ISO 27001: El estndar de seguridad de la informacin

ISO 27001: El estndar de seguridad de la informacin

ndice

Introduccin
Metodologa de un SGSI segn ISO 27001
Cambios / mejoras en ISO 27001
A.6 Mejoras en las relaciones con terceras partes
A.8 Mejoras en el control de las personas
A.13 Mejoras en el registro de incidentes / debilidades
A.14 Mejoras en la gestin de continuidad de negocio
Beneficios de implantacin de un SGSI
Conclusiones

ISO 27001: El estndar de seguridad de la informacin

Introduccin
Incidentes de seguridad: Quien es quien

30 %
Incidentes
Externos

Otros
Incidentes seguridad externos
Virus

Incidentes seguridad internos

Errores de usuario

70 %
Incidentes
internos

ISO 27001: El estndar de seguridad de la informacin

Introduccin
Impacto de incidentes de seguridad en el negocio:

ISO 27001: El estndar de seguridad de la informacin

Introduccin

AUDITORAS

MANTENIMIENTO

F
O
R
M
A
C
I

SISTEMA GESTIN

Your
Network

DE LA SEGURIDAD
DE LA INFORMACIN

SNOC

(SGSI)

ISO 27001

HERRAMIENTAS

LOPD / LSSI

ISO 27001: El estndar de seguridad de la informacin

Introduccin

BS 7799 / ISO 27001 Evolution

1999

Ao
2000 2002

Ao
2005
(Junio)

BS 7799 1

ISO 17799 (2000)

ISO 17799 (2005)

BS 7799 2

BS 7799-2:2002

BS 7799-2 (2005)

Ao

BS

Ao
2006
(Enero)

Ao
2007

ISO 27002

ISO 27001

UNE 71502

+ ISO 27004 Indicadores y Cuadros de mando (2007)

ISO

ISO 27001: El estndar de seguridad de la informacin

Metodologa de un SGSI segn ISO 27001
Documento de la poltica

Fase 1

Definir la poltica

Fase 2

Definir el alcance del

SGSI

Alcance del SGSI

Anlisis Activos de Informacin

Fase 3

Fase 4

Riesgos,
amenazas y
vulnerabilidades
Gestin de riesgos desde el
punto de vista
organizacional
Grado de aseguramiento
requerido

Anlisis de riesgo

Anlisis de riesgos

Resultados y conclusiones

Gestionar el riesgo






Controles seleccionados

Fase 5

Seccin 5 de la ISO
27001 objetos de control
y controles
Controles adicionales
que no sean de ISO
27001

Fase 6

Seleccionar objetos de
control y controles a
implementar

Objetos de control y controles

seleccionados

Preparar una
declaracin de
aplicabilidad

Declaracin de aplicabilidad

Implementacin

ISO 27001: El estndar de seguridad de la informacin

Cambios / Mejoras en ISO 27001
4.2.2
Implement
and operate
the ISMS

4.2.2
Implement
and operate
the ISMS
Item d)
Define how to
measure the
effectiveness
has been
added

This is possibly the biggest change in

that as well as implementing and
operating the ISMS, it is now
required to define how to measure
the effectiveness of controls or
groups of controls, and that it shall
be specified how these
measurements are to be used to
assess control effectiveness to
produce comparable and reproducible
results. This could cause some
major problems for clients.

ISO 27001: El estndar de seguridad de la informacin

A.6 Mejora en las relaciones con terceras partes

ISO 27001: El estndar de seguridad de la informacin

A.8 Mejoras en el control sobre las personas

ISO 27001: El estndar de seguridad de la informacin

A.8 Mejoras en el control sobre las personas

ISO 27001: El estndar de seguridad de la informacin

A.8 Mejoras en el control sobre las personas

ISO 27001: El estndar de seguridad de la informacin

A.13 Mejoras en el registro de incidentes / debilidades

ISO 27001: El estndar de seguridad de la informacin

A.13 Mejoras en el registro de incidentes / debilidades

ISO 27001: El estndar de seguridad de la informacin

A.14 Mejoras en la gestin de continuidad de negocio

ISO 27001: El estndar de seguridad de la informacin

A.14 Mejora en la gestin de continuidad de negocio

ISO 27001: El estndar de seguridad de la informacin

Beneficios de implantacin de un SGSI
Estructura e inversiones adecuadas, costo correcto
Control y clasificacin de activos
Direccin de operaciones y comunicaciones
Poltica de Seguridad
Evaluacin de riesgos internos y a terceros
Gestin de las personas: Seguridad del personal
Desarrollo y mantenimiento de sistemas
Direccin de Planes de Contingencia
Cumplimiento con la legislacin

ISO 27001: El estndar de seguridad de la informacin

Conclusiones
La Seguridad en TIC es un proceso que afecta a toda la
organizacin.
Las organizaciones deben definir una estrategia de
seguridad basada en el negocio y no en la tecnologa.
La seguridad que proporciona un SGSI es permanente puesto
que es un proceso, y no acciones puntuales.
El enfoque de la Seguridad debe ser integral, si no puede
conducir a una falsa sensacin de seguridad y al fracaso
La seguridad de la informacin se basa en las personas.

ISO 27001: El estndar de seguridad de la informacin

Objetivo: La proteccin (seguridad) de nuestro

negocio (la informacin) mediante las personas
COMPORTAMIENTO
Aceptacin
Concienciado

Proactivo

Formado
Informado

TIEMPO

ISO 27001: El estndar de seguridad de la informacin