Trabajo de Recopilacion de Información De estanadres ISO-27001

1. Prólogo sobre el manual de análisis de ISO-27001:2005. Se debe dejar claro que el tema de certificación en aspectos de seguridad, tal vez aún no ha sido considerado con la seriedad que merece en el ámbito empresarial, pero no cabe duda que lo será en el muy corto plazo. Justamente, la sensación que deja el análisis de esta norma, es que se está gestando con toda rigurosidad este hecho, y que como cualquier otra certificación ISO, este estándar internacional ha sido desarrollado (por primera vez con relación a la seguridad, a juicio de este autor) con toda la fuerza y detalle que hacía falta para empezar a presionar al ámbito empresarial sobre su aplicación. Es decir, se puede prever, que la certificación ISO-27001, será casi una obligación de cualquier empresa que desee competir en el mercado en el corto plazo, lo cual es lógico, pues si se desea interrelacionar sistemas de clientes, control de stock, facturación, pedidos, productos, etc. entre diferentes organizaciones, se deben exigir mutuamente niveles concretos y adecuados de seguridad informática, sino se abren brechas de seguridad entre sí............este estándar apunta a poder exigir dichos niveles; y ya no puede caber duda que las empresas, para competir con sus productos (sean de la índole que fueren) en este mercado cibernético actual, tienen cada vez más necesidad de interrelacionar sus infraestructuras de información.....ISO-27001 en este sentido es una muy buena y sólida opción. Origen y posicionamiento estándar: ISO (Organización Internacional de Estándares) e IEC (Comisión Internacional de Electrotécnia) conforman un especializado sistema especializado para los estándares mundiales. Organismos nacionales que son miembros de ISO o IEC participan en el desarrollo de Normas Internacionales a través de comités técnicos establecidos por la organización respectiva para tratar con los campos particulares de actividad técnica. Los comités técnicos de ISO e IEC colaboran en los campos de interés mutuo. Otras organizaciones internacionales, gubernamentales y no gubernamentales, en relación con ISO e IEC, también forman parte del trabajo. En el campo de tecnología de información, ISO e IEC han establecido unir un comité técnico, ISO/IEC JTC 1 (Join Technical Committee Nº1). Los borradores de estas Normas Internacionales adoptadas por la unión de este comité técnico son enviados a los organismos de las diferentes naciones para su votación. La publicación, ya como una Norma Internacional, requiere la aprobación de por lo menos el 75% de los organismos nacionales que emiten su voto. El Estándar Internacional ISO/IEC 17799 fue preparado inicialmente por el Instituto de Normas Británico (como BS 7799) y fue adoptado, bajo la supervisión del grupo de trabajo “Tecnologías de la Información”, del Comité Técnico de esta unión entre ISO/IEC JTC 1, en paralelo con su aprobación por los organismos nacionales de ISO e IEC. El estándar ISO/IEC 27001 es el nuevo estándar oficial, su título completo en realidad es: BS 7799- 2:2005 (ISO/IEC 27001:2005). También fue preparado por este JTC 1 y en el subcomité SC 27, IT “Security Techniques”. La versión que se considerará en este texto es la primera edición, de fecha 15 de octubre de 2005, si bien en febrero de 2006 acaba de salir la versión cuatro del mismo. 1870 organizaciones en 57 países han reconocido la importancia y los beneficios de esta nueva norma. A fines de marzo de 2006, son seis las empresas españolas que poseen esta certificación declarada. El conjunto de estándares que aportan información de la familia ISO-2700x que se puede tener en cuenta son: ISO/IEC 27000 Fundamentals and vocabulary ISO/IEC 27001 ISMS - Requirements (revised BS 7799 Part 2:2005) – Publicado el 15 de octubre del 2005 ISO/IEC 27002 Code of practice for information security management - Actualmente ISO/IEC 17799:2005, publicado el 15 de junio del 2005 ISO/IEC 27003 ISMS implementation guidance (bajo desarrollo) ISO/IEC 27004 Information security management measurement (bajo desarrollo) ISO/IEC 27005 Information security risk management (basado e incorporado a ISO/IEC 13335 MICTS Part 2) (bajo desarrollo) Actualmente el ISO-27001:2005 es el único estándar aceptado internacionalmente para la administración de la seguridad de la información y aplica a todo tipo de organizaciones, tanto por su tamaño como por su actividad A los efectos de la certificación, la transición entre ambas normas queda propuesta (o establecida) por el TPS-55 de UKAS (United Kingdom Acreditation Service): ”Transition Statement Regarding Arrangements for the Implementation of ISO 27001:2005”. Establece que las empresas (en realidad los auditores, lo cual afecta directamente a las empresas) durante los primeros seis meses (desde que se firmó el acuerdo “MoU: Memorandum of Understanding” entre UKAS y el Departamento de Comercio e Industria de Reino Unido), pueden elegir acerca de qué estándar aplicar, a partir del 23 de julio del 2006, la única certificación que se deberá aplicar será la ISO/IEC 27001:2005. Ante cualquier no conformidad con la aplicación de la misma motivada claramente por su transición, se establece un plazo de un año para solucionarla, es decir, hasta el 23 de julio de 2007. Presentación de este texto El presente documento es un muy breve resumen de los aspectos más importantes a tener en cuenta para la aplicación del Estándar Internacional ISO-27001:2005. Se debe dejar claro que este es la versión actual del ISO-17799:2002, y dentro del primero se detallan claramente todos los aspectos de compatibilidad entre ellos. El verdadero enfoque que se debe encarar para tratar de alcanzar la compatibilidad con este estándar es aplicar la Norma ISO-27001 con todo detalle y a través del seguimiento de todos los aspectos que propone, se estará cumplimentando también con la anterior (lo cual no elude el hecho que se deba conocer también esta predecesora). Consideraciones clave del estándar La propuesta de esta norma, no está orientada a despliegues tecnológicos o de infraestructura, sino a aspectos netamente organizativos, es decir, la frase que podría definir su propósito es “Organizar la seguridad de la información”, por ello propone toda una secuencia de acciones tendientes al “establecimiento, implemanetación, operación, monitorización, revisión, mantenimiento y mejora del ISMS (Information Security Management System)” (como podrán apreciar que se recalcará repetidas veces a lo largo del mismo). El ISMS, es el punto fuerte de este estándar. Los detalles que conforman el cuerpo de esta norma, se podrían agrupar en tres grandes líneas: ISMS. Valoración de riegos (Risk Assesment) Controles El desarrollo de estos puntos y la documentación que generan, es lo que se tratará en este texto. Análisis de ISO-27001:2005 Se presentan a continuación las líneas que se consideran de especial interés para la aplicación de esta norma. Los párrafos siguientes son una breve descripción de los puntos que se considerarán en este texto para poder llegar finalmente y avalando la importancia de la documentación que es necesaria preparar y mantener. Se consideró importante el mantener la misma puntuación que emplea el Estándar Internacional, para que, si fuera necesario, se pueda acceder directamente al mismo, para ampliar cualquier aspecto, por lo tanto, la numeración que sigue a continuación, no respeta la de este texto, pero sí la de la norma. Introducción: General: Este estándar fue confeccionado para proveer un modelo para el establecimiento, implementación, operación, monitorización, revisión, mantenimiento y mejora del ISMS, la adopción del ISMS debe ser una decisión estratégica de la organización, pues el mismo está influenciado por las necesidades y objetivos de la misma, los requerimientos de seguridad, los procesos, el tamaño y la estructura de la empresa, la dinámica que implica su aplicación, ocasionará en muchos casos la escalada del mismo, necesitando la misma dinámica para las soluciones. Aproximación (o aprovechamiento) del modelo: Este estándar internacional adopta un proceso para establecer, implementar, operar, monitorizar, revisar, mantener y mejorar el ISMS en una organización. Una organización necesita identificar y administrar cualquier tipo de actividad para funcionar eficientemente. Cualquier actividad que emplea recursos y es administrada para transformar entradas en salidas, puede ser considerada como un “proceso”. A menudo, estas salidas son aprovechadas nuevamente como entradas, generando una realimentación de los mismos. Este estándar internacional adopta también el modelo “Plan-Do-Check-Act” (PDCA), el cual es aplicado a toda la estructura de procesos de ISMS, y significa lo siguiente: Plan (Establecer el ISMS): Implica, establecer a política ISMS, sus objetivos, procesos, procedimientos relevantes para la administración de riesgos y mejoras para la seguridad de la información, entregando resultados acordes a las políticas y objetivos de toda la organización. Do (Implementar y operar el ISMS): Representa la forma en que se debe operar e implementar la política, controles, procesos y procedimientos. Check (Monitorizar y revisar el ISMS): Analizar y medir donde sea aplicable, los procesos ejecutados con relación a la política del ISMS, evaluar objetivos, experiencias e informar los resultados a la administración para su revisión. Act (Mantener y mejorar el ISMS): Realizar las acciones preventivas y correctivas, basados en las auditorías internas y revisiones del ISMS o cualquier otra información relevante para permitir la continua mejora del ISMS. Aplicación: Los requerimientos de este estándar internacional, son genéricos y aplicables a la totalidad de las organizaciones. La exclusión de los requerimientos especificados en las cláusulas 4, 5, 6, 7 y 8, no son aceptables cuando una organización solicite su conformidad con esta norma. Estas cláusulas son: 4. ISMS. 5. Responsabilidades de la Administración 6. Auditoría Interna del ISMS 7. Administración de las revisiones del ISMS 8. Mejoras del ISMS. (Estas cláusulas realmente conforman el cuerpo principal de esta norma) Cualquier exclusión a los controles detallados por la norma y denominados como “necesarios” para satisfacer los criterios de aceptación de riegos, debe ser justificado y se debe poner de manifiesto, o evidenciar claramente los criterios por los cuales este riesgo es asumido y aceptado. En cualquier caso en el que un control sea excluido, la conformidad con este estándar internacional, no será aceptable, a menos que dicha exclusión no afecte a la capacidad y/o responsabilidad de proveer seguridad a los requerimientos de información que se hayan determinado a través de la evaluación de riesgos, y sea a su vez aplicable a las regulaciones y legislación vigente. Normativas de referencia: Para la aplicación de este documento, es indispensable tener en cuenta la última versión de: “ISO/IEC 17799:2005, Information technology — Security techniques — Code of practice for information security management” Auditoría interna del ISMS: La organización realizará auditorías internas al ISMS a intervalos planeados para determinar si los controles, sus objetivos, los procesos y procedimientos continúan de conformidad a esta norma y para analizar y planificar acciones de mejora. Ninguna persona podrá auditar su propio trabajo, ni cualquier otro que guarde relación con él. La responsabilidad y requerimientos para el planeamiento y la conducción de las actividades de auditoría, los informes resultantes y el mantenimiento de los registros será definido en un procedimiento (Ver: Procedimiento de Revisión del ISMS - Periódicas y aperiódicas Administración de las revisiones del ISMS: Las revisiones mencionadas en el punto anterior deberán llevarse a cabo al menos una vez al año para asegurar su vigencia, adecuación y efectividad. Estas revisiones incluirán valoración de oportunidades para mejorar o cambiar el ISMS incluyendo la política de seguridad de la información y sus objetivos. Los resultados de estas revisiones, como se mencionó en el punto anterior serán claramente documentados y los mismos darán origen a esta actividad. Esta actividad está constituida por la revisión de entradas (7.2.) y la de salidas (7.3.) y dará como resultado el documento correspondiente (Ver: Documento de administración de las revisiones del ISMS). 8. Mejoras al ISMS Análisis de ISO-27001:205 Alejandro Corletti Estrada Página 9 de 12 La organización deberá mejorar continuamente la eficiencia del ISMS a través del empleo de la política de seguridad de la información, sus objetivos, el resultado de las auditorías, el análisis y monitorización de eventos, las acciones preventivas y correctivas y las revisiones de administración. Acciones correctivas: La organización llevará a cabo acciones para eliminar las causas que no estén en conformidad con los requerimientos del ISMS con el objetivo de evitar la recurrencia de los mismos. Cada una de estas acciones correctivas deberá ser documentada (Ver: Documento de acciones correctivas) El anexo A de esta norma propone una detallada tabla de los controles, los cuales quedan agrupados y numerados de la siguiente forma: A.5 Política de seguridad A.6 Organización de la información de seguridad A.7 Administración de recursos A.8 Seguridad de los recursos humanos A.9 Seguridad física y del entorno A.10 Administración de las comunicaciones y operaciones A.11 Control de accesos A.12 Adquisición de sistemas de información, desarrollo y mantenimiento A.13 Administración de los incidentes de seguridad A.14 Administración de la continuidad de negocio A.15 Cumplimiento (legales, de estándares, técnicas y auditorías) El anexo B, que es informativo, a su vez proporciona una breve guía de los principios de OECD (guía de administración de riesgos de sistemas de información y redes - París, Julio del 2002, “www.oecd.org”) y su correspondencia con el modelo PDCA. Por último el Anexo C, también informativo, resume la correspondencia entre esta norma y los estándares ISO 9001:2000 y el ISO 14001:2004 DOCUMENTACIÓN A CONSIDERAR: A continuación se presenta un listado de los documentos que se deben considerar como mínimo y sobre los cuales el estándar hacer referencia. Dentro de cada uno de ellos, se especifica brevemente algunas consideraciones y los puntos desde donde son referenciados en la norma. Estos documentos son: Declaración de Aplicabilidad (3.16) Documento ISMS (4.1.) Debe incluir: • Ámbito y límites del ISMS en términos de características del negocio, la organización, ubicaciones, recursos y tecnologías empleadas y también detalles y justificaciones para cualquier exclusión fuera del mismo, como se especifica en 1.2. • Definición de la política de este ISMS, en los mismos términos anteriores y teniendo en cuenta: Establecimiento del marco y objetivos de la dirección y principales líneas de acción en temas de seguridad de la información. Considerar requerimientos legales y de empresa y también obligaciones contractuales en aspectos relacionados a la seguridad. Establecer la alineación con el contexto de la estrategia de administración de riesgo de la empresa dentro del cual se establecerá y mantendrá el ISMS. Establecer los criterios contra los cuales se evaluarán loa riesgos y han sido evaluados por la dirección. Para los criterios de este estándar internacional, la política del ISMS puede ser considerada como una parte del documento de “Política de seguridad” general de la empresa. • Definición de la Valoración de riesgo de la organización: Identificar la metodología de valoración de riesgo, la información de seguridad identificada de la empresa y los requerimientos y regulaciones legales. Desarrollar un criterio para la aceptación de riesgo y los diferentes niveles de aceptación del mismo. • Descripción de la metodología que se aplica para la valoración de riesgos • Identificación de riesgos Identificar los recursos que se encuentran dentro del ámbito del ISMS y los propietarios de los mismos. Identificar las amenazas hacia los mismos. Identificar las vulnerabilidades que pueden ser explotados por esas amenazas. Identificar los impactos que la pérdida de confidencialidad, integridad y disponibilidad, pueden ocasionar sobre esos recursos. • Análisis y evaluación de riesgos: Valorar el impacto de negocio hacia la organización que puede resultar desde cualquier fallo de seguridad, teniendo en cuenta la pérdida de confidencialidad, integridad y/o disponibilidad de los recursos. Probabilidad real de la ocurrencia de fallos de seguridad a la luz de las amenazas, vulnerabilidades e impacto asociado a esos recursos y los controles actualmente implementados. Estimación del nivel de riesgo. Determinación si un riesgo es aceptable o requiere el uso de algún tipo de tratamiento de los criterios de riesgo establecidos. Identificación y evaluación de las opciones de tratamiento de riesgo. Las posibles acciones incluyen: Aplicación de los controles apropiados. Conocimiento y objetividad para la aceptación de riesgos, proveyendo una clara satisfacción de ellos con la política y criterios de aceptación. Evitar riesgos y transferencia de los riesgos asociados a otras partes, por ejemplo, proveedores, socios, etc. • Selección de controles objetivos para el tratamiento del riesgo. Estos controles serán seleccionados e implementados de acuerdo a los requerimientos identificados por la valoración del riesgo y los procesos de tratamiento del riesgo. El anexo A de esta norma proporciona una buena base de referencia, no siendo exhaustivos, por lo tanto se pueden seleccionar más aún. • Obtención de aprobación de la dirección para los riesgos residuales propuestos. • Obtener autorización de la dirección para implementar y operar el ISMS. • Preparar una declaración de aplicación, la cual debería incluir: Los objetivos de control, los controles seleccionados y las razones para su selección. Los controles actualmente implementados y la exclusión y justificación de los que figuran en el Anexo A - Planificación, guías y programas de formación y preparación (5.2.2) - Documento de administración de las revisiones del ISMS (7.) Deberá incluir: Resultados de la revisión. Realimentación hacia las partes interesadas. Técnicas, productos o procedimientos que pueden ser empleados en la organización para mejorar su eficiencia. Estado de acciones preventivas y correctivas. Vulnerabilidades o amenazas que no se adecuan a la valoración de riesgo previa. Resultado de la eficiencia en las mediciones (o controles). Acciones seguidas desde la última revisión. Cualquier cambio que pudiera afectar al ISMS y las recomendaciones de mejora. Actualización de la valoración de riesgos y plan de tratamiento de riesgo. Modificación de procedimientos y/o controles que afecten a la seguridad de la información. Necesidad de recursos. Mejoras en cuanto a la efectividad con que están siendo medidos los controles. - Documento de acciones correctivas (8.) Deberá incluir: Identificación de no conformidades. Determinación de las causas de las mismas. Evaluación de necesidades para acciones que aseguren la no recurrencia de las mismas. Determinación e implementación de las acciones correctivas necesarias. Registro de resultados y acciones llevadas a cabo. Revisión de la actividad correctiva llevada a cabo. - Procedimientos de: • Control de documentos (Ver los detalles del mismo en el punto 4.3.2 de este documento). • De registro: Debería existir un procedimiento general, y dentro del mismo, algunos específicos como son: De actividad (reportes, autorizaciones de acceso, auditorías, cambios, permisos temporales, bajas, etc.) (4.3.3.) de mejoras y decisiones que afectan al ISMS • Respuesta a incidentes de seguridad. • Detección de eventos de seguridad. • Recolección y centralización de eventos de seguridad. • Revisión del ISMS (Periódica y aperiódica)(punto 6.). • Revisión y medición de la efectividad de los controles. Todos estos documentos y registros pueden realizarse en cualquier formato, tipo o medio. Como se mencionó en esta norma se especifican (en el Anexo A), una serie de controles (o mediciones) a considerar y documentar, que se pueden considerar uno de los aspectos fundamentales del ISMS (junto con la Valoración de riesgo). Cada uno de ellos se encuentra en estrecha relación a todo lo que especifica la norma ISO/IEC 17799:2005 en los puntos 5 al 15, y tal vez estos sean el máximo detalle de afinidad entre ambos estándares. Se reitera una vez más que la evaluación de cada uno de ellos debe quedar claramente establecida en los documentos que se presentaron en este texto, y muy especialmente la de los controles que se consideren excluidos de la documentación. ISO 27001:2005 Demuestre su compromiso con la seguridad de la informaciónLa información es un activo de gran valor. Mantiene multitud de procesos de negocio, desde el suministro a la consolidación, proporciona los detalles necesarios a los empleados. Cierta información que habitualmente es utilizada para el uso interno y exclusivo de la organización puede ser difundida fácilmente para el conocimiento público. Cualquier problema que afecte a la calidad, cantidad, distribución o relevancia de la información expone al negocio a los riesgos de los agentes externos. Este es el motivo por el que usted necesita gestionar activamente la seguridad de los sistemas de información y la información crítica de negocio, no únicamente como garantía ante sus empleados e interesados en su negocio, sino también ante cualquiera de sus clientes y socios con los que comparte esa información. Mantenga a buen recaudo su informaciónLa certificación de los Sistemas de Gestión de Seguridad de la Información (SGSI) de la norma ISO 27001:2005 le capacita para demostrar su compromiso con la seguridad de la información y la satisfacción del cliente, además de la mejora continua de la imagen corporativa. El estándar se compone de dos partes: ISO 17799: Guía de controles y buenas prácticas. ISO 27001: Estándar por el que se certifica el SGSI. El primer paso es definir el ámbito de aplicación de la política del SGSI. Este paso es crítico para identificar los peligros potenciales a los que se enfrenta y decidir una metodología sistemática para evaluar esos riesgos. Un SGSI apropiado incluye los pasos de implantación, puesta en funcionamiento, revisión, mantenimiento y mejora del sistema y que están descritos en el estándar. El estándar ISO 27001:2005 cubre de forma efectiva 11 secciones: Política de Seguridad Organización de la Seguridad de la Información Gestión de Activos Seguridad ligada a Recursos Humanos Seguridad Física y del Entorno Gestión de Comunicaciones y Operaciones Control de Accesos Adquisición, Desarrollo y Mantenimiento de Sistemas de Información Gestión de Incidentes de Seguridad de la Información Gestión de la Continuidad de Negocio Conformidad El punto de partida es la evaluación de cómo ha sido implantado su SGSI con el objeto de identificar posibles diferencias con los requisitos que marca el estándar. Una vez las diferencias han sido eliminadas se continua con la auditoría inicial. Asumiendo que en el transcurso de la auditoría no se localizan no conformidades mayores o cuando los posibles problemas identificados tengan definidos unas medidas correctivas Beneficios de ISO 27001:2005La reputación de ISO y la certificación de la norma internacional ISO 27001:2005 aumenta la credibilidad de cualquier organización. La norma claramente demuestra la validez de su información y un compromiso real de mantener la seguridad de la información. El establecimiento y certificación de un SGSI puede así mismo transformar la cultura corporativa tanto interna como externa, abriendo nuevas oportunidades de negocio con clientes conscientes de la importancia de la seguridad, además de mejorar el nivel ético y profesional de los empleados y la noción de la confidencialidad en el puesto de trabajo. Aún más, permite reforzar la seguridad de la información y reducir el posible riesgo de fraude, pérdida de información y revelación. Las organizaciones certificadas en la norma británica BS 7799 pasarán a estarlo en ISO 27001. Según el comunicado para la transición realizado por UKAS en Junio del año 2006, las compañías certificadas en la norma británica BS 7799-2:2002 dispondrán hasta Julio del año 2007 para hacer efectiva la transición. Por qué SGS?Obtener la certificación de su Sistema de Gestión de Seguridad de la Información con SGS ayudará a su organización a desarrollar y mejorar el rendimiento del sistema. Su certificado ISO 27001:2005 obtenido por SGS le permite demostrar niveles altos en la seguridad de la información en el momento de competir por contratos en cualquier ámbito internacional o en actividades de expansión local con objeto de dar cabida a nuevas actividades de negocio. Las evaluaciones realizadas por SGS a intervalos regulares le ayudan en el uso, monitorización y mejora continua de su sistema y procesos de gestión de la seguridad de la información. Estas evaluaciones mejoran la fiabilidad de su operativa interna para cumplir con los requisitos del cliente, además de una mejora global. También obtendrá el beneficio de una mejora significativa en la motivación, nivel de cumplimiento y entendimiento de la plantilla y su responsabilidad en la seguridad de la información Hasta la fechas, cientos de pequeñas, medianas y grandes compañías internacionales hacen uso de los servicios de certificación de SGS para realizar las auditorías de sus SGSI según los requisitos del estándar ISO 27001:2005, ratificando a SGS como una de las primeras entidades de certificación preferidas a nivel mundial para este estándar. Nuestro equipo de auditores cualificados y con experiencia en múltiples sectores de la industria y servicios desarrolla las auditorías de certificación en ISO 27001:2005 al nivel profesional más alto con el objeto de ayudarle a alcanzar sus objetivos en seguridad de la información así como de negocio. ISO/IEC 27001 De Wikipedia, la enciclopedia libre Saltar a navegación, búsqueda El estándar para la seguridad de la información ISO/IEC 27001 (Information technology - Security techniques - Information security management systems - Requirements) fue aprobado y publicado como estándar internacional en Octubre de 2005 por International Organization for Standardization y por la comisión International Electrotechnical Commission. Especifica los requisitos necesarios para establecer, implantar, mantener y mejorar un Sistema de Gestión de la Seguridad de la Información (SGSI) según el conocido “Ciclo de Deming”: PDCA - acrónimo de Plan, Do, Check, Act (Planificar, Hacer, Verificar, Actuar). Es consistente con las mejores prácticas descritas en ISO/IEC 17799 (actual ISO/IEC 27002) y tiene su origen en la norma BS 7799-2:2002, desarrollada por la entidad de normalización británica, la [British Standards Institution] (BSI). Contenido[ocultar]1 Evolución2 Implantación3 Certificación4 La Serie 270005 Referencias6 Véase también7 Enlaces externos Evolución [editar] España En el año 2004 se publicó la UNE 71502 titulada Especificaciones para los Sistemas de Gestión de la Seguridad de la Información (SGSI) y que fue elaborada por el comité técnico AEN/CTN 71. Es una adaptación nacional de la norma británica British Standard BS 7799-2:2002. Con la publicación de UNE-ISO/IEC 27001 (traducción al español del original inglés) dejó de estar vigente la UNE 71502 y las empresas nacionales certificadas en esta última están pasando progresivamente sus certificaciones a UNE-ISO/IEC 27001. Implantación [editar] La implantación de ISO/IEC 27001 en una organización es un proyecto que suele tener una duración entre 6 y 12 meses, dependiendo del grado de madurez en seguridad de la información y el alcance, entendiendo por alcance el ámbito de la organización que va a estar sometido al Sistema de Gestión de la Seguridad de la Información ( en adelante SGSI) elegido. En general, es recomendable la ayuda de consultores externos. Aquellas organizaciones que hayan adecuado previamente de forma rigurosa sus sistemas de información y sus procesos de trabajo a las exigencias de las normativas legales de protección de datos (p.ej., en España la conocida LOPD y sus normas de desarrollo, siendo el más importante el Real Decreto 1720/2007, de 21 de Diciembre de desarrollo de la Ley Orgánica de Protección de Datos) o que hayan realizado un acercamiento progresivo a la seguridad de la información mediante la aplicación de las buenas prácticas de ISO/IEC 27002, partirán de una posición más ventajosa a la hora de implantar ISO/IEC 27001. El equipo de proyecto de implantación debe estar formado por representantes de todas las áreas de la organización que se vean afectadas por el SGSI, liderado por la dirección y asesorado por consultores externos especializados en seguridad informática, derecho de las nuevas tecnologías, protección de datos (que hayan realizado un máster o curso de especialización en la materia) y sistemas de gestión de seguridad de la información (que hayan realizado un curso de implantador de SGSI). Certificación [editar] La certificación de un SGSI es un proceso mediante el cual una entidad de certificación externa, independiente y acreditada audita el sistema, determinando su conformidad con ISO/IEC 27001, su grado de implantación real y su eficacia y, en caso positivo, emite el correspondiente certificado. Antes de la publicación del estándar ISO 27001, las organizaciones interesadas eran certificadas según el estándar británico BS 7799-2. Desde finales de 2005, las organizaciones ya pueden obtener la certificación ISO/IEC 27001 en su primera certificación con éxito o mediante su recertificación trienal, puesto que la certificación BS 7799-2 ha quedado reemplazada. El Anexo C de la norma muestra las correspondencias del Sistema de Gestión de la Seguridad de la Información (SGSI) con el Sistema de Gestión de la Calidad según ISO 9001:2000 y con el Sistema de Gestión Medio Ambiental según ISO 14001:2004 (ver ISO 14000), hasta el punto de poder llegar a certificar una organización en varias normas y en base a un sistema de gestión común. La Serie 27000 [editar] La seguridad de la información tiene asignada la serie 27000 dentro de los estándares ISO/IEC: ISO 27000: Actualmente en fase de desarrollo. Contendrá términos y definiciones que se emplean en toda la serie 27000. UNE-ISO/IEC 27001:2007 “Sistemas de Gestión de la Seguridad de la Información (SGSI). Requisitos”. Fecha de la de la versión española 29 Noviembre de 2007. Es la norma principal de requisitos de un Sistema de Gestión de Seguridad de la Información. Los SGSIs deberán ser certificados por auditores externos a las organizaciones. En su Anexo A, contempla una lista con los objetivos de control y controles que desarrolla la ISO 27002 (anteriormente denominada ISO17799). ISO 27002: (anteriormente denominada ISO17799).Guía de buenas prácticas que describe los objetivos de control y controles recomendables en cuanto a seguridad de la información con 11 dominios, 39 objetivos de control y 133 controles. ISO 27003: En fase de desarrollo; probable publicación en 2009. Contendrá una guía de implementación de SGSI e información acerca del uso del modelo PDCA y de los requisitos de sus diferentes fases. Tiene su origen en el anexo B de la norma BS 7799-2 y en la serie de documentos publicados por BSI a lo largo de los años con recomendaciones y guías de implantación. ISO 27004: En fase de desarrollo; probable publicación en 2009. Especificará las métricas y las técnicas de medida aplicables para determinar la eficiencia y eficacia de la implantación de un SGSI y de los controles relacionados. ISO 27005: Publicada en Junio de 2008. Consiste en una guía para la gestión del riesgo de la seguridad de la información y sirve, por tanto, de apoyo a la ISO 27001 y a la implantación de un SGSI. Incluye partes de la ISO 13335. ISO 27006: Publicada en Febrero de 2007. Especifica los requisitos para acreditación de entidades de auditoría y certificación de sistemas de gestión de seguridad de la información. Referencias [editar] ISO/IEC 27001:2005 Information technology - Security techniques - Information security management systems - Requirements ISO/IEC 27005:2008 Information technology -- Security techniques -- Information security risk management ISO/IEC 27006:2007 Information technology - Security techniques - Requirements for bodies providing audit and certification of information security management systems ISO/IEC 27002:2005 Information technology - Security techniques - Code of practice for information security management (anterior ISO/IEC 17799:2005) ISO 9001:2000, Quality management systems — Requirements ISO/IEC 13335-1:2004, Information technology — Security techniques — Management of information and communications technology security — Part 1: Concepts and models for information and communications technology security management ISO/IEC TR 13335-3:1998, Information technology — Guidelines for the management of IT Security — Part 3: Techniques for the management of IT security ISO/IEC TR 13335-4:2000, Information technology — Guidelines for the management of IT Security — Part 4: Selection of safeguards ISO 14001:2004, Environmental management systems — Requirements with guidance for use ISO/IEC TR 18044:2004, Information technology — Security techniques — Information security incident management ISO 19011:2002, Guidelines for quality and/or environmental management systems auditing pequeño manual sobre el estandar ISO-27001. La siguiente terminología aplica a esta norma: Recurso (Asset): Cualquier cosa que tenga valor para la organización. Disponibilidad (availability): Propiedad de ser accesible y usable bajo demanda por una entidad autorizada. Confidencialidad (confidentiality): Propiedad que la información no esté disponible o pueda ser descubierta por usuarios no autorizados, entidades o procesos. Seguridad de la información: Preservación de la confidencialidad, integridad y disponibilidad de la información, en adición también de otras propiedades como autenticación, autorización, registro de actividad, no repudio y confiabilidad pueden ser también consideradas. Eventos de seguridad de la información: Ocurrencia de un evento identificado sobre un sistema, servicio o red, cuyo estado indica una posible brecha en la política de seguridad de la información o fallo en el almacenamiento de la misma, también cualquier situación previa desconocida que pueda ser relevante desde el punto de vista de la seguridad. Incidente de seguridad: uno o varios eventos de seguridad de la información, no deseados o inesperados que tienen una cierta probabilidad de comprometer las operaciones de la empresa y amenazan a la seguridad de la información. Sistema de administración de la seguridad de la información (ISMS: Information Security Management System): Parte de los sistemas de la empresa, basado en el análisis de riesgo de negocio, cuya finalidad es establecer, implementar, operar, monitorizar, revisar, mantener y mejorar la seguridad de la información. Nota:el ISMS incluye las políticas, planes, actividades, responsabilidades, prácticas, procedimientos, procesos y recursos. Integridad: Propiedad de salvaguardar la precisión y completitud de los recursos. Riesgo residual: El riesgo remanente luego de una amenaza a la seguridad. Aceptación de riesgo: Decisión de aceptar un riesgo. Análisis de riego: Uso sistemático de la información para identificar fuentes y estimar riesgos. Valoración de riesgo: Totalidad de los procesos de análisis y evaluación de riesgo. Evaluación de riesgo: Proceso de comparar los riesgos estimados contra los criterios de riesgo establecidos o dados, para determinar el grado de significativo del riesgo. ACLARACIÓN AJENA A LA NORMA: En definitiva la “Evaluación del riesgo”, es el resultado final de esta actividad, pero no debe ser pensada únicamente con relación a “Análisis y Valoración”, sino también a los criterios de riesgo que la organización haya definido a lo largo de toda su política empresarial. Administración del riesgo: Actividades coordinadas para dirigir y controlar las medidas necesarias para la observación del riesgo dentro de la organización. Tratamiento del riesgo: Proceso de selección e implementación de mediciones para modificar el riesgo. Nota:el término “control” en esta norma es empleado como sinónimo de “Medida o medición”. Declaración de aplicabilidad: Documento que describe los objetivos del control, y los controles que son relevantes y aplicables a la organización del ISMS. Nota:Estos controles están basados en los resultados y conclusiones de la valoración y los procesos de tratamiento de riesgo, los requerimientos y regulaciones legales, las obligaciones contractuales y los requerimientos de negocio para la seguridad de la información que defina la organización. ISMS (Information Security Managemet System). Requerimientos generales: La organización, establecerá, implementará, operará, monitorizará, revisará, mantendrá y mejorará un documentado ISMS en el contexto de su propia organización para las actividades globales de su negocio y de cara a los riesgos. Para este propósito esta norma el proceso está basado en el modelo PDCA comentado en el punto 0.2. Control de documentos: Todos los documentos requeridos por el ISMS serán protegidos y controlados. Un procedimiento documentado deberá establecer las acciones de administración necesarias para: Aprobar documentos y prioridades o clasificación de empleo. Revisiones, actualizaciones y reaprobaciones de documentos. Asegurar que los cambios y las revisiones de documentos sean identificados. Asegurar que las últimas versiones de los documentos aplicables estén disponibles y listas para ser usadas. Asegurar que los documentos permanezcan legibles y fácilmente identificables. Asegurar que los documentos estén disponibles para quien los necesite y sean transferidos, guardados y finalmente dispuestos acorde a los procedimientos aplicables a su clasificación. Asegurar que los documentos de origen externo sean identificados. Asegurar el control de la distribución de documentos. Prevenir el empleo no deseado de documentos obsoletos y aplicar una clara identificación para poder acceder a ellos y que queden almacenados para cualquier propósito Responsabilidades de administración: La administración proveerá evidencias de sus compromisos para el establecimiento, implementación, operación, monitorización, mantenimiento y mejora del ISMS a través de: Establecimiento de la política del ISMS Asegurar el establecimiento de los objetivos y planes del ISMS. Establecer roles y responsabilidades para la seguridad de la información. Comunicar y concienciar a la organización sobre la importancia y apoyo necesario a los objetivos propuestos por la política de seguridad, sus responsabilidades legales y la necesidad de una continua mejora en este aspecto. Proveer suficientes recursos para establecer, operar, implementar, monitorizar, revisar, mantener y mejorar el ISMS (5.2.1). Decidir los criterios de aceptación de riesgos y los niveles del mismo. Asegurar que las auditorías internas del ISMS, sean conducidas y a su vez conduzcan a la administración para la revisión del ISMS (ver 7.) Formación, preparación y competencia: La organización asegurará que todo el personal a quien sean asignadas responsabilidades definidas en el ISMS sea competente y esté en capacidad de ejecutar las tareas requeridas, para ello deberá proveer las herramientas y capacitación necesaria (Documento: Planificación, guías y programas de formación y preparación).