Sgsi

SISTEMAS DE G ESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN
Según Norma UNE ISO IEC 27001

Curso introductorio a los Sistemas de Gestión de la Seguridad de la Información (SGSI) según la norma UNE-ISO/IEC 27001. Se darán a conocer los conceptos básicos necesarios para introducir al usuario en la gestión de la Seguridad de la Información, así com o conocer la dim ensión y alcance que suponen laimplantación, certificación y mantenimiento de un Sistema de Gestión de Seguridad de la Inform ación en una Organización, en base a la norma ISO/IEC 27001.

José Almonacid 03/01/2010

3-1-2010

SISTEMAS DE GESTIÓN DE LA SEGURIDAD DE LA I NFORMACIÓN
Según Norma UNE ISO IEC 27001 Conceptos Básicos ¿Qué entendemos por seguridad de la información? Para comprender qué es la seguridad de lainformación, en primer lugar, debemos conocer que la información en este área es referida a los activos de información ( es decir, los datos por supuesto, pero también los equipos, las aplicaciones, las personas, q ue se utilizan para crear, gestionar, trasmitir y destruir la información), que tienen un valor para la organización. En las complejas organizaciones de hoy en día, se recogen, gestionan ytransmiten multitud de datos a través de diferentes medios, a mucha gente, y todas las acciones relacionadas con ello pueden necesitar protección. No se debe confundir la seguridad de la información con la seguridad informática ya que la seguridad de la información abarca muchas más áreas mientras que la seguridad informática se encarga de la protección de las infraestructuras TIC que soportan elnegocio. Por tanto la seguridad de la información abarca la seguridad informática. La seguridad de la información, por tanto, se puede definir como la protección de la confidencialidad, integridad y disponibilidad de los activos de información según sea necesario para alcanzar los objetivos de negocio de la organización. Estos tres parámetros básicos de la seguridad se definen como: Confidencialidad:a la información sólo pueden acceder las personas autorizadas para ello. Integridad: la información ha de estar completa y correcta en todo momento. Disponibilidad: la información está lista para acceder a ella o utilizarse cuando se necesita.

1

3-1-2010

Dependiendo de los modelos utilizados o de las necesidades del negocio, también son parámetros a tener en cuenta:  Autenticidad: Lainformación es lo que dice ser o el transmisor de la información es quien dice ser.  Trazabilidad: Poder asegurar en todo momento quién hizo qué y en cuando lo hizo. En cualquier organización existen datos de clientes o usuarios, esta información neces ita protección: Si accediera a ella alguien de la competencia podría utilizarla para conseguir beneficios económicos, o bien denunciar a laorganización ante la Agencia de Protección de Datos para que se le impusiera una multa si se demuestra que se vulneró la Ley de Protección de Datos de Carácter Personal, o publicarla en la prensa para dañar la imagen de la organización. Un fallo de confidencialidad puede ser tremendamente dañino. Si la información se corrompe, se podrían enviar cartas o facturas erróneas a los clientes, con la confusión ylas quejas de los afectados que acarrearía, más el trabajo y el tiempo que habría que emplear para corregir los errores y restaurar a su estado correcto la información. Que la información permanezca Íntegra en todo mome nto es más importante de lo que a primera vista pueda parecer. Si el equipo en el que reside esta información se estropea y no se puede acceder a ella, simplemente no se puedefuncionar, no se puede dar servicio, lo que implica que se deja de ganar dinero y en casos extremos se puede perder, si el cliente decide marcharse y adquirir el servicio en otro proveedor. Un fallo de disponibilidad tiene siempre un impacto económico directo en la organización, por leve que sea, ya que se deja de trabajar, hay una parte de la organización que ha parado, por lo que ha dejado de...