Seguridad de redes según ISO 27001
La seguridad de redes es uno de los pilares técnicos fundamentales de cualquier SGSI. ISO 27001:2022 dedica cuatro controles específicos (A.8.20 a A.8.23) a la protección de la infraestructura de red, reconociendo que la red es el sistema nervioso central de la organización y uno de los principales vectores de ataque.
Esta guía explica qué exige ISO 27001 para la seguridad de redes, cómo implementar los controles clave y qué evidencias necesitas para superar una auditoría. Complementa con los controles de gestión de identidades y acceso y seguridad en la nube.
Los controles de seguridad de redes en ISO 27001:2022
| Control | Nombre | Descripción |
|---|---|---|
| A.8.20 | Seguridad de redes | Las redes deben gestionarse y controlarse para proteger la información de los sistemas y aplicaciones |
| A.8.21 | Seguridad de los servicios de red | Los servicios de red deben tener mecanismos de seguridad identificados e incluidos en acuerdos con proveedores |
| A.8.22 | Segregación de redes | Los grupos de servicios de información, usuarios y sistemas deben estar segregados en redes |
| A.8.23 | Filtrado web | El acceso a sitios web externos debe gestionarse para reducir la exposición a contenido malicioso |
Control A.8.20: Seguridad de redes
Este control establece los fundamentos de la gestión de la seguridad de red. Requiere que la organización tenga identificada y documentada la topología de red, asigne responsabilidades claras para la gestión de la red e implemente controles para proteger la confidencialidad, integridad y disponibilidad de los datos en tránsito.
Implementación práctica
- Diagrama de red actualizado: Documentación de la topología física y lógica, incluyendo zonas de seguridad
- Firewall perimetral: Control del tráfico entrante y saliente basado en reglas definidas por necesidad de negocio
- IDS/IPS: Sistema de detección/prevención de intrusiones para identificar actividad maliciosa
- Logs de red: Registro del tráfico de red para análisis forense y detección de incidentes
- Cifrado en tránsito: TLS/HTTPS para comunicaciones sensibles; VPN para acceso remoto
Control A.8.22: Segregación de redes
La segmentación de red es uno de los controles más efectivos para limitar el impacto de un ataque. El concepto central es dividir la red en zonas con diferentes niveles de confianza y controlar el tráfico entre zonas.
Modelo de zonas de seguridad típico
| Zona | Descripción | Ejemplos de sistemas | Nivel de acceso |
|---|---|---|---|
| Internet | Red pública sin control | Usuarios externos | Sin acceso directo a sistemas internos |
| DMZ | Zona desmilitarizada | Servidores web, correo público | Accesible desde internet con restricciones |
| Red corporativa | Red interna general | Estaciones de trabajo | Acceso filtrado a servidores y servicios |
| Red de servidores | Sistemas de back-end | Bases de datos, aplicaciones | Solo desde red corporativa con reglas estrictas |
| Red de gestión (OOB) | Gestión de infraestructura | Consolas de administración | Solo para administradores, aislada |
| Red IoT / OT | Dispositivos operacionales | Cámaras, sensores, impresoras | Aislada de sistemas críticos |
Control A.8.23: Filtrado web
El filtrado web controla qué sitios web pueden visitar los usuarios desde la red corporativa. Es una herramienta eficaz para reducir la exposición a sitios de phishing, distribución de malware y comunicaciones de command-and-control (C2). Las soluciones modernas (Secure Web Gateway) permiten categorización de URLs, inspección SSL/TLS, protección DNS y registro de actividad.
Evidencias para la auditoría
- Diagrama de arquitectura de red con zonas de seguridad identificadas
- Ruleset del firewall (o resumen ejecutivo) con revisión periódica documentada
- Política de seguridad de redes aprobada
- Evidencia de monitoreo de red (alertas IDS/IPS, reportes)
- Política de filtrado web con categorías bloqueadas documentadas
Documenta tus controles de red en GRC360
GRC360 te permite registrar los controles técnicos de red, vincularlos a los controles A.8.20–A.8.23 del Anexo A, gestionar evidencias y generar reportes de cumplimiento para la auditoría.
Probar GratisComplementa con los controles de prevención de pérdida de datos (DLP), respaldo y recuperación y gestión de identidades y acceso.
¿Necesitas gestionar tu compliance?
GRC360 te ayuda a implementar estándares ISO, gestionar riesgos y cumplir con la normativa.
Crear Cuenta Gratis