Guest
Guest
Create New Topic As guest or Sign in
Assign topic to the user
-
AIA o BIA
Como empatar los métodos anteriores con el 22301. en días anteriores me comentaron que en la 22301, no considera el AIA, sino que se desprende del BIA la identificación de aplicaciones críticas del negocio, es esto verdad? -
Los métodos de medición deben producir resultados comparables y reproducibles
Cómo puedo demostrar que los métodos empleados para el monitoreo, medición, análisis y evaluación aseguran resultados válidos? En la nota de la norma indica que los métodos seleccionados deben producir resultados comparables y reproducibles para ser considerados válidos. -
Scope for a data center
can i define just a small data center as isms scope? -
Data centre externalized
I have a query…it’s already 3 years since we are certified ISO 27001 and this year we shall go for recertification -
Gestionar riesgos en la nube
En el caso de una empresa donde el servicio donde se va a implementarla ISO 27001 es el servicio de digitalización de documentación a sus clientes, pero que para ello se utiliza almacenamiento en la nube de la información digitalizada a un proveedor de housting., teniendo este proveedor de la nube en posesión la mayoría de activos que realizan los tratamientos de datos e información (sobre todo almacenamiento de la información en sus maquinas, CPD, y aplicaciones instaladas ) y que prestan el servicio al cliente. ¿Como se realiza la gestión de riesgos? ¿Es necesario realizar la gestión de riesgos sobre dichos activos que están en posesión del proveedor cloud?, entiendo que ya que la información es mi activo, este esta en las maquinas, CPD y demás que son los activos del proveedor, debería de tratarse de alguna forma, pero no tengo claro sin el ámbito de aplicación de gestión y tratamientos de riesgos debe de llegar a sus activos o es suficientes con contratos u acuerdos de SLA y controles sobre este (pero esto sería después ya en e l plan de tratamiento de riesgos). Este punto para mi es un poco lioso y no se como enfocarlo. -
Information Classification for Client SOP
Currently our organization's information classification is: confidential, private & confidential, internal and unclassified. We are in the process of reviewing our classification and we found that there is a document that can be classified into one of classification. This document is some kind of SOP that we provide for our clients. We would like to know what this document should be classified as? This document is not confidential but we concern about copyrights and plagiarism issue if this document is not properly classified. -
Analyzing threats
I wanted to ask you about something that had made the risk assessment process a bit hard. The problem is that sometimes I am not totally clear as far as when to stop analyzing threats for a given asset. As an example of the problem, let's say I have a web based application that is hosted in a physical server. When I brainstorm on the web application threats, sometimes I feel that I cross the line and think about server issues - e.g. (a) physical server crash, (b) non-authorized access to the web server software (l mean to the Apache or IIS server software). Should e.g.'s (a) and (b) above be handled as part of the server threats and not the web application? Should the threats to the web application be limited to web application threats such as denial of service, elevation of privilege, sql injection and the like? -
Secure Engineering Principles (control A.14.2.5)
I read the article regarding Secure Engineering Principles (control A.14.2.5), but I did not understand what is actually expected by Auditors regarding this control -
Risk Assessment Table
I have a question about the Risk Assessment Table. In the Risk Assessment Table video, you mention merging the results of the assessments from various asset owners. Should the Risk Assessment Table list each item separately (e.g. "John's laptop", "Tom's laptop", "Eric's laptop"), or merge them into a single asset type (e.g. "Employee Laptops")? -
The same document for different controls
If there is a technical control that is applicable to multiple rows (i.e. A.12.4.1 and A.12.4.4...) , is the best practice to list it where applicable along with the relevant document control?