Ing informatico

[AUDITORIA INFORMATICA] UNI - NORTE

Módulo 4: Estándares de gestión de la seguridad de la información

Se da un repaso en este módulo a los principales estándares aceptados por la industria en el área de la seguridad de la información, las Normas ISO 27001 e ISO 27002, explicando los objetivos y los requisitos contenidos en estas dos normas.
El contenido de este módulo es:     Laorganización ISO. Estándares en Seguridad de la Información: Las Normas ISO 27000. La Norma ISO 27001. La Norma ISO 27002.

I.

LA ORGANIZACIÓN ISO:

ISO (Organización Internacional de Estándares) es una organización especializada en el desarrollo y difusión de los estándares a nivel mundial. Los miembros de ISO, son organismos nacionales que participan en el desarrollo de Normas Internacionales através de comités técnicos establecidos para tratar con los campos particulares de actividad técnica. Los comités técnicos de ISO colaboran en los campos de interés mutuo con la IEC (International Electrotechnical Commission), la organización que a nivel mundial prepara y publica estándares en el campo de la electrotecnología. En el campo de tecnología de información, ISO e IEC han establecidounir un comité técnico, ISO/IEC JTC 1 (Join Technical Committee Nº1). Los borradores de estas Normas Internacionales son enviados a los organismos de las diferentes naciones para su votación. La publicación, ya como una Norma Internacional, requiere la aprobación de por lo menos el 75% de los organismos nacionales que emiten su voto.

II.

LA FAMILIA DE LAS NORMAS ISO:

A semejanza de otrasnormas ISO, la 27000 es realmente una serie de estándares. Muchos de ellos no están aún publicados, pero la estructura ya está definida:

Elaborado por Ing. José M. Poveda

Página 1

[AUDITORIA INFORMATICA] UNI - NORTE LA FAMILIA DE LAS NORMAS ISO  ISO/IEC27000 Sistemas de Gestión de Seguridad de la Información, Generalidades y vocabulario, publicada en Abril del 2009, en la que se recogenlos términos y conceptos relacionados con la seguridad de la información, una visión general de la familia de estándares de esta área, una introducción a los SGSI, y una descripción del ciclo de mejora continua. UNE-ISO/IEC 27001, Sistemas de Gestión de la Seguridad de la Información (SGSI). Requisitos. (ISO/IEC 27001:2005), publicada en el año 2007. Esta es la norma fundamental de la familia, yaque contiene los requerimientos del sistema de gestión de seguridad de la información y es la norma con arreglo a la cual serán certificados los SGSI de las organizaciones que lo deseen. ISO/IEC27002, Tecnología de la Información. Código de buenas prácticas para la Gestión de la Seguridad de la Información, publicada en el año 2005. Esta guía de buenas prácticas describe los objetivos de control ycontroles recomendables en cuanto a seguridad de la información. ISO/IEC27003. Guía de implementación de SGSI e información acerca del uso del modelo PDCA y de los requerimientos de sus diferentes fases .









ISO27004: Estándar para la medición de la efectividad de la implantación de un SGSI y de los controles relacionados.



ISO/IEC27005:2008 Gestión del Riesgo en laSeguridad de la Información, publicada en el año 2008. Esta norma al pertenecer a la familia de las Normas 27000, se ajusta a las necesidades de las organizaciones que pretende realizar su análisis de riesgos en este ámbito y cumplir con los requisitos de la Norma ISO 27001. ISO/IEC27006. Requisitos para las entidades que suministran servicios de auditoría y certificación de sistemas de gestión deseguridad de la información. Publicada en el año 2007. Recoge los criterios mediante los cuales una organización se puede acreditar para realizar esos servicios.





ISO/IEC27007. Guía para la realización de las auditorías de un SGSI.

Elaborado por Ing. José M. Poveda

Página 2

[AUDITORIA INFORMATICA] UNI - NORTE  ISO/IEC27011. Directrices para la seguridad de la información en...