Iso estandares

Guía de aplicación de la Norma UNE-ISO/IEC 27001 sobre seguridad en sistemas de información para pymes

Ana Andrés Luis Gómez

Título: Guía de aplicación de la Norma UNE-ISO/IEC 27001 sobre seguridad en sistemas de información para pymes Autores: Ana Andrés y Luis Gómez

© AENOR (Asociación Española de Normalización y Certificación), 2009

ISBN: 978-84-8143-602-0 Depósito Legal:M-15480-2009 Impreso en España - Printed in Spain Edita: AENOR Maqueta y diseño de cubierta: AENOR Imprime: AENOR

Todos los derechos reservados. No se permite la reproducción total o parcial de este libro, por cualquiera de los sistemas de difusión existentes, sin la autorización previa por escrito de AENOR.

Nota: AENOR no se hace responsable de las opiniones expresadas por los autores en esta obra.Génova, 6. 28004 Madrid • Tel.: 902 102 201 • Fax: 913 103 695 comercial@aenor.es • www.aenor.es

Índice

Introducción . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Objeto de esta guía . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1. Introducción a los Sistemas de Gestión de Seguridad de la Información(SGSI) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1.1. 1.2. 1.3. Definición de un SGSI . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . El ciclo de mejora continua . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . La Norma UNE-ISO/IEC 27001 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1.3.1. Origen de la norma . . . .. . . . . . . . . . . . . . . . . . . . . . . . . . 1.3.2. Objeto y campo de aplicación de la norma . . . . . . . . . . . . . La Norma ISO 27002 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1.4.1. Origen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1.4.2. Objeto y campo de aplicación . . . . . . . . . . . . . . . . . . . . . . . Términosy definiciones . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

9 11 13 13 14 15 15 16 17 17 17 18 21 21 23 23 25 26 26 27 28 29

1.4.

1.5.

2. Comprender la Norma UNE-ISO/IEC 27001 . . . . . . . . . . . . . . . . . . . . . . 2.1. 2.2. Requisitos generales del sistema de gestión de la seguridad . . . . . . . . Establecimiento y gestión del SGSI . . . . . . . . . . . .. . . . . . . . . . . . . . 2.2.1. Establecimiento del SGSI . . . . . . . . . . . . . . . . . . . . . . . . . . . 2.2.2. Definición del alcance del SGSI . . . . . . . . . . . . . . . . . . . . . . 2.2.3. Definición de la política de seguridad . . . . . . . . . . . . . . . . . . 2.2.4. Identificación de los activos de información . . . . . . . . . . . . . 2.2.5. Definición del enfoque del análisisde riesgos . . . . . . . . . . . . 2.2.6. Cómo escoger la metodología del análisis de riesgos . . . . . . 2.2.7. Tratamiento de los riesgos . . . . . . . . . . . . . . . . . . . . . . . . . .

6

Guía de aplicación de la Norma UNE-ISO/IEC 27001 sobre seguridad en sistemas de información para pymes

2.2.8. 2.2.9. 2.2.10. 2.2.11. 2.2.12. 2.2.13. 2.3.

Selección de controles . . . . . . . .. . . . . . . . . . . . . . . . . . . . . Gestión de riesgos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Declaración de aplicabilidad . . . . . . . . . . . . . . . . . . . . . . . . Implementación y puesta en marcha del SGSI . . . . . . . . . . . . Control y revisión del SGSI . . . . . . . . . . . . . . . . . . . . . . . . . Mantenimiento y mejora del SGSI . . . . . . . . . . . .. . . . . . . .

29 30 30 30 31 32 32 32 33 33 34 35 35 36 37 37 38 39 39 40 41 43 44 45 45 47 48 49 51 57 62 65 66 68

Requisitos de documentación . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2.3.1. Generalidades . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2.3.2. Control de documentos . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2.3.3....