de la información en el software. Garantizar que se identifican y abordan todos los requisitos de seguridad de información al desarrollar o adquirir aplicaciones.

29. ¿Cual es el propósito del control “8.29 Pruebas de seguridad en desarrollo y aceptación“?. Validar si se cumplen los requisitos de seguridad de la información cuando las aplicaciones o el código se implementan en el entorno de producción. Garantizar que el software se escriba de forma segura, reduciendo así la cantidad de potenciales vulnerabilidades de seguridad de la información en el software. Garantizar que los sistemas de información se diseñan, implementan y operan de forma segura dentro del ciclo de vida de desarrollo.

30. ¿Cual es el propósito del control “8.30 Externalización del desarrollo“?. Garantizar que el software se escriba de forma segura, reduciendo así la cantidad de potenciales vulnerabilidades de seguridad de la información en el software. Validar si se cumplen los requisitos de seguridad de la información cuando las aplicaciones o el código se implementan en el entorno de producción. Garantizar que las medidas de seguridad de la información requeridas por la organización se implementan en el desarrollo de sistemas subcontratados.

31. ¿Cual es el propósito del control “8.31 Separación de los entornos de desarrollo, prueba y producción“?. Proteger el entorno de producción y los datos del compromiso debido a las actividades de desarrollo y prueba. Validar si se cumplen los requisitos de seguridad de la información cuando las aplicaciones o el código se implementan en el entorno de producción. Garantizar que las medidas de seguridad de la información requeridas por la organización se implementan en el desarrollo de sistemas subcontratados.

32. ¿Cual es el propósito del control “8.32 Gestión de cambios“?. Proteger el entorno de producción y los datos del compromiso debido a las actividades de desarrollo y prueba. Garantizar que las medidas de seguridad de la información requeridas por la organización se implementan en el desarrollo de sistemas subcontratados. Preservar la seguridad de la información al ejecutar cambios.

33. ¿Cual es el propósito del control “8.33 Datos de prueba“?. Preservar la seguridad de la información al ejecutar cambios. Proteger el entorno de producción y los datos del compromiso debido a las actividades de desarrollo y prueba. Garantizar la relevancia de las pruebas y la protección de la información operativa utilizada para las pruebas.

34. ¿Cual es el propósito del control “8.34 Protección de los sistemas de información durante las pruebas de auditoría“?. Preservar la seguridad de la información al ejecutar cambios. Garantizar la relevancia de las pruebas y la protección de la información operativa utilizada para las pruebas. Minimizar el impacto de la auditoría y otras actividades de aseguramiento sobre los sistemas operativos y sobre los procesos de negocio.