Este documento resume los conceptos clave de seguridad informática y la norma ISO 27000. Explica que la seguridad informática protege la confidencialidad, integridad y disponibilidad de la información. Describe los estándares más importantes de la norma ISO 27000 como ISO 27001, 27002 y 27005. Finalmente, resume los requisitos generales para establecer un sistema de gestión de seguridad de la información de acuerdo con la norma.

1. CORPORACION NACIONAL DE EDUCACIÓN SUPERIOR CUN
SEGURIDAD
INFORMATICA Y NORMA
ISO 27000
Auditoria de sistemas
Elaborado por
Cristian David González Brausin
Profesor
Néstor Alejandro pinzón López
Facultad de ingeniería
Ingeniería de sistemas
octubre de 2016

2. Contenido
SEGURIDAD INFORMÁTICA.....................................................................................................2
ISO 27000................................................................................................................................3
APLICACIÓN DE LA NORMA....................................................................................................4
REQUISITOS GENERALES.........................................................................................................4
Bibliografía..............................................................................................................................5

3. SEGURIDAD INFORMÁTICA
La seguridad informática consiste en asegurar que los recursos del sistema de
información de una organización se utilizan de la manera que se decidió y que el acceso a
la información allí contenida así como su modificación solo sea posible a las personas que
se encuentren autorizadas.
“Si bien es cierto que todos los componentes de un sistema informático están expuestos a
un ataque, son los datos y la información los sujetos principales de protección de las
técnicas de seguridad. La seguridad informática se dedica principalmente a proteger la
confidencialidad, la integridad y la disponibilidad de la información, por tanto, actualmente
se considera que la seguridad de los datos y la información comprenden 3 aspectos
fundamentales:
Disponibilidad: Se trata de la capacidad de un servicio, de unos datos o de un sistema a
ser accesible y utilizable por los usuarios o procesos autorizados cuando lo requieran.
También se refiere a la capacidad de que la información pueda ser recuperada en el
momento que se necesite.
Confidencialidad: Se trata de la cualidad que debe poseer un documento o archivo para
que éste solo se entienda de manera comprensible o sea leído por la persona o sistema
que esté autorizado.
Integridad: Es la cualidad que posee un documento o archivo que no ha sido alterado y
que además permite comprobar que no se ha producido manipulación alguna en el
documento original.”

4. ISO 27000
“ISO/IEC 27000 es un conjunto de estándares desarrollados -o en fase de desarrollo por
ISO (International Organization for Standardization) e IEC (International Electrotechnical
Commission), que proporcionan un marco de gestión de la seguridad de la información
utilizable por cualquier tipo de organización, pública o privada, grande o pequeña.”
La norma ISO 2700 tiene varias series de estándares, las cuales van desde la 27001
hasta la 27799, sin embargo los más importantes se describen a continuación
• ISO 27000: Contiene los términos y definiciones que se emplean en toda la serie 27000.
La aplicación de cualquier estándar necesita de un vocabulario claramente definido, que
evite distintas interpretaciones de conceptos técnicos y de gestión.
• ISO 27001: Es la norma principal de la serie y contiene los requisitos del sistema de
gestión de seguridad de la información. Tiene su origen en la BS 7799-2:2002 y es la
norma con arreglo a la cual se certifican por auditores externos los SGSI de las
organizaciones.
• ISO 27002: Es una guía de buenas prácticas que describe los objetivos de control y
controles recomendables en cuanto a seguridad de la información. No es certificable.
Contiene 39 objetivos de control y 133 controles, agrupados en 11 dominios.
• ISO 27003: Es una guía de implementación de SGSI e información acerca del uso del
modelo PHVA y de los requerimientos de sus diferentes fases. Tiene su origen en el
anexo B de la norma BS7799-2 y en la serie de documentos publicados por BSI a lo largo
de los años con recomendaciones y guías de implantación.
• ISO 27004: Esta guía especificará las métricas y las técnicas de medida aplicables para
determinar la eficacia de un SGSI y de los controles relacionados. Estas métricas se usan
fundamentalmente para la medición de los componentes de la fase “Do” (Implementar y
Utilizar) del ciclo PHVA.
• ISO 27005: Establece las directrices para la gestión del riesgo en la seguridad de la
información. Apoya los conceptos generales especificados en la norma ISO/IEC 27001 y
está diseñada para ayudar a la aplicación satisfactoria de la seguridad de la información
basada en un enfoque de gestión de riesgos. El conocimiento de los conceptos, modelos,
procesos y términos descritos en la norma ISO/IEC 27001 e ISO/IEC 27002 es importante
para un completo entendimiento de la norma ISO/IEC 27005:2008, que es aplicable a
todo tipo de organizaciones (por ejemplo, empresas comerciales, agencias
gubernamentales, organizaciones sin fines de lucro) que tienen la intención de gestionar
los riesgos que puedan comprometer la organización de la seguridad de la información.
• ISO 27006: Publicada el 13 de Febrero de 2007. Especifica los requisitos para la
acreditación de entidades de auditoría y certificación de sistemas de gestión de seguridad
de la información. Es una versión revisada de EA-7/03 (Requisitos para la acreditación de
entidades que operan certificación/registro de SGSIs) que añade a ISO/IEC 17021

5. (Requisitos para las entidades de auditoría y certificación de sistemas de gestión) los
requisitos específicos relacionados con ISO 27001 y los SGSIs. Es decir, ayuda a
interpretar los criterios de acreditación de ISO/IEC 17021 cuando se aplican a entidades
de certificación de ISO 27001, pero no es una norma de acreditación por sí misma.
APLICACIÓN DE LA NORMA
Los requisitos establecidos en la norma ISO 27000 son genéricos y están previstos para
ser aplicables a todas las organizaciones, independientemente de su tipo, tamaño y
naturaleza.
“Cualquier exclusión de controles, considerada necesaria para satisfacer los criterios de
aceptación de riesgos, necesita justificarse y debe suministrarse evidencia de que los
riesgos asociados han sido aceptados apropiadamente por las personas responsables. En
donde se excluya cualquier control, las declaraciones de conformidad con esta norma no
son aceptables a menos que dichas exclusiones no afecten la capacidad de la
organización y/o la responsabilidad para ofrecer seguridad de la información que satisfaga
los requisitos de seguridad determinados por la valoración de riesgos y los requisitos
reglamentarios aplicables.”
REQUISITOS GENERALES
“La organización debe establecer, implementar, operar, hacer seguimiento, revisar,
mantener y mejorar un SGSI documentado, en el contexto de las actividades globales del
negocio de la organización y de los riesgos que enfrenta. Para los propósitos de esta
norma, el proceso usado se basa en el modelo PHVA”

6. Como explica la norma se debe establecer lo siguiente
1. Establecimiento del SGSI
2. Definir el alcance y límites del SGSI en términos de las características del negocio,
la organización, su ubicación, sus activos y tecnología.
3. Definir una política de SGSI en términos de las características del negocio, la
organización, su ubicación, sus activos y tecnología.
4. Definir el enfoque organizacional para la valoración del riesgo
5. Identificar los riesgos
6. Analizar y evaluar los riesgos
7. Identificar y evaluar las opciones para el tratamiento de los riesgos
8. Seleccionar los objetivos de control y los controles para el tratamiento de los
riesgos
9. Obtener la aprobación de la dirección sobre los riesgos residuales propuestos.
10. Obtener autorización de la dirección para implementar y operar el SGSI.
11. Elaborar una declaración de aplicabilidad
Cada uno de estos ítems están explicados de manera detallada en la norma, la cual podrá
guiar a la organización en su proceso de certificación.
Bibliografía
 https://seguridadinformaticasmr.wikispaces.com/TEMA+1-
+SEGURIDAD+IFORM%C3%81TICA?responseToken=37ee644389180de2bec46
57755f612ad
 http://www.iso27000.es/download/doc_iso27000_all.pdf
 http://intranet.bogotaturismo.gov.co/sites/intranet.bogotaturismo.gov.co/files/file/NT
C-ISO-IEC%2027001.pdf