9-Unidad 3: Marcos de Referencia para Seguridad de la Información - 3.1 ISO 27000

1. Unidad 3: Marcos de Referencia para Seguridad
de la Información
3.1 ISO 27000
Seguridad de la Información
Modalidad de estudios: Semi Presencial
Mg. Luis Fernando Aguas Bucheli
+593 984015184
@Aguaszoft
Laguas@uisrael.edu.ec
Lfabsoft2019@gmail.com

2. Objetivos del encuentro:
1. Adquirir los conceptos básicos relacionados con la
tendencia de SI
2. Reconocer las características de la tendencia de SI
Semana Nro. 9

3. Frase Motivacional
“Siempre que ves una persona
exitosa percibes sus glorias, y nunca
los sacrificios que la llevaron hasta
allí” – Vaibhav Shah.

4. NORMA ISO 27000
Conceptos asociados a ISO 27000
Normas ISO 27000: Familia de
estándares de ISO e IEC que
proporciona un marco para la
gestión de la seguridad de la
Información
Conjunto de normas que especifican los
requisitos para establecer, implantar,
poner en funcionamiento, controlar,
revisar, mantener y mejorar un SGSI.

5. ¿QUÉ ES LA INFORMACIÓN?
La Academia Latinoamericana de
Seguridad Informática (2.004) destaca al
respecto que “la información es el objeto
de mayor valor para las empresas”.
Platos
Motor
Cabeza
lectora
“La información es un activo que, como
otros activos importantes del negocio,
tiene valor para una organización y, por lo
tanto necesita ser protegido” ISO / IEC
27001:2005

6. SEGURIDAD DE LA INFORMACIÓN
Explica que “la seguridad de la información
son las medidas adoptadas para evitar el uso no
autorizado, el mal uso, la modificación o
denegación del uso de conocimientos, hechos,
Datos o capacidades”.
Maiwald (2005)
Marco Regulatorio
Ley Orgánica de Protección de Datos (LOPD)
Información de la empresa, los datos de carácter personal.
Reglamento de Desarrollo RD1720/2007
Especifica controles técnicos, físicos y organizativos para garantizar la
Protección de citados datos.

7. SEGURIDAD DE LA INFORMACIÓN
Site público de laempresa,
Publicidad
Ofertas comerciales,ERP,
contabilidad, planesejecutivos
• Los datos de carácter personal son un subconjunto del activo más
importante que Maneja una empresa:
•Planes estratégicos, salario del personal, operaciones
financieras
• Empleados,pacientes, clientes

8. SEGURIDAD DE LA INFORMACIÓN
Los objetivos principales de la serie 27000 son la protección de la
información en sus diversas dimensiones, garantizando la:
1 Confidencialidad 2 Integridad 3 Disponibilidad
La Organización Internacional de Estandarización (ISO), a través de las normas
recogidas en ISO/IEC 27000, establece un modelo para la implementación efectiva:
ISO 27002 (ISO)17799
Guía de Buenas Prácticas
ISO 27000:Términos
y Definiciones
ISO27001: Requerimientos
del SGSI

9. SEGURIDAD DE LA INFORMACIÓN
En las normas ISO 27001, el concepto del sistema de gestión es común
estableciendo sinergia y un marco de actuación estructural y
documental. Este sistema de gestión está compuesto por:
Manual de
Calidad y
Seguridad
Procesos/
Procedimientos
Operativos
Generales
Registros de
Calidad y
Seguridad
Instrucciones
de Trabajo
Específicas

10. SEGURIDAD DE LA INFORMACIÓN
En las normas ISO 27001, el concepto del sistema de gestión es común
estableciendo sinergia y un marco de actuación estructural y
documental. Este sistema de gestión está compuesto por:
MANUAL DE SEGURIDAD
PROCEDIMIENTOS
INSTRUCCIONES – CHECKLIST -
FORMULARIOS
REGISTROS

11. SISTEMA DE GESTIÓN DE LA
SEGURIDAD DE LA
INFORMACIÓN
INFORMACIÓN
El SGSI (Sistema de Gestión de Seguridad de la Información) es el
concepto central sobre el que se construye ISO 27001
DATOS

12. ¿PARA QUÉ SIRVE UN SGSI?
RIESGOS
AMENAZAS
CONTROLES
REQUERIMIENTOS
DE
SEGURIDAD
Imponen
Marcan
Disminuyen
Aumentan
Protegen de
VULNERABILIDAD
ACTIVOS
VALOR
DE LOS
ACTIVOS
Impactan si se
materializan
Aumentan
Tienen
Aumentan
Exponen
Aprovechan

13. EVOLUCIÓN DE LA
NORMATIVA ISO 27000BSI (British Standards Institution): Organización británica responsable de la
publicación de importantes normas como:
(BS 7799-1): es una guía de
buenas prácticas, para laque
no se establece un esquema de
certificación
(BS 7799-2): publicada por
primera vez en 1998, la
que establece los
requisitos de un sistema
de seguridad de la
información (SGSI) para
ser certificable por una
entidad independiente
Las dos partes de la
norma BS 7799 se
revisaron en 1999 y la
primera parte se adoptó
por ISO, como ISO
17799 en el año2000
En 2002, se revisó BS 7799-2
para adecuarse a la filosofía de
normas ISO de sistemas de
gestión
1979 Publicación BS 5750-
ahora ISO 9001
1992 PublicaciónBS
7750 - ahora ISO
14001
1996 PublicaciónBS
8800 - ahora OHSAS
18001
Publica a norma BS 7799 en 1995:
conjunto de buenas prácticas para
la gestión de la seguridad de su
información

14. EVOLUCIÓN DE LA NORMATIVA ISO 27000
En 2005, con más de 1700 empresas certificadas en BS7799-2, el
esquema se publicó por ISO como estándar ISO 27001.
1995
BS 7799 Parte1
Código de
Buenas
Prácticas 1998
BS 7799 Parte2
Especificación
del SGSI
1999
BS 7799-1 1999
BS 7799-2 1999
Revolución de
las partes
1 y 2
2000
ISO/IEC 17799:2000
Parte 1 se adopta
como ISO
2002
BS 7799-2: 2002
Revisión de la
parte 2
Junio 2005
ISO/IEC
17799: 2000
Revisión de
ISO 17999
Octubre 2005
ISO/IEC 27001
Parte 2
se adopta
como ISO
HISTORIA
DE ISO
27001

15. 2012
ISO/IEC 27010: 2012
ISO/IEC 27013: 2012
ISO/IEC TR 27015: 2012
2011
ISO/IEC 27035: 2011
ISO/IEC 27031: 2011
ISO/IEC 27005: 2011
ISO/IEC 27006: 2011
ISO/IEC 27007: 2011
ISO/IEC TR 27008:2011
ISO/IEC 27034: 2011
2010
ISO/IEC 27003: 2010
2009
ISO/IEC 27031: 2009
ISO/IEC 27004: 2009
ISO/IEC 27033: 2009
2008
ISO/IEC 27005: 2008
ISO/IEC 27011: 2008
ISO/IEC 27799: 2008
2007
ISO/IEC 27002: 2005
ISO/IEC 27006: 2007
EVOLUCIÓN DE LA NORMATIVA ISO 27000

16. EVOLUCIÓN DE LA NORMATIVA ISO 27000
ISO/IEC 27001: especifica los requisitos a cumplir para implantar un SGSI
certificable conforme a las normas 27000
Puntos clave: Gestión
de riesgos + Mejora
continua
Define cómo es el SGSI,
cómo se gestiona y cuáles
son las responsabilidades
de los participantes
Sigue un modelo PDCA
(Plan-Do-Check-Act)
ISO/IEC
27001

17. EVOLUCIÓN
ISO/IEC 27011: guía de
ISO/IEC 27006: requisitos a
cumplir por las
organizaciones encargadas
de emitir certificaciones
ISO/IEC 27001
ISO/IEC 27002: código de
buenas prácticas para la
gestión de la seguridad
ISO/IEC 27007: guía de
actuación para auditar los
SGSI conforme a las
normas 27000
ISO/IEC 27032: guía de
seguridad en aplicaciones
ISO/IEC 27003: guía
de implementación
de SGSI e
información
EVOLUCIÓN DE LA NORMATIVA ISO 27000
ISO/IEC 27004: especifica
las métricas y las
técnicas de medida
aplicable para la eficacia
el SGSI
ISO/IEC 27005: gestiónde
riesgos de seguridad de
la información
ISO/IEC 27032: guía
relativa a la
ciberseguridad
ISO/IEC 27799: guía para
implantar ISO/IEC 27002
específica para entornos
médicos
gestión de seguridad de la
información específica para
telecomunicaciones
ISO/IEC 27031: guía de
continuidadde negocio en lo
relativo a tecnologías de la
información y
comunicaciones

18. EVOLUCIÓN DE LA NORMATIVA ISO 27000
Diagrama de relación de la reorganización de las cláusulas principales
de la versión 2005 a la publicada en 2013

19. Enfoque del análisis del
riesgo de l afase de
planificación yoperación
NUEVA
ISO 27001: 2013
NUEVA ISO 27001:
2013

20. NUEVA ISO 27001:
2013
Estudio de
situación actual
en aspectos
de seguridad
Mantenimiento,
evaluación y
planes de mejora
SGSI
Comprobarla
efectividadde
las medidas
implantadas
Implantaciónde
medidas de
seguridad

21. ISO 27001
“Norma que especifica los requisitos para establecer, implantar,
poner en funcionamiento, controlar, revisar, mantener y mejorar un
SGSI documentado dentro del contexto global de los riesgos de
negocio de la organización. Especifica los requisitos para la
implantación de los controles de seguridad hechos a medida de
las necesidades de organizaciones individuales o partes de las
mismas”
Se adopta el
modelo Plan-Do-
Check-Act (PDCA
ó ciclo de Deming)
para todos los
procesos de la
organización
Objetivo:
Mejora
continua

22. PLANIFICAR
(Creación del SGSI
Definir las políticas, objetivos,
procesos y procedimientos del SGSI
relevantes para gestionar el riesgo y
mejorar la seguridad de la
información con el fin de obtener
resultados acordes con las
políticas y objetivos
generales de la organización
HACER
(Implementación y operación del SGSI
Implementar y operar la política,
controles, procesos y
procedimientos del SGSI
VERIFICAR
(Supervisión y revisión del SGSI
Evaluar y, en su caso, medir el
rendimiento del proceso contra la
política, los objetivos y la
experiencia práctica del SGSI, e
informar de los resultados a la
dirección para su revisión
ACTUAR
Mantenimiento y mejora del SGSI
preventivas, en función a los
resultados de la auditoría interna
del SGSI y de la revisión por parte
de la dirección, o de otras
informaciones relevantes, para
lograr la mejora continua del SGSI
ISO 27001
ISO 27001
Adoptar medidas correctivas y

23. VENTAJAS
Garantizar la confidencialidad,
integridad y disponibilidad
de información sensible
riesgo con la
reducción de
Disminuir el
consiguiente
gastos
Reducir la incertidumbre
por el conocimiento de
los riesgos e impactos
Mejorar continuamente la
gestión de la seguridad
de la información
Garantizar la continuidad del
negocio
Aumentar la competitividad
y mejorar la imagen
corporativa
Incremetar la confianza de
los stakeholders
Aumentar la rentabilidad
derivada del control de
los riesgos
Cumplir la legislación vigente
referente a la seguridad de
la linformación
Aumentar las oportunidades
de negocio

24. VENTAJAS
Mejorar la implicación y
participación del
personal en la gestión
de la seguridad
Reducir los costos asociados
a los incidentes
Posibilidad de integración
con otros sistemas de
gestión como ISO 9001,
ISO14001, OHSAS 18001
entre otros
Mejorar los procesosy
servicios prestados
Aumentar la competitividad
por mejora de la imagen
corporativa

25. DISEÑO DEL SGSI
La implantación de un SGSI debe comenzar con el correcto diseño
Para ello debemos definir
cuatro aspectos fundamentales
Primero:
El alcance del sistema
Segundo:
Las Políticas de seguridad
aseguir
Tercero:
La organización de la seguridad
Cuarto:
Programas de concienciación y
formación del personal

26. La implantación de un SGSI debe comenzar con el correcto diseño
Primero: definir el alcance del
sistema. Qué partes o procesos de la
organización que van a ser incluidos
La empresa debe determinar cuáles
son los procesos críticos para su
organización decidiendo qué es lo
que se quiere proteger y por donde
debe empezar
Dentro del alcance debe quedar
definidas las actividades de la
organización, las ubicaciones físicas
que se van a ver involucradas
DISEÑO DEL SGSI

27. La implantación de un SGSI debe comenzar con el correcto diseño
Qué tecnología de la empresa se
incluirán y qué áreas quedarán
excluidas en la implamntación del
SGSI
Es importante que durante esta fase se
estimen los recursos económicos y de
personal que se van a dedicar a
implantar y mantener el sistema
De nada sirve que la organización
realice un esfuerzo importante durante
la implantación si después no es
capaz demantenerlo
DISEÑO DEL
SGSI

28. POLÍTICAS DE SEGURIDAD
Tras la definición del alcance, el siguiente paso es establecer la Política de Seguridad
Recoger las directrices que debe seguir el
SGSI de acuerdo a las necesidades y la
legislación vigente
Se debe establecer las pautas de
actuación en el caso de incidentes y
definir responsabilidades
Las políticas deben delimitar qué se
protege, de quién y por qué
Determinar qué está permitido y qué no;
límite de comportamiento aceptable, y
cuál es la respuesta si existe abuso
Identificar los riesgos a los que está
sometida la organización
Para que la política de seguridad sea un
documento de utilidad, con lo establecido en la
norma ISO/IEC 27001 debe cumplir con ciertos
requisitos.
Redacción accesible para todo el
personal. Corta, precisa y fácil de
comprender
Debe ser aprobada por la dirección de la
organización y publicitada por la misma
Debe ser de dominio público dentro de la
organización y debe estar disponible
para su consulta
Debe ser referencia para la resolución de
conflictos relativas a la seguridad de la
información de la organización

29. POLÍTICAS DE SEGURIDAD
Se debe indicar qué se protege,
incluyendo tanto al personal como
a la información, la reputación y la
continuidad
Debe ser personalizada para cada
organización
Se deben señalar las normas y reglas
que va adoptar la organización y las
medidas de seguridad necesarias
Las política de seguridad debe incluir
al menos los siguientes apartados
1 - Definición de la SI, objetivos
globales, alcance de la seguridad,
importancia y los mecanismos de
control.
2- Declaración por parte de la
organización donde se apoyan los
objetivos y principios de la SI
3 – Breve explicación de las políticas
4- Definir responsabilidades generales
y específicas donde se incluirán los
roles que se deban cumplir
En función a las responsabilidades se decidirá quién está autorizado a acceder a qué
tipo de información
5 – Referencia a documentos para
sustentar las políticas.
Las políticas de SI debe ser un
documento actualizado por lo que
modificadodebe ser revisado y
anualmente

30. ALCANCES
Para determinar el alcance y límites del SGSI se debe especificar las
características de la organización, su ubicación, activos, tecnología e incluir
detalles de cualquier exclusión dentro del alcance que pudieran
considerarse.
El alcance, es un aspecto fundamental, ya que delimita las partes de la
organización que se ven afectadas, y por tanto, las partes que se deben
auditar.

31. 2
3
5
El alcance, con todas las características debe
estar documentado.
1
La organización debe determinar los
límites y aplicabilidad del sistema de
gestión de seguridad de la información
La organización debe considerar, en el alcance,
los elementos internos y externos para su
propósito que puedan afectar a la consecución
de los objetivos del SGSI.
Se debe considerar, las partes interesadas
para el SGSI y los aspectos legales y
regulatorios incluir
Se debe considerar, las interfaces y dependencias
entre las actividades de la organización y las que
realizan otras organizaciones (proveedores).
Cláusula 4.3 En esta cláusula aparecen 5 especificaciones:
4
ALCANCES

32. COMPATIBILIDAD
"ISO 27001 está diseñada para ser compatible con otras normas de gestión como:

33. Direccionamiento actividades de aprendizaje
Actividades:
• Revisar el aula virtual
• Realizar las actividades y tareas planteadas.
Se recomienda describir por ejemplo:
• Tomar apuntes esenciales, revisar el material de clases

34. GRACIAS