La norma en su actual versión 2022 es flexible y aplicable a cualquier tipo de organización y sector; además, es integrable con otras normas ISO.

¿Qué es la norma iso 27018

ISO/IEC 27018 es una norma relacionada con uno de los componentes más cruciales de la privacidad en la nube: la protección de la información personal identificable (IPI). Esta norma permite a los proveedores de servicios en la nube pública que tratan IPI controlar la seguridad de dos formas:

• Refuerza los controles que ya establecía la norma ISO/IEC 27002 con elementos específicos para la privacidad en la nube.

• Proporciona controles de seguridad totalmente nuevos para los datos personales.

Google Cloud, Google Workspace, Chrome y Apigee cuentan con la certificación ISO/IEC 27018.

Los certificados ISO 27018 de Google Cloud, Google Workspace y Apigee se pueden solicitar a través del Administrador de informes de cumplimiento. Los clientes potenciales pueden contactar con Ventas para obtener más información.

Esta norma es una gran manera de demostrar a los clientes, a las partes interesadas externas y a los interesados internos que existen sistemas eficaces para apoyar el cumplimiento del RGPD y otra legislación de privacidad relacionada.

Las organizaciones que deseen obtener la certificación ISO 27701 para cumplir con el RGPD tendrán que tener una certificación ISO 27001 existente o implementar la ISO 27001 y la ISO 27701 de forma integrada, dado que la ISO 27701 es una ampliación natural de los requisitos de la ISO 27001.

La norma ISO 27001 proporciona un marco para un Sistema de Gestión de la Seguridad de la Información (SGSI) que permite mantener la confidencialidad, integridad y disponibilidad de la información, así como el cumplimiento de la legislación. Más de 60.000 organizaciones de todo el mundo se han certificado hasta la fecha con la norma ISO 27001, lo que demuestra que la certificación es una parte esencial de la protección de sus activos más vitales.

NQA es un líder en el despliegue de la norma ISO 27701, obteniendo la acreditación ANAB a principios de 2020 y teniendo más de una docena de auditores formados y tutelados que realizan algunas de las primeras auditorías en ISO 27701 en Estados Unidos.

Ofrecemos un servicio integral de auditoría de terceros, que evalúa su cumplimiento actual e identifica las áreas potenciales de mejora continua. NQA proporciona conocimientos y experiencia en auditorías ISO 27701 para garantizar que nuestros clientes reciban auditorías exhaustivas, rigurosas, de apoyo y coherentes.

Mantener la seguridad de las redes y los datos de TI es fundamental para las empresas. La necesidad de soluciones de almacenamiento y software más rentables, junto con el acceso móvil, sigue impulsando la adopción de la computación en nube. Y aunque la computación en nube abre nuevas oportunidades, también presenta una serie de riesgos de seguridad para la información de una empresa.

Así pues, a medida que las organizaciones adoptan nuevas formas de trabajo digital, no es de extrañar que las próximas normativas y el creciente número de sofisticados ciberataques estén impulsando la necesidad de una mayor transparencia y confianza en la nube.

Mediante la implantación de la certificación CSA STAR, además de un sistema de gestión de la seguridad de la información conforme a la norma ISO/IEC 27001, las organizaciones pueden asegurarse de que comprenden plenamente los riesgos existentes y las repercusiones para el negocio. Esto permite a las organizaciones establecer controles para proteger la información crítica para el negocio.

Ver el vídeo

El Código de Conducta para el Cumplimiento del RGPD establece:

• Flexibilidad: se puede aplicar a cualquier modelo de entrega en la nube: IaaS/PaaS/SaaS.

• Transparencia: proporciona a los clientes de la nube una comprensión clara y una visión transparente de lo que está haciendo el proveedor de servicios en la nube.

• Rigor: CSA CoC proporciona una plantilla rigurosa y probada para cumplir con los requisitos de privacidad del RGPD

• Utilidad: Los clientes de la nube de cualquier tamaño pueden utilizar esta herramienta para evaluar el nivel de protección de datos personales que ofrecen los diferentes CSP (y, por lo tanto, respaldar decisiones informadas).

• Integridad: permite a los CSP de cualquier tamaño y ubicación geográfica recibir orientación para cumplir con la legislación de protección de datos personales de la Unión Europea (UE) y revelar el nivel de protección de datos personales que ofrecen a los clientes.

El marco para la mejora de la seguridad cibernética en infraestructuras críticas, mejor conocida en inglés como NIST Cibersecurity Framework, fue emitida inicialmente en los Estados Unidos en febrero de 2.014. Actualmente se encuentra disponible la versión 1.1 liberada en abril de 2.018.

La orientación del marco es ayudar a las empresas de todos los tamaños a comprender, gestionar y reducir los riesgos cibernéticos y proteger sus redes y datos, proporcionando un lenguaje común y un resumen de las mejores prácticas en ciberseguridad.

National Institute of Standards and Technology

Aplicabilidad: El marco es aplicable a organizaciones que dependen en la tecnología, ya sea que su enfoque de seguridad cibernética sea principalmente en tecnología de la información (TI), sistemas de control industrial (ICS), sistemas ciber físicos (CPS) o dispositivos conectados en general, incluido el Internet de las Cosas (IoT)

Estructura: El Marco consta de tres partes: el Núcleo del Marco, los Niveles de Implementación y los Perfiles del Marco.

El Núcleo del Marco es un conjunto de funciones y actividades de seguridad cibernética, resultados esperados y referencias informativas que son comunes en todos los sectores y en la infraestructura crítica. El Núcleo del Marco consta de cinco Funciones simultáneas y continuas: Identificar, Proteger, Detectar, Responder y Recuperar. Cuando se consideran juntas, estas Funciones proporcionan una visión estratégica de alto nivel del ciclo de vida del proceso de gestión de riesgos de la seguridad cibernética de una organización. Cada Función está compuesta de categorías, cada categoría se divide a su vez en subcategorías y cada subcategoría viene acompañada de referencias normativas a otros frameworks o estándares (ISO 27001, CobiT 5, NIST SP-83, ISA62443, entre otros) en los cuales se encuentra mayor nivel de detalle para la implementación de los controles de seguridad cibernética referidos.

A continuación, se muestra cada Función con sus respectivas categorías:

Identificador único de funciónFunciónIdentificador único de categoríaCategoríaIDIdentificarID. AMGestión de activosID. BEEntorno empresarialID. GVGobernanzaID. RAEvaluación de riesgosID. RMEstrategia de gestión de riesgosID. SCGestión del riesgo de la cadena de suministroPRProtegerPR. ACGestión de identidad y control de accesoPR. ATConciencia y capacitaciónPR. DSSeguridad de datosPR. IPProcesos y procedimientos de protección de la informaciónPR. MAMantenimientoPR. PTTecnología productoraDEDetectarDE. AEAnomalías y eventosDE. CMVigilancia continua de seguridadDE. DPProcesos de detecciónRSResponderRS. RPComunicacionesRS. COAnálisisRS. ANAnálisisRS. MIMitigaciónRS. IMMejorasRCRecuperarRC. RPPlanificación de recuperaciónRC. IMMejorasRC.COComunicaciones

Los Niveles de Implementación de NIST proporcionan un mecanismo para que las organizaciones puedan ver y comprender las características de su enfoque para gestionar el riesgo de seguridad cibernética, lo que ayudará a priorizar y alcanzar los objetivos de la seguridad cibernética. El marco considera 4 niveles desde el más débil hasta el más robusto: Parcial, Riesgo informado, Repetible y Adaptativo.

El nivel es determinado con base en 3 atributos (Proceso de gestión de riesgos, integración de la gestión de riesgos, y Participación externa) y las características de cada uno ellos que se aprecian en la siguiente imagen:

Proceso de Gestión de RiegosIntegración de la gestión de riesgosParticipación externa

ParcialInformadoRepetibleAdaptativoNo formalizado
Ad-hoc
ReactivoProcesos aprobados pero podrían no ser establecidos como políticas de toda la organización

Actividades de ciberseguridad basadas en objetivos de riesgo

Procesos aprobados y se expresan como políticas

Actividades de ciberseguridad se actualizan regularmente con base en cambios en el perfil de riesgo

Mejor continua que incluye lecciones aprendidas e indicadores predictivos.

La organización continuamente se adapta a un panorama cambiante de amenazas y tecnologías y responde de manera eficaz

Por último, el Perfil representa los resultados que se basan en las necesidades empresariales que una organización ha seleccionado de las categorías y subcategorías del Marco. El Perfil se puede caracterizar como la alineación de estándares, directrices y prácticas con el Núcleo del Marco en un escenario de implementación particular.

De forma más coloquial se puede decir que el Pefil es una “foto” en el tiempo que muestra el estado actual (o el nivel de estado deseado) de ciberseguridad en una organización o unidad de negocio. La diferencia entre el perfil del estado actual y el perfil de estado deseado permitirá construir una hoja de ruta priorizada para la implementación.

Tras someterse a una evaluación independiente de terceros, Google Cloud ha recibido una carta de certificación en la que se confirma que un subconjunto de servicios de Google Cloud Platform y Google Workspace operan de conformidad con el estándar 800-53 del NIST.

Es un marco de trabajo (framework) para el gobierno y la gestión de la información y la tecnología de la empresa (EGIT), dirigido a toda la empresa. 

Define los componentes y los factores de diseño para construir y mantener un sistema de gobierno que se ajuste mejor.

Este framework ayuda a garantizar un EGIT efectivo, facilitando una implementación más fácil y personalizada, fortaleciendo el papel continuo de COBIT como un importante impulsor de la innovación y la transformación empresarial.

Principios de COBIT 2019

COBIT se basa en dos grupos de principios: sistema de gobierno y marco de gobierno.

Principios para un sistema de gobierno

Existen seis principios para un sistema de gobierno:

1. Proporcionar valor a los stakeholders (partes interesadas). Debe lograrse un equilibrio entre el beneficio, el riesgo y los recursos.

2. Enfoque holístico, creado a partir de diferentes componentes conectados entre sí.

3. Sistema de gobierno dinámico. El sistema de gobierno se verá afectado si se cambian los factores de diseño.

4. Separar el gobierno de la gestión. Deben diferenciarse ambos conceptos.

5. Adaptarse (personalizarse) de acuerdo con las necesidades de la empresa, a partir de los factores de diseño.

6. Sistema integrado de gobierno. Debe enfocarse en todo el procesamiento de información y tecnología, y no solamente en TI.

Principios para un marco de gobierno

Existen 3 principios para un marco de gobierno:

1. Basado en un modelo conceptual, conformado por componentes y sus relaciones.

2. Abierto y flexible, que permita incorporar nuevos contenidos y asuntos.

3. Alineado con las principales normativas (estándares, marcos y regulaciones).

La familia de productos de COBIT 2019

El marco de trabajo de COBIT 2019 está conformado por un conjunto de publicaciones, las cuales podrían incrementarse en el futuro:

• El marco de referencia COBIT 2019: Introducción y metodología.

• El marco de referencia COBIT 2019: Objetivos de gobierno y gestión.

• La guía de diseño COBIT 2019: Diseño de una solución de gobierno de información y tecnología.

• La guía de implementación de COBIT 2019: Implementación y optimización de una solución de gobierno de información y tecnología.

• Implementando el marco de trabajo de ciberseguridad de NIST usando COBIT 2019.

Objetivos de Gobierno y Gestión en COBIT 2019

Los objetivos de gobierno y gestión de COBIT 2019 deben estar alineados a los objetivos de la empresa, y a su vez, se encuentran relacionados con un proceso y un conjunto de componentes.

El marco de COBIT 2019 está conformado por 40 objetivos, de los cuales 5 son de gobierno y el resto (35) son de gestión.

Los objetivos se agrupan en cinco dominios: el primer dominio (EDM) agrupa los objetivos de gobierno, y los objetivos de gestión se agrupan en cuatro dominios (APO, BAI, DSS, y MEA).

Estas mejores prácticas procesables para la defensa cibernética son formuladas por un grupo de expertos en tecnología de la información utilizando la información obtenida de ataques reales y sus defensas efectivas. Los controles de CIS proporcionan una orientación específica y una vía clara para que las organizaciones alcancen las metas y los objetivos descritos por múltiples marcos jurídicos, reglamentarios y normativos.

El PCI SSC (Payment Card Industry Security Standards Council) es un foro compuesto por cinco de las más importantes marcas de pago: Visa Inc., MasterCard, American Express, Discover Financial Services y JCB International. Fue fundado el 7 de septiembre de 2006 con el objetivo de definir los controles de seguridad orientados hacia la protección de los datos de tarjetas de pago durante todo el flujo transaccional. Se trata de una organización independiente que actualmente gestiona el ciclo de vida de los estándares de seguridad de tarjetas y de sus documentos asociados. China UnionPay (UP) se vinculó al PCI SSC como miembro estratégico en noviembre de 2020.

PILARES ESTRATÉGICOS DEL PCI SSC

Adicionalmente, el PCI SSC se encarga de realizar formaciones específicas a asesores, homologación de empresas para evaluaciones de cumplimiento y servicios relacionados (como escaneos ASV y laboratorios), preguntas de uso frecuente (FAQ), actividades de promoción de los estándares a Proveedores de Servicios (Service Providers), Comercios (Merchants), adquirientes (Acquirers), emisores (Issuers) y al público en general, gestión de membresías, reuniones anuales de los miembros (Community Meetings), así como la publicación y actualización de listados de asesores, laboratorios homologados, etc. Una descripción general del PCI SSC y de sus responsabilidades se puede encontrar en el documento «PCI Security Standards Council At-a-Glace».

Actualmente el PCI SSC cuenta con aproximadamente 800 organizaciones participantes (Participating Organizations) que soportan diferentes actividades dentro del propio foro.

La estructura organizacional del PCI SSC puede ser consultada en esta ubicación.

Responsabilidades

De acuerdo con lo descrito anteriormente, los roles y responsabilidades en el cumplimiento del estándar PCI DSS se pueden esquematizar de la siguiente manera:

DESCRIPCIÓN DE LOS ROLES Y RESPONSABILIDADES EN EL CUMPLIMIENTO DE PCI DSS

Aplicabilidad

El estándar PCI DSS está orientado a la protección de los datos del titular de la tarjeta y/o datos confidenciales de autenticación (denominados conjuntamente «datos de cuenta» (account data)), de acuerdo con la siguiente tabla:

COMPONENTES DEL CONCEPTO «ACCOUNT DATA» EN PCI DSS

EL estándar PCI DSS incluye requisitos que se refieren específicamente a los datos de cuenta (Account Data), los datos de los titulares de las tarjetas (Cardholder Data) y los datos sensibles de autenticación (Sensitive Authentication Data). Es importante tener en cuenta que cada uno de estos tipos de datos es diferente y los términos no son intercambiables. Las referencias específicas dentro de los requisitos a los datos de la cuenta, los datos del titular de la tarjeta o los datos sensibles de autenticación son intencionadas, y los requisitos se aplican específicamente al tipo de datos al que se hace referencia en el control del estándar.

TIPOS DE DATOS EN UNA TARJETA DE PAGO

Igualmente, para identificar la aplicabilidad de PCI DSS en un entorno específico, se deben tener en cuenta los siguientes criterios (de acuerdo con la versión 4.0 del estándar):

• Los requisitos de PCI DSS aplican a todas las entidades con entornos en los que se almacenan, procesan o transmiten datos de cuentas (datos de titulares de tarjetas y/o datos sensibles de autenticación), y a las entidades con entornos que pueden afectar a la seguridad de dicho entorno. .

• El número de cuenta principal (PAN) es el factor que define los datos del titular de la tarjeta. Por lo tanto, el término «datos de cuenta» abarca lo siguiente:

  • el PAN completo,

  • cualquier otro elemento de los datos del titular de la tarjeta que esté presente con el PAN, y

  • cualquier elemento de los datos sensibles de autenticación.

• Si el nombre del titular de la tarjeta, el código de servicio y/o la fecha de caducidad se almacenan, procesan o transmiten con el PAN, o están presentes de otro modo en el entorno, deben protegerse de acuerdo con los requisitos PCI DSS aplicables a los datos del titular de la tarjeta.

• Incluso, si una entidad no almacena, procesa o transmite PAN, algunos requisitos de PCI DSS pueden seguir siendo aplicables. Algunos ejemplos son proveedores de servicio de infraestructuras en la nube (cloud), almacenamiento y destrucción de medios, gestión de tecnología, etc., ya que pueden afectar la seguridad del entorno de datos de tarjetas aunque no procesen, almacenen o transmitan explícitamente estos datos. Las entidades que subcontratan sus entornos u operaciones de pago a terceros siguen siendo responsables de garantizar que los datos de las cuentas sean protegidos por el tercero según los requisitos aplicables de PCI DSS

Así mismo, es importante indicar que, si existe algún conflicto entre los controles del estándar y cualquier ley local, siempre primará la ley. Un ejemplo claro se puede encontrar en la implementación del control 9.2.1.1 de PCI DSS v4.0, en donde se indica que los datos recabados mediante la monitorización por circuito cerrado de televisión (CCTV) o mecanismos de control de acceso al CDE deben ser almacenados al menos tres meses. Sin embargo, algunas legislaciones de protección de datos locales impiden la retención de estos datos en los periodos indicados por el estándar. En ese caso, priman las rectricciones impuestas por la ley local.

Objetivo

Los servicios en la nube de Workspace ONE han obtenido varias certificaciones de cumplimiento reconocidas a nivel mundial, como ISO 27001/27017 y 27018, Control organizacional de servicios (SOC), PCI-DSS, Cloud Security Alliance – Nivel 1 y Cyber ​​Essentials Plus. Si bien los servicios en la nube de Workspace ONE aún no han recibido la certificación C5, este documento técnico tiene como objetivo mostrar los controles y procesos que los servicios en la nube de Workspace ONE tienen implementados para abordar los requisitos de control en la certificación C5.

Para complementar este documento técnico, los clientes también pueden utilizar el documento de mapeo publicado por BSI que muestra cómo el estándar C5 se corresponde con varias certificaciones de cumplimiento internacionales. El documento de mapeo está disponible en Referencia del Catálogo de criterios de cumplimiento de computación en la nube (C5) a estándares internacionales.

Nota : Workspace ONE Access y Workspace ONE Intelligence han obtenido la certificación PCI-DSS.

Audiencia

Este documento está dirigido a administradores de la nube comercial de Workspace ONE. Asume un conocimiento al menos intermedio de los servicios en la nube de Workspace ONE y se centra en las políticas, procesos y controles que respaldan los servicios prestados en la nube. El Programa Federal de Gestión de Autorizaciones y Riesgos (FedRAMP ) , las ofertas locales y de terceros no están dentro del alcance de este documento.

Nota :  Puede encontrar las definiciones de las siglas utilizadas en este documento en Acrónimos utilizados en Workspace ONE Security Series . 

Estructura del Marco C5:2020

Los requisitos de control en C5 se basan en algunos de los principales estándares internacionales, como la Organización Internacional de Estándares (ISO) 27001/17/18, Control(es) de sistemas y organizaciones (SOC), Cloud Security Alliance (CSA) ANSSI Référentiel Secure Cloud 2.0 , Catálogos IDW y BSI IT-Grundschutz. La siguiente imagen muestra las 17 áreas de control clave prescritas en el marco C5 (versión revisada 2020):

Figura 1: Áreas de control del marco del catálogo de controles de cumplimiento de la computación en la nube

Alineación del servicio en la nube de Workspace ONE con las áreas C5

Las siguientes secciones brindan una descripción general de cómo los controles de seguridad en la nube de Workspace ONE están alineados con los objetivos del área de control C5 y la asignación de referencia ISO 27001 aplicable.

1. Organización de Seguridad de la Información (OIS)

No.

Área

Objetivo

Referencia ISO aplicable

1

Organización de Seguridad de la Información (OIS)

Planificar, implementar, mantener y mejorar continuamente el marco de seguridad de la información dentro de la organización.

A.5 Políticas de Seguridad de la Información

A.6 Organización de la seguridad de la información

A.8. Gestión de activos

Tabla 1: Área C5 - Organización de Seguridad de la Información (OIS)

Los servicios en la nube de Workspace ONE han establecido un Sistema de gestión de seguridad de la información (SGSI) basado en los estándares ISO 27001 para gestionar los riesgos relacionados con la confidencialidad, la integridad y la disponibilidad de la información. Se realizan auditorías internas y externas anualmente bajo el programa del sistema de gestión de seguridad de la información (ISMS) de VMware y VMware ha sido auditado por auditores externos para obtener la certificación ISO 27001. VMware ha establecido políticas de seguridad de la información en línea con el marco ISO 27001. Las políticas se publican en la intranet y se muestra el nombre del responsable de la política. Las políticas se revisan al menos una vez al año.

VMware ha considerado interacciones significativas entre ella y partes externas relevantes y riesgos que podrían afectar la capacidad de la empresa para brindar un servicio confiable a sus entidades usuarias.

Los riesgos identificados durante el proceso de evaluación de riesgos se clasifican y documentan formalmente junto con las estrategias de mitigación. Se documenta un proceso formal para guiar al personal al realizar una evaluación de riesgos. Modelo OSI de Interconexión de Sistemas Abiertos Modelo de Interconexión de Sistemas Abiertos

VMware mantiene un marco ISMS para gestionar los riesgos de seguridad de la información. VMware realiza evaluaciones de riesgos anuales como parte del programa VMware ISMS para respaldar los programas de seguridad y cumplimiento.

Los requisitos de seguridad del marco se han diseñado e implementado para abordar los estándares de la industria en materia de seguridad y privacidad. Este esfuerzo requiere la identificación de requisitos regulatorios y contractuales aplicables, cumplimiento técnico de las políticas de seguridad de la información, protección de registros, protección de herramientas de auditoría de sistemas de información y controles e informes de auditoría. Esta política también requiere que VMware cumpla con las obligaciones legales, estatutarias, reglamentarias o contractuales aplicables relacionadas con la seguridad de la información y los requisitos de seguridad.

VMware cuenta con un equipo dedicado de seguridad, gobernanza, riesgo y cumplimiento que supervisa la gestión de riesgos y el cumplimiento en toda la organización. Cuando es necesario, el equipo se pone en contacto con la autoridad reguladora pertinente para abordar inquietudes regulatorias específicas.