ENSAYO

Roslay Maryeline Bautista Delgado.

Mayo 2018.

Universidad Nacional Abierta y a Distancia UNAD.

Escuela de ciencias básicas tecnología e ingeniería.
Modelos y estándares de seguridad informática
Hoy en día las tecnologías de la información han cambiado la manera como

interactuamos con el mundo ya que en todos los aspectos de nuestra vida cotidiana nos

encontramos con una innumerable gama de aplicaciones que han sido creadas para

facilitar varios procesos como son la comunicación entre nuestros familiares, amigos,

facilitación de tareas en la educación y hasta el desempeño de nuestras labores

ocupacionales, de ahí radica que la información se ha convertido en unos de los

principales activos de este siglo.

Como ya hemos visto la información se encuentra en cada una de nuestras tareas y por

ello es de vital importancia contar con medios de protección de la misma, ya sea que

nuestra información personal sea filtrada o hurtada esto presenta un gran riesgo para

nuestra integridad.

Dicho lo anterior nos vemos en la necesidad de implementar medidas de seguridad de la

información, para esto podemos iniciar con la clasificación de la información y de esta

manera poder implementar protocolos de manejo de la información que garanticen los

pilares básicos como lo son la confidencialidad, privacidad y disponibilidad de la misma.

Para las organizaciones el manejo de seguridad de la información es un aspecto de vital

importancia por ello este ensayo vamos a tratar aspectos fundamentales como lo son:

• Importancia de la Seguridad de la información en la organización.

• Importancia de los Controles y salvaguardas.

Rol de las Normas ISO 27001:2013 y 27002:2013 en las organizaciones.

• Los servicios TI y su importancia en la organización.

Lo primero que vamos a abordar es la importancia de la seguridad en las organizaciones;

y como ya es bien conocido por toda la información es un pilar fundamental para el

desarrollo de cualquier actividad económica ya que de ella depende la manera como

interactuamos con nuestros clientes tanto internos como externos.

Cuando nos referimos a información podemos iniciar diciendo que la información es todo

aquello que nos describe un interés y que en algún momento pueda significar un punto

importante en nuestro comportamiento; por ello es de vital importancia que las empresas

y organizaciones hagan una clasificación de su información y la manera como esta va a

ser tratada y procesada para poder garantizar los 3 pilares fundamentales de la misma los

cuales son disponibilidad, confidencialidad e integridad.

En cuanto a la generación de protocolos de manejo de información podemos hablar de la

norma ISO 27000 que está enfocada en que las empresas establezcan un sistema de

gestión de seguridad de la información(SGSI) y para que este proceso sea exitoso se

requieren una serie de pasos o requerimientos con sus respectivos controles y en este

aspecto se hace referencia a la información en general.

En segunda instancia vamos a conocer un poco más sobre ISO/IEC 27000 ya que este un

conjunto de estándares desarrollados por ISO (International Organization for

Standardization) e IEC (International Electrotechnical Commission), que proporcionan

un marco de gestión de la seguridad de la información utilizable por cualquier tipo de

organización, pública o privada, grande o pequeña; dicha familia se encuentra compuesta

por diferentes normas como lo son:

ISO 27001: Requerimientos SGSI.

ISO 27002: Código de prácticas.

ISO 27003: Guía de implementación.

ISO 27004: Métricas

ISO 27005: Gestión de Riesgos

ISO 27006- ISO 27008: Guía de auditorías.

Estas familias de estándares se encuentran en su versión más reciente publicadas el año

2013; en mi opinión este conjunto es muy completo y nos da todos los requerimientos

para tener una apropiada seguridad de la información de forma coordinada, documentada,

la cual debe estar basada en unos objetivos claros de seguridad y evaluación de los

riesgos a los que está sometida la información de cada organización.

Quiero realizar una breve comparación entre ISO 27001: Requerimientos SGSI e ISO

27002: Código de prácticas, pues se puede llegar a pensar que ambas son equivalentes o

como se diría coloquialmente que son la “misma cosa” realmente no lo son.

Lo que importa en la ISO 27001 es que los riesgos se analicen y se gestionen, que la

seguridad se planifique, se implemente y, sobre todo, se revise, se corrija y mejore.

¿Por qué es tan importante tener claras las diferencias entre una y otra norma? Porque en

muchos casos a la hora de pensar en implementar un SGSI la gente piensa rápidamente

en ponerse a "cumplir" todos controles del anexo, y tratar de cumplir con todas las

"sugerencias" que da la ISO 27002 para cada control. Y se olvidan de que el objetivo de

la ISO 27001, que es la norma que define cómo tiene que ser un SGSI, es precisamente el
CONTRARIO: que la empresa sea capaz de priorizar y seleccionar controles en base a

sus posibilidades y a sus necesidades/riesgos de seguridad.

Dicho lo anterior podemos observar que si bien las normas no son la “misma cosa” si van

de la mano y ejercen una gran importancia en la organización pues; el mayor beneficio de

la norma ISO 27001 es el marco de gestión para ir mitigando los riesgos de una manera

ordenada , alineando a la seguridad con las necesidades de nuestra organización; pero

como es muy bien sabido la seguridad no es absoluta y se suele trabajar con un conjunto

de mínimos, no está mal que en la revisión de esa gestión, se verifique el cumplimiento

de unos controles necesarios para realmente disponer seguridad; La ISO 27002 detalla los

controles (mínimos) indicando la implementación máxima (mejores prácticas) de cada

uno para mejorar la seguridad de la información en nuestra organización.

Y como tercera medida veremos la importancia de los servicios TI en la organización

pues en el área de TI convergen la computación, las telecomunicaciones y el

procesamiento de datos, interacción de los usuarios, los equipos y los mecanismos de

intercambio de la información. Pues como todos sabemos este fenómeno se presenta en

todas las organizaciones sin importar su tamaño y modelo de negocio.

En ese contexto, está clara la importancia de la tecnología para administrar la

productividad de la organización, de todo lo dicho anteriormente se concluye que los

servicios de TI son la infraestructura que soporta el activo más valioso de la organización

que es su información y esta a su vez debe estar protegida por protocolos de seguridad

que nos garanticen su integridad, disponibilidad y confidencialidad, para ello es

importante contar con un SGSI y una de las mejores formas de implementarlo es

conjuntamente con ISO 27001 e ISO 27002.