Guía para la elaboración de un marco normativo

Guía para la elaboración del marco
normativo de un sistema de gestión de
la seguridad de la información (SGSI)

Referencia

Guía para la elaboración del marco normativoCreative common FINAL.doc

Creación

29 de noviembre de 2007

Autor(es)

Firma-e, Javier Cao Avellaneda

NOMBRE
ORTIN
GIMENO
JOSE MARIA
- NIF
34785487B
Guía para la elaboración del marco normativo-Creativecommon FINAL.doc
DOCUMENTO DE USO PÚBLICO

Firmado digitalmente por
NOMBRE ORTIN GIMENO
JOSE MARIA - NIF
34785487B
Nombre de reconocimiento
(DN): CN = NOMBRE ORTIN
GIMENO JOSE MARIA - NIF
34785487B, C = ES, O =
FNMT, OU = FNMT Clase 2
CA
Motivo: Certifico la precisión e
integridad de este documento
Fecha: 2008.01.17 09:36:46
+01'00'

Pág. 1 de 11

ÍNDICE
1.Introducción................................................................................................................... 3

2.

Política de seguridad del SGSI ....................................................................................... 3

3.

Normas de seguridad ..................................................................................................... 5

4.

Procedimientos deseguridad......................................................................................... 6

5.

Instrucción técnica de seguridad. .................................................................................. 8

6.

Políticas de uso. ............................................................................................................ 8

7.

Ejemplos de cada uno delos diferentes documentos..................................................... 9

Guía para la elaboración del marco normativo-Creative common FINAL.doc
DOCUMENTO DE USO PÚBLICO

Pág. 2 de 11

1. Introducción
El presente documento tiene por objetivo proporcionar unas recomendaciones respecto al
contenido de los documentos del marco normativo que pueden aparecer en la construcción de unsistema de gestión de la seguridad de la información (en adelante SGSI), aclarar los diferentes
tipos de documentos que pueden conformar el marco normativo y las relaciones entre ellos.
El contenido de cada uno de los documentos comentados no se encuentra definido por norma
alguna a excepción de la política de seguridad que se encuentra especificada por la norma ISO
27002:2005 y cadaorganización podrá elaborarlos según su criterio. Este documento pretende ser
simplemente una recomendación basada en la experiencia y conocimiento de Firma, Proyectos y
Formación, S.L. en la implantación de sistemas de gestión de la seguridad de la información y en
la redacción de los documentos que forman el marco normativo.

2. Política de seguridad del SGSI
Los objetivos (lo que hay que lograr),las estrategias (cómo lograr esos objetivos) y la política
de seguridad (las directrices para lograr los objetivos) se pueden definir para cada nivel de la
organización y para cada área o departamento.
Al objeto de conseguir una seguridad eficaz es necesario sintonizar los distintos objetivos,
estrategias y políticas para poder elaborar un marco normativo en materia de seguridad quesatisfaga los requisitos establecidos.
El documento de política de seguridad tiene como misión servir para dirigir y dar soporte a la
gestión de la seguridad de la información de acuerdo con los objetivos establecidos, la legislación
y regulaciones existentes.
Este documento viene explícitamente indicado en como primer control de la Norma ISO
27002:2005. La guía de implantación del control indica queel documento debe contener
declaraciones relativas a:
a) una definición de la seguridad de la información y sus objetivos globales, el alcance de la
seguridad y su importancia como mecanismo que permite compartir la información;
b) el establecimiento del objetivo de la Dirección como soporte de los objetivos y principios de
la seguridad de la información en línea con los objetivos y la...