SO 2 Gestionar formalmente los cambios.
| Objetivo | Asegurar que los cambios no comprometan la seguridad. Lograr un adecuado control y seguimiento de los pedidos de cambio de los sistemas y configuraciones de componentes de la infraestructura, asegurar que los cambios están justificados y autorizados, que se llevan a cabo sin perjuicio de la calidad del servicio y se encuentran registrados, clasificados, documentados y probados de manera adecuada. |
| Alcance | Cualquier organización |
| Referencia ISO 27001 | A.12.1.2, A.14.2.2, A.14.2.3, A.14.2.4 |
| Guía de implementación | Alcance de la gestión de los cambios Si bien la gestión de los cambios debe existir y ser formal a nivel de todas las áreas la organización, se debe establecer al menos, un control formal de los cambios en el ámbito tecnológico. Aplica a todo tipo de cambios tecnológicos, como cambios en configuraciones de servidores, sistemas operativos, firewalls y aplicaciones, entre otros. Política de gestión de cambios La política de gestión de cambios debería abordar temas tales como:
Procedimiento de gestión de cambios Para cada tipo de cambio, se recomienda contar con un procedimiento que acompañe la política, donde se detallen los responsables, las actividades y las herramientas de gestión que apoyan el procedimiento si existieren. Independientemente de la existencia o no de herramientas de apoyo para la gestión, los cambios deben ser siempre registrados. |
| Administración Central | - |
| Instituciones de salud | - |
| Guía de evidencia para auditoría |
|
| Normativa asociada | N/A |