Para la correcta administración de la seguridad de la
información, se deben establecer y mantener acciones que busquen cumplir con
los tres requerimientos de mayor importancia para la información, estos son:
•Confidencialidad: Busca prevenir el acceso no autorizado ya sea en forma
intencional o no intencional a la información. La pérdida de la
confidencialidad puede ocurrir de muchas maneras, como por ejemplo con la
publicación intencional de información confidencial de la organización.
•Integridad: Busca asegurar: o Que no se realicen modificaciones por
personas no autorizadas a los datos o procesos. o Que no se realicen
modificaciones no autorizadas por personal autorizado a los datos o procesos. o
Que los datos sean consistentes tanto interna como externamente.
•Disponibilidad:
Busca asegurar acceso confiable y oportuno a los datos o
recursos para el personal apropiado. Diferentes organizaciones internacionales
han definido estándares y normas que apoyan en diferente medida el cumplimiento
de los requerimientos indicados anteriormente. A continuación se detallan los
de mayor utilización a nivel mundial, y que fueron tomados como base para el
modelo propuesto.
ISO 17.799
Es un estándar para la administración de la seguridad de la
información, e implica la implementación de toda una estructura documental que
debe contar con un fuerte apoyo de la alta dirección de cualquier organización.
Este estándar fue publicado por la International Organization for Standardization (ISO) en diciembre
de 2000 con el objeto de desarrollar un marco de seguridad sobre el cual
trabajen las organizaciones. Esta norma internacional ofrece recomendaciones
para realizar la gestión de la seguridad de la información dirigidas a los
responsables de iniciar, implantar o mantener la seguridad de una organización.
ISO/IEC 27000-series
La serie de normas ISO/IEC 27000 son
estándares de seguridad publicados por la Organización Internacional para la
Estandarización (ISO) y la Comisión Electrotécnica Internacional (IEC).
La serie contiene las mejores
prácticas recomendadas en Seguridad de la información para desarrollar, implementar
y mantener Especificaciones para los Sistemas de Gestión de la Seguridad de la
Información (SGSI). la mayoría de estas normas se encuentran en preparación e
incluyen:
- ISO/IEC 27000 - es un vocabulario estándar para el SGSI. Se encuentra en desarrollo actualmente.
- ISO/IEC 27001 - es la certificación que deben obtener las organizaciones. Norma que especifica los requisitos para la implantación del SGSI. Es la norma más importante de la familia. Adopta un enfoque de gestión de riesgos y promueve la mejora continua de los procesos. Fue publicada como estándar internacional en octubre de 2005.
- ISO/IEC 27002 - Information technology - Security techniques - Code of practice for information security management. Previamente BS 7799 Parte 1 y la norma ISO/IEC 17799. Es código de buenas prácticas para la gestión de seguridad de la información. Fue publicada en julio de 2005 como ISO 17799:2005 y recibió su nombre oficial ISO/IEC 27002:2005 el 1 de julio de 2007.
- ISO/IEC 27003 - son directrices para la implementación de un SGSI. Es el soporte de la norma ISO/IEC 27001. Publicada el 1 de febrero del 2010, No está certificada actualmente.
- ISO/IEC 27004 - son métricas para la gestión de seguridad de la información. Es la que proporciona recomendaciones de quién, cuándo y cómo realizar mediciones de seguridad de la información. Publicada el 7 de diciembre del 2009, no se encuentra traducida al español actualmente.
- ISO/IEC 27005 - trata la gestión de riesgos en seguridad de la información. Es la que proporciona recomendaciones y lineamientos de métodos y técnicas de evaluación de riesgos de Seguridad en la Información, en soporte del proceso de gestión de riesgos de la norma ISO/IEC 27001. Es la más relacionada a la actual British Standard BS 7799 parte 3. Publicada en junio de 2008.
- ISO/IEC 27006:2007 - Requisitos para la acreditación de las organizaciones que proporcionan la certificación de los sistemas de gestión de la seguridad de la información. Esta norma especifica requisitos específicos para la certificación de SGSI y es usada en conjunto con la norma 17021-1, la norma genérica de acreditación.
- ISO/IEC 27007 - Es una guía para auditar al SGSI. Se encuentra en preparación.
- ISO/IEC 27799:2008 - Es una guía para implementar ISO/IEC 27002 en la industria de la salud.
- ISO/IEC 27035:2011 - Seguridad de la información – Técnicas de Seguridad – Gestión de Incidentes de Seguridad. Este standard hace foco en las actividades de: detección, reporte y evaluación de incidentes de seguridad y sus vulnerabilidades
ISO/IEC 27001 es un estándar para la
seguridad de la información
Es consistente con las
mejores prácticas descritas en ISO/IEC 27002, anteriormente conocida como
ISO/IEC 17799, con orígenes en la norma BS 7799-2:2002
Fuentes de informacion: http://descargas.pntic.mec.es/mentor/visitas/demoSeguridadInformatica/normas_iso_sobre_gestin_de_seguridad_de_la_informacin.html
No hay comentarios:
Publicar un comentario