Information security management

Control Interno Capacitación Fundamentos de ITIL V.3.
= Information Security Management =

Mayo, 2010.

Information Security Management
Información. Termino general que incluye almacenes de datos, bases de datos y metadatos.

Seguridad en la Información. Es una actividad de administración en el marco del gobierno corporativo que proporciona la dirección estratégica para las actividadesde seguridad y asegura que los riesgos de seguridad serán administrados adecuadamente y que los recursos de información de la empresa serán utilizados responsablemente.

Meta de la Administración de la Seguridad. Alinear la seguridad de las tecnologías de información con la seguridad de la empresa y garantizar que la seguridad de la información sea administrada eficientemente en todos losservicios y actividades de administración de servicios.

Objetivo de la Administración de la Seguridad. Proteger los intereses de aquellos que dependen de la información, los sistemas y las comunicaciones que brinda la información, de los daños derivados de fallos de disponibilidad, confidencialidad e integridad.

Information Security Management
Los objetivos de la seguridad de la información selogran cuando: La información es observada o mostrada solamente a los que deben saberlo (Confidencialidad). La información esta completa, es fidedigna y se encuentra protegida contra modificaciones no autorizadas (Integridad). La información esta disponible y es usable cuando es requerida y el sistema que la provee puede apropiadamente resistir ataques y recuperarse o provenir fallas(Disponibilidad). Las transacciones de negocios así como los intercambios de información entre empresas o con socios son confiables (Autenticidad y Aceptación).

Alcance. La administración de la seguridad de la información debe ser el punto principal para todas las cuestiones de seguridad de las tecnologías de información y velar por que se tenga una Política de Seguridad de la Información la cual se aplicabley se le de mantenimiento y que cubra todos los servicios y sistemas de TI.

Conceptos Básicos
Marco de Trabajo de Seguridad. El Marco de Trabajo de Seguridad consta y debe estar maneja por: • Política General de Seguridad de la Información y políticas de seguridad de soporte que den dirección los aspectos de estrategia, control y regulación. • Sistemas de Administración de la Seguridad de laInformación. • Gobierno de Seguridad. Política de Seguridad de la Información. Todas las actividades de la administración de la seguridad deben de estar enfocadas y manejadas por una Política General de la Seguridad de la Información la cual debe de cubrir todas las áreas de seguridad y cubrir las necesidades de negocio. Estas políticas deben de estar disponibles para todos los clientes, usuariosy equipo de IT, hacer referencia a los SLR’s y SLA´s y revisadas anualmente

Sistema de Gestión de la Seguridad de Información (ISMS). Representa la base para el desarrollo de un programa de seguridad de la información que soporte los objetivos del negocio. Involucra las 4 P’s (People, Process, Products y Partners); esta basado en el ISO27001.

Conceptos Básicos

Conceptos BásicosElementos del Sistema de Gestión de la Seguridad de Información. • Control. Establecer un marco de trabajo para iniciar y administrar la seguridad de la información en la organización; el marco de trabajo debe de contener una estructura organizacional que tenga definidas responsabilidades definidas y establecer un control de documentación. • Planear. Idear y recomendar las medidas de seguridad apropiadasbasadas en el entendimiento de los requerimientos de la organización; estos requerimientos son basados en los riesgos del negocio, planes, estrategias, SLA’s, OLA’s, responsabilidad moral y ética. Aquí se define la postura y actitud en aspectos de seguridad de la organización • Implementar. Asegurar que se tengan los procedimientos, herramientas y controles adecuados para apuntalar la Política...