Ventajas y desventajes de descomposicion modular ensayos y documentos

ISO 27001

Módulo 7: Los activos de Seguridad de la Información

Se explica en este tema cómo deben abordarse la elaboración de un inventario de activos que recoja los principales activos de información de la organización, y cómo deben valorarse esos activos en función de su relevancia para la misma y del impacto que ocasionaría un fallo de seguridad en ellos. El contenido de este módulo es: Identificación de los activos de información.  Inventario de activos.  Valoración de los activos.  Evaluación.

I.

Identificación de los activos de información:

Se denomina activo a aquello que tiene algún valor para la organización y por tanto debe protegerse. De manera que un activo de información es aquel elemento que contiene o manipula información. Activos de información sonficheros y bases de datos, contratos y acuerdos, documentación del sistema, manuales de los usuarios, material de formación, aplicaciones, software del sistema, equipos informáticos, equipo de comunicaciones, servicios informáticos y de comunicaciones, utilidades generales como por ejemplo calefacción, iluminación, energía y aire acondicionado y las personas, que son al fin y al cabo las que en últimainstancia generan, transmiten y destruyen información, es decir dentro de un organización se han de considerar todos los tipos de activos de información.

Ing. José Manuel Poveda

1

ISO 27001

Para facilitar el manejo y mantenimiento del inventario los activos se pueden distinguir diferentes categorías de los mismos:  Datos: Todos aquellos datos (en cualquier formato) que se generan,recogen, gestionan, transmiten y destruyen en la organización. Aplicaciones: El software que se utiliza para la gestión de la información. Personal: En esta categoría se encuentra tanto la plantilla propia de la organización, como el personal subcontratado, los clientes, usuarios y, en general, todos aquellos que tengan acceso de una manera u otra a los activos de información de la organización.Servicios: Aquí se consideran tanto los servicios internos, aquellos que una parte de la organización suministra a otra (por ejemplo la gestión administrativa), como los externos, aquellos que la organización suministra a clientes y usuarios (por ejemplo la comercialización de productos). Tecnología: Los equipos utilizados para gestionar la información y las comunicaciones (servidores, PCs, teléfonos,impresoras, routers, cableado, etc.) Instalaciones: Lugares en los que se alojan los sistemas de información (oficinas, edificios, vehículos, etc.) Equipamiento auxiliar: En este tipo entrarían a formar parte todos aquellos activos que dan soporte a los sistemas de información y que no se hallan en ninguno de los tipos anteriormente definidos (equipos de destrucción de datos, equipos declimatización, etc.)













Cada uno de los activos que se identifiquen debe contar con un responsable, que será su propietario. Esta persona se hará cargo de mantener la seguridad del activo, aunque no necesariamente será la que gestione el día a día del mismo. Por ejemplo, puede existir un activo que sea la base de clientes, cuyo propietario sea el Director Comercial, sinembargo serán los comerciales de la organización los usuarios del mismo y el responsable de sistemas el encargado del mantenimiento de la base de datos. Pero el propietario decide quién accede y quién no a la información, si es necesario aplicarle alguna medida de seguridad o existe algún riesgo que deba ser tenido en cuenta, si le aplica la LOPD y por tanto deben implantarse las medidas de seguridadexigidas por la Ley, etc.

Ing. José Manuel Poveda

2

ISO 27001 II. Inventario de activos: El inventario de activos que se va a utilizar para la gestión de la seguridad no debería duplicar otros inventarios, pero sí que debe recoger los activos más importantes e identificarlos de manera clara y sin ambigüedades.

El inventario de activos es la base para la gestión de los mismos, ya que...