Está en la página 1de 24

Normas ISO 27001

y 27002
Agenda
 ISO y sus estándares
 Objetivos de ISO 27000
 Diferencias entre ISO 27001 e ISO 27002.
 Dominios de ISO 27001.
 Implementación de ISO 27001.
 Fases del Proceso de Certificación
 Conclusiones.
ISO y sus estándares

 Organización Internacional para la Estandarización (International


Organization for Standardization)
 Su función principal es la de buscar la estandarización de normas
de productos y seguridad para las empresas a nivel internacional.
 La ISO 27000, es la norma que explica cómo implantar un Sistema
de Gestión de Seguridad de la Información en una empresa.
 La implantación de una ISO 27000 en una organización permite
proteger la información de ésta de la forma más fiable posible
Objetivos ISO 27000

Una empresa que tenga establecida la ISO 27000 garantiza, tanto de


manera interna como al resto de las empresas, que los riesgos de la
seguridad de la información son controlados por la organización de
una forma eficiente.
 Objetivos:
 Preservar la confidencialidad de los datos de la empresa
 Conservar la integridad de estos datos
 Hacer que la información protegida se encuentre disponible
ISO 27000, 27001, 27002

 ISO/IEC 27000
 Define el vocabulario estándar, términos y conceptos empleados en la familia 27000.
 ISO/IEC 27001
 Define los requisitos a cumplir para implantar un SGSI certificable conforme a las
normas 27000.
 Define un SGSI, su gestiona y las responsabilidades de los participantes.
 Sigue un modelo PDCA (Plan-Do-Check-Act).
 Tiene como punto clave la gestión de riesgos unida con la mejora continua.
 ISO/IEC 27002
 Define las buenas prácticas para la gestión de la seguridad.
 Medidas a tomar para asegurar los sistemas de información de una organización
 Se identifica los objetivos de control y los controles recomendados a implantar.
 Antes ISO 17799, basado en estándar BS 7799.
Diferencias entre ISO 27001 e ISO
27002
 La ISO 27002 es mucho más detallada y mucho más precisa
 Los controles de la norma ISO 27002 tienen la misma denominación
que los indicados en el Anexo A de la ISO 27001, la diferencia se
presenta en el nivel de detalle.
 La ISO 27002 explica un control en forma extensa, en contraste con
la ISO 27001 que sólo define una oración a cada uno.
 No es posible obtener la certificación ISO 27002 porque no es una
norma de gestión, la certificación en ISO 27001 sí es posible.
 La ISO 27002 define cómo ejecutar un sistema y la ISO 27001 define
el sistema de gestión de seguridad de la información (SGSI).
Diferencias entre ISO 27001 e ISO
27002 (Cont.)
 Se establece en la ISO 27001 que el sistema de gestión significa que la
seguridad de la información debe ser planificada, implementada,
supervisada, revisada y mejorada, que la gestión tiene sus
responsabilidades específicas, que se deben establecer, medir y revisar
objetivos, que se deben realizar auditorías internas, etc. Esto no está
establecido en la ISO 27002.
 La ISO 27002 no distingue entre los controles que son aplicables a una
organización específica y los que no lo son, en contraste la ISO 27001
exige la realización de una evaluación de riesgos sobre cada control
para identificar si es necesario disminuir los riesgos y hasta qué punto se
deben aplicar.
 Se usa la ISO 27001 para crear la estructura de la seguridad de la
información en la organización, se usa la ISO 27002 para implementar
controles.
Diferencias entre ISO 27001 e ISO
27002 (Cont.)
 Lo ideal es utilizar la ISO 2001 y la ISO 2002 en conjunto, ya que sin la
descripción proporcionada por la ISO 27002, los controles definidos
en el Anexo A de la ISO 27001 no se podrían implementar, sin el
marco de gestión de la ISO 27001, la ISO 27002 es un esfuerzo
aislado por la seguridad de la información, sin la aceptación de la
alta dirección y sin efectos reales sobre la organización.
Otros ISO/IECs de la misma familia

 ISO/IEC 27000 overview  ISO/IEC 27007 MS 27032 cybersecurity


& vocabulary auditing guide
 ISO/IEC 27033 network
 ISO/IEC 27001 formal  ISO/IEC TR security (parts)
ISMS specification 27008 technical auditing
 ISO/IEC
 ISO/IEC 27002 infosec  ISO/IEC 27010 for inter- 27034 application
controls guideline org comms security (part)
 ISO/IEC  ISO/IEC 27011 ISO27k for  ISO/IEC 27035 incident
27003 implementation telecomms management
guidance
 ISO/IEC 27013 for  ISO/IEC 27037 digital
 ISO/IEC 27004 infosec ISMS+service mgmt evidence
metrics
 ISO/IEC TR 27015 for  ISO 27799 ISO27k for
 ISO/IEC 27005 infosec financial services healthcare industry
risk management
 ISO/IEC 27031 business
 ISO/IEC 27006 ISMS continuity
certification guide
 ISO/IEC
ISO/IEC 27001
 El objetivo principal se adopta al modelo Plan-Do-Check- Act
(PDCA o ciclo de Deming) para todos los procesos de la
organización.

Imagen 1. Ciclo Deming.


Fases ciclo Deming

 Fase Planificación (Plan):


 Establecer la política, objetivos, procesos y procedimientos relativos a la gestión del
riesgo y mejorar la seguridad de la información de la organización para ofrecer
resultados de acuerdo con las políticas y objetivos generales de la organización.
 Fase Ejecución (Do):
 Implementar y gestionar el SGSI de acuerdo a su política, controles, procesos y
procedimientos.
 Fase Seguimiento (Check):
 Medir y revisar las prestaciones de los procesos del SGSI.

Fase Mejora (Act):
 Adoptar acciones correctivas y preventivas basadas en auditorías y revisiones internas
o en otra información relevante a fin de alcanzar la mejora continua del SGSI.
Dominios ISO 27001
Seguridad de la Información

 Se definen la seguridad de la información como el logro, gestión y


mantenimiento de tres características elementales:
 Confidencialidad. La información sólo debe ser vista por aquellos que
tienen permiso para ello.
 Integridad. La información podrá ser modificada solo por aquellos con
derecho a cambiarla.
 Disponibilidad. La información deberá estar disponible en el momento
en que los usuarios autorizados requieren acceder a ella.
Sistema de Gestión de la
Seguridad de Información
 Es un sistema de gestión que comprende la política, la estructura
organizativa, los procedimientos, procesos y los recursos necesarios
para implementar la gestión de la seguridad de la información. Es
la herramienta de la que dispone la Dirección de las
organizaciones para llevar a cabo las políticas y objetivos de
seguridad.
 Sistema de Gestión de Seguridad de la Información, es el punto
central de la norma 2700.
Sistema de Gestión de la
Seguridad de Información (Cont.)
ISO/IEC 27002
 “Conjunto de recomendaciones sobre qué medidas tomar en la
empresa para asegurar los Sistemas de Información.”
 Secciones:
 Política de seguridad.  Desarrollo y mantenimiento de
 Aspectos organizativos para la sistemas.
seguridad.  Gestión de incidentes de
 Clasificación y control de seguridad de la información.
activos.
 Gestión de continuidad de
 Seguridad ligada al personal. negocio.
 Seguridad física y del entorno.  Conformidad.
 Gestión de comunicaciones y
operaciones.
 Control de accesos.
Dominios ISO 27002
Implementación
 Herramientas y buenas prácticas:
 https://iso27002.wiki.zoho.com/
Dominios relacionados con la
Administración de Proyectos Informáticos
Dominios ISO 27001 Relación
Compromiso e Involucramiento de
Políticas de Seguridad
las partes.
Organización de la Seguridad Roles y Responsabilidades
La necesidad de hacer las cosas a la
Administración de Activos
medida justa
Administración de las Comunicaciones y
El Gobierno de TI
Operaciones
Control de Acceso Procesos y Controles claves
Adquisición, desarrollo y mantenimiento de Sistemas
Procesos y Controles claves
de Información.
Su desarrollo, Roles y
Plan de Continuidad del Negocio
Responsabilidades
Impacto Real, Roles y
Cumplimiento de Leyes y Regulaciones
Responsabilidades
FASES DEL PROCESO DE CERTIFICACIÓN
Conclusiones
 Una vez que el Sistema de Gestión de la Seguridad de la
Información ha sido implementado en una organización, se puede
optar por su certificación, siguiendo el estándar ISO 27001, ante un
Organismo Internacional de Acreditación.
 El propósito de una certificación le demuestra al mercado que la
organización tiene un adecuado Sistema de Gestión que da
Seguridad de la Información.
 La existencia del certificado no implica que la empresa este libre
de riesgos, sino que la empresa ha implantado un adecuado
sistema de gestión de dichos riesgos y un proceso de mejora
continua.
Bibliografía

 Benjumea, O. ¿Sabes diferenciar la ISO 27001 y la ISO 27002?


Recuperado el 15/4/2013, de
http://www.redseguridad.com/opinion/articulos/sabes-diferenciar-la-
iso-27001-y-la-iso-27002
 Enjuto, J. (2007). Diferencias entre ISO 27001 e ISO 27002. Recuperado el
15/4/2013, de http://secugest.blogspot.com/2007/09/diferencias-entre-
iso-27001-e-iso-27002.html
 Estándares y Normas de Seguridad. Recuperado el 11/4/2013, de
http://ccia.ei.uvigo.es/docencia/SSI/normas-leyes.pdf
 ISO 27002. Recuperado el 11/4/2013, de
http://www.iso27000.es/download/ControlesISO27002-2005.pdf
 Rodríguez, J. Gestión de la Seguridad. Recuperado el 11/4/2013, de
http://www.fundaciondedalo.org/archivos/ACTIVIDADES/SSI07/Gestion
DeLaSeguridad.pdf