Ciberseguridad
ISO 27000
Habilidades y conocimientos básicos / Normativas y Estándares
La familia ISO/IEC 27000 reúne documentos con funciones distintas. Antes de citar un requisito, toca comprobar número, edición y alcance; invocar «la ISO» a secas deja demasiado espacio para la niebla. (・・;)ゞ
Dentro del marco de las 27000 existen varias de ellas con distintos enfoques. En general, se enfocan en la seguridad de la información, conceptos, requisitos, prácticas, guías de implementación y auditoría, etc. Entre ellas destacamos:
27001
Requisitos del Sistema de Gestión de Seguridad de la Información (SGSI o en inglés, ISMS).
Estructura de la ISO 27001
Para no confundir una enumeración didáctica con la numeración oficial, este resumen agrupa los temas sin asignarles números de cláusula: contexto, liderazgo, planificación, apoyo, operación, evaluación y mejora. ISO/IEC 27001:2022 establece requisitos del SGSI. Ficha oficial de ISO.
Pasos
- Obtener Compromiso de la Dirección: Asegurar que la alta dirección esté comprometida con la implementación de un SGSI.
- Definir el Alcance del SGSI: Determinar qué partes de la organización y qué tipo de información estarán cubiertas.
- Realizar un Análisis de Riesgos: Identificar y evaluar los riesgos para la seguridad de la información.
- Desarrollar una Política de Seguridad de la Información: Establecer directrices y objetivos claros para la seguridad de la información.
- Implementar Controles de Seguridad: Determinar controles según el tratamiento del riesgo y comprobar su relación con el Anexo A. No significa instalar todos los controles ni limitar cualquier medida posible a ese anexo.
- Formación y Concienciación: Capacitar al personal sobre sus roles y responsabilidades en la seguridad de la información.
- Documentación del SGSI: Crear y mantener la documentación requerida para el SGSI.
- Monitorear y Evaluar el SGSI: Realizar auditorías internas y revisiones periódicas para asegurar la eficacia del SGSI.
- Mejorar Continuamente: Implementar mejoras basadas en los resultados de las auditorías y la revisión de la dirección.
Objetivos y beneficios esperados de aplicar ISO 27001; no son resultados garantizados:
- Reducir las probabilidades de brechas de seguridad en sistemas TI
- Confidencialidad de la información
- Minimizar riesgos IT, posibles daños y costos que podríamos tener por consecuencia de ellos
- Potenciar la competitividad al ser un estándar reconocido
- Aumento en la confianza de clientes, el público y socios comerciales
- Metodología estructurada para cumplimiento de normas
- Cumplimiento con requisitos internacionales
- Detección sistemática de vulnerabilidades
- Control de riesgos informáticos
- Reducción de costos para la empresa
27014:2020
ISO/IEC 27014:2020: norma de seguridad de la información, facilita orientación sobre los principios y conceptos para gobernar la seguridad de la información. A traves de ésta, las organizaciones podrán dirigir, comunicar, evaluar y controlar la seguridad de la información que está relacionada con sus actividades.
Estructura:
Los puntos siguientes son temas del resumen de estudio; no se ha confirmado que sean títulos ni numeración de cláusulas de ISO/IEC 27014:2020.
- Introducción: Proporciona una visión general del estándar y su propósito, explicando la importancia de la gobernanza de la seguridad de la información para las organizaciones.
- Alcance: Define los límites y la aplicabilidad del estándar, especificando a qué tipos de organizaciones y situaciones se aplica.
- Normativas de Referencia: Lista las normativas y documentos de referencia que son esenciales para comprender y aplicar este estándar.
- Términos y Definiciones: Proporciona definiciones clave para términos específicos utilizados en el estándar, asegurando una comprensión común.
- Principios de la Gobernanza de la Seguridad de la Información: Establece los principios básicos que guían la gobernanza de la seguridad de la información, como la responsabilidad, la estrategia, la adquisición de recursos y la evaluación continua.
- Marco de la Gobernanza de la Seguridad de la Información: Describe cómo establecer un marco efectivo de gobernanza, incluyendo la estructura organizativa, los roles y responsabilidades, y los procesos necesarios.
- Evaluación de la Gobernanza de la Seguridad de la Información: Proporciona directrices sobre cómo evaluar y medir la efectividad de la gobernanza de la seguridad de la información en una organización.
- Mejora Continua: Recomienda prácticas para la mejora continua de la gobernanza de la seguridad de la información, asegurando que se mantenga relevante y efectiva ante los cambios en el entorno de la organización.
ISO27014:2020 - Apartado 5.2
La lista siguiente se conserva como resumen didáctico del curso. Referencia de gobernanza: ISO/IEC 27014:2020. Cada principio establece lo que debe suceder, sin especificar cómo, cuándo o por quién debe aplicarse, ya que esto depende de la organización y su sistema de gestión. El órgano de gobierno debe asegurar la aplicación de estos principios, nombrando a alguien con la responsabilidad y autoridad necesarias para implementarlos.
- Establecer la seguridad de la información en toda la organización: Garantizar que la seguridad de la información sea una parte integral de todas las áreas y niveles de la organización.
- Adoptar un enfoque basado en el riesgo: Evaluar y gestionar los riesgos para la seguridad de la información de manera continua y proactiva.
- Establecer la dirección de las decisiones de inversión: Asegurar que las inversiones en seguridad de la información estén alineadas con los objetivos y prioridades estratégicas de la organización.
- Asegurar la conformidad con los requisitos internos y externos: Cumplir con todas las regulaciones, normas y políticas internas y externas relevantes para la seguridad de la información.
- Fomentar un entorno positivo para la seguridad: Crear y mantener una cultura organizacional que valore y apoye activamente la seguridad de la información.
- Revisar el desempeño en relación con los resultados del negocio: Evaluar regularmente la efectividad de la seguridad de la información y su alineación con los objetivos y resultados del negocio, ajustando estrategias y prácticas según sea necesario.
Pasos
Como propuesta didáctica de trabajo —no como procedimiento obligatorio de ISO/IEC 27014—:
- Identificar activos críticos de la información
- Establecer políticas y procedimientos de seguridad
- Capacitar al personal en seguridad
- Implementar controles de seguridad
- Monitorear y mantener los controles de seguridad
Véase también
- Governance Risk and Compliance — Contexto de gobernanza y cumplimiento de un SGSI.
+----------------------------------------+
| Floure & |
| Tachibana's guild |
| [Hikari · Nozomi · Nao · Sena] |
| SEAL: sha256/12: 8b80ca93f392 |
| STATUS: LITURGY_IN_PROGRESS |
+----------------------------------------+