La norma iso 27001 del sistema de gestión de la seguridad de información.2012

para el aprendizaje de todos los interesados

SEGURIDAD Y SALUD / ARTÍCULO
La norma ISO 27001
del Sistema de Gestión de la
Carlos Manuel Fernández
Coordinador de TIC
de AENOR
Garantía de confidencialidad, integridad y
Introducción
La información es como el aparato circu-
latorio para las organizaciones y requiere
que se proteja ante cualquier amena-
za que pueda poner en peligro las em-
presas tanto públicas como privadas,
pues en otro caso podría dañarse la sa-
lud empresarial.
La realidad nos muestra que las orga-
nizaciones empresariales se enfrentan en
la actualidad con un alto número de ries-
gos e inseguridades procedentes de una
amplia variedad de fuentes (ver figura 1),
entre las que se encuentran los nuevos
negocios y nuevas herramientas de las
Tecnologías de la Información y la Co-
municación (TIC), que los CEO (Directo-
res Generales) y CIO (Directores de Infor-
mática) deberían aplicar.
Todas estas herramientas deben apli-
carse según objetivos empresariales con
la mayor seguridad, garantizando la con-
fidencialidad (asegurando que sólo quie-
nes estén autorizados pueden acceder a
la información), integridad (garantizando
ARTÍCULO / SEGURIDAD Y SALUD
julio-septiembre 2012 CALIDAD 41
Seguridad de la Información
disponibilidad de la información
que la información es fiable y exacta) y
disponibilidad (asegurando que los usua-
rios autorizados tienen el acceso debido
a la información).
La información, como uno de los prin-
cipales activos de las organizaciones,
debe protegerse a través de la implan-
tación, mantenimiento y mejora de las
medidas de seguridad para que cual-
quier empresa logre sus objetivos de
negocio, garantice el cumplimiento le-
gal, de prestigio y de imagen de la com-
pañía.
ISO 27001. Sistema de Gestión
de la Seguridad de la Información
La norma/estándar UNE ISO/IEC 27001:
2007 del “Sistema de Gestión de la Se-
guridad de la Información” es la solu-
ción de mejora continua más adecuada
para evaluar los riesgos físicos (incen-
dios, inundaciones, sabotajes, vandalis-
mos, accesos indebidos e indeseados)
y lógicos (virus informáticos, ataques de
intrusión o denegación de servicios) y
establecer las estrategias y controles
La piedra angular
del Sistema de Gestión
ISO 27001 es el análisis
y gestión de los riesgos
basado en los
procesos de negocio
y servicios de TI
Figura 1. Nuevos negocios y nuevas herramientas en las TIC para los CEO y CIO
WEB 3.0
BigData
Business Intelligence
ISO 27001 - SGSI
SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN
(Análisis y gestión de riesgos de TIC)
ISO 27002
ISO 27011 (ISO 27002 para TELCO)
ISO 27799 (ISO 27002 para SANIDAD)
Portal corporativo
Redes sociales
Wikis
e-Branding
e-Mailing
e-Learning
B2C
B2B
MOBILITY
Pdas
Smartphone (Android, iOS)
Blakberry/Iphone/HTC
CLOUD COMPUTING
SaaS (Software As A Service)
IaaS (Infraestructura As A Service)
PaaS (Platform As A Service)
BYOD GIS
RFID
CRM
ERP
SCM
Fuente: AENOR.
SEGURIDAD Y SALUD / ARTÍCULO
CALIDAD julio-septiembre 201242
de negocio/servicios de TI (por ejemplo,
CRM, ERP, Business Inteligence, redes
sociales, movilidad, cloud computing,
servicios externalizados, Bring You Own
Device, BYOD, etc.).
El análisis y gestión de los riesgos ba-
sado en procesos de negocio/servicios
de Tecnologías de Información es una
herramienta muy útil para evaluar y con-
trolar una organización con respecto a
los riesgos de los sistemas de informa-
ción. De esta forma los procesos de ne-
gocio/servicios de TI se fundamentan en
los activos de las TIC que dan soporte
a los procesos de negocio/servicios de TI.
Esto exige un análisis y gestión de
los riesgos de sistemas de información
realista y orientado a los objetivos de la
organización. Una vez que se evalúa el
riesgo y se aplican los controles adecua-
dos de la UNE ISO/IEC 27002:2009 o
de otros estándares nos queda un ries-
go residual que la dirección de la empre-
sa aprueba, y que se revisará al menos
una vez al año (ver figura 3).
Es de destacar que, como todo siste-
ma de gestión, el SGSI-ISO 27001 tiene
además del PDCA unos indicadores
(objetivo de la métrica) y métricas para la
medición de la eficacia y eficiencia de los
controles, que aportan realismo día a día
a la seguridad de los SI.
adecuados que aseguren una perma-
nente protección y salvaguarda de la in-
formación.
El Sistema de Gestión de la Seguridad
de la Información (SGSI) se fundamenta
en la norma UNE-ISO/IEC 27001:2007,
que sigue un enfoque basado en proce-
sos que utilizan el ciclo de mejora conti-
nua o de Deming, que consiste en Panifi-
car-Hacer-Verificar-Actuar,más conocido
con el acrónimo en inglés PDCA (Plan-
DO-Check-Act) (similar a la más extendi-
da y reconocida norma ISO 9001). Asi-
mismo, tiene también su fundamento
en la norma UNE–ISO/IEC 27002:2009,
que recoge una lista de objetivos de con-
trol y controles necesarios para lograr los
objetivos de seguridad de la información
(ver figura 2).
La piedra angular de este sistema SG-
SI-ISO 27001 es el análisis y gestión
de los riesgos basados en los procesos
España es el segundo
país de Europa y el sexto
del mundo por número
de certificados de
Seguridad de la
Información, con más
de 710 reconocimientos
Figura 2. Sistema de Gestión de la Seguridad de la Información ISO 27001
Definir política de seguridad
Establecer alcance del SGSI
Realizar análisis de riesgos
Seleccionar los controles
Implantar plan de gestión
de riesgos
Implantar el SGSI
Implantar los controles
Adoptar las acciones correctivas
Adoptar las acciones preventivas
Revisar internamente el SGSI
Realizar auditorías internas del SGSI
Indicadores y métricas
Revisión por dirección
“C”
“P”
“D”
“A”
A.5 Política de seguridad
de información
A.6 Estructura organizativa de la SI
A.7 Clasificación y control de activos
A.8 Seguridad ligada al personal
A.9 Seguridad física y del entorno
A.10 Gestión de comunicaciones
y operaciones
A.11 Control de accesos
A.12 Desarrollo y mantenimiento
de sistemas
A.13 Gestión de incidentes
de seguridad
A.14 Gestión continuidad de negocio
A.15 Conformidad y cumplimiento
legislación
ISO IEC 27002/Anexo A.ISO IEC 27001
Fuente: AENOR.
ARTÍCULO / SEGURIDAD Y SALUD
julio-septiembre 2012 CALIDAD 43
Modelo de gobierno y gestión
para las TIC
La norma ISO 27001 tiene relación con
otras normas que conforman el modelo
de gobierno y gestión de las TIC desarro-
llado por AENOR, basado en estándares
aceptados mundialmente (ver figura 4). Se
puede decir que, gracias a este modelo,
el Centro de Proceso de Datos (CPD) y el
resto de la organización comienzan hablar
el mismo lenguaje y a interconectarse de
manera más natural y eficiente.
Este modelo propone dos certificacio-
nes a máximo nivel: una para el gobierno
corporativo de las TIC (según la norma
ISO 38500) y otra para el Sistema de
Continuidad de Negocio (UNE 71599-2
e ISO 22301) en las empresas. Dentro
de la primera divide a su vez la gestión
en dos áreas: los Sistemas de Gestión
de los Servicios de TI (UNE-ISO/IEC
20000-1) y los Sistemas de Gestión de
la Seguridad de la Información (UNE-
ISO/IEC 27001). Con la implantación de
los sistemas se logra gestionar la calidad
y seguridad de los servicios de Tecnolo-
gías de Información y Comunicación, lo
que trae consigo la minimización de los
riesgos en la seguridad de la información
Figura 3. Análisis y gestión de riesgos
Activos de SI
• Sistemas de información
(bases de datos)
• Software
• Hardware
• Telecomunicaciones
• Personas
Análisis y gestión de riesgos
R = F (χ1
, χ2
, χ3
, χN
)
• Integridad (χ1
)
• Confidencialidad (χ2
)
• Disponibilidad (χ3
)
• Amenazas (χ4
)
• Vulnerabilidades (χ5
)
• Impacto económico (χ6
)
• χN
Riesgo residual
Activo1
- - - -- - - - - - - - - - - - R’1
Activo2
- - - -- - - - - - - - - - - - R’2
Aplicando
ISO/IEC 27002
(Selección de controles)
Procesos de Negocio / Servicios de TI
Fuente: AENOR.
y mejorar la seguridad de las TIC en el
nivel del servicio de las mismas.
La otra área de gestión es donde se
agrupan las actividades de desarrollo de
programas (software), dirigido a la cali-
dad del proceso de ingeniería del soft-
ware, con el modelo de evaluación, me-
jora y madurez del software (SPICE ISO
15504-ISO 12207).
Este modelo significa un cambio cul-
tural que impacta en el mundo empresa-
rial y de las Administraciones Públicas en
su relación con las TIC, que ha supuesto
el primer paso hacia la consolidación y
optimización de las TIC en nuestro país.
Conclusiones
El SGSI-ISO 27001 es un sistema activo,
integrado en la organización, orientado a
los objetivos empresariales y con una
proyección de futuro.
Es importante resaltar que cada vez
que se incorpora un nueva herramienta
o negocio de TIC a la empresa se debe
actualizar el análisis de riesgos para
SEGURIDAD Y SALUD / ARTÍCULO
CALIDAD julio-septiembre 201244
poder mitigar de forma responsable los
riesgos y, por supuesto, considerando la
regla básica de Riesgo de TI vs. Control
vs. Coste, es decir, minimizar los riesgos
con medidas de control ajustadas y con-
siderando los costes del control.
Los certificados, por tercera parte in-
dependiente, respaldan el cumplimiento
de las normas, como en el caso de la
ISO 27001. En una economía cada vez
más globalizada, en la que los producto-
res españoles de bienes y servicios de-
ben competir, los certificados de confor-
midad son pasaportes de calidad que
abren mercados y una garantía de con-
fianza entre empresas y consumidores
de todo el mundo.
En el momento actual, más de 350
organizaciones se han certificado con
AENOR en la ISO 27001-SGSI, lo que
contribuye a fomentar las actividades de
protección de la información en las enti-
dades públicas o privadas, mejorando
su seguridad de la información, su ima-
gen y generando confianza frente a ter-
ceros. Otros factores intrínsecos al siste-
ma son exponer su voluntad de cumplir
con la legislación vigente y garantizar la
continuidad del negocio.
Nuestro país ocupa primeros puestos
en la clasificación mundial por número
de certificados: España es el segundo
país de Europa y el sexto del mundo por
número de certificados de Seguridad de
la Información, con más de 710 recono-
cimientos, según el último informe de la
Organización Internacional de Normali-
zación (ISO).
Este sistema está en plena actuali-
dad y expansión siendo una esplendida
herramienta para este siglo XXI, pues
supone una salvaguarda continua para
los sistemas de información y las nue-
vas tecnologías. Asimismo supone un
referente para otros sistemas como
son el Esquema Nacional de Seguridad,
los procesos industriales —SCADA—,
etc.
Y dado que se trata de un sistema
abierto siempre se podrá incorporar
cualquier nueva tecnología que irrumpa
en el mundo empresarial, por lo que su
valor añadido de permanente actuali-
zación es un potencial muy a tener en
cuenta y a valorar en un mundo tan diná-
mico y cambiante como lo es el de las
TIC.
Figura 4. Modelo de gobierno y gestión de las TIC con normas y estándares ISO
SGCN
UNE 71599-2
ISO 22301
Sistema de Gestión Continuidad del Negocio
Nivel de madurez. Ciclo de vida de SW
SPICE ISO 15504
Modelo de evaluación, mejora y madurez
de software
Objetivo: gobierno y gestión de las TIC con estándares ISO
Fuente: AENOR.
Desarrollo de software Procesos/servicios
ISO 12207
Ciclo de vida de
desarrollo de software
ISO 20000-2
Guía de Buenas Prácticas
SGSTI
ISO 20000-1
Sistema de Gestión de Servicios TI
SGSTI
ISO 27001
Sistema de Gestión de Seguridad
de Información
ISO 27002
Guía de Controles
Gobierno de TI
ISO/IEC 38500
IT Governace

Recomendados

La norma iso 27001 del sistema de gestión de la seguridad de información.2012 por
La norma iso 27001 del sistema de gestión de la seguridad de información.2012La norma iso 27001 del sistema de gestión de la seguridad de información.2012
La norma iso 27001 del sistema de gestión de la seguridad de información.2012Emanuel Aquino
314 vistas5 diapositivas
Iso 27001-y-27002-para-la-gestion-de-seguridad-de-la-informacion por
Iso 27001-y-27002-para-la-gestion-de-seguridad-de-la-informacionIso 27001-y-27002-para-la-gestion-de-seguridad-de-la-informacion
Iso 27001-y-27002-para-la-gestion-de-seguridad-de-la-informacionGabriel Gonzales
2.3K vistas6 diapositivas
Iso27001 por
Iso27001Iso27001
Iso27001Gerard Flores
462 vistas11 diapositivas
Iso 27001 por
Iso 27001Iso 27001
Iso 27001navidisey
2K vistas10 diapositivas
0405 iso 27000present final por
0405 iso 27000present final0405 iso 27000present final
0405 iso 27000present finalJABERO241
573 vistas33 diapositivas
Seguridad informatica por
Seguridad informaticaSeguridad informatica
Seguridad informaticaRodrigo Salazar Jimenez
391 vistas13 diapositivas

Más contenido relacionado

La actualidad más candente

iso 27005 por
iso 27005iso 27005
iso 27005Pamelita TA
2.2K vistas5 diapositivas
Iso 27001 iso 27002 por
Iso 27001 iso 27002Iso 27001 iso 27002
Iso 27001 iso 27002Tensor
9.2K vistas24 diapositivas
Iso 27000 por
Iso 27000Iso 27000
Iso 27000plackard
7.1K vistas21 diapositivas
Curso ai iso 27001 por
Curso ai iso 27001Curso ai iso 27001
Curso ai iso 27001marojaspe
3.2K vistas60 diapositivas
Normal de ISO/IEC 27001 por
Normal de ISO/IEC 27001Normal de ISO/IEC 27001
Normal de ISO/IEC 27001Brayan A. Sanchez
829 vistas16 diapositivas
Iso 27001 por
Iso 27001Iso 27001
Iso 27001Eurohelp Consulting
1.9K vistas30 diapositivas

La actualidad más candente(20)

Iso 27001 iso 27002 por Tensor
Iso 27001 iso 27002Iso 27001 iso 27002
Iso 27001 iso 27002
Tensor9.2K vistas
Iso 27000 por plackard
Iso 27000Iso 27000
Iso 27000
plackard7.1K vistas
Curso ai iso 27001 por marojaspe
Curso ai iso 27001Curso ai iso 27001
Curso ai iso 27001
marojaspe3.2K vistas
Estandares ISO 27001 (4) por dcordova923
Estandares ISO 27001 (4)Estandares ISO 27001 (4)
Estandares ISO 27001 (4)
dcordova9231.9K vistas
Curso formacion_iso27002 por ITsencial
Curso formacion_iso27002Curso formacion_iso27002
Curso formacion_iso27002
ITsencial1.2K vistas
DIFERENCIAS Y SIMILITUDES ISO27001 Y ISO27002 por Miguel Cabrera
DIFERENCIAS Y SIMILITUDES ISO27001 Y ISO27002DIFERENCIAS Y SIMILITUDES ISO27001 Y ISO27002
DIFERENCIAS Y SIMILITUDES ISO27001 Y ISO27002
Miguel Cabrera347 vistas
Curso taller: Sistemas de Gestión de Seguridad de la Información por Horacio Veramendi
Curso taller: Sistemas de Gestión de Seguridad de la InformaciónCurso taller: Sistemas de Gestión de Seguridad de la Información
Curso taller: Sistemas de Gestión de Seguridad de la Información
Horacio Veramendi3.1K vistas
Ley Iso27001 por jdrojassi
Ley Iso27001Ley Iso27001
Ley Iso27001
jdrojassi2.7K vistas
Si semana11 iso_27001_v011 por Jorge Pariasca
Si semana11 iso_27001_v011Si semana11 iso_27001_v011
Si semana11 iso_27001_v011
Jorge Pariasca3.5K vistas

Similar a La norma iso 27001 del sistema de gestión de la seguridad de información.2012

AI04 ISO/IEC 27001 por
AI04 ISO/IEC 27001AI04 ISO/IEC 27001
AI04 ISO/IEC 27001Pedro Garcia Repetto
1.7K vistas138 diapositivas
IV Jornadas de Ciberseguridad en Andalucía: Modelo de Gobierno y Gestión de l... por
IV Jornadas de Ciberseguridad en Andalucía: Modelo de Gobierno y Gestión de l...IV Jornadas de Ciberseguridad en Andalucía: Modelo de Gobierno y Gestión de l...
IV Jornadas de Ciberseguridad en Andalucía: Modelo de Gobierno y Gestión de l...Ingeniería e Integración Avanzadas (Ingenia)
682 vistas38 diapositivas
ISO 27000 por
ISO 27000ISO 27000
ISO 27000indeson12
497 vistas7 diapositivas
Iso 27001 por
Iso 27001Iso 27001
Iso 27001karen figueroa hrderera
620 vistas14 diapositivas
Iso 27001 por
Iso 27001Iso 27001
Iso 27001karen figueroa hrderera
267 vistas14 diapositivas
I S O 27001 por
I S O 27001I S O 27001
I S O 27001karen figueroa hrderera
453 vistas14 diapositivas

Similar a La norma iso 27001 del sistema de gestión de la seguridad de información.2012(20)

ISO 27000 por indeson12
ISO 27000ISO 27000
ISO 27000
indeson12497 vistas
auditoria por frankcq
auditoriaauditoria
auditoria
frankcq272 vistas
Iso27001 por frankcq
Iso27001Iso27001
Iso27001
frankcq668 vistas
Fabian Descalzo - Taller ISO 27001 y negocio por Fabián Descalzo
Fabian Descalzo - Taller ISO 27001 y negocioFabian Descalzo - Taller ISO 27001 y negocio
Fabian Descalzo - Taller ISO 27001 y negocio
Fabián Descalzo1.8K vistas
Ensayo normas juan enrique por JUAN ENRIQUE
Ensayo normas juan enriqueEnsayo normas juan enrique
Ensayo normas juan enrique
JUAN ENRIQUE809 vistas
Iso 27001 por urquia
Iso 27001Iso 27001
Iso 27001
urquia1.1K vistas
27001:2013 Seguridad orientada al negocio por Fabián Descalzo
27001:2013 Seguridad orientada al negocio27001:2013 Seguridad orientada al negocio
27001:2013 Seguridad orientada al negocio
Fabián Descalzo5.3K vistas
ISO 22301, ISO 31000, TIA 942 e ISO 27005 por Melvin Jáquez
ISO 22301, ISO 31000, TIA 942 e ISO 27005ISO 22301, ISO 31000, TIA 942 e ISO 27005
ISO 22301, ISO 31000, TIA 942 e ISO 27005
Melvin Jáquez10.3K vistas
Seguridad-auditoria por Johan Retos
Seguridad-auditoriaSeguridad-auditoria
Seguridad-auditoria
Johan Retos373 vistas
Infosecu por Joha2210
InfosecuInfosecu
Infosecu
Joha22101.3K vistas
Seguridad por Fipy_exe
SeguridadSeguridad
Seguridad
Fipy_exe934 vistas

Último

DEPORTES DE RAQUETA .pdf por
DEPORTES DE RAQUETA .pdfDEPORTES DE RAQUETA .pdf
DEPORTES DE RAQUETA .pdfMiguel Lopez Marin
32 vistas11 diapositivas
Diploma.pdf por
Diploma.pdfDiploma.pdf
Diploma.pdfValdezsalvadorMayleM
32 vistas1 diapositiva
Intranet y extranet cuadro comparativo.pdf por
Intranet y extranet cuadro comparativo.pdfIntranet y extranet cuadro comparativo.pdf
Intranet y extranet cuadro comparativo.pdfUPTVT
31 vistas5 diapositivas
ESCUELA SABÁTICA MISIONERA | By Pr. Heyssen Cordero por
ESCUELA SABÁTICA MISIONERA | By Pr. Heyssen CorderoESCUELA SABÁTICA MISIONERA | By Pr. Heyssen Cordero
ESCUELA SABÁTICA MISIONERA | By Pr. Heyssen CorderoHeyssen J. Cordero Maraví
80 vistas61 diapositivas
Tema 1 Modulo IV Redacción de Articulo UPTVT.pdf por
Tema 1 Modulo IV Redacción de Articulo UPTVT.pdfTema 1 Modulo IV Redacción de Articulo UPTVT.pdf
Tema 1 Modulo IV Redacción de Articulo UPTVT.pdfRevista Crítica con Ciencia (e-ISSN: 2958-9495)
101 vistas11 diapositivas
Perennials, Bulbs, Grasses and Ferns of Poland, Spain and Portugal.pptx por
Perennials, Bulbs, Grasses and Ferns of Poland, Spain and Portugal.pptxPerennials, Bulbs, Grasses and Ferns of Poland, Spain and Portugal.pptx
Perennials, Bulbs, Grasses and Ferns of Poland, Spain and Portugal.pptxe-twinning
45 vistas60 diapositivas

Último(20)

Intranet y extranet cuadro comparativo.pdf por UPTVT
Intranet y extranet cuadro comparativo.pdfIntranet y extranet cuadro comparativo.pdf
Intranet y extranet cuadro comparativo.pdf
UPTVT31 vistas
Perennials, Bulbs, Grasses and Ferns of Poland, Spain and Portugal.pptx por e-twinning
Perennials, Bulbs, Grasses and Ferns of Poland, Spain and Portugal.pptxPerennials, Bulbs, Grasses and Ferns of Poland, Spain and Portugal.pptx
Perennials, Bulbs, Grasses and Ferns of Poland, Spain and Portugal.pptx
e-twinning45 vistas
S1_CPL.pdf por Conecta13
S1_CPL.pdfS1_CPL.pdf
S1_CPL.pdf
Conecta1355 vistas
Meta 1.1 Identificar el contenido històrico de la Lengua de Señas. por IvanLechuga
Meta 1.1 Identificar el contenido històrico de la Lengua de Señas.Meta 1.1 Identificar el contenido històrico de la Lengua de Señas.
Meta 1.1 Identificar el contenido històrico de la Lengua de Señas.
IvanLechuga74 vistas
Presentación de Proyecto Creativo Doodle Azul.pdf por LauraJuarez87
Presentación de Proyecto Creativo Doodle Azul.pdfPresentación de Proyecto Creativo Doodle Azul.pdf
Presentación de Proyecto Creativo Doodle Azul.pdf
LauraJuarez8764 vistas
Mujeres privadas de libertad en Bolivia 2022 por LuisFernando672460
Mujeres privadas de libertad en Bolivia 2022Mujeres privadas de libertad en Bolivia 2022
Mujeres privadas de libertad en Bolivia 2022
LuisFernando672460122 vistas

La norma iso 27001 del sistema de gestión de la seguridad de información.2012

  • 1. SEGURIDAD Y SALUD / ARTÍCULO La norma ISO 27001 del Sistema de Gestión de la Carlos Manuel Fernández Coordinador de TIC de AENOR Garantía de confidencialidad, integridad y Introducción La información es como el aparato circu- latorio para las organizaciones y requiere que se proteja ante cualquier amena- za que pueda poner en peligro las em- presas tanto públicas como privadas, pues en otro caso podría dañarse la sa- lud empresarial. La realidad nos muestra que las orga- nizaciones empresariales se enfrentan en la actualidad con un alto número de ries- gos e inseguridades procedentes de una amplia variedad de fuentes (ver figura 1), entre las que se encuentran los nuevos negocios y nuevas herramientas de las Tecnologías de la Información y la Co- municación (TIC), que los CEO (Directo- res Generales) y CIO (Directores de Infor- mática) deberían aplicar. Todas estas herramientas deben apli- carse según objetivos empresariales con la mayor seguridad, garantizando la con- fidencialidad (asegurando que sólo quie- nes estén autorizados pueden acceder a la información), integridad (garantizando
  • 2. ARTÍCULO / SEGURIDAD Y SALUD julio-septiembre 2012 CALIDAD 41 Seguridad de la Información disponibilidad de la información que la información es fiable y exacta) y disponibilidad (asegurando que los usua- rios autorizados tienen el acceso debido a la información). La información, como uno de los prin- cipales activos de las organizaciones, debe protegerse a través de la implan- tación, mantenimiento y mejora de las medidas de seguridad para que cual- quier empresa logre sus objetivos de negocio, garantice el cumplimiento le- gal, de prestigio y de imagen de la com- pañía. ISO 27001. Sistema de Gestión de la Seguridad de la Información La norma/estándar UNE ISO/IEC 27001: 2007 del “Sistema de Gestión de la Se- guridad de la Información” es la solu- ción de mejora continua más adecuada para evaluar los riesgos físicos (incen- dios, inundaciones, sabotajes, vandalis- mos, accesos indebidos e indeseados) y lógicos (virus informáticos, ataques de intrusión o denegación de servicios) y establecer las estrategias y controles La piedra angular del Sistema de Gestión ISO 27001 es el análisis y gestión de los riesgos basado en los procesos de negocio y servicios de TI Figura 1. Nuevos negocios y nuevas herramientas en las TIC para los CEO y CIO WEB 3.0 BigData Business Intelligence ISO 27001 - SGSI SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN (Análisis y gestión de riesgos de TIC) ISO 27002 ISO 27011 (ISO 27002 para TELCO) ISO 27799 (ISO 27002 para SANIDAD) Portal corporativo Redes sociales Wikis e-Branding e-Mailing e-Learning B2C B2B MOBILITY Pdas Smartphone (Android, iOS) Blakberry/Iphone/HTC CLOUD COMPUTING SaaS (Software As A Service) IaaS (Infraestructura As A Service) PaaS (Platform As A Service) BYOD GIS RFID CRM ERP SCM Fuente: AENOR.
  • 3. SEGURIDAD Y SALUD / ARTÍCULO CALIDAD julio-septiembre 201242 de negocio/servicios de TI (por ejemplo, CRM, ERP, Business Inteligence, redes sociales, movilidad, cloud computing, servicios externalizados, Bring You Own Device, BYOD, etc.). El análisis y gestión de los riesgos ba- sado en procesos de negocio/servicios de Tecnologías de Información es una herramienta muy útil para evaluar y con- trolar una organización con respecto a los riesgos de los sistemas de informa- ción. De esta forma los procesos de ne- gocio/servicios de TI se fundamentan en los activos de las TIC que dan soporte a los procesos de negocio/servicios de TI. Esto exige un análisis y gestión de los riesgos de sistemas de información realista y orientado a los objetivos de la organización. Una vez que se evalúa el riesgo y se aplican los controles adecua- dos de la UNE ISO/IEC 27002:2009 o de otros estándares nos queda un ries- go residual que la dirección de la empre- sa aprueba, y que se revisará al menos una vez al año (ver figura 3). Es de destacar que, como todo siste- ma de gestión, el SGSI-ISO 27001 tiene además del PDCA unos indicadores (objetivo de la métrica) y métricas para la medición de la eficacia y eficiencia de los controles, que aportan realismo día a día a la seguridad de los SI. adecuados que aseguren una perma- nente protección y salvaguarda de la in- formación. El Sistema de Gestión de la Seguridad de la Información (SGSI) se fundamenta en la norma UNE-ISO/IEC 27001:2007, que sigue un enfoque basado en proce- sos que utilizan el ciclo de mejora conti- nua o de Deming, que consiste en Panifi- car-Hacer-Verificar-Actuar,más conocido con el acrónimo en inglés PDCA (Plan- DO-Check-Act) (similar a la más extendi- da y reconocida norma ISO 9001). Asi- mismo, tiene también su fundamento en la norma UNE–ISO/IEC 27002:2009, que recoge una lista de objetivos de con- trol y controles necesarios para lograr los objetivos de seguridad de la información (ver figura 2). La piedra angular de este sistema SG- SI-ISO 27001 es el análisis y gestión de los riesgos basados en los procesos España es el segundo país de Europa y el sexto del mundo por número de certificados de Seguridad de la Información, con más de 710 reconocimientos Figura 2. Sistema de Gestión de la Seguridad de la Información ISO 27001 Definir política de seguridad Establecer alcance del SGSI Realizar análisis de riesgos Seleccionar los controles Implantar plan de gestión de riesgos Implantar el SGSI Implantar los controles Adoptar las acciones correctivas Adoptar las acciones preventivas Revisar internamente el SGSI Realizar auditorías internas del SGSI Indicadores y métricas Revisión por dirección “C” “P” “D” “A” A.5 Política de seguridad de información A.6 Estructura organizativa de la SI A.7 Clasificación y control de activos A.8 Seguridad ligada al personal A.9 Seguridad física y del entorno A.10 Gestión de comunicaciones y operaciones A.11 Control de accesos A.12 Desarrollo y mantenimiento de sistemas A.13 Gestión de incidentes de seguridad A.14 Gestión continuidad de negocio A.15 Conformidad y cumplimiento legislación ISO IEC 27002/Anexo A.ISO IEC 27001 Fuente: AENOR.
  • 4. ARTÍCULO / SEGURIDAD Y SALUD julio-septiembre 2012 CALIDAD 43 Modelo de gobierno y gestión para las TIC La norma ISO 27001 tiene relación con otras normas que conforman el modelo de gobierno y gestión de las TIC desarro- llado por AENOR, basado en estándares aceptados mundialmente (ver figura 4). Se puede decir que, gracias a este modelo, el Centro de Proceso de Datos (CPD) y el resto de la organización comienzan hablar el mismo lenguaje y a interconectarse de manera más natural y eficiente. Este modelo propone dos certificacio- nes a máximo nivel: una para el gobierno corporativo de las TIC (según la norma ISO 38500) y otra para el Sistema de Continuidad de Negocio (UNE 71599-2 e ISO 22301) en las empresas. Dentro de la primera divide a su vez la gestión en dos áreas: los Sistemas de Gestión de los Servicios de TI (UNE-ISO/IEC 20000-1) y los Sistemas de Gestión de la Seguridad de la Información (UNE- ISO/IEC 27001). Con la implantación de los sistemas se logra gestionar la calidad y seguridad de los servicios de Tecnolo- gías de Información y Comunicación, lo que trae consigo la minimización de los riesgos en la seguridad de la información Figura 3. Análisis y gestión de riesgos Activos de SI • Sistemas de información (bases de datos) • Software • Hardware • Telecomunicaciones • Personas Análisis y gestión de riesgos R = F (χ1 , χ2 , χ3 , χN ) • Integridad (χ1 ) • Confidencialidad (χ2 ) • Disponibilidad (χ3 ) • Amenazas (χ4 ) • Vulnerabilidades (χ5 ) • Impacto económico (χ6 ) • χN Riesgo residual Activo1 - - - -- - - - - - - - - - - - R’1 Activo2 - - - -- - - - - - - - - - - - R’2 Aplicando ISO/IEC 27002 (Selección de controles) Procesos de Negocio / Servicios de TI Fuente: AENOR. y mejorar la seguridad de las TIC en el nivel del servicio de las mismas. La otra área de gestión es donde se agrupan las actividades de desarrollo de programas (software), dirigido a la cali- dad del proceso de ingeniería del soft- ware, con el modelo de evaluación, me- jora y madurez del software (SPICE ISO 15504-ISO 12207). Este modelo significa un cambio cul- tural que impacta en el mundo empresa- rial y de las Administraciones Públicas en su relación con las TIC, que ha supuesto el primer paso hacia la consolidación y optimización de las TIC en nuestro país. Conclusiones El SGSI-ISO 27001 es un sistema activo, integrado en la organización, orientado a los objetivos empresariales y con una proyección de futuro. Es importante resaltar que cada vez que se incorpora un nueva herramienta o negocio de TIC a la empresa se debe actualizar el análisis de riesgos para
  • 5. SEGURIDAD Y SALUD / ARTÍCULO CALIDAD julio-septiembre 201244 poder mitigar de forma responsable los riesgos y, por supuesto, considerando la regla básica de Riesgo de TI vs. Control vs. Coste, es decir, minimizar los riesgos con medidas de control ajustadas y con- siderando los costes del control. Los certificados, por tercera parte in- dependiente, respaldan el cumplimiento de las normas, como en el caso de la ISO 27001. En una economía cada vez más globalizada, en la que los producto- res españoles de bienes y servicios de- ben competir, los certificados de confor- midad son pasaportes de calidad que abren mercados y una garantía de con- fianza entre empresas y consumidores de todo el mundo. En el momento actual, más de 350 organizaciones se han certificado con AENOR en la ISO 27001-SGSI, lo que contribuye a fomentar las actividades de protección de la información en las enti- dades públicas o privadas, mejorando su seguridad de la información, su ima- gen y generando confianza frente a ter- ceros. Otros factores intrínsecos al siste- ma son exponer su voluntad de cumplir con la legislación vigente y garantizar la continuidad del negocio. Nuestro país ocupa primeros puestos en la clasificación mundial por número de certificados: España es el segundo país de Europa y el sexto del mundo por número de certificados de Seguridad de la Información, con más de 710 recono- cimientos, según el último informe de la Organización Internacional de Normali- zación (ISO). Este sistema está en plena actuali- dad y expansión siendo una esplendida herramienta para este siglo XXI, pues supone una salvaguarda continua para los sistemas de información y las nue- vas tecnologías. Asimismo supone un referente para otros sistemas como son el Esquema Nacional de Seguridad, los procesos industriales —SCADA—, etc. Y dado que se trata de un sistema abierto siempre se podrá incorporar cualquier nueva tecnología que irrumpa en el mundo empresarial, por lo que su valor añadido de permanente actuali- zación es un potencial muy a tener en cuenta y a valorar en un mundo tan diná- mico y cambiante como lo es el de las TIC. Figura 4. Modelo de gobierno y gestión de las TIC con normas y estándares ISO SGCN UNE 71599-2 ISO 22301 Sistema de Gestión Continuidad del Negocio Nivel de madurez. Ciclo de vida de SW SPICE ISO 15504 Modelo de evaluación, mejora y madurez de software Objetivo: gobierno y gestión de las TIC con estándares ISO Fuente: AENOR. Desarrollo de software Procesos/servicios ISO 12207 Ciclo de vida de desarrollo de software ISO 20000-2 Guía de Buenas Prácticas SGSTI ISO 20000-1 Sistema de Gestión de Servicios TI SGSTI ISO 27001 Sistema de Gestión de Seguridad de Información ISO 27002 Guía de Controles Gobierno de TI ISO/IEC 38500 IT Governace