Informática Administrativa
Carlos Joel Pineda Pinto
20142001140

 Cuerpo principal de la Norma:
• Sistema de gestión de la seguridad de la
información (SGSI).
• Responsabilidad de la dirección.
• Auditorias internas del SGSI.
• Revisión del SGSI por la dirección.
• Mejora del SGSI.

Lo que la norma reclama es que exista un sistema
documentado (política, análisis de riesgos,
procedimientos, etc.), donde la dirección colabore
activamente y se implique en el desarrollo y gestión del
sistema.
La documentación consta de varios niveles:
• Políticas, que proporcionan las guías generales de
actuación en cada caso.
• Procedimientos, que dan las instrucciones para
ejecutar cada una de las tareas
previstas.
• Registros, que son las evidencias de que se han
llevado a cabo las actuaciones
establecidas.

Los requisitos antes del diseño de SGSI, se
necesita saber:
1 Reglamentos
2 Recursos
3 controles
4 Negocios
5 Leyes
6 Iso 27001

1 Política de seguridad: que contendrá las
directrices generales a las que se ajustara la
organización en cuanto a seguridad.
2 Inventario de activos: que detallara los activos
dentro del alcance del SGSI.
3 Análisis de riesgos: con los riesgos identificados
basándose en la política de la organización.
4 Las decisiones de la dirección respecto a los
riesgos.
5 Documento de aplicabilidad con la relación de los
controles que son aplicables.

 Definir alcance
 Definir política de seguridad
 Identificar activos
 Definir el enfoque de análisis
 Identificar los riesgos
 Analizar los riesgos
 Tratar los riesgos

 Es decir, sobre que proceso (o procesos) va a
actuar, ya que no es necesaria la aplicación
de la norma a toda la entidad.
Normalmente es mas practico limitar el alcance del
SGSI a aquellos servicios, departamentos o procesos
en los que resulte mas sencillo.

 Decidir que criterios se van a seguir,
estableciendo las principales líneas de acción
que se van a seguir para que la confidencialidad,
la integridad y la disponibilidad queden
garantizadas.
Los empleados deben conocer esta política y adherirse a
ella, incluso formalmente si es necesario.
 SGSI este alineado con el resto de las estrategias,
planes y modos de funcionar de la organización
para que pueda integrarse en el día a día sin
complicaciones y rindiendo resultados desde el
principio.

 Es indispensable identificar que activos son
los que soportan los procesos de la
organización. Es decir, que hace falta para
que la empresa funcione: los equipos, las
aplicaciones, los informes, los expedientes,
las bases de datos, las comunicaciones, etc.
Junto con el responsable

El análisis de riesgos determinara las amenazas
y vulnerabilidades de los activos de
información previamente inventariados.
Primeramente se elige el nivel de detalle con el
que se va a llevar a cabo el análisis, enfoque de
mínimo o detallado, y después el grado de
formalidad, enfoque informal. o formal.
Como estas tareas consumen muchos recursos,
no se suele utilizar un enfoque detallado para
todos los activos, solo para los mas notables.

 Identificar los riesgos que pueden afectar a la
organización y a sus activos de información. Hay
que saber cuales son los peligros a los que se
enfrenta la empresa, los puntos débiles, para
poder solucionar de manera efectiva los
problemas, insistiendo con mas recursos y
esfuerzos en los temas que mas lo necesitan.
En particular es necesario documentar en esta
fase:
• La política de seguridad, que además debe
aprobarse por la dirección.
• La metodología a seguir para realizar el
análisis de riesgos.

1 Mitigar el riesgo. Es decir, reducirlo, mediante la
implementación de controles que disminuyan el riesgo hasta
un nivel aceptable.
2 Asumir el riesgo. La dirección tolera el riesgo, ya que
esta por debajo de un valor de riesgo asumible o bien porque
no se puede hacer frente razonablemente.
3 Transferir el riesgo a un tercero. Por ejemplo,
asegurando el activo que tiene el riesgo o
subcontratando el servicio
4 Eliminar el riesgo. Aunque no suele ser la opción
mas viable, ya que puede resultar complicado o costoso.

La selección de controles es un punto critico del
SGSI. A la hora de escoger o rechazar un control se
debe considerar hasta que punto ese control va a
ayudar a reducir el riesgo que hay y cual va a ser el
coste de su implementación y mantenimiento..
Un SGSI no tiene necesariamente que tener
cubiertos todos y cada uno de los riesgos a los
que se esta expuesto

El valor del riesgo obtenido será el riesgo actual,
en función del que se determina el riesgo asumible
por la organización, y se deciden las nuevas
estrategias y acciones para reducir los riesgos que
estén por encima de ese valor.
La dirección debe aprobar el valor de riesgo
aceptable y asumir el riesgo residual.

• Los objetivos de control y los controles
seleccionados, con las razones de esta selección.
• Los objetivos de control y los controles
actualmente implementados, con una justificación.
• La exclusión de cualquier control objetivo del
control y de cualquier control en el anexo A y la
justificación para dicha exclusión.

Para poner en marcha el SGSI la dirección tiene
que aprobar la documentación desarrollada en las
actividades detalladas en el punto anterior y
proveer los recursos necesarios para ejecutar las
actividades.
Estas actividades se registraran en un plan de
tratamiento del riesgo para medirlo.
Esto implica establecer un conjunto de
objetivos y métricas asociadas a los mismos
para medir la eficacia.

• Un responsable de seguridad, que coordine las
tareas y esfuerzos en materia de seguridad.
Actuara como foco de todos los aspectos de
seguridad de la organización y sus
responsabilidades cubrirán todas las funciones de
seguridad.
• Un comité de seguridad que trate y busque
soluciones a los temas de seguridad, resuelva los
asuntos interdisciplinarios y apruebe directrices y
normas.

La revisión del SGSI forma parte de la fase del
Check (comprobar) del ciclo PDCA. Hay que
controlar y revisar el SGSI de manera periódica
para garantizar la conveniencia, adecuación y
eficacia continuas del sistema.

Para efectuar la revisión hay que recopilar
información de los resultados de las distintas
actividades del SGSI para comprobar si se están
alcanzando los objetivos, y, si no es así, averiguar
las causas y buscar soluciones.
Las revisiones del SGSI tienen que estar
planificadas y gestionadas para asegurar que el
alcance continua siendo adecuado y que se han
identificado mejoras en el proceso del SGSI.

La seguridad es un proceso en continuo cambio. Las
organizaciones no son estáticas y su gestión
tampoco lo es. Por lo tanto, seria un grave error
considerar que una vez analizados los riesgos y
definidas las medidas para reducirlos se haya
terminado el trabajo.
Un sistema de gestión debe mantenerse y
mejorarse en lo posible para que resulte
efectivo.