A.

5
A.12
A.12.2

A.12.6

A.14.2

A.17
A.18.14

ISO 27005: Guía para la gestión de riesgos de seguridad de la información que cumple con los
conceptos, modelos y procesos generales especificados en la ISO 27001.

ISO 27032: Guía para ciberseguridad.

ISO 27035: Proporciona las directrices para la gestión de incidentes de seguridad de la

información.

ISO 22301: Gestión de continuidad de negocio.

ISO 3100: Gestión de Riesgos.

ITIL: Proporciona mejoras prácticas y procesos que permiten a las áreas de TI administrar y
entregar mejor sus servicios.

COBIT: Gobierno y Gestión de TI.

En la organización para que ser haya sufrido tal ciberataque tan profundo se cometieron
muchos errores tales como:

Que un usuario ingresara un dispositivo a la organización sin que haya sido revisado por el
personal de TI

Introducir dicho dispositivo en los equipos de la organización

Que un usuario de TI habrá correos que no tienen nada que ver con lo laboral en su cuenta
corporativa

El no informar al personal de soporte cuando sucedió un problema con el computador al abrir

el correo.

Los controles que debió implementar la organización son por lo menos los que están divididos
en las 14 áreas según el ISO 27001 los cuales son:

Políticas de seguridad de la información: Aquí se debería de implementar reglas y normas que

no permitan el ingreso de dispositivos dentro de la organización que no hayan sido revisados
por el personal especializado

Organización de la seguridad de la información: Aquí se debería planificar los niveles de

seguridad que se aplicaran para poder llegar a tener acceso a la información tanto fuera como
dentro de la organización

Seguridad de los recursos humanos: Aquí se debería de aplicar controles de revisión física al
personal para evitar que ingresen dispositivos informáticos que puedan ser una amenaza para
la organización

Criptografía: Al ser una organización multinacional e internacional se debería aplicar la esta

técnica a los documentos más confidenciales.

Control de acceso: Aquí se debería de aplicar y mejorar el sistema de seguridad a los sistemas
de información generando un registro de acceso y un log de acceso y de actividades.

Gestión de activos: En esta sección se debe tener planes de contingencia frente las caídas de
los servidores, generar backups diarios
Seguridad de las operaciones: Aquí aplica dejar registro de todas las operaciones y encriptar
toda la información que se maneja en la organización

Seguridad de las comunicaciones

Gestión de incidentes de seguridad de la información

Adquisición, desarrollo y mantenimiento de sistemas

Aspectos de seguridad de la información en la gestión de continuidad del negocio