GESTIÓN DE LA CIBERSEGURIDAD SEGÚN EL ISO/IEC 27032: /16/2017 Mg Miguel del Pozo.

Presentación del tema: "GESTIÓN DE LA CIBERSEGURIDAD SEGÚN EL ISO/IEC 27032: /16/2017 Mg Miguel del Pozo."— Transcripción de la presentación:

1 GESTIÓN DE LA CIBERSEGURIDAD SEGÚN EL ISO/IEC 27032:2012 11/16/2017 Mg Miguel del Pozo

2 CISO and CPO at OSIPTEL, LA ISO27001, ITIL, ISO 22301, ISO 31000, UNE 166002 En la Actualidad es muy común escuchar el termino "Ciberseguridad" (Certificaciones, Postgrados, Master, consultoras, equipamiento, etc.), término que ayuda a entender la importancia de la Seguridad y el debido resguardo de la información e infraestructuras en el ciberespacio. Pero este aspecto de la seguridad no es un tema nuevo, esta arista se encuentra inmersa en el campo de la seguridad informática y, en un ámbito más amplio, en la Seguridad de la Información. 11/16/2017 Mg Miguel del Pozo

3 USO DEL TÉRMINO CIBERSEGURIDAD LA SIGUIENTE TABLA PROPORCIONA UNA VISIÓN GENERAL DE ALGUNAS NORMAS QUE USAN LA DEFINICIÓN DE CIBERSEGURIDAD: 11/16/2017Mg Miguel del Pozo

4 ISO/IEC 27032:2012 La norma ISO/IEC 27032:2012 "Tecnología de la información - Técnicas de seguridad - Directrices para la Ciberseguridad" (publicada en julio del 2012) proporciona un marco de orientación para mejorar el estado de la Ciberseguridad, usando para ello los aspectos estratégicos y técnicos relevantes para esa actividad, y sus dependencias con otros dominios de seguridad, en particular: Seguridad de la información (considerando que la información es el activo mas relevante de cualquier organización), Seguridad en redes, Seguridad en el Internet, y La protección de infraestructuras críticas de información. 11/16/2017Mg Miguel del Pozo

5 ESTRUCTURA DE LA NORMA 11/16/2017Mg Miguel del Pozo

6 LA NATURALEZA DE LA CIBERSEGURIDAD LA SIGUIENTE FIGURA EXPLICA LA RELACIÓN ENTRE LA CIBERSEGURIDAD CON OTROS ÁMBITOS DE SEGURIDAD, COMO LA SEGURIDAD DE LA INFORMACIÓN, SEGURIDAD DE RED, SEGURIDAD EN APLICACIONES, ETC. 11/16/2017Mg Miguel del Pozo

7 DOMINIOS DE LA CIBERSEGURIDAD 11/16/2017Mg Miguel del Pozo

8 LOS DOMINIOS MENCIONADOS SON LOS SIGUIENTES: 11/16/2017Mg Miguel del Pozo

9 PARTES INTERESADAS EN EL CIBERESPACIO El Ciberespacio no pertenece a ninguna persona o empresa, todo el mundo participa y tiene participación en él, para los fines del ISO 27032, las partes interesadas en el Ciberespacio se clasifican en los siguientes grupos: los consumidores, incluyendo personas; y organizaciones privadas y públicas; los proveedores, incluyendo, pero sin limitarse a los proveedores de servicios de Internet, y los proveedores de servicio de aplicaciones 11/16/2017Mg Miguel del Pozo

10 ACTIVOS EN EL CIBERESPACIO Un activo se define como algo que tiene valor para la organización. Hay muchos tipos de activos, incluyendo los siguientes: la información; software, como un programa o software; hardware, tal como un computador; servicios, como la electricidad; las personas, sus habilidades y experiencia, y los activos intangibles, como la reputación y la imagen ante los clientes. 11/16/2017Mg Miguel del Pozo

11 PROTECCIÓN DE LOS ACTIVOS EN EL CIBERESPACIO En sus marcos de ciberseguridad, tanto el Instituto Nacional de Estándares y Tecnología (NIST), la Agencia Europea de Red y Seguridad de la Información (ENISA) e ISO han identificado cinco funciones clave necesarias para la protección de los activos digitales. Estas funciones coinciden con las metodologías de gestión de incidentes e incluyen las siguientes actividades: Identificar: Utilice la comprensión de la organización para minimizar el riesgo de los sistemas, activos, datos y capacidades. Proteger: Diseño salvaguardias para limitar el impacto de los eventos potenciales sobre los servicios y las infraestructuras críticas. Detectar: Ejecutar actividades para identificar la ocurrencia de un evento de ciberseguridad. Responder: Tomar las medidas apropiadas después de enterarse de un evento de seguridad. Recuperar: Planificar la capacidad de recuperación y la reparación oportuna de capacidades y servicios comprometidos. 11/16/2017Mg Miguel del Pozo

12 GESTIÓN DE RIESGOS, AMENAZAS Y VULNERABILIDADES Como en cualquier tipo de norma que ayuda a implementar un Sistema de Gestión, el Análisis y Gestión de riesgos es un pilar fundamental, ya que nos permite tener un panorama claro de las amenazas, vulnerabilidades, zonas de riesgos y criterios de aceptación, todo ello con la finalidad de poder optimizar la inversión en seguridad y priorizar la implementación de controles o salvaguardas. Para ello podemos utilizar el ISO 31000 como norma de apoyo en la implementación del Análisis y Gestión de Riesgos. 11/16/2017Mg Miguel del Pozo

13 ROLES DE LAS PARTES INTERESADAS EN LA CIBERSEGURIDAD PARA MEJORAR EL ESTADO DE LA CIBERSEGURIDAD, LAS PARTES INTERESADAS EN EL CIBERESPACIO TIENEN QUE DESEMPEÑAR UN ROL ACTIVO EN SU RESPECTIVO USO Y DESARROLLO DE LA CIBERSEGURIDAD. 11/16/2017Mg Miguel del Pozo

14 NUEVO ENFOQUE EN CONTROLES DE CIBERSEGURIDAD Los controles técnicos definidos en esta Norma se basan en que las organizaciones cuentan con un marco de buena práctica de Seguridad Cibernética basados, en parte, en el ISO/IEC 27001. El ISO 27032 introduce como complemento a los controles ya definidos en el ISO 27001, los siguientes controles técnicos de Ciberseguridad: Ataques de ingeniería social; Hacking; Software malicioso (malware); Spyware; y Otros programas no deseados Una vez que los riesgos de Ciberseguridad se identifican y se proponen lineamientos apropiados (Para ello se puede utilizar el enfoque de Gestión de riesgos propuesto en el ISO 31000), los controles de Ciberseguridad que soportan a los requisitos de seguridad pueden seleccionarse e implementarse. 11/16/2017Mg Miguel del Pozo