A.5.28
Conservar las pruebas tras un incidente
Control Organizativo
Qué significa
Recoja y conserve las pruebas del incidente de forma que se sostengan.
Cómo lo verifica StandardOS
Conectado en solo lectura, según un calendario. Una comprobación superada mantiene fresca una entrada de evidencia; una fallida la deja caducar, para que una regresión salga a la luz en lugar de esperar a la auditoría. Cada integración, y qué puede ver cada credencial.
- Google CloudStandardOS lee si el registro de auditoría de acceso a datos está activado antes de un incidente, porque para el evento que ya ocurrió no puede activarse después.
- Microsoft AzureStandardOS lee si el registro de actividad se conserva en algún sitio fuera de la ventana de 90 días del portal, que es lo que hace reconstruible una acción administrativa a posteriori.
- AWSStandardOS lee si existe un trail de CloudTrail multirregión con validación de archivos de registro, que es lo que permite demostrar que un registro no fue alterado después.
Dónde encaja esto en NIS2
A.5.28 es parte de lo que exige el artículo 21, apartado 2, letra b), Incident handling
. Implementarlo una vez cuenta para ambos, y esa es toda la razón de que exista la correspondencia con NIS2.
Controles que trabajan con este
Aparecen juntos en el mismo riesgo o la misma política, así que normalmente también se implementan juntos.
- A.5.24Estar listo antes de que ocurra un incidente
- A.5.25Juzgar qué eventos son incidentes reales
- A.5.26Actuar una vez declarado el incidente
- A.5.27Aprender de los incidentes después
- A.6.8Ponérselo fácil al personal para avisar de un problema
Lo que cuesta la certificación ISO 27001. Los días de auditoría están fijados por ISO/IEC 27006, así que puede calcular su propia cifra. O vea qué cláusulas cubre StandardOS, incluidas las que no cubre.
Lo que StandardOS tiene listo para A.5.28 el día de la auditoría
Una decisión de aplicabilidad y un borrador de justificación, rellenados de antemano a partir de un perfil de siete preguntas y marcados como borrador hasta que los haga suyos. Un estado de implementación. Entradas de evidencia fechadas que caducan, para que la exportación que lee su auditor muestre qué era cierto y cuándo, archivado bajo esta referencia.