Iso 27001 : Resumen

ISO 27001Requisitos para la especificación de sistemas

de gestión de la seguridad de la informaciónAuditoria, calidad y seguridad

Alejandro Benítez Arnaiz

David Herrero de la Peña

Índice

Introducción …………………………………………………………..3-4

Alcance…………………………………………………………….......5-6

Sistema de Gestión de Seguridad de la Información (SGSI)…6-18

Establecer y manejar el SGSI……………………………………7-13

Establecer

Implementar y operar

Monitorear y revisar el SGSI

Requerimientos de documentación……………………….....14

Responsabilidad de la gerencia…………………………….....15

Auditorías internas…………………………………………………16

Revisión gerencial del SGSI………………………………………17

Mejoramiento del SGSI……………………………………………18

David Herrero, Alejandro Benítez

2

IntroducciónGeneral

Un SGSI es para una organización el diseño, implantación, mantenimiento

de un conjunto de procesos para gestionar eficientemente la

accesibilidad de la información, buscando asegurar la confidencialidad,

integridad y disponibilidad de los activos de información minimizando a la

vez los riesgos de seguridad de la información.

Este estándar Internacional está preparado para proporcionar un modelo

para establecer, implementar, operar, monitorear, revisar, mantener y

mejorar un Sistema de Gestión de Seguridad de la Información.

La adopción de un SGSI debe ser una decisión estratégica de la

organización.

La implementación de un SGSI se debe extender en concordancia con las

necesidades de la organización.


3

IntroducciónEnfoque del proceso

Es necesario identificar y manejar muchas actividades para que la

organización funcione de manera efectiva.

La aplicación de un sistema de procesos dentro de una organización,

junto con sus interacciones, se puede considerar el enfoque de un

proceso.

Es necesario:

Entender los requerimientos de seguridad del a información de una

organización

Operar controles para manejar los riesgos de la seguridad de la información

Monitorear la efectividad del SGSI

Mejorar de forma continua


4

AlcanceGeneral

Este estándar abarca todos los tipos de organizaciones.

Especifica los requerimientos para implementar controles de seguridad

personalizados para las necesidades de una organización o parte de ella.

El SGSI está diseñado para asegurar la selección adecuada y proporcionar

controles de seguridad para proteger los activos de la organización.


5

AlcanceAplicación

Los requerimientos son genéricos y están diseñados para ser aplicables en

todas las organizaciones.

Cualquier exclusión de un control tiene que ser justificada para poder

recibir la aceptación de la ISO

Estas exclusiones, además, no deben afectar a la capacidad y

responsabilidad de la organización.


6

Sistema de gestión de seguridad de la

informaciónEstablecer el SGSI

La organización debe:

Definir el alcance y el límite del SGSI

Definir una política del SGSI que:

Incluya un marco para establecer los objetivos

Tome en cuenta los requerimientos comerciales

Esté alineada con el contexto de la gestión de riesgo

Establezca el criterio para evaluar el riesgo

Haya sido aprobado por la gerencia

Definir el enfoque de valuación de riesgo


7



Identificar los riesgos:

Identificar los activos dentro del SGSI

Identificar las amenazas para esos activos

Identificar las vulnerabilidades

Identificar los impactos de las pérdidas

Analizar y evaluar el riesgo:

Calcular el impacto de una falla de seguridad

Calcular la probabilidad de esa falla

Calcular los niveles de riesgo

Determinar si ese riesgo es aceptable


8



Identificar y evaluar los tratamientos del riesgo:

Aplicar los controles apropiados

Aceptar los riesgos de forma consciente y objetiva

Evitar los riesgos

Transferir los riesgos a otras entidades(aseguradoras)

Seleccionar objetivos de control y controles para el tratamiento de

riesgo.

Obtener aprobación de la gerencia

Obtener autorización de la gerencia para implementar un SGSI

Preparar un enunciado de aplicabilidad que incluya:

Objetivos de control y controles seleccionados

Objetivos de control y controles actuales

Exclusión de los objetivos de control y razones


9


informaciónImplementar y operar el SGSI

Formular un plan: acción gerencial, recursos,

responsabilidades, prioridades.

Implementar el plan de tratamiento de riesgo.

Implementar los controles seleccionados en el apartado anterior.

Definir unas métricas para medir la efectividad.

Manejar las operaciones de SGSI

Manejar los recursos para el SGSI (ver luego)

Implementar los procedimientos capaces de detectar y dar una respuesta pronta a incidentes de seguridad.


10


informaciónMonitorear y revisar el SGSI

Ejecutar procedimientos de monitoreo para:

detectar errores en los resultados

identificar incidentes prontamente (fallos de seguridad)

informar a la gerencia si las actividades de seguridad se están realizando como se esperaba

determinar si las acciones tomadas para resolver una violación de seguridad son efectivas

Realizar revisiones regulares de la efectividad del SGSI(auditorías, sugerencias y retroalimentación).

Medir la efectividad de las métricas

Revisar las evaluaciones del riesgo a intervalos planeados y revisar el nivel de riesgo residual y aceptable teniendo en cuenta los posibles cambios.


11


informaciónMonitorear y revisar el SGSI

Realizar auditorías internas.

Actualizar los planes de seguridad para tomar en cuenta

los nuevos descubrimientos.

Registrar las acciones y eventos que podrían tener un impacto sobre la efectividad del SGSI.


12


informaciónMantener y mejorar el SGSI

Realizar estas acciones regularmente:

Implementar las mejoras identificadas en el SGSI

Tomar acciones correctivas y preventivas, lecciones

aprendidas de otras organizaciones

Comunicar los resultados y acciones a todas las partes

interesadas

Asegurar que las mejorar logren sus objetivos


13


informaciónRequerimientos de documentación

General

Documentación con todos los registros de las decisiones, resultados reproducibles.

Enunciados de la política SGSI

Procedimientos y controles de soporte del SGSI

EL alcance del SGSI

Reporte de evaluación de riesgo

Plan de tratamiento de riesgo

Control de documentos

Deben ser protegidos y controlados (distribución)

Revisar y actualizar los documentos conforme sea necesario

Asegurar que se identifiquen los cambios y la versión actual (disponible)

Asegurar la integridad de los documentos

Control de registros

Registros de requerimientos y la operación efectiva del SGSI


14


informaciónResponsabilidad de la gerencia

Compromiso de la gerencia

Establecer una política de SGSI, con objetivos y planes

Establecer roles y responsabilidades

Proporcionar recursos

Decidir el criterio para la aceptación de riesgos

Asegurar las auditorias

Gestión de recursos(proporcionar recursos para:)

Establecer, implementar, operar, monitorear, mantener y mejorar el SGSI

Llevar a cabo revisiones

Tratar los requerimientos legales

Gestión de recursos(personal competente para realizar las tareas de :)

Determinar las capacidades necesarias para el personal

Proporcionar la capacitación necesaria

Evaluar la efectividad de los empleados

Todo el personal debe ser consciente de su importancia


15


informaciónAuditorías internas SGSI

Se deben realizar auditorías internas para

determinar el cumplimiento de los objetivos.

Cumplen con los requerimientos del Estándar

Internacional

Planear las auditorías teniendo en cuenta las

anteriores

Las responsabilidades y requerimientos de las

auditorías deben estar documentadas

El responsable del área auditada debe ejecutar

sin demora las acciones previstas por la auditoríaDavid Herrero, Alejandro Benítez

16


informaciónRevisión Gerencial del SGSI

La gerencia debe revisar el SGSi al menos una vez al año para asegurar

su continua idoneidad

Esta revisión debe incluir oportunidades de mejora

La revisión debe incluir:

Recomendaciones para el mejoramiento

Retroalimentación de las partes interesadas

Vulnerabilidades no tratadas adecuadamente en la evaluación de

riesgo

Actualizaciones de los riesgos

Modificaciones de procedimientos

Necesidades de recursos


17


informaciónMejoramiento del SGSI

Mejoramiento continuo

Acción correctiva

Eliminar la causa de las no-

conformidades para evitar recurrencia

Acción preventiva

Eliminar la causa de las no-

conformidades potenciales


18

Iso 27001 : Resumen

Engineering

Transcript of Iso 27001 : Resumen