Introducción para la interpretación de la norma ISO 27001:2013 sobre sistemas de gestión de seguridad de la información (SGSI).

1. Introducción a la interpretación de la norma
ISO 27001:2013
Sistemas de gestión de
seguridad de la información
María José Buigues
Abril 2014
*

2. Introducción
ISO27001

3. Familia ISO 27000
Familia de normas
que establece
requisitos para
establecer
implementar
mantener
mejorar
un sistema de gestión de
seguridad de la información
(SGSI)
proporciona un marco
de gestión de la seguridad
utilizable por cualquier
tipo de organización

4. Familia ISO 27000
ISO/IEC 27000:2014
Fundamentos
y vocabulario
ISO/IEC 27001:2013
Requisitos para
certificación de
entidades
ISO/IEC 27002:2013
Recomendaciones
Buenas prácticas
ISO/IEC 27003:2010
Guía de
implementación
ISO/IEC 27004:2009
Recomendaciones
sobre medidas de
seguridad
ISO/IEC 27005:2011
Recomendaciones
proceso de gestión
de riesgos
ISO/IEC 27006:2011
Requisitos para
acreditación de
organismos de
certificación
ISO/IEC 27007:2011
Directrices para
auditar un SGSI

5. Evolución
27002 1992
Code of Practice
for Information
Security Management
Gobierno Británico
1999
BSI 7999
British Standards
Institute (BSI)
2000
ISO/IEC
17779
ISO
2013
ISO/IEC
27002
ISO
2005
ISO/IEC
17779
ISO
2007
ISO/IEC
27002
ISO
2013
ISO/IEC
27001
ISO
2002
BSI 7999-2
British Standards
Institute (BSI)
2005
ISO/IEC
27001
ISO
ISO
BSI 7999
British Standards
Institute (BSI)
27001
ISO

6. ISO 27001
ISO27001

7. Ventajas
Mayor conciencia de los riesgos
Mejora en la gestión de riesgos
Reducción de incidentes
Menos auditorías de clientes
Potenciales disminuciones de inversiones y costos
Diferenciación

8. Certificaciones ISO 27001
Distribución mundial en 2012
Fuente: Website ISO

9. ISO 27001
Norma internacional que
establece requisitos para
establecer
implementar
mantener
mejorar
un sistema de gestión de seguridad
de la información (SGSI)
preserva la
 confidencialidad
 integridad
 disponibilidad
de la información
brinda la
confianza sobre la
gestión adecuada
de los riesgos a las
partes interesadas
mediante un proceso
de gestión de riesgos

10. Establecimiento de un SGSI
Aceptación del riesgo
residual por parte de
la Dirección (6.1.3)
Definición de
alcance del SGSI (4.3)
Definición de
política del SGSI (5.2)
Definición de proceso
sistemático para la
evaluación de riesgos
(6.1.2)
Identificación
de riesgos (6.1.2)
Valoración de
Riesgos (6.1.2) (8.2)
Identificación y selección
de opciones
para el tratamiento de
riesgos (6.1.3) (8.3)
Selección de
objetivos y
controles para el
tratamiento de
riesgos (6.2)
Elaboración de
Declaración de
Aplicabilidad (6.1.3)
1
2
3
4
5
6
7
8
9

11. Factores críticos
Política, objetivos
y medidas de
seguridad
que incluyan
apropiadamente las
necesidades y los
objetivos del negocio
Enfoque para la
implementación
en conformidad con la
cultura, los requisitos
y estructura de la
organización
Apoyo y
compromiso
visible de todos los
niveles gerenciales
Comprensión de
conceptos
•requisitos de
seguridad
•clasificación de
riesgos
•gestión de riesgos
factores cambiantes a lo largo del tiempo

12. Consultora de Procesos y Comunicaciones
María José Buigues*
https://ar.linkedin.com/in/majobuigues
majobuigues@gmail.com
justmajo