PR/mo/item ID ISO Date Organización Internacional de Normalización

ISO/IEC – Sistema de Gestión de la Seguridad de la Información Msc. Daniel Avellaneda Cyber Security Foundation Professional Certificate CSFPC ISO/IEC Implementer – Internal Auditor – Leader Auditor Certified CyberArk Certified Trustee Certified Ethical Hacker (CEH) Certified Information Systems Auditor (CISA) ISO

La Familia de las Normas & ISO/IEC ISO

WG1 Normas del SGSI Presidente Prof. Ted Humphreys Vicepresidente Angelika Plate WG4 Servicios de SGSI Presidente Meng-Chow Kang WG2 Técnicas de Seguridad Presidente Prof. Kenji Namura WG3 Evaluación de la Seguridad Presidente Mats Ohlin WG5 Privacidad, Gestión de ID y Biométrica Presidente -por definirse- ISO/IEC JTC1 SC27 Presidente Dr. Walter Fumy Vicepresidente Dr. Marijike de Soete Secretaria Krystyna Passia (DIN) ISO ISO/IEC JTC1 SC 27

Sistema de Gestión de la Seguridad de la Información (SGSI) [27001] Sistema de Gestión de la Seguridad de la Información (SGSI) [27001] del impl eme ntaci ón [27003] S G & SGSI general del Panora ma terminología [27000] Panorama general & terminología del SGSI [27000] Controles de la seguridad de la información (ex17799) [27002] Guía de implementación del SGSI [27003] de gestión de [27004] la de seguridad Mediciones de la gestión de la seguridad de la información [27004] SGS I de riesg o [27005] del Gestión del riesgo de SGSI [27005] Guía Material de orientación y apoyo a Requisitos de acreditación para el SGSI [27006] Requisitos de acreditación para el SGSI [27006] Directrices de auditoría del SGSI [27007] PROYECTO NUEVO Directrices de auditoría del SGSI [27007] PROYECTO NUEVO Acreditación y certificación ISO

NormaTítuloEstado 27000Panorama General y VocabularioFDIS 27001Requisitos para el SGSI Publicada – actualizada ahora Código de Práctica para la Gestión de la Seguridad de la Información Publicada – actualizada ahora 27003Guía de Implementación del SGSIFCD 27004Mediciones de la GSI2do. FCD 27005Gestión del Riesgo del SGSIPublicada Requisitos de Acreditación para organismos de certificación Publicada 27007Directrices de Auditoría del SGSIWD PR/mo/item ID Date ISO Normas 27000

Modelo Modelo DCA DCA SGSI SGSI Model Model Ciclo de Vida del SGSI PLANIFICAR VERIFICAR ACTUAR HACER Diseño del SGSI ISO Implementa ción & operación del SGSI Mantenimiento & mejora del SGSI Seguimiento & revisión del SGSI Modelo PHVA

Implementación de procesos de gestión del riesgo para alcanzar un SGSI eficaz mediante un proceso de mejora continua ISO Information Security Management System (SGSI) Process Model Diseño del SGSI (evaluación del riesgo, tratamiento del riesgo, selección de los controles …) Implementación y Utilización del SGSI (implementar y ensayar los controles, políticas, procedimientos, procesos…) Seguimiento & Revisión del SGSI (incidente, cambios, reevaluación de los riesgos, hojas de evaluación, auditorías…) Actualización & Mejora del SGSI (mejorar o implementar nuevos controles, políticas, procedimientos…) PHVA Planificar PHVA Hacer Verificar Actuar

Puntos sobresalientes y características Enfoque de gestión del riesgo evaluación del riesgo, tratamiento del riesgo, toma de decisiones por parte de la Dirección Modelo de mejora continua Medidas de eficacia Especificación de auditoría (Auditoría interna y externa del SGSI) Está ahora en revisión ISO Requisitos del SGSI

Norma ISO/IEC Código de Práctica para la gestión de la Seguridad de la Información ISO  Un catálogo de Prácticas Eficaces  Sugiere un grupo de controles holísticos  No es una norma de certificación o de auditoría Política de seguridad Organización de la seguridad de la información Gestión de activos Seguridad de los recursos humanos Seguridad física & del entorno Gestión de operaciones & comunicaciones Control del acceso Adquisición, desarrollo y mantenimiento de los sistemas de información Gestión de los incidentes de seguridad de la información Gestión de la continuidad del negocio Cumplimiento

Código de Práctica para la gestión de la seguridad de la información Desde la primavera de 2007 a la norma ISO/IEC se le dio nueva numeración como La norma está ahora en revisión ISO

Una guía para avanzar en la implementación de los requisitos definidos en la norma El alcance incluye orientación sobre implementación en: Asesoramiento detallado y ayuda en lo concerniente a los procesos PHVA Alcance y política del SGSI Identificación de activos Implementación de controles seleccionados Seguimiento y revisión y mejora continua ISO ¿Qué hay en la norma ISO/IEC 27003?

Orientación sobre las mediciones de la gestión de la seguridad de la información para apoyar los requisitos de medición y eficacia definidos en la norma ¿Qué, cómo y cuándo medir? Desempeño, benchmarking, seguimiento y revisión de la eficacia del SGSI para ayudar en la toma de decisiones empresariales y mejoras al SGSI ¿Qué hay en la norma ISO/IEC 27004? ISO

Orientación en la gestión del riesgo del SGSI para apoyar la evaluación, tratamiento y gestión del riesgo, y la selección de los requisitos de los controles definidos en la norma Orientación detallada para los implementadores del SGSI, encargados de la gestión del riesgo, oficiales de seguridad … Publicada ¿Qué hay en la norma ISO/IEC 27005? ISO

15 ISO Requisitos de Acreditación del SGSI Requisitos específicos del SGSI para complementar los requisitos genéricos en la norma ISO Sustituye a EA 7/03 Publicada en enero de 2007 ¿Qué hay en la norma ISO/IEC 27006?

NORMA ISO/IEC Directrices de Auditoría del SGSI Orientación específica del SGSI para complementar la norma ISO Manejar la orientación a los auditores en temas como: Establecimiento de los rastros de auditoría del SGSI Auditoría de evidencia forense Alcances del SGSI ISO Mediciones 16

Serie ISO

Evolución ISO

Evolución BS :1995 BS :1999 ISO/IEC 17799:2000 ISO/IEC 17799:2005 ISO/IEC 17799:2007 Código de práctica para la gestión de la seguridad de la información Requisitos del SGSI ISO BS :1998 BS :1999 BS :2002 ISO/IEC 27001:2005 ISO/IEC 27001:2013

del impl eme ntaci ón [27003] S G SI de Guía de segurid ad (ex17799) de informaci ón [27002] la Control es la & SGSI general del Panoram a terminología [2 7000] Panorama general & terminología del SGSI [27000] Controles de la seguridad de la información (ex17799) [27002] Guía de implementación del SGSI [27003] de gestión de [27004] la de seguridad informa ción Mediciones de la gestión de la seguridad de la información [27004] SGS I del riesg o [27005] del Gesti ón Gestión del riesgo del SGSI [27005] x] [ fin an ci er os si st e m as Requisitos para los sistemas financieros [2701x] [ ] tel ec o m un ic Requisitos para las telecomunicaciones [27011] [2 70 1x ] tr an sp or te el pa ra Requisitos para el transporte [2701x] [2 70 1x ] l) ia Mu nd ía r Lo te de ió n c ci a so A ( L A W pa ra [2 70 1x ] au to m ot or es lo Requisitos para los automotores [2701x] 27 0x x/ ] [ sa lu d la de cu id ad o el pa ra Requisitos para el cuidado de la salud [270xx/27799] Requisitos para WLA (Asociación de Lotería Mundial) [2701x] Técnicas criptográficas, protocolos de autenticación, técnicas biométricas, tecnologías de privacidad … Técnicas criptográficas, protocolos de autenticación, técnicas biométricas, tecnologías de privacidad … Recuperación de desastres, seguridad de las redes de TI, servicios TTP, IDS, manejo del incidente, aplicaciones de red, gestión de la identificación, ciber.. Recuperación de desastres, seguridad de las redes de TI, servicios TTP, IDS, manejo del incidente, aplicaciones de red, gestión de la identificación, ciber.. Producto sistema evaluación & aseguramiento de la Requisitos de Acreditación [17021] Requisitos de Acreditación [17021] Requisitos de Acreditación para el SGSI [27006] Requisitos de Acreditación para el SGSI [27006] Directrices de auditoría [19011 & 27007] Directrices de auditoría [19011 & 27007] Sistema de Gestión de la Seguridad de la Información (SGSI) [27001] Sistema de Gestión de la Seguridad seguridad 118 de la Información (SGSI) [27001]

Gestión de manejo de los incidentes de seguridad de la información Apoya los controles de manejo de los incidentes en ISO/IEC Proporciona patrones y asesoramiento más técnico sobre cómo implementar esquemas para el manejo del incidente Publicada en 2005 ISO NORMA ISO/IEC 18044

NORMA ISO/IEC Servicios de Recuperación de desastres El borrador de trabajo es la Norma de Singapur SS 507 para los proveedores de servicios para la recuperación de desastres. En desarrollo en la nueva WG 4 Publicada ISO

ISO Norma ISO/IEC