SISTEMA DE GESTION DE LA SEGURIDAD DE LA INFORMACION Normas Técnicas:  BS :2002 (Certificable).  ISO 17799:2005 (No Certificable).  ISO 27001:2005 (Certificable).

ANTECEDENTES ¿ Qué es una Norma ? Una norma es una especificación técnica Elaborada con participación de todos los sectores involucrados Aprobada por consenso Su objetivo es el beneficio a la comunidad Está a disposición de todos los interesados Es elaborada y publicada por un organismo de normalización reconocido

ANTECEDENTES Department of Trade & Industry Ministerio de Comercio y de la industria del Reino Unido. Es el administrador del comercio, negocios, empleados, consumidores, ciencia, energía en el Reino Unido y está trabajando para crear las condiciones de éxito en los negocios del Reino Unido en el desafío de la globalización.

ANTECEDENTES British Standard Institution Fundada en 1901 como el comité de estándares de la ingeniería. Los estándares británicos del bsi son el cuerpo nacional de los estándares del reino unido, con una reputación global reconocida para la independencia, la integridad y la innovación en la producción de los estándares que promueven la mejor práctica. Desarrolla y vende estándares y soluciones de la estandardización para resolver las necesidades del negocio y de la sociedad. Certifica sistemas y productos de gerencia Proporciona servicios de la comprobación del producto Desarrolla estándares privados, nacionales e internacionales Proporciona el entrenamiento en estándares Proporciona soluciones de software

ANTECEDENTES Organización Internacional para la Estandarización Organización internacional no gubernamental, compuesta por representantes de los organismos de normalización (ONs) nacionales, que produce normas internacionales industriales y comerciales (normas ISO ). Su finalidad es la coordinación de las normas nacionales, en consonancia con el Acta Final de la Organización Mundial del Comercio, con el propósito de facilitar el comercio, el intercambio de información y contribuir con unos estándares comunes para el desarrollo y transferencia de tecnologías.

¿Q UÉ ES ISO 27000? Es una familia de estándares internacionales para Sistemas de Gestión de la Seguridad de la Información (SGSI). Requisitos para la especificación de sistemas de gestión de la seguridad de la información Proceso del análisis y gestión del riesgo Métricas y medidas de protección Guías de implantación Vocabulario claramente definido para evitar distintas interpretaciones de conceptos técnicos y de gestión y mejora continua.

L A F AMILIA N ORMA ISO (1) ISO En fase de desarrollo. Contendrá términos y definiciones que se emplean en toda la serie La aplicación de cualquier estándar necesita de un vocabulario claramente definido, que evite distintas interpretaciones de conceptos técnicos y de gestión. ISO Es la norma principal de requerimientos del sistema de gestión de seguridad de la información. Tiene su origen en la BS :2002 y es la norma con arreglo a la cual serán certificados por auditores externos los SGSI de las organizaciones. Fue publicada el 15 de Octubre de 2005 y sustituye a la BS , habiéndose establecido unas condiciones de transición para aquellas empresas certificadas en esta última. ISO (ISO 17799) Es una guía de buenas prácticas que describe los objetivos de control y controles recomendables en cuanto a seguridad de la información. No es certificable. Será la sustituta de la ISO17799:2005.

L A F AMILIA ISO (2) ISO Contendrá una guía de implementación de SGSI e información acerca del uso del modelo PDCA y de los requerimientos de sus diferentes fases. Tiene su origen en el anexo B de la norma BS ISO Especificará las métricas y las técnicas de medida aplicables para determinar la eficiencia y efectividad de la implantación de un SGSI y de los controles relacionados. Estas métricas se usan fundamentalmente para la medición de los componentes de la fase “Do” (Implementar y Utilizar) del ciclo PDCA. ISO Consistirá en una guía para la gestión del riesgo de la seguridad de la información y servirá, por tanto, de apoyo a la ISO27001 y a la implantación de un SGSI. Se basará en la BS (publicada en Marzo de 2006) y, probablemente, en ISO ISO Especificará el proceso de acreditación de entidades de certificación y el registro de SGSIs.

Evolución de la Norma ISO/IEC Video

S ISTEMA DE G ESTIÓN DE LA S EGURIDAD DE LA I NFORMACIÓN Norma ISO/IEC establecer, implementar, operar, hacer seguimiento, revisar, mantener y mejorar documentadoriesgos Es la norma que define los requisitos para establecer, implementar, operar, hacer seguimiento, revisar, mantener y mejorar un Sistema de Gestión de la Seguridad de la Información (SGSI) documentado dentro del contexto de los riesgos del negocio. SGSISGSI

Norma ISO/IEC Esta norma la pueden usar para:  Evaluar la capacidad de una organización (requisitos).  Aplicación de un sistema de procesos dentro de la organización.  Comprender los requisitos de la seguridad de la información.  Implementar y operar controles en la gestión del riesgo.  Administración del SGSI.  Mejora continua basada en la medición de objetivos. Esta norma puede ser aplicada a todas las organizaciones, independientemente de su tipo, tamaño y naturaleza.

Norma ISO/IEC ¿Qué es un SGSI? ISMS - Information Security Management System ISMS - Information Security Management System. personasprocesossistemas informáticos Un sistema de gestión de la seguridad de la información (SGSI) es una forma sistemática de abordar la gestión de la información empresarial para protegerla. Atañe a las personas, los procesos y los sistemas informáticos. seguridad de la información Es un proceso documentado y conocido por toda la organización para garantizar que la seguridad de la información es gestionada correctamente. (ISO 9001). La seguridad de la información consiste en preservar: Confidencialidad: Confidencialidad: acceso únicamente por autorizados. Integridad: Integridad: exactitud y completitud. Disponibilidad: Disponibilidad: acceso de los usuarios autorizados cuando lo requieran. Los sistemas implicados en el tratamiento de la información. Información: escrita, diagramas, electrónica, imágenes o incluso oral.

¿Para qué sirve un SGSI? Conoce los riesgos a los que está sometida su información y los asume, minimiza, transfiere o controla mediante un sistema definido, documentado y conocido por todos, que se revisa y actualiza constantemente.

¿Para qué sirve un SGSI? Captura de PC desde el exterior Violación de s Violación de contraseñas Interrupción de los servicios Intercepción y modificación de s Virus Fraudes informáticos Incumplimiento de leyes y regulaciones Robo o extravío de notebooks empleados deshonestos Robo de información Destrucción de soportes documentales Acceso clandestino a redes Intercepción de comunicaciones Destrucción de equipamiento Programas “bomba” Acceso indebido a documentos impresos Software ilegal Agujeros de seguridad de redes conectadas Falsificación de información para terceros Indisponibilidad de información clave Spamming Violación de la privacidad de los empleados Ingenier í a social Principales riesgos Propiedad de la Información Mails “anónimos” con información crítica o con agresiones

CONTENIDO DE LA NORMA 1. Objeto 2. Referencias Normativas 3. Términos y Definiciones 4. Sistema de Gestión de la Seguridad de la Información 5. Responsabilidad de la Dirección 6. Revisión del SGSI por la Dirección 7. Mejora del SGSI. Anexo A Objetivos de Control y Controles. Anexo B Guía para el uso de la Norma. Anexo C Correspondencia entre ISO ISO14001 – BS Norma ISO/IEC 27001

4. S ISTEMA DE G ESTIÓN DE LA S EGURIDAD DE LA I NFORMACIÓN EL MODELO PDCA – PHVA aplicado al SGSI 1.Plan (planificar): establecer el SGSI. 2.Do (hacer): implementar y utilizar el SGSI. 3.Check (verificar): monitorizar y revisar el SGSI. 4.Act (actuar): mantener y mejorar el SGSI. RC Resumen de Controles - DA Declaración de Aplicabilidad Requisitos de Seguridad de la Información Resultados de la Seguridad de la Información

4.1. REQUISITOS GENERALES La organización debe: Desarrollar, implementar, mantener y mejorar documentadoriesgos Desarrollar, implementar, mantener y mejorar un Sistema de Gestión de la Seguridad de la Información (SGSI) documentado dentro del contexto de los riesgos del negocio.

FLUJOGRAMA PARA EL ESTABLECIMIENTO DE UN SGSI

ESTABLECIMIENTO Y GESTIÓN DEL SGSI

ESTABLECIMIENTO Y GESTIÓN DEL SGSI (1)

ESTABLECIMIENTO Y GESTIÓN DEL SGSI (2)

ESTABLECIMIENTO Y GESTIÓN DEL SGSI (3)

ESTABLECIMIENTO Y GESTIÓN DEL SGSI (4)

EJEMPLO DE POLITICA DE SEGURIDAD (1) A.3 POLÍTICA DE SEGURIDAD

4.2.2 IMPLEMENTACIÓN Y OPERACIÓN DEL SGSI Anexo A

4.2.2 IMPLEMENTACIÓN Y OPERACIÓN DEL SGSI (1)

4.2.2 IMPLEMENTACIÓN Y OPERACIÓN DEL SGSI (2)

SEGUIMIENTO Y REVISIÓN DEL SGSI

SEGUIMIENTO Y REVISIÓN DEL SGSI (1)

SEGUIMIENTO Y REVISIÓN DEL SGSI (2)

MANTENER Y MEJORAR EL SGSI

MANTENER Y MEJORAR EL SGSI (1)

REQUISITOS DE DOCUMENTACION (1)

REQUISITOS DE DOCUMENTACION (2)

REQUISITOS DE DOCUMENTACION (3)

RESPONSABILIDAD DE LA DIRECCION (1)

RESPONSABILIDAD DE LA DIRECCION (2)

AUDITORIA INTERNA DEL SGSI (1)

MONITOREO DEL SGSI POR LA DIRECCION (1)

MONITOREO DEL SGSI POR LA DIRECCION (2)

MEJORA DEL SGSI (1)

OBJETIVOS DE CONTROL Y CONTROLES CONTROL Y CONTROLES Anexo Nº 1

OBJETIVOS DE CONTROL

OBJETIVOS DE CONTROL Y CONTROLES

CONTROLES DE CADA OBJETIVO DE CONTROL (1)

CONTROLES DE CADA OBJETIVO DE CONTROL (2)

CONTROLES DE CADA OBJETIVO DE CONTROL (3)

CONTROLES DE CADA OBJETIVO DE CONTROL (4)

CONTROLES DE CADA OBJETIVO DE CONTROL (5)

CONTROLES DE CADA OBJETIVO DE CONTROL (6)

CONTROLES DE CADA OBJETIVO DE CONTROL (7)

CONTROLES DE CADA OBJETIVO DE CONTROL (8)

CONTROLES DE CADA OBJETIVO DE CONTROL (9)

BENEFICIOS DE UN SGSI

CONCLUSIONES FUNDAMENTALES