nunutz

** Riesgos en media extraíble
A.8.3.1	Administración de media removible	Deberán aplicarse procedimientos para la gestión de medios extraíbles de acuerdo con la sistema de clasificación adoptado por la organización

** Como es la eliminación segura
A.8.3.2	Eliminación de media	Los medios deberán ser desechados de forma segura utilizando procedimientos formales

** Tecnologías para control
A.9.2.1	Registro y baja del usuario	Un proceso formal de registro de usuario y la cancelación de la matrícula deberá ser implementado para permitir la asignación de los derechos de acceso.
A.9.2.2	Provisión de acceso al usuario	Un proceso de provisión de acceso de usuario formal deberá ser implementado para asignar o revocar los derechos de acceso para todos los tipos de usuario a todos los sistemas y servicios.
A.9.2.3	Gestión de derecho de acceso privilegiado	La asignación y utilización de los derechos de acceso privilegiado deberá restringirse y controlarse.
A.9.2.4	Gestión de la información de autenticación secreta del usuario	La asignación de la información secreta de autenticación deberá ser controlada a través de un proceso de gestión oficial.
A.9.2.5	Revisión de los derechos de acceso de usuario	Los propietarios de activos deberán revisar los derechos de acceso de los usuarios a intervalos regulares.
A.9.2.6	Remoción o el ajuste de los derechos de acceso	Los derechos de acceso de todos los empleados y sub-contratados a la información y procesamiento de la información deberán ser retirados a la terminación de su empleo, contrato o acuerdo, o ajustada a cambio.
Contraseña segura y como la adivinan personas mal intensionadas
A.9.3.1	Uso de la información secreta de autenticación	Los usuarios deberán estar obligados a seguir las prácticas de la organización en el uso de información secreta de autenticación.

** DBA y sus funciones
A.9.4.1	Restricción de acceso Información	El acceso a las funciones de información y sistema de aplicación deberá ser restringida de acuerdo con la política de control de acceso.
A.9.4.2	los procedimientos de registro-en seguros	Cuando lo exija la política de control de acceso, el acceso a los sistemas y aplicaciones deberá ser controlado por un procedimiento de inicio de sesión seguro.
A.9.4.3	sistema de gestión de contraseñas	Los sistemas de gestión de contraseñas deberán ser interactivos y deberán asegurar contraseñas de calidad.
A.9.4.4	El uso de los programas de servicios públicos privilegiados	El uso de programas de utilidad que podrían ser capaz de anular los controles de sistema y de las aplicaciones serán restringidos.
A.9.4.5	Control de acceso al código fuente del programa	El acceso al código fuente del programa deberá ser restringido.

** Que es la criptografìa?
A.10.1.1	Política sobre el uso de controles criptográficos	Una política sobre el uso de controles criptográficos para la protección de la información deberá ser desarrollada e implementada.
A.10.1.2	Gestión de claves	Una política sobre el uso, la protección y mantenimiento de las claves criptográficas deberá ser desarrollada e implementada a través de todo su ciclo de vida.

** Malware
A.12.2.1	Controles contra el malware	Controles de detección, prevención y recuperación para proteger contra malware se deben ser implementados, combinado con el conocimiento del usuario correspondiente.

** Correlacionador de Eventos
A.12.4.1	Registro de eventos	Deberá grabar registros de eventos de actividades de los usuarios, excepciones, fallas y eventos de seguridad de información. Deberán ser producidos, mantenidos y revisados con regularidad.
A.12.4.2	Protección de la información de registro	Registros de la organización y registros de información deberán ser protegidos contra manipulación y acceso no autorizado.
A.12.4.3	Registros de administrador y operador	Actividades del administrador del sistema y gestor de la red deberán ser registrados y los registros protegidos y revisado con regularidad.
A.12.4.4	Sincronización de reloj	Los relojes de todos los sistemas de procesamiento de información pertinentes dentro de una organización o dominio de seguridad deberá ser sincronizado a una sola fuente de tiempo de referencia.

** Riesgos del sw pirata
A.12.5.1	Instalación del software en los sistemas operativos	Deberán aplicarse procedimientos para controlar la instalación de software en los sistemas operativos.

** Vulns
A.12.6.1	Gestión de las vulnerabilidades técnicas	Información acerca de las vulnerabilidades técnicas de los sistemas de información que se utilizan se deberá obtener de manera oportuna, la exposición de la organización a tales vulnerabilidades evaluado y las medidas adecuadas adoptadas para hacer frente al riesgo asociado.

**FW and Switches
A.13.1.1	Controles de red	Las redes deberán ser gestionadas y controladas para proteger la información en los sistemas y aplicaciones.
A.13.1.2	Seguridad de los servicios de red	Los mecanismos de seguridad, niveles de servicio y los requisitos de gestión de todos los servicios de la red deberán ser identificados e incluidos en los acuerdos de servicios de red, si estos servicios se prestan en casa o subcontratado.
A.13.1.3	Segregación en las redes	Grupos de servicios de información, los usuarios y los sistemas de información deberán ser segregados en las redes.

** Desarrollo seguro
A.14.1.1	Análisis, requisitos y especificación de seguridad de la información 	Requisitos relacionados con la seguridad de la información deberán ser incluidos en los requisitos para nuevos sistemas de información o mejoras a los sistemas de información existentes.
A.14.1.2	Protección de los servicios de aplicaciones en las redes públicas	Información que participa en los servicios de aplicaciones que pasan a través de redes públicas deberá ser protegido de actividad fraudulenta, disputa contractual y la divulgación y modificación no autorizada.
A.14.1.3	Protección de las transacciones de servicios de aplicación	Información involucrada en las transacciones de servicios de aplicación deberá ser protegida para evitar una incompleta transmisión, errores de enrutamiento, alteración mensaje no autorizado, la divulgación no autorizados,  mensaje no autorizado de la duplicación o repetición.
	Seguridad en los procesos de desarrollo y soporte
A.14.2.1	Política de desarrollo seguro	Reglas para el desarrollo de software y sistemas deberán establecerse y aplicarse a la evolución dentro de la organización.
A.14.2.2	Procedimientos de control de cambios del sistema	Los cambios en los sistemas dentro del ciclo de desarrollo deberán ser controlados por un control de procedimiento de cambio  formal.
A.14.2.3	Revisión técnica de las aplicaciones después de cambios en la plataforma operación	Cuando se cambian las plataformas de operación, aplicaciones críticas de negocio deberán ser revisados ​​y probados para asegúrese de que no hay impacto negativo en las operaciones de la organización o de la seguridad.
A.14.2.4	Restricciones en los cambios a los paquetes de software	Las modificaciones a los paquetes de software deberán ser desalentados, limitada a los cambios necesarios y todos los cambios deberán ser estrictamente controlados.
A.14.2.5	Principios de ingeniería de sistemas seguros	Deberán establecer principios de ingeniería de sistemas segura, documentada, mantenida y aplicada para cualquier esfuerzo de implementación de sistema.
A.14.2.6	Entorno de desarrollo seguro	Las organizaciones deberán esforzarse para establecer y proteger adecuadamente los entornos de desarrollo de sistema seguro  y de integración que cubren todo el ciclo de vida de desarrollo del sistema.
A.14.2.7	Desarrollo outsourced	La organización deberá supervisar y monitorear las actividades de compañías externas de desarrollo de sistemas.
A.14.2.8	Pruebas de seguridad del sistema 	Pruebas de la funcionalidad de seguridad deberá llevarse a cabo durante el desarrollo.
A.14.2.9	Pruebas de aceptación del sistema	Programas de pruebas de aceptación y criterios afines deberán establecerse para los nuevos sistemas de información, actualizaciones y nuevas versiones.
	Los datos de prueba
A.14.3.1	Protección de los datos de prueba	Los datos de prueba deberán seleccionarse cuidadosamente, protegidos y controlados.

** Pentest
A.18.2.3	Revisión de cumplimiento técnico	Los sistemas de información deberán ser revisados ​​regularmente por el cumplimiento de la información de la organización políticas y estándares de seguridad.	Habla de Pentest