A.8.3
Limitar lo que cada persona puede abrir
Control Tecnológico
Qué significa
Restrinja el acceso a información y funciones conforme a la política de control de acceso.
Cómo lo verifica StandardOS
Conectado en solo lectura, según un calendario. Una comprobación superada mantiene fresca una entrada de evidencia; una fallida la deja caducar, para que una regresión salga a la luz en lugar de esperar a la auditoría. Cada integración, y qué puede ver cada credencial.
- AWSStandardOS lee si Access Analyzer informa de recursos alcanzables desde fuera de la cuenta.
- Google CloudStandardOS lee si las ACL por objeto están desactivadas en favor del acceso a nivel de bucket.
Riesgos que trata este control
Del registro de riesgos inicial que StandardOS propone en la configuración. Usted conserva, edita o elimina cada uno; estos son los que citan A.8.3 como tratamiento.
- Información compartida o transferida sin seguridadInformación en tránsito
Dónde encaja esto en NIS2
A.8.3 es parte de lo que exige el artículo 21, apartado 2, letra j), Access control
. Implementarlo una vez cuenta para ambos, y esa es toda la razón de que exista la correspondencia con NIS2.
Controles que trabajan con este
Aparecen juntos en el mismo riesgo o la misma política, así que normalmente también se implementan juntos.
- A.5.13Etiquetar la información con su sensibilidad
- A.5.14Enviar información con seguridad, dentro y fuera
- A.5.15Decidir quién puede llegar a qué sistemas y datos
- A.5.16Gestionar cuentas e identidades a lo largo de su vida
- A.5.17Manejar contraseñas, claves y otros secretos
- A.5.18Conceder, revisar y retirar permisos
- A.5.8Incorporar la seguridad a cada proyecto
- A.8.19Controlar qué se instala en producción
Lo que cuesta la certificación ISO 27001. Los días de auditoría están fijados por ISO/IEC 27006, así que puede calcular su propia cifra. O vea qué cláusulas cubre StandardOS, incluidas las que no cubre.
Lo que StandardOS tiene listo para A.8.3 el día de la auditoría
Una decisión de aplicabilidad y un borrador de justificación, rellenados de antemano a partir de un perfil de siete preguntas y marcados como borrador hasta que los haga suyos. Un estado de implementación. Entradas de evidencia fechadas que caducan, para que la exportación que lee su auditor muestre qué era cierto y cuándo, archivado bajo esta referencia.