NCh2777 2003

NCh2777
Contenido
Página
Preámbulo

IV

0

Introducción

1

1

Alcance y campo de aplicación

6

2

Términos y definiciones

6

3

Política de seguridad

7

4

Seguridad organizacional

8

4.1

Infraestructura de la seguridad de la información

8

4.2

Seguridad del acceso de una tercera parte

12

4.3

Externalización

15

5

Clasificación y control de bienes

17

5.1

Responsabilidad de losbienes

17

5.2

Clasificación de la información

18

6

Seguridad del personal

19

6.1

Seguridad en la definición del trabajo y recursos

19

6.2

Entrenamiento del usuario

21

6.3

Respuesta a los incidentes de seguridad y malfuncionamiento

22

7

Seguridad física y del ambiente

24

7.1

Areas seguras

24

I

NCh2777
Contenido
Página
7.2

Seguridad de los equipos

27

7.3

Controlesgenerales

32

8

Gestión de las operaciones y de las comunicaciones

33

8.1

Responsabilidades y procedimientos de las operaciones

33

8.2

Aceptación y planificación del sistema

38

8.3

Protección contra el software malicioso

40

8.4

Administración interna

41

8.5

Gestión de red

43

8.6

Seguridad y manipulación de dispositivos

43

8.7

Intercambios de información y software

46

9

Control deacceso

53

9.1

Requisitos del negocio para el control de acceso

53

9.2

Gestión de acceso de usuario

54

9.3

Responsabilidades del usuario

57

9.4

Control de acceso a la red

59

9.5

Control de acceso a la operación del sistema

64

9.6

Control de acceso a la aplicación

68

9.7

Monitoreo de uso y acceso al sistema

69

9.8

Computadores móviles y teletrabajo

73

10

Desarrollo ymantenimiento de sistemas

75

10.1

Requisitos de seguridad de los sistemas

75

II

NCh2777
Contenido
Página
10.2

Seguridad de las aplicaciones de los sistemas

76

10.3

Controles criptográficos

79

10.4

Seguridad de los archivos de sistema

83

10.5

Seguridad en los procesos de desarrollo y apoyo

86

11

Gestión de la continuidad del negocio

89

12

Cumplimiento

93

12.1

Cumplimiento conlos requisitos legales

93

12.2

Revisión de las políticas de seguridad y cumplimiento técnico

98

12.3

Consideraciones sobre la auditoría del sistema

100

III

NORMA CHILENA OFICIAL

NCh2777.Of2003
ISO/IEC 17799: 2000

Tecnología de la información - Código de práctica para la
gestión de seguridad de la información

Preámbulo
El Instituto Nacional de Normalización, INN, es el organismo quetiene a su cargo el
estudio y preparación de las normas técnicas a nivel nacional. Es miembro de la
INTERNATIONAL ORGANIZATION FOR STANDARDIZATION (ISO) y de la COMISION
PANAMERICANA DE NORMAS TECNICAS (COPANT), representando a Chile ante esos
organismos.
La norma NCh2777 - ISO/IEC 17799: 2000 ha sido preparada por la División de Normas
del Instituto Nacional de Normalización, y en su estudioparticiparon los organismos y las
personas naturales siguientes:
Armada de Chile
Banco del Estado
Banco Santander
Cámara Nacional de Comercio - ONCE
Certibanc - Enable
Corporación de Fomento de la Producción, CORFO
Corporación de Investigación Tecnológica de Chile - INTEC
e-Cert Chile
Instituto Nacional de Normalización, INN
Ministerio de Salud - DIPLAP
Orión
Orión 2000
Servicio de Impuestos Internos,SII

IV

Bernard Johnson H.
Héctor Monje V.
Marcelo Muñoz A.
Bernardino Arance M.
Paula Silva B.
Roberto Riveros D.
Paul Saffery G.
Verónica Acha A.
Patricio Escobar R.
Esteban Segura R.
Leonor Ceruti M.
Jorge Muñoz C.
Andrés Tabja R.
Christian Yáñez V.
Claudio Ordóñez U.
Andrés Boré P.
Fernando Barraza L.
Jaime Labbé S.

NCh2777
Subsecretaría de Economía
Subsecretaría de TelecomunicacionesSubsecretaría Secretaría General de la Presidencia
Superintendencia de Bancos e Instituciones Financieras
Universidad de Santiago - Depto. de Ingeniería Informática
Universidad Técnica Federico Santa María - Depto. de Industrias

Raúl Arrieta C.
Claudio Pezoa L.
Daniel Cortés E.
Gonzalo Martner F.
Renato Córdova G.
Rogers Atero
Alejandro Bedini

Esta norma se estudió para establecer las recomendaciones...