Anexo A de ISO 27001:2022: los 93 controles de seguridad
El Anexo A de ISO/IEC 27001:2022 es una lista de referencia de 93 controles de seguridad de la información, agrupados en cuatro temas. La organización la usa para comprobar que su tratamiento de riesgos no deja fuera ningún control necesario, y justifica en la Declaración de Aplicabilidad cuáles aplica y cuáles excluye.
Los controles no son obligatorios uno a uno. Lo obligatorio es compararlos con el tratamiento de riesgos y documentar la decisión.
Los cuatro temas del Anexo A
| Tema | Controles | Qué cubre |
|---|---|---|
| A.5 Controles organizativos | 37 | Políticas, roles, activos, accesos, proveedores, incidentes, continuidad y cumplimiento legal |
| A.6 Controles de personas | 8 | Selección, contratos, formación, teletrabajo y notificación de eventos |
| A.7 Controles físicos | 14 | Perímetros, accesos físicos, protección de equipos y soportes |
| A.8 Controles tecnológicos | 34 | Dispositivos, autenticación, malware, vulnerabilidades, copias, registros, redes, cifrado y desarrollo |
Lista completa de los 93 controles
A.5 Controles organizativos (37 controles)
A.6 Controles de personas (8 controles)
| Control | Nombre | Nuevo en 2022 |
|---|---|---|
| A.6.1 | Selección de personal | |
| A.6.2 | Términos y condiciones del empleo | |
| A.6.3 | Concienciación, educación y formación en seguridad de la información | |
| A.6.4 | Proceso disciplinario | |
| A.6.5 | Responsabilidades tras la finalización o cambio de empleo | |
| A.6.6 | Acuerdos de confidencialidad o no divulgación | |
| A.6.7 | Trabajo en remoto | |
| A.6.8 | Notificación de eventos de seguridad de la información |
A.7 Controles físicos (14 controles)
| Control | Nombre | Nuevo en 2022 |
|---|---|---|
| A.7.1 | Perímetros de seguridad física | |
| A.7.2 | Controles físicos de entrada | |
| A.7.3 | Seguridad de oficinas, despachos e instalaciones | |
| A.7.4 | Supervisión de la seguridad física | Sí |
| A.7.5 | Protección contra amenazas físicas y ambientales | |
| A.7.6 | Trabajo en áreas seguras | |
| A.7.7 | Puesto de trabajo despejado y pantalla limpia | |
| A.7.8 | Ubicación y protección de equipos | |
| A.7.9 | Seguridad de los activos fuera de las instalaciones | |
| A.7.10 | Soportes de almacenamiento | |
| A.7.11 | Servicios de suministro | |
| A.7.12 | Seguridad del cableado | |
| A.7.13 | Mantenimiento de los equipos | |
| A.7.14 | Eliminación o reutilización segura de equipos |
A.8 Controles tecnológicos
Los 11 controles nuevos de la versión 2022
A.5.7 Inteligencia de amenazas · A.5.23 Seguridad en servicios en la nube · A.5.30 Preparación de las TIC para la continuidad · A.7.4 Supervisión de la seguridad física · A.8.9 Gestión de la configuración · A.8.10 Eliminación de la información · A.8.11 Enmascaramiento de datos · A.8.12 Prevención de la fuga de datos · A.8.16 Actividades de seguimiento · A.8.23 Filtrado web · A.8.28 Codificación segura.
La versión 2013 tenía 114 controles en 14 dominios. La de 2022 los reorganiza en 93: añade estos 11, fusiona muchos de los anteriores y actualiza el resto.
Cómo se usa el Anexo A
- Evaluar los riesgos de seguridad de la información (6.1.2).
- Decidir cómo tratarlos y qué controles hacen falta, sean del Anexo A o de otras fuentes (6.1.3).
- Comparar esos controles con el Anexo A para no olvidar ninguno necesario.
- Recoger el resultado en la Declaración de Aplicabilidad: controles aplicados, justificación, estado y exclusiones justificadas.
Relación entre el Anexo A e ISO 27002
El Anexo A solo da el nombre y una frase de cada control. ISO/IEC 27002:2022 desarrolla los mismos 93 controles con su propósito y orientaciones de implantación. También les asigna cinco atributos que sirven para filtrarlos: tipo de control, propiedades de seguridad de la información, conceptos de ciberseguridad, capacidades operativas y dominios de seguridad.
ISO 27002 no es certificable. Se usa como guía para aplicar los controles que exige el SGSI.
Preguntas frecuentes sobre el Anexo A
93 controles: 37 organizativos, 8 de personas, 14 físicos y 34 tecnológicos.
No. Se aplican los que justifican los riesgos y los requisitos legales o contractuales. Las exclusiones se explican en la Declaración de Aplicabilidad.
Once: 5.7, 5.23, 5.30, 7.4, 8.9, 8.10, 8.11, 8.12, 8.16, 8.23 y 8.28.
Sí. La norma permite diseñar controles propios o tomarlos de otras fuentes, como el ENS o el NIST. El Anexo A sirve para comprobar que no falta ninguno necesario.
