Models i registres · ISO 27001 · Apartat A.5.24 a A.5.28
Model de registre d'incidents de seguretat ISO 27001
La cronologia de cada esdeveniment de seguretat, des que algú el comunica fins que es tanca i se n'aprèn, amb les evidències preservades.
En una frase
El registre d'incidents de seguretat documenta cada esdeveniment comunicat, la decisió de si és un incident, la resposta, les evidències conservades i les lliçons apreses; ISO/IEC 27001 no l'anomena com a registre obligatori, però és l'evidència amb què es demostren els controls 5.24 a 5.28 i 6.8 de l'annex A.
- On ho demana la norma
- ISO 27001 · Apartat A.5.24 a A.5.28 Els apartats segueixen ISO/IEC 27001:2022; els que comencen per «A.» són controls de l'annex A, exigibles en la mesura que la declaració d'aplicabilitat els inclogui.
- Tipus d'informació
- Bona pràctica Evidència dels controls 5.24 a 5.28 i 6.8 de l'annex A
- Qui l'emplena
- Qualsevol persona comunica; seguretat gestiona El responsable de seguretat decideix si l'esdeveniment és un incident i coordina la resposta
- Quan
- Des de la comunicació de l'esdeveniment La cronologia es completa durant la resposta; les lliçons, en tancar
- Quant de temps es conserva
- El fixa l'organització ISO/IEC 27001 no dona terminis: demana decidir la conservació i l'eliminació de la informació documentada (7.5.3). Cobrir el cicle de certificació de tres anys permet mostrar l'històric a la renovació.
Què demana la norma
El que exigeix ISO 27001 i el que deixa al teu criteri
L'annex A dedica cinc controls al cicle de l'incident: preparar-ne la gestió (5.24), avaluar els esdeveniments i decidir si són incidents (5.25), respondre segons procediments (5.26), aprendre del que ha passat (5.27) i recollir i preservar evidències (5.28). El control 6.8 demana un canal perquè el personal comuniqui els esdeveniments.
Cap no diu «registre», però cap no es pot demostrar sense un registre. L'auditor demana veure incidents concrets, amb la seva cronologia, i comprovar que l'aprenentatge va arribar a l'anàlisi de riscos.
Quan l'incident afecta dades personals, el mateix registre ha de permetre complir el termini legal de notificació a l'autoritat de control.
Estructura
Camps que ha de tenir el model
- Número, data i hora de comunicació, i qui el comunica
- Descripció de l'esdeveniment i sistemes afectats
- Avaluació: és un incident? Classificació i gravetat
- Afecta dades personals? Decisió sobre la notificació
- Cronologia de la resposta: contenció, eradicació, recuperació
- Evidències recollides i on es custodien
- Causa i lliçons apreses
- Accions derivades i actualització de l'anàlisi de riscos
- Data de tancament
Exemple
Exemple: credencials robades per suplantació
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Número i data | INC-2026-012 · 14 d'abril de 2026, 09:40 |
| Comunicat per | Una tècnica de suport, després d'introduir la contrasenya en un web fals |
| Avaluació | Incident · gravetat mitjana · sense accés a dades de clients segons els registres |
| Dades personals | No afectades · no escau notificar · decisió raonada al registre |
| Resposta | 09:55 bloqueig del compte · 10:20 revisió dels accessos de les últimes 48 h · 11:00 compte restablert amb un segon factor nou |
| Evidències | Registres del proveïdor d'identitat exportats i custodiats a l'expedient |
| Lliçó | El segon factor per SMS no va aturar l'intent: se substitueix per una clau física per al personal de suport |
| Riscos | Es torna a valorar el risc R-03 d'accés indegut |
A l'auditoria
Errors que solen assenyalar els auditors
- Només es registren els incidents greus: els esdeveniments descartats no deixen rastre.
- No hi consta per què un incident amb dades personals no es va notificar.
- Les lliçons apreses no canvien res a l'anàlisi de riscos.
- Les evidències es guarden al portàtil de qui va investigar.
A Kimobox
Com es porta aquest registre a Kimobox
- 1Cada incident de seguretat es registra amb la seva classificació, la seva cronologia i el seu tancament amb evidència.
- 2Si exigeix acció correctiva, s'obre com a no conformitat amb causa arrel obligatòria.
- 3La revisió per la direcció arriba amb els incidents ja precarregats.
Preguntes freqüents
El que ens pregunten abans de començar
Quina diferència hi ha entre esdeveniment i incident?
Un esdeveniment és qualsevol fet que podria afectar la seguretat; un incident és l'esdeveniment que, un cop avaluat, compromet o pot comprometre la informació o el seu servei. Tots dos es registren: l'esdeveniment descartat demostra que el control 5.25 funciona.
És el mateix que una no conformitat?
No. L'incident és un fet de seguretat; la no conformitat, l'incompliment d'un requisit. Un incident pot revelar una no conformitat —un procediment que no es va seguir— i llavors també se n'obre l'acció correctiva.
Porta els registres de ISO 27001 sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Model d'informe de no conformitat ISO 9001
Què ha de recollir un informe de no conformitat segons ISO 9001 (10.2): descripció, correcció, causa arrel…
Operació
L'operació tradueix l'anàlisi de riscos en controls reals: accessos, xifratge, còpies de seguretat i un…
Model de declaració d'aplicabilitat ISO 27001
Què ha de recollir la declaració d'aplicabilitat d'ISO 27001 (6.1.3 d): controls necessaris, justificació…
Model d'anàlisi de riscos de seguretat ISO 27001
Com documentar l'anàlisi de riscos de seguretat que demana ISO 27001: criteris d'acceptació, propietari…
Fonts
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- ISO/IEC 27001:2022 — Sistemes de gestió de la seguretat de la informació. Requisits ISO/IEC · 25 d'octubre de 2022
- ISO/IEC 27002:2022 — Controls de seguretat de la informació ISO/IEC · Febrer de 2022
- Reglament (UE) 2016/679, general de protecció de dades EUR-Lex · 27 d'abril de 2016