Seguridad

Guía para la elaboración del marco normativo de un sistema de gestión de la seguridad de la información (SGSI)

Referencia Creación Autor(es)

Guía para la elaboración del marco normativoCreative common FINAL.doc 29 de noviembre de 2007 Firma-e, Javier Cao Avellaneda

NOMBRE ORTIN GIMENO JOSE MARIA - NIF 34785487B
Guía para la elaboración del marco normativo-Creative common FINAL.docDOCUMENTO DE USO PÚBLICO

Firmado digitalmente por NOMBRE ORTIN GIMENO JOSE MARIA - NIF 34785487B Nombre de reconocimiento (DN): CN = NOMBRE ORTIN GIMENO JOSE MARIA - NIF 34785487B, C = ES, O = FNMT, OU = FNMT Clase 2 CA Motivo: Certifico la precisión e integridad de este documento Fecha: 2008.01.17 09:36:46 +01'00'

Pág. 1 de 11

ÍNDICE
1. 2. 3. 4. 5. 6. 7.Introducción................................................................................................................... 3 Política de seguridad del SGSI ....................................................................................... 3 Normas de seguridad ..................................................................................................... 5 Procedimientos deseguridad......................................................................................... 6 Instrucción técnica de seguridad. .................................................................................. 8 Políticas de uso. ............................................................................................................ 8 Ejemplos de cada uno de los diferentesdocumentos..................................................... 9

Guía para la elaboración del marco normativo-Creative common FINAL.doc DOCUMENTO DE USO PÚBLICO

Pág. 2 de 11

1. Introducción
El presente documento tiene por objetivo proporcionar unas recomendaciones respecto al contenido de los documentos del marco normativo que pueden aparecer en la construcción de un sistema de gestión de la seguridad de la información (en adelante SGSI),aclarar los diferentes tipos de documentos que pueden conformar el marco normativo y las relaciones entre ellos. El contenido de cada uno de los documentos comentados no se encuentra definido por norma alguna a excepción de la política de seguridad que se encuentra especificada por la norma ISO 27002:2005 y cada organización podrá elaborarlos según su criterio. Este documento pretende sersimplemente una recomendación basada en la experiencia y conocimiento de Firma, Proyectos y Formación, S.L. en la implantación de sistemas de gestión de la seguridad de la información y en la redacción de los documentos que forman el marco normativo.

2. Política de seguridad del SGSI
Los objetivos (lo que hay que lograr), las estrategias (cómo lograr esos objetivos) y la política de seguridad (lasdirectrices para lograr los objetivos) se pueden definir para cada nivel de la organización y para cada área o departamento. Al objeto de conseguir una seguridad eficaz es necesario sintonizar los distintos objetivos, estrategias y políticas para poder elaborar un marco normativo en materia de seguridad que satisfaga los requisitos establecidos. El documento de política de seguridad tiene como misiónservir para dirigir y dar soporte a la gestión de la seguridad de la información de acuerdo con los objetivos establecidos, la legislación y regulaciones existentes. Este documento viene explícitamente indicado en como primer control de la Norma ISO 27002:2005. La guía de implantación del control indica que el documento debe contener declaraciones relativas a: a) una definición de la seguridad dela información y sus objetivos globales, el alcance de la seguridad y su importancia como mecanismo que permite compartir la información; b) el establecimiento del objetivo de la Dirección como soporte de los objetivos y principios de la seguridad de la información en línea con los objetivos y la estrategia del negocio; c) un marco para el establecimiento de los controles y objetivos de cada...