PR/mo/item ID ISO Date Organización Internacional de Normalización.

Presentación del tema: "PR/mo/item ID ISO Date Organización Internacional de Normalización."— Transcripción de la presentación:

1 PR/mo/item ID ISO 270011 Date www.iso.org Organización Internacional de Normalización

2 ISO/IEC 27001 – Sistema de Gestión de la Seguridad de la Información Msc. Daniel Avellaneda Cyber Security Foundation Professional Certificate CSFPC ISO/IEC 27001 Implementer – Internal Auditor – Leader Auditor Certified CyberArk Certified Trustee Certified Ethical Hacker (CEH) Certified Information Systems Auditor (CISA) ISO 270012

3 La Familia de las Normas 27000 & ISO/IEC 27001 ISO 270013

4 WG1 Normas del SGSI Presidente Prof. Ted Humphreys Vicepresidente Angelika Plate WG4 Servicios de SGSI Presidente Meng-Chow Kang WG2 Técnicas de Seguridad Presidente Prof. Kenji Namura WG3 Evaluación de la Seguridad Presidente Mats Ohlin WG5 Privacidad, Gestión de ID y Biométrica Presidente -por definirse- ISO/IEC JTC1 SC27 Presidente Dr. Walter Fumy Vicepresidente Dr. Marijike de Soete Secretaria Krystyna Passia (DIN) ISO 270014 ISO/IEC JTC1 SC 27

5 Sistema de Gestión de la Seguridad de la Información (SGSI) [27001] Sistema de Gestión de la Seguridad de la Información (SGSI) [27001] del impl eme ntaci ón [27003] S G & SGSI general del Panora ma terminología [27000] Panorama general & terminología del SGSI [27000] Controles de la seguridad de la información (ex17799) [27002] Guía de implementación del SGSI [27003] de gestión de [27004] la de seguridad Mediciones de la gestión de la seguridad de la información [27004] SGS I de riesg o [27005] del Gestión del riesgo de SGSI [27005] Guía Material de orientación y apoyo a 27001 Requisitos de acreditación para el SGSI [27006] Requisitos de acreditación para el SGSI [27006] Directrices de auditoría del SGSI [27007] PROYECTO NUEVO Directrices de auditoría del SGSI [27007] PROYECTO NUEVO Acreditación y certificación ISO 270015

6 NormaTítuloEstado 27000Panorama General y VocabularioFDIS 27001Requisitos para el SGSI Publicada – actualizada ahora 27002 Código de Práctica para la Gestión de la Seguridad de la Información Publicada – actualizada ahora 27003Guía de Implementación del SGSIFCD 27004Mediciones de la GSI2do. FCD 27005Gestión del Riesgo del SGSIPublicada 27006 Requisitos de Acreditación para organismos de certificación Publicada 27007Directrices de Auditoría del SGSIWD PR/mo/item ID Date ISO 270016 Normas 27000

7 Modelo Modelo DCA DCA SGSI SGSI Model Model Ciclo de Vida del SGSI PLANIFICAR VERIFICAR ACTUAR HACER Diseño del SGSI ISO 270017 Implementa ción & operación del SGSI Mantenimiento & mejora del SGSI Seguimiento & revisión del SGSI Modelo PHVA

8 Implementación de procesos de gestión del riesgo para alcanzar un SGSI eficaz mediante un proceso de mejora continua ISO 270018 Information Security Management System (SGSI) Process Model Diseño del SGSI (evaluación del riesgo, tratamiento del riesgo, selección de los controles …) Implementación y Utilización del SGSI (implementar y ensayar los controles, políticas, procedimientos, procesos…) Seguimiento & Revisión del SGSI (incidente, cambios, reevaluación de los riesgos, hojas de evaluación, auditorías…) Actualización & Mejora del SGSI (mejorar o implementar nuevos controles, políticas, procedimientos…) PHVA Planificar PHVA Hacer Verificar Actuar

9 Puntos sobresalientes y características Enfoque de gestión del riesgo evaluación del riesgo, tratamiento del riesgo, toma de decisiones por parte de la Dirección Modelo de mejora continua Medidas de eficacia Especificación de auditoría (Auditoría interna y externa del SGSI) Está ahora en revisión ISO 270019 Requisitos del SGSI

10 Norma ISO/IEC 27002 Código de Práctica para la gestión de la Seguridad de la Información ISO 2700110  Un catálogo de Prácticas Eficaces  Sugiere un grupo de controles holísticos  No es una norma de certificación o de auditoría Política de seguridad Organización de la seguridad de la información Gestión de activos Seguridad de los recursos humanos Seguridad física & del entorno Gestión de operaciones & comunicaciones Control del acceso Adquisición, desarrollo y mantenimiento de los sistemas de información Gestión de los incidentes de seguridad de la información Gestión de la continuidad del negocio Cumplimiento

11 Código de Práctica para la gestión de la seguridad de la información Desde la primavera de 2007 a la norma ISO/IEC 17799 se le dio nueva numeración como 27002 La norma está ahora en revisión ISO 2700111

12 Una guía para avanzar en la implementación de los requisitos definidos en la norma 27001 El alcance incluye orientación sobre implementación en: Asesoramiento detallado y ayuda en lo concerniente a los procesos PHVA Alcance y política del SGSI Identificación de activos Implementación de controles seleccionados Seguimiento y revisión y mejora continua ISO 2700112 ¿Qué hay en la norma ISO/IEC 27003?

13 Orientación sobre las mediciones de la gestión de la seguridad de la información para apoyar los requisitos de medición y eficacia definidos en la norma 27001 ¿Qué, cómo y cuándo medir? Desempeño, benchmarking, seguimiento y revisión de la eficacia del SGSI para ayudar en la toma de decisiones empresariales y mejoras al SGSI ¿Qué hay en la norma ISO/IEC 27004? ISO 2700113

14 Orientación en la gestión del riesgo del SGSI para apoyar la evaluación, tratamiento y gestión del riesgo, y la selección de los requisitos de los controles definidos en la norma 27001 Orientación detallada para los implementadores del SGSI, encargados de la gestión del riesgo, oficiales de seguridad … Publicada ¿Qué hay en la norma ISO/IEC 27005? ISO 2700114

15 15 ISO 2700115 Requisitos de Acreditación del SGSI Requisitos específicos del SGSI para complementar los requisitos genéricos en la norma ISO 17021-1 Sustituye a EA 7/03 Publicada en enero de 2007 ¿Qué hay en la norma ISO/IEC 27006?

16 NORMA ISO/IEC 27007 Directrices de Auditoría del SGSI Orientación específica del SGSI para complementar la norma ISO 19011 Manejar la orientación a los auditores en temas como: Establecimiento de los rastros de auditoría del SGSI Auditoría de evidencia forense Alcances del SGSI ISO 2700116 Mediciones 16

17 Serie 27000 ISO 2700117

18 Evolución ISO 2700118

19 Evolución BS 7799-1:1995 BS 7799-1:1999 ISO/IEC 17799:2000 ISO/IEC 17799:2005 ISO/IEC 17799:2007 Código de práctica para la gestión de la seguridad de la información Requisitos del SGSI ISO 2700119 BS 7799-2:1998 BS 7799-2:1999 BS 7799-2:2002 ISO/IEC 27001:2005 ISO/IEC 27001:2013

20 del impl eme ntaci ón [27003] S G SI de Guía de segurid ad (ex17799) de informaci ón [27002] la Control es la & SGSI general del Panoram a terminología [2 7000] Panorama general & terminología del SGSI [27000] Controles de la seguridad de la información (ex17799) [27002] Guía de implementación del SGSI [27003] de gestión de [27004] la de seguridad informa ción Mediciones de la gestión de la seguridad de la información [27004] SGS I del riesg o [27005] del Gesti ón Gestión del riesgo del SGSI [27005] 27 01 x] [ fin an ci er os si st e m as Requisitos para los sistemas financieros [2701x] [2 70 11 ] tel ec o m un ic Requisitos para las telecomunicaciones [27011] [2 70 1x ] tr an sp or te el pa ra Requisitos para el transporte [2701x] [2 70 1x ] l) ia Mu nd ía r Lo te de ió n c ci a so A ( L A W pa ra [2 70 1x ] au to m ot or es lo Requisitos para los automotores [2701x] 27 0x x/ 27 79 9] [ sa lu d la de cu id ad o el pa ra Requisitos para el cuidado de la salud [270xx/27799] Requisitos para WLA (Asociación de Lotería Mundial) [2701x] Técnicas criptográficas, protocolos de autenticación, técnicas biométricas, tecnologías de privacidad … Técnicas criptográficas, protocolos de autenticación, técnicas biométricas, tecnologías de privacidad … Recuperación de desastres, seguridad de las redes de TI, servicios TTP, IDS, manejo del incidente, aplicaciones de red, gestión de la identificación, ciber.. Recuperación de desastres, seguridad de las redes de TI, servicios TTP, IDS, manejo del incidente, aplicaciones de red, gestión de la identificación, ciber.. Producto sistema evaluación & aseguramiento de la Requisitos de Acreditación [17021] Requisitos de Acreditación [17021] Requisitos de Acreditación para el SGSI [27006] Requisitos de Acreditación para el SGSI [27006] Directrices de auditoría [19011 & 27007] Directrices de auditoría [19011 & 27007] Sistema de Gestión de la Seguridad de la Información (SGSI) [27001] Sistema de Gestión de la Seguridad seguridad 118 de la Información (SGSI) [27001]

21 Gestión de manejo de los incidentes de seguridad de la información Apoya los controles de manejo de los incidentes en ISO/IEC 27002 Proporciona patrones y asesoramiento más técnico sobre cómo implementar esquemas para el manejo del incidente Publicada en 2005 ISO 2700121 NORMA ISO/IEC 18044

22 NORMA ISO/IEC 24762 Servicios de Recuperación de desastres El borrador de trabajo es la Norma de Singapur SS 507 para los proveedores de servicios para la recuperación de desastres. En desarrollo en la nueva WG 4 Publicada ISO 2700122

23 http://www.iso.org ISO 2700123 Norma ISO/IEC