Seguridad informatica

Proyecto 1 de
NORMA
ARGENTINA

1779917799
20022002

|Tecnología de la información |
| |
|Código de práctica para la gestión de la seguridad de lainformación |
| |
|Information technology. |
|Code of practice for information security management |

||
|DOCUMENTO EN ESTUDIO |
|Julio de 2002 |

Prefacio

El Instituto Argentino de Normalización (IRAM) es una asociación civil sin fines de lucro cuyas finalidades específicas, ensu carácter de Organismo Argentino de Normalización, son establecer normas técnicas, sin limitaciones en los ámbitos que abarquen, además de propender al conocimiento y la aplicación de la normalización como base de la calidad, promoviendo las actividades de certificación de productos y de sistemas de la calidad en las empresas para brindar seguridad al consumidor.

IRAM es el representante dela Argentina en la International Organization for Standardization (ISO), en la Comisión Panamericana de Normas Técnicas (COPANT) y en la Asociación MERCOSUR de Normalización (AMN).

Esta norma IRAM es el fruto del consenso técnico entre los diversos sectores involucrados, los que a través de sus representantes han intervenido en los Organismos de Estudio de Normas correspondientes.

Esta normaes una adopción idéntica de la norma ISO 17799:2000.

Índice
0 INTRODUCCIÓN 9

1 ALCANCE 13

2 TÉRMINOS Y DEFINICIONES 13

3 POLÍTICA DE SEGURIDAD 13

3.1.1 Documentación de la política de seguridad de la información 14
3.1.2 Revisión y evaluación 14

4 ORGANIZACIÓN DE LA SEGURIDAD 15

4.1.1 Foro gerencial sobre seguridad de la información 15
4.1.2Coordinación de la seguridad de la información 15
4.1.3 Asignación de responsabilidades en materia de seguridad de la información 16
4.1.4 Proceso de autorización para instalaciones de procesamiento de información 16
4.1.5 Asesoramiento especializado en materia de seguridad de la información 17
4.1.6 Cooperación entre organizaciones 17
4.1.7 Revisión independiente de laseguridad de la información 17
4.2.1 Identificación de riesgos del acceso de terceras partes 18
4.2.2 Requerimientos de seguridad en contratos con terceros 19
4.3.1 Requerimientos de seguridad en contratos de tercerización 20

5 CLASIFICACIÓN Y CONTROL DE ACTIVOS 21

5.1.1 Inventario de activos 21
5.2.1 Pautas de clasificación 22
5.2.2 Rotulado y manejo de lainformación 22

6 SEGURIDAD DEL PERSONAL 23

6.1.1 Inclusión de la seguridad en las responsabilidades de los puestos de trabajo 23
6.1.2 Selección y política de personal 23
6.1.3 Acuerdos de confidencialidad 24
6.1.4 Términos y condiciones de empleo 24
6.2.1 Formación y capacitación en materia de seguridad de la información 25
6.3.1 Comunicación de incidentes relativos ala seguridad 25
6.3.2 Comunicación de debilidades en materia de seguridad 25
6.3.3 Comunicación de anomalías del software 26
6.3.4 Aprendiendo de los incidentes 26
6.3.5 Proceso disciplinario 26

7 SEGURIDAD FÍSICA Y AMBIENTAL 26

7.1.1 Perímetro de seguridad física 27
7.1.2 Controles de acceso físico 27
7.1.3 Protección de oficinas, recintos e instalaciones...