Herramientas ISO para implementar la norma COBI Denisse Erandi Mosqueda Jeronimo Juan Oswaldo Vargas Nuñes

El COBIT Es precisamente un modelo para auditar la gestión y control de los sistemas de información y tecnología, orientado a todos los sectores de una organización, es decir, administradores IT, usuarios y por supuesto, los auditores involucrados en el proceso. El COBIT es un modelo de evaluación y monitoreo que enfatiza en el control de negocios y la seguridad IT y que abarca controles específicos de IT desde una perspectiva de negocios.

BENEFICIOS COBIT  Mejor alineación basado en una focalización sobre el negocio.  Visión comprensible de TI para su administración.  Clara definición de propiedad y responsabilidades.  Aceptabilidad general con terceros y entes reguladores.  Entendimiento compartido entre todos los interesados basados en un lenguaje común.  Cumplimiento global de los requerimientos de TI planteados en el Marco de Control Interno de Negocio COSO.

COBIT® se alinea con otros esquemas de mejores prácticas y normas

Qué es norma ISO ISO es una norma internacional emitida por la Organización Internacional de Normalización (ISO) y describe cómo gestionar la seguridad de la información en una empresa. Su nombre completo es ISO/IEC 27001

ISO/IEC ISO puede ser implementada en cualquier tipo de organización, con o sin fines de lucro, privada o pública, pequeña o grande. También permite que una empresa sea certificada; esto significa que una entidad de certificación independiente confirma que la seguridad de la información ha sido implementada en esa organización en cumplimiento con la norma ISO

¿Qué es la Gestión de Seguridad de la Información ISO/IEC 27001? ISO/IEC es el estándar internacional para la gestión de la seguridad de la información. Define cómo poner en práctica un sistema de gestión de seguridad de la información evaluado independientemente y certificado. Con la ISO/IEC usted puede demostrar compromiso y cumplimiento con la mejor práctica global, demostrando a los clientes, proveedores e interesados que la seguridad es esencial para la manera en que usted opera.

¿Cuáles son los beneficios de la Gestión de Seguridad de la Información 27001? Identifique los riesgos y coloque controles en el sitio para gestionarlos o eliminarlos Flexibilidad para adaptar controles a todas las áreas o áreas seleccionadas de su organización Gane la confianza de los interesados y de los clientes de que sus datos están protegidos Demuestre cumplimiento y gane estatus como proveedor preferido Satisfaga más expectativas de licitaciones al demostrar cumplimiento

Cómo obtener la certificación para ISO/IEC 27001

Pre-auditoría Este es un servicio de pre-evaluación opcional, el cual revisa de cerca su sistema de seguridad de la información existente y lo compara con los requisitos del estándar ISO/IEC Esto ayuda a identificar áreas que necesitan más trabajo antes de llevar a cabo la auditoría formal, ahorrándole tiempo y dinero.

Auditoría formal Esta se da en dos etapas. Primero revisamos la preparación de su organización para la evaluación, revisando si se han desarrollado los procedimientos y controles ISO/IEC necesarios. Compartiremos los detalles de nuestros hallazgos con usted, de manera que si encontramos algunas brechas, pueda cerrarlas. Si todos los requisitos están en su lugar, entonces evaluaremos la implementación de los procedimientos y controles dentro de su organización, para asegurarnos que estén funcionando eficientemente como lo requiere la certificación.

Certificación y más allá Cuando haya pasado la auditoría formal, recibirá un certificado ISO/IEC 27001, con una validez por tres años. Su auditor permanecerá en contacto durante este tiempo, visitándolo con regularidad, para garantizar que su sistema no solamente permanezca en cumplimiento, sino que mejore continuamente.

ISO Este estándar internacional de alto nivel para la administración de la seguridad de la información, fue publicado por la ISO (International Organization for Standardization) en diciembre de 2000 con el objeto de desarrollar un marco de seguridad sobre el cual trabajen las organizaciones. El ISO 17799, al definirse como una guía en la implementación del sistema de administración de la seguridad de la información.

Se orienta a preservar los siguientes principios de la seguridad informática: Confidencialidad. Asegurar que únicamente personal autorizado tenga acceso a la información. Integridad. Garantizar que la información no será alterada, eliminada o destruida por entidades no autorizadas. Disponibilidad. Asegurar que los usuarios autorizados tendrán acceso a la información cuando la requieran.

Es importante entender los principios y objetivos que dan vida al ISO 17799, así como los beneficios que cualquier organización, incluyendo las instituciones públicas, privadas y ambientes educativos pueden adquirir al implementarlo en sus prácticas de seguridad de la información.

Los controles del ISO El éxito de la implementación del estándar de seguridad ISO requiere de una serie de procedimientos donde, inicialmente, el análisis de riesgos identificará los activos de la información y las amenazas a las cuales se encuentra expuesta.

A continuación, se describirán cada una de las diez áreas de seguridad con el objeto de esclarecer los objetivos de estos controles: Política de seguridad: Organización de seguridad: Clasificación y control de activos: Seguridad del personal: Seguridad física y del entorno: Comunicación / Administración de operaciones: Control de acceso: Desarrollo y mantenimiento del sistema: Plan de continuidad empresarial: Contratación:

Como todo estándar, el ISO proporciona un marco ordenado de trabajo al cual deben sujetarse todos los integrantes de la organización, y aunque no elimina el cien por ciento de los problemas de seguridad, sí establece una valoración de los riesgos a los que se enfrenta una organización en materia de seguridad de la información. Dicha valoración permite administrar los riesgos en función de los recursos tecnológicos y humanos con los que cuenta la organización; adicionalmente, establece un entorno que identifica los problemas de seguridad en tiempos razonables

GRACIAS POR SU ATENCION :3