Organizations face multiple cybersecurity challenges, such as ongoing cyberattacks and security breaches that compromise the integrity, confidentiality, and availability of their digital assets. Therefore, it is crucial for organizations to adopt a proactive and vigilant attitude to ensure the continuity and security of their operations in cyberspace. This is where the standard ISO 27032:2023 Cybersecurity – Guidelines for Internet security comes into play, and its update will be addressed in this article.
Cybersecurity Challenges: a Guide for Digital Security
In the current context, where digital security is a fundamental priority, the standard ISO 27032:2023 Cybersecurity – Guidelines for Internet security stands out as a guide to address challenges in this field. This standard focuses on the relationship between Internet security, web security, network security, and cybersecurity in general.
What is the ISO 27032:2023 Standard?
The new version of this standard, successor to the last update made 12 years ago, expands on terms and principles related to cybersecurity and Internet security. From defining roles and responsibilities to risk management and response to cyber incidents. The standard highlights the importance of collaboration between all involved parties. Additionally, it emphasizes the need to align security practices with the latest trends and emerging technologies, such as artificial intelligence (AI) and the Internet of Things (IoT).
The standard promotes the adoption and implementation of advanced technologies, security tools, and effective policies, all supported by a proactive approach to staff training and awareness. Together, these measures and controls help organizations strengthen their defenses and be better prepared to protect their digital assets.
Focus Areas of the ISO 27032:2023 Standard
- Internet Security Issues:
• Addresses social engineering attacks.
• Mitigation of zero-day attacks.
• Protection against privacy violations.
• Combating hacking and malware proliferation. - Controls:
• Preparation for attacks.
• Attack prevention.
• Attack detection and monitoring.
• Response to attacks. - Best Practices:
• Implement Internet security best practices to improve resilience and effectiveness within organizations.
Mapping between Internet Security Controls
The standard has been restructured to improve its comprehension, including a mapping between the controls of ISO 27032:2023 and ISO/IEC 27002:2022 which is presented in the following table:
| ISO/IEC 27032:2023 | ISOI/IEC 27002:2022 |
|---|---|
| 9.2.2 Políticas de seguridad en Internet | 5.1 Políticas de seguridad de la información 5.4 Responsabilidades de gestión |
| 9.2.3 Control de acceso | 5.15 Control de acceso 5.16 Gestión de identidad 5.18 Derechos de acceso 8.2 Derechos de acceso privilegiado 8.18 Uso de programas de utilidad privilegiados |
| 9.2.4 Educación, sensibilización y formación | 6.3 Concientización, educación y capacitación sobre seguridad de la información |
| 9.2.5 Gestión de incidentes de seguridad | 5.7 Inteligencia sobre amenazas 5.24 Planificación y preparación de la gestión de incidentes de seguridad de la información 5.25 Evaluación y decisión sobre eventos de seguridad de la información 5.26 Respuesta a incidentes de seguridad de la información 5.27 Aprender de los incidentes de seguridad de la información 5.28 Recolección de pruebas 6.8 Notificación de eventos de seguridad de la información |
| 9.2.6 Gestión de activos | 5.9 Inventario de información y otros activos asociados 5.10 Uso aceptable de la información y otros activos asociados 5.11 Devolución de activos 5.12 Clasificación de la información |
| 9.2.7 Gestión de proveedores | 5.19 Seguridad de la información en las relaciones con proveedores 5.20 Abordar la seguridad de la información en los acuerdos con proveedores 5.21 Gestión de la seguridad de la información en la cadena de suministro de TIC 5.22 Seguimiento, revisión y gestión de cambios de los servicios de proveedores 5.23 Seguridad de la información para el uso de servicios en la nube |
| 9.2.8 Continuidad del negocio a través de Internet | 5.29 Seguridad de la información durante la interrupción 5.30 Preparación de las TIC para la continuidad del negocio 8.13 Copia de seguridad de la información 8.14 Redundancia de las instalaciones de procesamiento de información |
| 9.2.9 Protección de la privacidad en Internet | 5.34 Privacidad y protección de la PII 8.11 Enmascaramiento de datos |
| 9.2.10 Gestión de vulnerabilidades | 8.8 Gestión de vulnerabilidades técnicas 8.9 Gestión de configuración 8.19 Instalación de software en sistemas operativos |
| 9.2.11 Gestión de red | 8.16 Actividades de seguimiento 8.20 Seguridad de redes 8.21 Seguridad de los servicios de red 8.22 Segregación de redes |
| 9.2.12 Protección contra malware | 8.7 Protección contra malware |
| 9.2.13 Gestión de cambios | 8.32 Gestión de cambios |
| 9.2.14 Identificación de la legislación aplicable y requisitos de cumplimiento | 5.28 Recolección de pruebas 5.31 Requisitos legales, estatutarios, reglamentarios y contractuales 5.33 Protección de registros |
| 9.2.15 Uso de criptografía | 8.24 Uso de criptografía |
| 9.2.16 Seguridad de aplicaciones para Internet | 8.23 Filtrado web 8.24 Uso de criptografía 8.25 Ciclo de vida de desarrollo seguro 8.26 Requisitos de seguridad de la aplicación 8.27 Principios de ingeniería y arquitectura de sistemas seguros 8.28 Codificación segura 8.29 Pruebas de seguridad en desarrollo y aceptación. |
| 9.2.17 Gestión de dispositivos terminales | 8.1 Dispositivos terminales de usuario 8.9 Gestión de configuración |
| 9.2.18 Monitoreo | 8.15 Registro 8.16 Actividades de seguimiento |
In conclusion, the ISO 27032:2023 standard plays a fundamental role in strengthening Internet security, providing clear and updated guidelines, thus becoming an invaluable tool for organizations.
