AA1-E5-APLICACIÓN DE LA NORMA ISO 27002

MARIO ENRIQUE ALARIO ROJAS

SENA
ESPECIALIZACIÓN EN GESTIÓN Y SEGURIDAD DE BASES DE DATOS
OCTUBRE DE 2019
 INTRODUCCION

Hoy en dia existen muchas herramientas que de forma relativamente fácil se logra
tener acceso a personas no autorizadas y llegar hasta la información que la
organización tiene protegida. Cuándo los controles no están bien definidos logran
su objetivo con poco esfuerzo y conocimiento, causando graves perjuicios para la
empresa.

Cuando identificamos los activos de la información, debemos saber de dónde

proceden y como se clasifican dentro de la empresa, para establecer ciertos
criterios como son el tratamiento, la protección y la divulgación de la información,
al igual que conocer toda la infraestructura tecnológica aplicada a esta para
garantizar la seguridad de toda la información y de las herramientas técnicas (
hardware), es importante crear una política de seguridad en cuanto a la
información, en cuento a manejo, control tratamiento, y seguridad, este proceso de
implantación nos va a permitir, en primer lugar, analizar y ordenar la estructura de
toda la información, en segundo lugar, definir procedimientos de trabajo que nos
permitan mantener la seguridad, y en tercer lugar realizar controles para medir la
eficacia de las medidas tomadas, todo esto nos permite proteger la organización
de posibles amenazas y riesgos que pueden poner en peligro la organización
 JUTIFICACION

Los activos de información son recursos que presentan un gran importancia y

costos vitales, si estos llegasen a fallar o tener un daño quedaría fuera de línea el
negocio en especial en horarios con los que los sistemas de procesamiento de
información intervienen.

La información, junto con los procesos que la administran, además de cada una de
las personas que hacen parte de los mismos, son activos valiosos del que
depende el buen funcionamiento de una organización. La confidencialidad,
integridad y disponibilidad de la información, son elementos esenciales para
mantener los niveles de competitividad, rentabilidad, conformidad legal e imagen
empresarial necesarios para lograr los objetivos de la organización y asegurar los
beneficios económicos.

El sistema de gestión de seguridad de la información permite controlar y minimizar

los riesgos físicos o lógicos entre estos tenemos por un lado los incendios,
inundaciones entre otros, como por, otra parte tenemos hacker, robos de
identidad, spam, virus entre otros, para proteger a esta organización de todas
estas amenazas es necesario establecer unos procedimientos adecuados e
implementar controles de seguridad basados en la evaluación de riesgos y medir
su eficacia, establecer un sistema de gestión de seguridad de la información
basado en la norma ISO/IEC 27002, detallamos en el siguiente ítem dando a
conocer sus detalles.
 NORMA ISO/IEC 27002

ISO 27002 hace parte del conjunto de normas que conforman la serie ISO/IEC
27000 en las que se reúnen las mejores prácticas para desarrollar, implementar y
mantener sistemas de gestión de seguridad de información.

La norma ISO 27002 se compone de 11 dominios (del 5 al 15), 39 objetivos de

control y 133 controles; que están distribuidos como se observa en la siguiente
estructura:

A continuación, se realiza una descripción de los aspectos que deben ser tenidos
en cuenta al momento de evaluar los controles de cada uno de los dominios de la
norma ISO 27002:

5. Política de seguridad
Estos controles proporcionan la guía y apoyo de la dirección para la seguridad de
la información en relación a los requisitos del negocio y regulaciones relevantes.

6. Estructura organizativa para la seguridad

"Organización interna: estos controles gestionan la seguridad de la información
dentro de la Organización.

El órgano de dirección debe aprobar la política de seguridad de la información,

asignando los roles de seguridad y coordinando la implantación de la seguridad en
toda la Organización.

"Terceras partes: estos controles velan por mantener la seguridad de los recursos
de tratamiento de la información y de los activos de información de la
organización."
7. Clasificación y control de activos
Responsabilidad sobre los activos: estos controles pretenden alcanzar y mantener
una protección adecuada de los activos de la organización.
"Clasificación y control de la información: la información se encuentra clasificada
para indicar las necesidades, prioridades y nivel de protección previsto para su
tratamiento."