CCMv3.0.1

CCMv3.0.1

1. Application & Interface Security

   • AIS-01 AIS-02 AIS-03 AIS-04
   • Aplicaciones e interfaces de programación (API) deberán ser diseñadas, desarrolladas, desplegadas y ser probados de acuerdo con los estándares líderes de la industria. Tiene relación con: ISO/IEC 27001:2005 (A.11,A.12,A.15) NIST SP800-53 R3 (SC-2 a 23)

2. Audit Assurance & Compliance

   • AAC-01 AAC-02 AAC-03
   • Los planes de auditoría deben ser desarrollados y mantienidos para hacer frente a las interrupciones de procesos de negocio. Los planes de auditoría se centrarán en la revisión de la eficacia de la ejecución de las operaciones de seguridad. Todas las actividades de auditoría deben ser acordados antes de ejecutar cualquiera de las auditorías. Tiene relación con: ISO/IEC 27001:2005 (Cláusulas 4.2.3e, 4.2.3b, 5.1g, 6) NIST SP800-53 R3 (CA-2, CA-7, PL-6)

3. Business Continuity Management & Operational Resilience

   • BCR-01 BCR-02 BCR-03 BCR-04 BCR-05 BCR-06 BCR-07 BCR-08 BCR-09 BCR-10 BCR-11
   • Se establecerá un marco unificado coherente para la planificación de la continuidad del negocio y el desarrollo del plan, documentado, y se aprueba para asegurar que todos los planes de continuidad de negocio son consistentes en el tratamiento de las prioridades de los requisitos de pruebas, mantenimiento y seguridad de la información. Tiene relación con: ISO/IEC 27001:2005 (Cláusula 5.1, A.6.1.2, A.14.1.3, A.14.1.4) NIST SP800-53 R3 (CP-1, CP-2, CP-3, CP-4, CP-6, CP-7, CP-8, CP-9, CP-10, PE-17)

4. Change Control & Configuration Management

   • CCC-01 CCC-02 CCC-03 CCC-04 CCC-05
   • Se establecerán políticas y procedimientos, y el apoyo a los procesos de negocio y medidas técnicas implementadas, para garantizar el desarrollo y / o la adquisición de nuevos datos, aplicaciones físicas o virtuales, redes de infraestructura, y los componentes de los sistemas, o cualquier corporativa, operaciones y / o instalaciones de centros de datos hayan sido autorizados previamente por la dirección comercial de la organización o de otro tipo de rol de cuentas o función. Tiene relación con: ISO/IEC 27001:2005 (A.6.1.4, A.6.2.1, A.12.1.1, A.12.4.1, A.12.4.2, A.12.4.3, A.12.5.5, A.15.1.3, A.15.1.4) NIST SP800-53 R3 (CA-1, CM-1, CM-9, PL-1, PL-2, SA-1, SA-3, SA-4)

5. Data Security & Information Lifecycle Management

   • DSI-01 DSI-02 DSI-03 DSI-04 DSI-05 DSI-06 DSI-07
   • Datos y objetos que contengan datos no podrán recibir una clasificación por parte del titular de los datos en función del tipo de dato, valor, sensibilidad y criticidad de la organización. Tiene relación con: ISO/IEC 27001:2005 (A.7.2.1, A.10.6.1, A.10.6.2, A.10.9.1, A.10.9.2, A.15.1.4) NIST SP800-53 R3 (RA-2, AC-4, AC-14, AC-21, AC-22, IA-8, AU-10, SC-4, SC-8, SC-9)

6. Datacenter Security

   • DCS-01 DCS-02 DCS-03 DCS-04 DCS-05 DCS-06 DCS-07 DCS-08 DCS-09
   • Los activos deben clasificarse en función de la criticidad de negocio, las expectativas de nivel de servicio y los requisitos de continuidad de funcionamiento. Un inventario completo de los bienes esenciales para la empresa ubicadas en todos los sitios y / o situación geográfica y su uso en el tiempo se mantiene y se actualiza con regularidad, y se le asigna la propiedad por los roles y responsabilidades definidos. Tiene relación con: ISO/IEC 27001:2005 (A.9.1.1, A.9.1.2, A.11.4.3, A.9.2.5, A.9.2.6, A.7.1.1, A.7.1.2) NIST SP800-53 R3 (PE-2, PE-3, PE-6, PE-7, PE-8, PE-18, IA-3, IA-4, AC-17, MA-1, PE-1, PE-16, PE-17)

7. Encryption & Key Management

   • EKM-01 EKM-02 EKM-03 EKM-04
   • Las claves deben tener propietarios identificables y no habrá políticas de gestión de claves. Tiene relación con: ISO/IEC 27001:2005 (Cláusula 4.3.3, A.10.7.3, A.12.3.2, A.15.1.6, A.10.6.1, A.10.8.3, A.10.8.4, A.10.9.2, A.10.9.3, A.12.3.1, A.15.1.3, A.15.1.4) NIST SP800-53 R3 (SC-12, SC-13, SC-17, SC-28, AC-18, IA-3, IA-7, SC-7, SC-8, SC-9, SC-13, SC-16, SC-23, SI-8)

8. Governance and Risk Management

   • GRM-01 GRM-02 GRM-03 GRM-04 GRM-05 GRM-06 GRM-07 GRM-08 GRM-09 GRM-10 GRM-11
   • Se establecerán requisitos básicos de seguridad para aplicaciones y sistemas de infraestructura de red desarrolladas o adquiridas, propiedad de la organización o gestionadas, físicas o virtuales y componentes que cumplan con las obligaciones de cumplimiento legales, estatutarias y reglamentarias aplicables. Tiene relación con: ISO/IEC 27001:2005 (A.12.1.1, A.15.2.2, A.7.2, A.15.1.1, A.15.1.3, A.15.1.4, Cláusulas 4.2.1c y g,4.2.3d,4.3.1, 4.3.3, 7.2, 7.3) NIST SP800-53 R3 (CA-3, RA-2, RA-3, MP-8, PM-9, SI-12, AT-2, AT-3, CA-1, CA-5, CA-6, CA-7, PM-10)

9. Human Resources

   • HRS-01 HRS-02 HRS-03 HRS-04 HRS-05 HRS-06 HRS-07 HRS-08 HRS-09 HRS-10 HRS-11
   • A la terminación del personal de trabajo y / o de caducidad de las relaciones externas de trabajo, todos los activos propiedad organizativamente-deberán ser devueltos dentro de un período establecido. Tiene relación con: ISO/IEC 27001:2005 (A.7.1.1, A.7.1.2, A.8.3.2, A.8.1.2, A.6.1.5, A.8.1.3, A.8.3.1) NIST SP800-53 R3 (PS-4, PS-2, PS-3, PL-4, PS-6, PS-7, PS-4, PS-5, AC-17, AC-18, AC-19, MP-2, MP-4, MP-6)

10. Identity & Access Management

    • IAM-01 IAM-02 IAM-03 IAM-04 IAM-05 IAM-06 IAM-07 IAM-08 IAM-09 IAM-10 IAM-11 IAM-12 IAM-13
    • El acceso a, y el uso de herramientas de auditoría que interactúan con los sistemas de información de la organización serán debidamente segregados y acceso restringido para evitar la divulgación inapropiada y la manipulación de datos de registro. Tiene relación con: ISO/IEC 27001:2005 (A.15.3.2, A.11.1.1, A.11.2.1, A.11.2.4, A.11.4.1, A.11.5.2, A.11.6.1, A.10.6.1, A.11.1.1, A.11.4.4, A.11.5.4) NIST SP800-53 R3 (AU-9, AU-11, AU-14, AC-1, IA-1, CM-7, MA-3, MA-4, MA-5)

11. Infrastructure & Virtualization Security

    • IVS-01 IVS-02 IVS-03 IVS-04 IVS-05 IVS-06 IVS-07 IVS-08 IVS-09 IVS-10 IVS-11 IVS-12 IVS-13
    • Se requieren mayores niveles de aseguramiento de la protección, la conservación y la gestión del ciclo de vida de los registros de auditoría, la adhesión a las obligaciones de cumplimiento legal, estatutaria o reglamentaria aplicable y facilitar el acceso único al usuario de detectar comportamientos de la red potencialmente sospechosas y / o archivar anomalías de integridad, y para apoyar capacidad de investigación forense en caso de un fallo de seguridad. Tiene relación con: ISO/IEC 27001:2005 (A.10.10.1, A.10.10.2, A.10.10.3, A.10.10.4, A.10.10.5, A.11.2.2, A.11.5.4, A.11.6.1, A.13.1.1, A.13.2.3, A.15.2.2, A.15.1.3, A.10.10.1, A.10.10.6, A.10.3.1) NIST SP800-53 R3 (AU-1, AU-2, AU-3, AU-4, AU-5, AU-6, AU-7, AU-9, AU-11, AU-12, AU-14, SI-4, AU-1, AU-8, SA-4)

12. Interoperability & Portability

    • IPY-01 IPY-02 IPY-03 IPY-04 IPY-05
    • El proveedor debe usar APIs abiertos y publicados para asegurar el apoyo para la interoperabilidad entre componentes y facilitar la migración de aplicaciones. Tiene relación con: ISO/IEC 27001:2013 (Clausulas 6.1.1, 6.1.1(e)(2), 6.1.2, 6.1.2(a)(1), 6.1.2(a)(2), 6.1.2(b), 6.1.2 (c), 6.1.2(c)(1), 6.1.2(c)(2), 6.1.2(d), 6.1.2(d)(1), 6.1.2(d)(2), 6.1.2(d)(3), 6.1.2(e), 6.1.2(e)(1), 6.1.2(e)(2), 6.1.3, 6.1.3(a), 6.1.3(b), 8.1, 8.3, 9.3(a), 9.3(b), 9.3(b)(f), 9.3(c), 9.3(c)(1), 9.3(c)(2), 9.3(c)(3), 9.3(d), 9.3(e), 9.3(f), A.14.2.3, A.12.6.1, A.18.1.1, A.18.2.2, A.18.2.3)

13. Mobile Security

    • MOS-01 MOS-02 MOS-03 MOS-04 MOS-05 MOS-06 MOS-07 MOS-08 MOS-09 MOS-10 MOS-11 MOS-12 MOS-13 MOS-14 MOS-15 MOS-16 MOS-17 MOS-18 MOS-19 MOS-20
    • La formación de conciencia anti-malware, específico para dispositivos móviles, se incluirá en la formación de la conciencia seguridad de la información del proveedor. Tiene relación con: ISO/IEC 27001:2013 (Cláusulas 6.1.1, 6.1.1(e)(2), 6.1.2, 6.1.2(a)(1), 6.1.2(a)(2), 6.1.2(b), 6.1.2 (c), 6.1.2(c)(1), 6.1.2(c)(2), 6.1.2(d), 6.1.2(d)(1), 6.1.2(d)(2), 6.1.2(d)(3), 6.1.2(e), 6.1.2(e)(1), 6.1.2(e)(2), 6.1.3, 6.1.3(a), 6.1.3(b), 8.1, 8.3, 9.3(a), 9.3(b), 9.3(b)(f), 9.3(c), 9.3(c)(1), 9.3(c)(2), 9.3(c)(3), 9.3(d), 9.3(e), 9.3(f), A.14.2.3, A.12.6.1, A.18.1.1, A.18.2.2, A.18.2.3)

14. Security Incident Management, E-Discovery & Cloud Forensics

    • SEF-01 SEF-02 SEF-03 SEF-04 SEF-05
    • Puntos de contacto de las autoridades pertinentes de regulación, aplicación de la ley nacional y local, y otras autoridades legales jurisdiccionales deberán ser mantenidos y actualizados regularmente para asegurar los enlaces directos de cumplimiento han sido establecido y estar preparados para una investigación forense que requiere un compromiso rápido con la policía. Tiene relación con: ISO/IEC 27001:2005 (A.6.1.6, A.6.1.7, A.13.1.1, A.13.2.1, A.6.1.3, A.8.2.1, A.8.2.2, A.13.1.1, A.13.1.2, A.13.2.1 Cláusulas 5.2.2, 4.3.3, 4.3.3) NIST SP800-53 R3 (AT-5, IR-6, SI-5, IR-1, IR-2, IR-3, IR-4, IR-5, IR-7, IR-8, IR-2, IR-6, IR-7, SI-4, SI-5)

15. Supply Chain Management, Transparency and Accountability

    • STA-01 STA-02 STA-03 STA-04 STA-05 STA-06 STA-07 STA-08 STA-09
    • Los proveedores deben inspeccionar, y trabajar con sus socios de la cadena de suministro en la nube para corregir errores de calidad de datos y los riesgos asociados. Los proveedores deben diseñar e implementar controles para mitigar y contener los riesgos de seguridad de datos a través de la separación de funciones adecuada, acceso basado en roles, y el acceso con privilegios mínimos para todo el personal dentro de su cadena de suministro. Tiene relación con: ISO/IEC 27001:2005 (A.6.2.3, A.10.6.2, A.6.2.3, A10.2.1, A.10.8.2, A.11.4.6, A.11.6.1, A.12.3.1, A.12.5.4) NIST SP800-53 R3 (SC-20, SC-21, SC-22, SC-23, SC-24, CA-3, MP-5, PS-7, SA-6, SA-7, SA-9)

16. Threat and Vulnerability Management

    • TVM-01 TVM-02 TVM-03
    • Se establecerán políticas y procedimientos, y el apoyo a los procesos de negocio y medidas técnicas implementadas, para evitar la ejecución de malware en los dispositivos de usuario final, propiedad y la red de infraestructura de TI y componentes de los sistemas. Tiene relación con: ISO/IEC 27001:2005 (A.10.4.1, A.12.5.1, A.12.5.2, A.12.6.1, A.10.4.2, A.12.2.2) NIST SP800-53 R3 (SA-7, SC-5, SI-3, SI-5, SI-7, SI-8, CM-3, CM-4, CP-10, RA-5, SA-7, SI-1, SI-2, SI-5)