Cumplimiento normativo
Su socio de confianza en seguridad y cumplimiento normativo.
ISO/IEC 27001:2022
La norma ISO/IEC 27001:2022 es el estándar internacional para crear y mejorar continuamente un Sistema de Gestión de la Seguridad de la Información (SGSI), con un fuerte énfasis en los controles basados en riesgos, la gobernanza de accesos y la trazabilidad de extremo a extremo en entornos híbridos y en la nube. Esta página ofrece una correspondencia de los controles de la ISO 27001 alineada con casos de uso empresariales reales, y muestra cómo las capacidades de los productos de Devolutions dan soporte directo al acceso remoto seguro, a la gestión de accesos privilegiados y de credenciales, a la gobernanza de identidades y a la rendición de cuentas auditable.
5. Controles organizativos
Controles ISO 27001
Función de Devolutions
Productos asociados
5.3 Segregación de funciones
«Las funciones y las áreas de responsabilidad incompatibles se deben segregar.»
Segregación de roles, RBAC
5.9 Inventario de información y otros activos asociados
«Se debe desarrollar y mantener un inventario de la información y de otros activos asociados, incluidos sus propietarios.»
Inventario de accesos, identidades y sesiones
5.15 Control de acceso
«Se deben establecer e implementar reglas para controlar el acceso físico y lógico a la información y a otros activos asociados, en función de los requisitos de negocio y de seguridad de la información.»
Control de acceso lógico, PAM, permisos granulares
5.16 Gestión de identidades
«Se debe gestionar el ciclo de vida completo de las identidades.»
Integración con AD, Azure AD, SCIM y SSO
5.17 Información de autenticación
«La asignación y la gestión de la información de autenticación deben controlarse mediante un proceso de gestión que incluya asesorar al personal sobre el tratamiento adecuado de la información de autenticación.»
Bóveda cifrada, rotación de contraseñas, MFA
5.18 Derechos de acceso
«Los derechos de acceso a la información y a otros activos asociados deben aprovisionarse, revisarse, modificarse y retirarse de acuerdo con la política específica y las reglas de control de acceso de la organización.»
Gestión del ciclo de vida de los accesos
5.23 Seguridad de la información en el uso de servicios en la nube
«Los procesos de adquisición, uso, gestión y salida de los servicios en la nube deben establecerse de acuerdo con los requisitos de seguridad de la información de la organización.»
Gestión de accesos en la nube, gestión de secretos, túneles seguros
5.24 Planificación y preparación de la gestión de incidentes de seguridad de la información
«La organización debe planificar y prepararse para gestionar los incidentes de seguridad de la información definiendo, estableciendo y comunicando los procesos, roles y responsabilidades de gestión de incidentes de seguridad de la información.»
Registro de auditoría, registro de eventos, preparación ante incidentes
5.25 Evaluación y decisión sobre los eventos de seguridad de la información
«La organización debe evaluar los eventos de seguridad de la información y decidir si se clasifican como incidentes de seguridad de la información.»
Detección/análisis mediante registros
5.26 Respuesta a incidentes de seguridad de la información
«Se debe responder a los incidentes de seguridad de la información de acuerdo con los procedimientos documentados.»
Acciones de corrección (rotación de secretos), gestión de incidentes
5.27 Aprendizaje a partir de los incidentes de seguridad de la información
«El conocimiento adquirido a partir de los incidentes de seguridad de la información se debe utilizar para reforzar y mejorar los controles de seguridad de la información.»
Historial de auditoría para impulsar mejoras
5.28 Recopilación de evidencias
«La organización debe establecer e implementar procedimientos para la identificación, recopilación, adquisición y conservación de las evidencias relacionadas con los eventos de seguridad de la información.»
Grabación de sesiones, registros con marca de tiempo
6. Controles relativos a las personas
Controles ISO 27001
Función de Devolutions
Productos asociados
6.7 Trabajo a distancia
«Se implementarán medidas de seguridad cuando el personal trabaje en remoto para proteger la información a la que se acceda, se procese o se almacene fuera de las instalaciones de la organización.»
Acceso remoto seguro, MFA, túneles seguros
7. Controles físicos
Controles ISO 27001
Función de Devolutions
Productos asociados
7.10 Soportes de almacenamiento
«Los soportes de almacenamiento se gestionarán a lo largo de su ciclo de vida de adquisición, uso, transporte y eliminación conforme al esquema de clasificación y a los requisitos de manipulación de la organización.»
Sustituya el almacenamiento local por una bóveda central cifrada
8. Controles tecnológicos
Controles ISO 27001
Función de Devolutions
Productos asociados
8.1 Dispositivos endpoint de usuario
"La información almacenada, procesada o accesible a través de los dispositivos endpoint de usuario debe estar protegida."
Sin secretos locales; inyección de credenciales
8.2 Derechos de acceso privilegiado
"La asignación y el uso de los derechos de acceso privilegiado deben restringirse y gestionarse."
PAM completo, grabación de sesiones
8.3 Restricción del acceso a la información
"El acceso a la información y a otros activos asociados debe restringirse de acuerdo con la política específica establecida sobre el control de acceso."
RBAC, segmentación
8.4 Acceso al código fuente
"El acceso de lectura y escritura al código fuente, a las herramientas de desarrollo y a las bibliotecas de software debe gestionarse adecuadamente."
Almacenamiento seguro de los secretos de DevOps y CI/CD
8.5 Autenticación segura
"Se deben implementar tecnologías y procedimientos de autenticación segura basados en las restricciones de acceso a la información y en la política específica sobre el control de acceso."
MFA, FIDO2, OTP, push
8.7 Protección contra el malware
«Se debe implementar la protección contra el malware y respaldarla con una adecuada concienciación de los usuarios.»
Menor riesgo de phishing gracias a la inyección de credenciales
8.9 Gestión de la configuración
«Las configuraciones, incluidas las de seguridad, del hardware, el software, los servicios y las redes se deben establecer, documentar, implementar, supervisar y revisar.»
Estandarización de conexiones y accesos
8.11 Enmascaramiento de datos
«El enmascaramiento de datos se debe utilizar de acuerdo con la política específica de la organización sobre control de acceso y otras políticas específicas relacionadas, así como con los requisitos del negocio, teniendo en cuenta la legislación aplicable.»
Inyección de credenciales (el secreto nunca se revela), RBAC
8.12 Prevención de fugas de datos
«Se deben aplicar medidas de prevención de fugas de datos a los sistemas, las redes y cualquier otro dispositivo que procese, almacene o transmita información sensible.»
Bóveda + proxy de sesión, RBAC
8.13 Copias de seguridad de la información
«Se mantendrán y probarán periódicamente copias de seguridad de la información, del software y de los sistemas conforme a la política específica acordada sobre copias de seguridad.»
Copias de seguridad cifradas de DVLS/Devolutions Cloud
8.15 Registro de eventos
«Se generarán, almacenarán, protegerán y analizarán registros que documenten actividades, excepciones, fallos y otros eventos relevantes.»
Registro de auditoría completo
8.16 Actividades de seguimiento
«Se supervisarán las redes, los sistemas y las aplicaciones para detectar comportamientos anómalos y se adoptarán las acciones adecuadas para evaluar posibles incidentes de seguridad de la información.»
Supervisión + grabación de sesiones
8.18 Uso de programas utilitarios privilegiados
«El uso de programas utilitarios capaces de anular los controles de sistemas y aplicaciones se restringirá y controlará estrictamente.»
PAM, restricciones de herramientas de administración
8.22 Segregación de redes
«Los grupos de servicios de información, usuarios y sistemas de información estarán segregados en las redes de la organización.»
Segmentación mediante Devolutions Gateway
8.24 Uso de criptografía
«Se definirán e implementarán reglas para el uso eficaz de la criptografía, incluida la gestión de claves criptográficas.»
Cifrado AES-256, TLS 1.2+
8.25 Ciclo de vida de desarrollo seguro
"Se deben establecer y aplicar reglas para el desarrollo seguro de software y sistemas."
Gestión de secretos en desarrollo/pruebas/producción
8.29 Pruebas de seguridad en desarrollo y aceptación
"Se deben definir e implementar procesos de pruebas de seguridad en el ciclo de vida de desarrollo."
Secretos de prueba protegidos
8.31 Separación de los entornos de desarrollo, prueba y producción
"Los entornos de desarrollo, prueba y producción deben estar separados y protegidos."
Separación lógica mediante bóvedas / RBAC
8.32 Gestión de cambios
"Los cambios en las instalaciones de procesamiento de información y en los sistemas de información deben estar sujetos a procedimientos de gestión de cambios."
Auditoría y trazabilidad de los cambios
8.33 Información de pruebas
"La información de pruebas debe seleccionarse, protegerse y gestionarse adecuadamente."
Protección de los secretos de prueba
Recursos
Descubra más información y herramientas que le ayudarán a mantenerse al día en materia de seguridad de TI.
Blog de Devolutions
Cómo Devolutions ayuda a las organizaciones a cumplir los controles clave de IAM de la norma ISO/IEC 27001:2022
Leer los artículos
Conveyor Devolutions
Acceso centralizado a la documentación legal y a las certificaciones de cumplimiento normativo de Devolutions.
Más información
Documentación de Devolutions
El botón Security, Legal & Privacy le redirige a nuestro sitio web, donde puede acceder a todos los recursos pertinentes
Consultar la documentación
¿Necesita ayuda para gestionar el cumplimiento normativo?
Nuestro equipo de expertos puede ayudarle a comprender cómo las soluciones de Devolutions cumplen sus requisitos de cumplimiento normativo y guiarle a lo largo del proceso.
