Nte Inen Iso-iec 27003

5/28/2018

NteInen Iso-iec27003-slidepdf.com

INSTITUTO ECUATORIANO DE NORMALIZACIÓN Quito - Ecuador

NORMA TÉCNICA ECUATORIANA

NTE INEN-ISO/IEC 27003:2011 NÚMERO DE REFERENCIA ISO/IEC 27003:2010(E)

TECNOLOGIA DE LA INFORMACIÓN – TECNICAS DE SEGURIDAD – GUIA DE IMPLEMENTACIÓN DEL SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN. Primera Edición INFORMATION TECHNOLOGY — SECURITY TECHNIQUES — INFORMATION SECURITY MANAGEMENT – SYSTEM IMPLEMENTATION GUIDANCE.

First Edition

DESCRIPTORES: Tecnología de la información, grupos de caracteres y códigos de información, técnicas de seguridad, guía de implementación, sistema de gestión de la seguridad de la información. TI 01.01-301 CDU: 65.012.8 CIIU: 8329 ICS: 35.040

http://slidepdf.com/reader/full/nte-inen-iso-iec-27003

1/75

5/28/2018

CDU: 65.012.8 ICS: 35.040


CIIU: 8329 TI 01.01-301

Contenido Página Prólogo......................................................................................................................................

iv

Introducción...................................................................................................................................... v

1

Alcance...................................................................................................................................... 1

2

Referencias normativas........................................................................................................... 1

3

Términos y definiciones ........................................................................................................ 1

4 4.1 4.2 4.3

Estructura de esta Norma....................................................................................................... Estructura general de las cláusulas Estructura general de una cláusula ..................................................................................... Diagramas ...............................................................................................................................

2 2 3 4

5

Obtención de aprobación de la Dirección para iniciar un proyecto de SGSI …………....

5

…................ ................................. ................................

5.1 Perspectiva proyecto de SGSIgeneral de la obtención de aprobación de la Dirección para iniciar un ... 5.2 Aclarar las prioridades de la organización para desarrollar un SGSI ................................ 5.3 Definir el alcance preliminar del SGSI ...............................................................................… 5.4 Crear el caso de negocio y el plan del proyecto para aprobación de la Dirección…..…

5 6 9 11

6 Definir el alcance del SGSI, límites y políticas del SGSI ………........................................... 6.1 Perspectiva general de la definición del alcance, límites y políticas del SGSI ................. 6.2 Definir el alcance y límites organizacionales…................................................................... 6.3 Definir el alcance y límites de las Tecnologías de la Información y Comunicación (TIC) 6.4 Definir el alcance y límites físicos .......................................................................................... 6.5 Integrar cada alcance y límites para obtener el alcance y límites del SGSI……… ……. 6.6 Desarrollarla política del SGSI y obtener la aprobación de la Dirección………...................

12 12 15 16 17 18 19

7 Realizar el análisis de los requerimientos de seguridad de la información................. ….. 7.1 Perspectiva general de la realización del análisis de los requerimientos de

20

seguridad de la información……......................................................................................

20 21 23 23

…………………………………………………………………………………………

……

… … … . .

7.2 Definir los requerimientos de seguridad de la información para el proceso del SGSI … 7.3 Identificar los activos dentro del alcance del SGSI ……………………..………………….... 7.4 Realizar una evaluación de la seguridad de la información……………………………….... 8 Realizar la evaluación del riesgo y la planificación del tratamiento del riesgo……….…… 8.1 Perspectiva general de la realización de la evaluación del riesgo y la planificación del tratamiento del riesgo…………………………………………………………………………………… 8.2 Realizarla evaluación del riesgo………………………….……………………..………….……..

25 25 27

Seleccionar los objetivos de control y los controles………..………………………………… 8.3 8.4 Obtener autorización de la Dirección para implementar y operar un SGSI........................ 28 29

9 Diseño del SGSI….......................................................................................................................... 9.1 Perspectiva general del diseño del SGSI ….............................................................................. 9.2 Diseñar la seguridad de la información organizacional........................................................ 9.3 Diseñar la seguridad de la información de las TIC y física ………………..…………….…. 9.4 Diseñar la seguridad de la información específica del SGSI................................................ 9.5 Producir del plan final del proyecto del SGSI ........................................................................

30 30 33 38 40 44

Anexo A (informativo) Descripción del listado de verificación.................................................... 45 Anexo B (informativo) Funciones y responsabilidades de la seguridad de la información…

49

Anexo C (informativo) Información relativa a la Auditoría Interna.............................................. 53

-ii-


2011-684

2/75

5/28/2018

CDU: 65.012.8 ICS: 35.040


CIIU: 8329 TI 01.01-301

Anexo D (informativo) Estructura de las políticas.....................................................................

55

Anexo E (informativo) Monitoreo y medición…..........................................................................

60

Bibliografía....................................................................................................................................

66

Apéndice Z ………………………………………………………………………………………………..

67

-iii-


2011-684

3/75

5/28/2018

CDU: 65.012.8 ICS: 35.040


CIIU: 8329 TI 01.01-301

Prólogo ISO (la Organización Internacional de Normalización) e IEC (la Comisión Electrotécnica Internacional) conforman el sistema especializado para la normalización a nivel mundial. Los organismos nacionales que son miembros de ISO o de IEC participan en el desarrollo de Normas Internacionales a través comités técnica. conformados por la respectiva manejar campos específicos de ladeactividad Los comités técnicos deorganización ISO e IEC para colaboran en los los campos de interés mutuo. Otras organizaciones internacionales, gubernamentales y nogubernamentales, en coordinación con ISO e IEC, ta m b i é n p a r t i c i p a n e n e l t r a b a j o . En el c am p o de la te c no lo gí a de la in f or m a c ió n , ISO e IEC han establecido un comité técnico conjunto, ISO/IEC JTC 1. Las Normas Internacionales son emitidas de acuerdo con las regulaciones constantes en el Instructivo ISO/IEC, Parte 2. La tarea principal del comité conjunto es preparar las Normas Internacionales. El Borrador de las Normas Internacionales adoptadas por el comité técnico conjunto se lo circula entre los organismos nacionales para someterlo a votación. La publicación como Norma Internacional requiere de la aprobación de al menos el 75% de los organismos nacionales que emiten un voto. Se llama la atención a la posibilidad de que algunos de los elementos de este documento pueden estar sujetos a derechos de patente. ISO e IEC no serán responsables por la identificación de alguno o todos aquellos derechos de patente. La Norma ISO/IEC 27003 fue preparada por el Comité Técnico Conjunto de Tecnología de la Información, ISO/IEC JTC 1, Subcomité SC 27, IT Security techniques.

NOTA DEL INEN: La NTE INEN-ISO/IEC 27003:2011 es idéntica a la norma ISO/IEC 27003 de 2010.

-iv-


2011-684

4/75

5/28/2018

CDU: 65.012.8 ICS: 35.040


CIIU: 8329 TI 01.01-301

Introducción La finalidad de esta Norma Internacional es proveer una guía práctica en el desarrollo del plan de implementación de un Sistema de Gestión de la Seguridad de la Información (SGSI) dentro de una organización de acuerdo con la Norma NTE INEN -ISO/IEC 27001. La implementación real de un SGSI se ejecuta generalmente como un proyecto. El proceso descrito dentro de esta Norma Internacional ha sido diseñado para proveer soporte a la implementación de la NTE INEN ISO/IEC 27001; (partes relevantes de las Cláusulas 4, 5, y 7) y documenta: a) la preparación para iniciar un plan de implementación de un SGSI en una organizac ión, la definición de la estructura organizacional para el proyecto, y la obtención de la respectiva aprobación por parte de la Dirección, b) las actividades críticas del proyecto del SGSI y, c) ejemplos para lograr los requerimientos de la Norma NTE INEN-ISO/IEC 27001. Mediante el uso de esta Norma, la organización será capaz de desarrollar un proceso para la gestión de la seguridad de la información, proveyendo a los interesados la seguridad de que los riesgos de los activos de información se mantengan permanentemente dentro de límites aceptables de seguridad de la información definidos por parte de la organización. Esta Norma no cubre las actividades operacionales y otras actividades del SGSI, pero sí cubre los conceptos sobre cómo diseñar las actividades que resultarán después de que las operaciones del SGSI comiencen. El concepto resulta en el plan final de implementación del proyecto del SGSI. La ejecución efectiva de la parte organizacional específica de un proyecto de SGSI está fuera del alcance de esta Norma. La implementación del proyecto de SGSI debería ser realizado utilizando metodologías estandarizadas para gestión de proyectos (para mayor información, favor ver las Normas ISO e ISO/IEC y NTE INEN que tratan la gestión de proyectos).

-v-


2011-684

5/75

5/28/2018

CDU: 65.012.8 ICS: 35.040

Norma Técnica Ecuatoriana

n ó i c c u d o r p e r a l a d i b i h o r P


TECNOLOGÍA DE LA INFORMACIÓN — TÉCNICAS DE SEGURIDAD — GUÍA DE IMPLEMENTACIÓN DEL SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN

CIIU: 8329 TI 01.01-301

NTE INENISO/IEC 27003:2011

1 Objeto Esta Norma se enfoca en los aspectos críticos requeridos para el diseño e implementación exitosa de un Sistema de Gestión de la Seguridad de la Información (SGSI) de acuerdo con la NTE INEN ISO/IEC 27001. Esta describe el proceso de especificaciones del SGSI y el diseño desde el inicio hasta la producción de planes de implementación. Esta describe el proceso para obtener la aprobación de parte de la Dirección para implementar un SGSI, define un proyecto para implementar un SGSI (referido en esta Norma como el proyecto de SGSI), y provee guías respecto a cómo planificar un proyecto de SGSI, que resulte en un plan final de implementación del proyecto de SGSI.

–

r o d a u c E o t i u Q –

o r g a m l A y 9 2 8 E o n e r o M o z i r e u q a B

Esta Norma tiene el propósito de ser usada por las organizaciones que se encuentren implementando un SGSI. Es aplicable a todo tipo de organizaciones (por ejemplo, empresas comerciales, agencias de gobierno, organizaciones sin fines de lucro) de todos los tamaños. La complejidad cada organización riesgosLas sonorganizaciones únicos, y sus necesidades específicas son que las que conducirán ladeimplementación del ySGSI. más pequeñas encontrarán las actividades contenidas en esta Norma son aplicables a ellas y pueden ser simplificadas. Las organizaciones grandes o complejas pueden encontrar que una organización o sistema de gestión estratificado se requiere para manejar las actividades de esta Norma de forma efectiva. No obstante lo anterior, en ambos casos, las actividades relevantes pueden planificarse mediante la aplicación de esta Norma. Esta Norma provee recomendaciones y explicaciones; ésta no especifica requisitos. Esta Norma tiene el propósito de ser utilizada en conjunto con las Normas NTE INEN ISO/IEC 27001 e NTE INEN ISO/IEC 27002, pero no tiene el propósito de modificar y/o reducir los requisitos especificados en la NTE INEN ISO/IEC 27001 o las recomendaciones provistas en la NTE INEN ISO/IEC 27002. N o e s a p r o p i a d o s o l i c i t a r c o n f o r m i d a d c o n e s t a N o r m a .

–

9 9 9 3 1 0 7 1 a l l i s a C

2 Referencias normativas

N E N I , n ó i c a z i l

gestión de la seguridad de la información — Descripción general y vocabulario.

–

a m r o N e d o n a i r o t a u c E o t u t i t s n I

Los siguientes documentos de referencia son indispensables para la aplicación de este documento. Para referencia con fecha, solamente la edición citada aplica. Para referencias que no cuentan con fecha, la última versión del documento de referencia aplica. NTE INEN-ISO/IEC 27000, Tecnología de la información — Técnicas de seguridad — Sistemas de NTE INEN-ISO/IEC 27001, Tecnología de la información – Técnicas de seguridad – Sistemas de gestión de la seguridad de la información - Requisitos

3 Términos y definiciones Para los fines de este documento, los términos y definiciones dados en la Normas NTE INEN ISO/IEC 27000, NTE INEN ISO/IEC 27001, y los siguientes aplican.

3.1 Proyecto de SGSI Actividades estructuradas asumidas por una organización para implementar un SGSI

(Continúa) DESCRIPTORES: Tecnología de la información, grupos de caracteres y códigos de información, técnicas de seguridad, guía de implementación, sistema de gestión de la seguridad de la información. -1-


2011-684

6/75

5/28/2018


NTE INEN-ISO/IEC 27003

4 Estructura de esta Norma 4.1 Estructura general de las cláusulas La implementación de un SGSI es una actividad importante y es generalmente ejecutada como un proyecto en una organización. Este documento explica la implementación del SGSI enfocándose en la iniciación, planificación, definición del proyecto. El está proceso de planificación de la implementación final del SGSIy tiene cinco fases y cada fase representada por una cláusula separada. Todas las cláusulas tienen una estructura similar, según se describe a continuación. Las cinco fases son: a) Obtención de aprobación de la Dirección para la iniciación de un proyecto de SGSI (Cláusula 5) b) Definición del Alcance del SGSI y de la Política del SGSI (Cláusula 6) c) Realización del Análisis de la Organización (Cláusula 7) d) Realización de la Evaluación del Riesgo y planificación del Tratamiento del Riesgo (Cláusula 8) e) Diseño del SGSI (Cláusula 9) La Figura 1 ilustra las cinco fases de la planificación del proyecto del SGSI de acuerdo a las normas NTE INEN ISO/IEC y a los principales documentos de salida.

Obtención de aprobación de la dirección para iniciar un proyecto de SGSI 5

Aprobación de la Dirección para la iniciación del Proyecto de SGSI

Definición del alcance, límites y políticas del SGSI. 6

El Alcance y límites del SGSI

Política del SGSI

Realización del análisis de requerimientos de seguridad de la información 7

Realización de la evaluación del riesgo y planificación del tratamiento del riesgo 8

Aprobación escrita de la dirección para la implementación del SGSI

Requerimientos de seguridad de la información

Activos de información

Diseño el ISMS 9

Plan final de implementación del proyecto de SGSI

Plan de tratamiento del riesgo

Resultados de la evaluación de la seguridad de la información

Declaración de aplicabilidad, incluyendo los objetivos control y los controles

seleccionados

Plazo

Figura 1 —Fases del proyecto de SGSI

-2-


2011-684

7/75

5/28/2018



Información adicional consta en los anexos. Estos anexos son: Anexo A. Resumen de actividades con referencias de acuerdo con la NTE INEN ISO/IEC 27001 Anexo B. Roles y responsabilidades de la seguridad de la información Anexo C. Información sobre planificación de las auditorías internas Anexo D. Estructura de las políticas Anexo E. Información sobre planificación de monitoreo y medición

4.2 Estructura general de una cláusula Cada cláusula contiene: a) uno o más objetivos determinando qué se espera lograr, indicados en un cuadro de texto al inicio de cada cláusula. y b) una o más actividades necesarias para lograr el o los objetivos de la fase. Cada actividad está descrita en una sub-cláusula. Las descripciones de actividades en cada sub-cláusula están estructuradas de la siguiente forma:

Actividad La actividad define qué se requiere para satisfacer esta actividad, la cual logra todo o parte de los objetivos de la fase.

Entrada La entrada describe el punto de inicio, tal como la existencia de decisiones documentadas o salidas de otras actividades descritas en esta norma. Las entradas pueden ser referidas como la salida completa de una actividad, únicamente señalando la cláusula pertinente, o la información específica de una actividad puede ser agregada luego de la cláusula referida. Guía La guía provee información detallada para posibilitar la ejecución de esta actividad. Algunas de las guías pueden no ser apropiadas en todos los casos y otras formas de lograr los resultados pueden ser más apropiadas.

Salida La salida describe el/los resultado(s) o entregable(s) al completarse la actividad; por ejemplo, un documento. Las salidas son las mismas, independientemente del tamaño de la organización o del alcance del SGSI. Otra información La otra información provee cualquier información adicional que pueda ayudar en la ejecución de la actividad, por ejemplo, referencias a otras normas. NOTA

Las fases y actividades descritas en este documento incluyen una secuencia sugerida para ejecutar las

actividades, basada en las dependencias identificadas a través de cada una de las descripciones de “Entrada” y “Salida” de la s

actividades. Sin embargo, dependiendo de muchos factores diferentes (por ejemplo, eficacia del sistema de gestión actual, comprensión en relación a la importancia de la seguridad de la información, razones para implementar un SGSI), una organización podría seleccionar cualquier actividad en cualquier orden, según sea necesario, para prepararse para el establecimiento e implementación del SGSI.

-3-


2011-684

8/75

5/28/2018



4.3 Diagramas Un proyecto está generalmente ilustrado en forma de gráficos o diagramas que muestran una visión general de las actividades y de las salidas. La Figura 2 muestra la leyenda de los diagramas que están ilustrados en una sub-cláusula de descripción general de cada fase. Los diagramas proveen una descripción general de alto nivel de las actividades incluidas en cada fase. Las fases de planificación de un proyecto de SGSI Fase

Fase

Fase X

Z

Y

Documento

Documento

Plazo

Actividad A

Document Document Actividad Actividad B

C

Documento

Documento

Document o

Document

Plazo

Figura 2 — Leyenda de diagrama de flujo -4-


2011-684

9/75

5/28/2018



El cuadro superior ilustra las fases de planificación de un proyecto de SGSI. La fase explicada en la cláusula específica es entonces enfatizada con sus documentos claves de salida. El diagrama inferior (actividades de la fase) muestra las actividades claves que están incluidas en la fase enfatizada del cuadro superior, y los principales documentos de salida de cada actividad. El Plazo en el cuadro inferior se basa en la Plazo del cuadro superior. La Actividad A y la Actividad B pueden ejecutarse al mismo tiempo. La Actividad C debería iniciarse después de que se concluyan las Actividades A y B.

5 Obtención de aprobación de la Dirección para iniciar un proyecto de SGSI. 5.1 Perspectiva general de la obtención de aprobación de la Dirección para iniciar un proyecto de SGSI Existen varios factores que deberían ser tomados en cuenta cuando se decida implementar un SGSI. Con el fin de tratar estos factores, la Dirección debería entender el caso de negocio de un proyecto de implementación de SGSI y aprobarlo, por lo tanto, el objetivo de esta fase es: Objetivo: Obtener aprobación de la Dirección para iniciar el proyecto de SGSI mediante la definición de un caso de negocio y el plan del proyecto. Para obtener la aprobación de la Dirección, una organización debería crear un caso de negocio, que incluya las prioridades y objetivos, para implementar un SGSI, además de la estructura de la organización para el SGSI. También, se debe crear el plan inicial del proyecto de SGSI. El trabajo realizado en esta fase hará posible que la organización entienda la importancia de un SGSI, y aclara las funciones y responsabilidades de seguridad de la información dentro de la organización que requiere un proyecto de SGSI. La salida esperada de esta fase será la aprobación preliminar, y el compromiso, por parte de la Dirección para implementar un SGSI y ejecutar las actividades descritas en esta Norma. Los entregables de esta cláusula incluyen un caso de negocio y un borrador del plan del proyecto de SGSI con hitos claves. La Figura 3 ilustra el proceso para obtener aprobación de la Dirección para iniciar el proyecto de SGSI. NOTA La salida de la Cláusula 5 (El compromiso documentado de la Dirección para planificar e implementar un SGSI) y un o d e l as sa li da s d e l a C lá us ul a 7 (Resumen documentado del estado de la seguridad de la información) no son requerimientos de la NTE INEN-ISO/IEC 27001. Sin embargo, los resultados de estas actividades son entradas recomendados para otras actividades descritas en este documento.

Obtener aprobación Gerencia para iniciar proyecto ISMS 5

Definir alcance, limites y política ISMS 6

Realizar análisis requisitos seguridad información 7

Conducir evaluación riesgo y planificar tratamiento riesgos 8

Diseñar el ISMS 9

Aprobación gerencia iniciar proyecto ISMS

Plazo Plazo

-5-


2011-684

10/75

5/28/2018



Aclarar prioridades organización para desarrollar ISMS 5.2

Objetivos para un ISMS resumidos

Lista restricciones legales contractuales y de industria pertinentes a seguridad información de o rganización

Características negocio bosquejadas

Definir alcance preliminar ISMS 5.3

Desarrollar alcance preliminar ISMS 5.3.1

Definir papeles y responsabilidades alcance preliminar ISMS 5.3.2

Bosquejo características ne ocio

Descripción papeles y responsabilidades para implementar ISMS

Crear caso negocio y plan de proyecto para manejo aprobación 5.4

Caso negocio

Propuesta proyecto ISMS

Figure 3 — Overview of obtaining management approval for initiating an SGSI project Aprobación de un proyecto ISMS

Plazo

Figura 3 — Perspectiva general para la obtención de aprobación para iniciar un proyecto de SGSI

5.2 Aclarar las prioridades de la organización para desarrollar un SGSI Actividad Los objetivos para implementar uninformación SGSI deben tomando en consideración las prioridades y requerimientos de seguridad de la deincluirse la organización.

-6-


2011-684

11/75

5/28/2018



Entrada a) los objetivos estratégicos de la organización b) visión general de los sistemas de gestión existentes c) una lista de requerimientos legales, regulatorios y contractuales respecto a la seguridad de la información aplicable a la organización

Guía Con el fin de iniciar el proyecto de SGSI, en general, se necesita aprobación de la Dirección. Consecuentemente, la primera actividad que debería ser realizada es recopilar la información relevante que ilustre el valor de un SGSI para la organización. La organización debería aclarar por qué necesita un SGSI y decidir los objetivos de la implementación del SGSI e iniciar el proyecto de SGSI. Los objetivos para implementar un SGSI pueden determinarse respondiendo las siguientes preguntas: a) manejo de riesgos – ¿Cómo un SGSI generará mejor gestión de los riesgos de seguridad de la información? b) eficiencia – ¿Cómo puede un SGSI mejorar la gestión de la seguridad de la información? c) ventaja para el negocio – ¿Cómo puede un SGSI crear ventaja competitiva para la organización? Con el fin de contestar las anteriores preguntas, las prioridades y requerimientos de seguridad de la organización están indicados por los siguientes factores posibles: a) negocios y áreas organizacionales críticas: 1.

¿Cuáles son los negocios y las áreas organizacionales críticas?

2.

¿Qué áreas organizacionales proveen al negocio y con qué enfoque?

3.

¿Qué relaciones y acuerdos con terceros existen?

4.

¿Existen servicios que hayan sido subcontratados?

b) información sensible o valiosa: 1.

¿Qué información es crítica para la organización?

2.

¿Cuáles serían las posibles consecuencias si cierta información fuera revelada a personas no autorizadas (por ejemplo, pérdida de ventaja competitiva, daño a la marca o a la reputación, acción legal, etc.)?

c) leyes que disponen medidas de seguridad de la información: 1.

¿Qué leyes relacionadas con el tratamiento de los riesgos o seguridad de la información aplican a la organización?

2. ¿Es la organización parte de una organización pública global a la que se le requiere contar con informes financieros externos? d) acuerdos contractuales u organizacionales relacionados con la seguridad de la información: 1.

¿Cuáles son los requerimientos de almacenamiento (incluyendo los períodos de retención) para almacenamiento de datos?

2. ¿Existen requerimientos contractuales relacionados con la privacidad o la calidad (por ejemplo, Acuerdos de Nivel de Servicio (Service Level Agreements - SLA)? -7-


2011-684

12/75

5/28/2018



e) requerimientos de la industria que especifiquen controles o medidas particulares de la seguridad de la información: 1. ¿Qué requerimientos específicos sectoriales aplican a la organización? f) El entorno de amenazas: 1. ¿Qué clase de protección se necesita, y contra qué amenazas? 2. ¿Cuáles son las distintas categorías de información que requieren protección? 3. ¿Cuáles son los diferentes tipos de actividades de información que requieren protección? g) Factores Competitivos: 1. ¿Cuáles son los requerimientos mínimos del mercado para la seguridad de la información? 2. ¿Qué controles adicionales de seguridad de la información deberían proveer una ventaja competitiva para la organización? h) Requerimientos de continuidad del negocio 1. ¿Cuáles son los procesos críticos del negocio? 2.

¿Por cuánto tiempo puede la organización tolerar interrupciones para cada proceso crítico del negocio?

El alcance preliminar del SGSI puede determinarse respondiendo a la información anterior. También se necesita, con el fin de crear un caso de negocio y un plan general del proyecto de SGSI para aprobación de la Dir ección. El alcan ce deta llado del SGSI se definirá durante el proyecto de SGSI. Los requisitos señalados en la NTE INEN ISO/IEC 27001 referencia 4.2.1 a) bosqueja el alcance en términos de las características del negocio, la organización, su ubicación, activos y tecnología. La información resultante respalda esta determinación. Algunos tópicos que podrían considerarse cuando se tomen las primeras decisiones relativas al alcance incluyen: a) ¿Cuáles son los mandatos para la gestión de la seguridad de la información establecidos por la Dirección organizacional y las obligaciones impuestas externamente en la organización? b) ¿Recae la responsabilidad de los sistemas propuestos, que se encuentran dentro del alcance, en más de un grupo de gestión (por ejemplo, gente en diferentes subsidiarias o en diferentes departamentos)? c) ¿Cómo los documentos relacionados con el SGSI serán comunicados a través de la organización (por ejemplo, impresos o a través de la red interna de la corporación)? d) ¿Puede el actual sistema de gestión respaldar las necesidades de la organización? ¿Es éste totalmente operativo, bien mantenido y funciona como se espera? Ejemplos del manejo de objetivos que pueden utilizarse como entrada para definir el alcance preliminar del SGSI incluyen: a) facilitar la continuidad del negocio y la recuperación de desastres b) mejorar la resistencia a incidentes c) señalar las responsabilidades/cumplimientos legales/contractuales d) permitir la certificación frente a otras normas NTE INEN ISO/IEC e) permitir la evolución y posición organizacional f) reducir costos de controles de seguridad -8-


2011-684

13/75

5/28/2018



g) proteger los activos de valor estratégico h) establecer un entorno de control interno saludable y efectivo i) asegurar a los interesados que los activos de información están apropiadamente protegidos.

Salida Los entregables de esta actividad son: a) un documento que resume los objetivos, prioridades de la seguridad de la información de seguridad y requerimientos organizacionales de un SGSI. b) una lista de requerimientos regulatorios, contractuales y propios de la industria relacionados con la seguridad de la información de la organización. c) Bosquejo de las características del negocio, la organización, su ubicación, activos y tecnología.

Otra información Normas NTE INEN ISO/IEC 9001, ISO/IEC 14001:2004, NTE INEN ISO/IEC 20000-1

5.3 Definir el alcance preliminar del SGSI 5.3.1 Desarrollar el alcance preliminar del SGSI Actividad Los objetivos para implementar el SGSI debería incluir la definición preliminar del alcance del SGSI, que es necesario para el proyecto del SGSI.

Entrada La salida de la Actividad 5.2 Aclarar las prioridades de la organización para desarrollar un SGSI.

Guía Con el fin de ejecutar la implementación de un proyecto de SGSI, la estructura de una organización para el SGSI debería definirse. El alcance preliminar del SGSI debería ser definido para proveer manejo orientado de las decisiones de implementación, y para respaldar actividades posteriores. Se requiere el alcance preliminar del SGSI con el fin de crear el caso de negocio y el plan del proyecto propuesto, para aprobación por parte de la Dirección. La salida de esta etapa será un documento que defina el alcance preliminar del SGSI, lo que incluye: a) un resumen de los mandatos de la seguridad de la información determinada por la administración organizacional, y las obligaciones impuestas externamente en la organización; b) una descripción de cómo interactúa(n) el/las área(s) de alcance con otros sistemas de gestión; c) una lista de los objetivos de negocio de gestión de la seguridad de la información (según se deriva en la cláusula 5.2); d) una lista de procesos de negocio, sistemas, activos de información, estructuras organizacionales y ubicaciones geográficas críticas a las cuales el SGSI será aplicado. e) la relación de los actuales sistemas de gestión, regulaciones, cumplimiento, y objetivos de la organización; f) las características del negocio, la organización, su ubicación, activos y tecnología.

-9-


2011-684

14/75

5/28/2018



Los elementos comunes y las diferencias operacionales entre los procesos de cualquier sistema(s) existente de gestión y el SGSI propuesto deberían ser identificados.

Salida El entregable es un documento que describe el alcance preliminar del SGSI.

Otra información Ninguna otra información específica. NOTA Se debería poner especial atención de que en caso de los requerimientos de documentación específica de certificación de la NTE ISO/IEC 27001, así como los constantes en el alcance del SGSI, deben cumplirse sin importar los sistemas de gestión que tengan lugar dentro de la organización.

5.3.2 Definir funciones y responsabilidades para el alcance preliminar del SGSI Actividad Se deberían definir las funciones y responsabilidades generales para el alcance preliminar del SGSI.

Entrada a) salida de la Actividad 5.3.1 Desarrollar el alcance preliminar del SGSI b) lista de interesados quienes se beneficiarán de los resultados del proyecto del SGSI.

Guía Con el fin de ejecutar el proyecto del SGSI, se debe determinar el rol de una organización para el proyecto. El rol es generalmente diferente en cada organización, en razón del número de personas involucradas con la seguridad de la información. La estructura organizacional y los recursos para la seguridad de la información varían de acuerdo con el tamaño, tipo y estructura de la organización. Por ejemplo, en una organización más pequeña, una misma persona puede estar a cargo de varios roles. Sin embargo, la gestión debe explícitamente identificar el rol (típicamente Jefe de Seguridad de la Información, Gerente de Seguridad de la Información o similares) con responsabilidad general de gestión de la seguridad de la información, y al personal debe asignársele roles y responsabilidades en base a la aptitud requerida para desempeñar el trabajo. Esto es crítico para asegurarse de que las tareas asignadas sean ejecutadas eficiente y efectivamente. Las consideraciones más importantes para definir los roles en la gestión de la seguridad de la información son: a) la responsabilidad general de las tareas recae en el nivel directivo, b) una persona (generalmente el Jefe de Seguridad de la Información) es designada para promover y coordinar el proceso de seguridad de la información, c) cada uno de los empleados es igualmente responsable de su tarea original y de mantener la seguridad de la información en el lugar de trabajo y en la organización. Los roles para la gestión de la seguridad de la información deberían trabajar conjuntamente; esto se puede facilitar realizando un Foro sobre Seguridad de la Información, o algo similar. Se debe comprometer (y documentar) la colaboración de especialistas de negocio apropiados en todas las etapas del desarrollo, implementación, operación y mantenimiento del SGSI. Los representantes de los departamentos dentro del alcance identificado (tal como manejo de riesgos) son potenciales miembros del equipo de implementación del SGSI. Este tamaño del equipo debería ser mantenerse en un número óptimo, que sea práctico para efectos de velocidad y uso efectivo de los recursos. Tales áreas no son solamente aquellas directamente incluidas en el alcance del SGSI sino también las divisiones indirectas, tales como los departamentos legales, de manejo de riesgos y administrativos. -10-


2011-684

15/75

5/28/2018



Salida El entregable es un documento o tabla que describe las funciones y las responsabilidades con los nombres y la organización requerida para implementar de manera exitosa un SGSI.

Otra información El Anexo B provee detalles de las funciones y responsabilidades requeridas en una organización para implementar de manera exitosa un SGSI.

5.4 Crear el caso de negocio y el plan del proyecto para aprobación de la dirección. Actividad La aprobación de la Dirección y el compromiso de recursos para la implementación del proyecto del SGSI deberían ser obtenidos mediante la creación del modelo de negocio y la propuesta de proyecto del SGSI.

Entrada a) la salida de la Actividad 5.2 Aclarar las prioridades de la organización para desarrollar un SGSI b) la salida de la Actividad 5.3 Definir el alcance preliminar del SGSI – Los documentados: 1. alcance preliminar del SGSI y 2. roles y responsabilidades preliminares asociadas.

Guía La información para el caso de negocio y el plan inicial de proyecto del SGSI debería incluir un cronograma, recursos e hitos estimados, requeridos para las actividades principales detalladas en las Cláusulas 6 a 9 de esta Norma. El caso de negocio y el plan inicial del proyecto de SGSI sirven como base del proyecto, pero también asegura el compromiso de la Dirección y la aprobación de los recursos necesarios para la implementación del SGSI. La manera en la cual el SGSI implementado dará soporte a los objetivos del negocio contribuye a la efectividad de los procesos organizacionales e incrementa la eficiencia del negocio. El caso de negocio para la implementación de un SGSI debería incluir sentencias cortas ligadas a los objetivos de la organización y cubrir los siguientes asuntos: a) metas y objetivos específicos b) beneficio para la organización c) alcance preliminar del SGSI incluyendo los procesos de negocio afectados d) procesos y factores críticos para lograr los objetivos del SGSI e) visión general de alto nivel del proyecto f) plan inicial de implementación g) roles y responsabilidades definidas h) recursos requeridos (tecnológicos y humanos) i) consideraciones de implementación incluyendo la seguridad de la información existente j) cronograma con hitos claves k) costos esperados l) factores críticos de éxito m) cuantificar los beneficios para la organización -11-


2011-684

16/75

5/28/2018



El plan del proyecto debería incluir actividades relevantes de las fases de las Cláusulas 6 a la 9 establecidas en esta Norma. Las personas que efectúan o son afectadas por el SGSI deben ser identificadas y permitirles un tiempo prudencial para revisar y comentar sobre el caso de negocio del SGSI y la propuesta de proyecto del SGSI. El caso de negocio y la propuesta de proyecto del SGSI deberían ser actualizados cada vez que sea necesario, en razón de nuevas entradas. Una vez que se logra suficiente respaldo, el caso de negocio y la propuesta de proyecto del SGSI deberían presentarse a la Dirección para su aprobación. La Dirección debe aprobar el caso de negocio y el plan inicial del proyecto con el fin de lograr un compromiso total de la organización e iniciar la ejecución del proyecto del SGSI. Los beneficios esperados del compromiso de la Dirección para implementar un SGSI son: a) conocimiento e implementación de leyes, regulaciones, obligaciones contractuales y norm as pertinentes relacionadas con la seguridad de la información, que permitan evitar responsabilidades y multas en razón del incumplimiento. b) uso eficiente de múltiples procesos para la seguridad de la información, c) estabilidad y elevada confianza para crecer a través de una mejor gestión de los riesgos de la seguridad de la información, d) identificación y protección de la información crítica del negocio.

Salida Los entregables de esta actividad son: a) una aprobación documentada por parte de la Dirección para ejecutar el proyecto del SGSI con los recursos asignados b) un caso de negocio documentado c) una Propuesta inicial de Proyecto del SGSI, con hitos, tales como realización de una evaluación del riesgo, implementación, auditorías internas y revisión por parte de la Dirección.

Otra información La Norma NTE INEN-ISO/IEC 27000 contiene ejemplos de factores críticos de éxito para respaldar el caso de negocio del SGSI.

6 Definir el alcance del SGSI, límites y políticas del SGSI 6.1 Perspectiva general de la definición del alcance, límites y políticas del SGSI La aprobación de la Dirección para la implementación de un SGSI se basa en el alcance preliminar, el caso de negocio y el plan inicial del proyecto del SGSI. La definición detallada del alcance y límites del SGSI, la definición de la política del SGSI, y la aceptación y el respaldo por parte de la Dirección son los factores primarios claves para una implementación exitosa del SGSI. Consecuentemente, los objetivos de esta fase son:

Objetivos: Definir el alcance, los límites detallados del SGSI, desarrollar la política del SGSI y obtener aprobación de la Dirección.

NTE ISO/IEC 27001 cláusulas 4.2.1 a) y 4.2.1 b) -12-


2011-684

17/75

5/28/2018



Con el fin de lograr el objetivo de “Definir el alcance y los límites detallados del SGSI”, son necesarias

las siguientes actividades. a) definir el alcance y los límites organizacionales, b) definir el alcance y los límites de las Tecnologías de la Información y Comunicación (TIC) y c) definir el alcance y los límites físicos. d) las características especificadas en la NTE INEN ISO/IEC 27001 cláusulas 4.2.1 a) negocio, organización, ubicación, activos y aspectos tecnológicos del alcance y los límites; y 4.2.1 b) la política están determinados en el proceso de definición de estos alcances y límites. e) integrar el alcance y los límites elementales para obtener el alcance y los límites del SGSI. Para lograr la definición de la política del SGSI y obtener la aceptación por parte de la Dirección, es necesaria una sola actividad. Para construir un sistema de gestión efectivo para la organización, se debería determinar el alcance detallado del SGSI mediante la consideración de activos de información críticos de la organización. Es importante contar con una terminología y un enfoque sistemático comunes para identificar los activos de información y evaluar los mecanismos de seguridad viables. Esto facilita la comunicación y promueve entendimientos consistentes a lo largo de todas las fases de la implementación. También, es importante para asegurar que las áreas críticas de la organización estén incluidas en el alcance. Es posible definir el alcance de un SGSI para abarcar a toda la organización, o una parte de la misma, tal como una división o una subsidiaria claramente delimitada. Por ejemplo, en el caso de “servicios” provistos a los clientes, el alcance del SGSI puede ser un servicio, o un sistema transversal de gestión (una división completa o una parte de una división). Los requerimientos de la NTE INENISO/IEC 27001 deben cumplirse totalmente para la certificación, a pesar de los sistemas de gestión existentes dentro de la organización. El alcance y los límites organizacionales; el alcance y los límites de las TIC (6.3); y el alcance y límites físicos (6.4) no siempre se los realiza de manera secuencial. Sin embargo, es útil hacer referencia del alcance y los límites ya obtenidos cuando se definen otros alcances y límites.

Aprobación gerencia iniciar proyecto ISMS 5

Aprobación gerencia inicio proyecto ISMS

Definir alcance limites y política ISMS 6

Análisis requisitos seguridad información 7

Evaluación riesgo y planificación tratamiento riesgo 8

Diseñar ISMS

Alcance y limites ISMS

Política ISMS

-13-


2011-684

18/75

5/28/2018



Definir alcance y limites organizacionales 6.2

Limite organizacional para ISMS

Definir comunicación de información alcance y limite tecnología 6.3

Alcance y limites ICT

Definir alcance físico y limites 6.4

Alcance físico y limites

Integrar alcance y limites para obtener alcance y límites ISMS 6.5

alcance y limites ISMS

Desarrollar política ISMS y obtener aprobación gerencia 6.6

Política ISMS

Plazo

Figura 4 — Perspectiva general de la definición del alcance, los límites y la política del SGSI

-14-


2011-684

19/75

5/28/2018



6.2 Definir el alcance y límites organizacionales Actividad El alcance y los límites organizacionales deberían ser definidos.

Entrada a) la salida de la Actividad 5.3 Definir el alcance preliminar del SGSI – El alcance preliminar documentado del SGSI que señala: 1. relación de sistemas de gestión, regulación, cumplimiento, y objetivos de la organización; 2. características del negocio, la organización, su ubicación, activos y tecnología. b) la salida de la Actividad 5.2 Aclarar las prioridades de la organización para desarrollar un SGSI – La aprobación documentada por parte de la administración para implementar un SGSI e iniciar el proyecto con los recursos necesarios asignados.

Guía La cantidad de esfuerzo requerido para implementar un SGSI depende de la magnitud del alcance al cual el mismo será aplicado. Esto también puede impactar todas las actividades relacionadas con el mantenimiento de la seguridad de la información en los ítems incluidos en el alcance (tales como procesos, ubicaciones físicas, sistemas de TI y personas), incluyendo los controles de implementación y mantenimiento, la gestión de las operaciones, y la realización de tareas tales como: la identificación de activos de información y la evaluación del riesgo. Si la administración decide excluir ciertas partes de la organización del alcance del SGSI, sus razones para hacerlo deberían ser debidamente documentadas. Cuandopara el alcance del aSGSI está que definido, es importante que susen límites sean lo suficientemente claros explicarlos aquellos no estuvieron involucrados su definición. Algunos controles relacionados con la seguridad de la información podrían ya existir como resultado de la implementación de otros sistemas de gestión. Estos deben ser tomados en cuenta cuando se planifica el SGSI, pero no necesariamente indicarán los límites del alcance para el SGSI actual . Un método para definir los límites organizacionales es identificar aquellas áreas de responsabilidad que están sobreponiéndose, y así, facilitar la asignación de responsabilidades dentro de una organización. Las responsabilidades directamente relacionadas con los activos de información o procesos del negocio incluidos en el alcance del SGSI deberían seleccionarse como parte de la organización que se cuenta encuentra controlfactores: del SGSI. Cuando se definen los límites organizacionales, se deben tomar en los bajo siguientes a) el foro de gestión del SGSI debería estar conformado por los directores involucrados directamente en el alcance del SGSI. b) el miembro de la Dirección encargado del SGSI debería ser el mismo que finalmente esté a cargo de todas las áreas de responsabilidad afectadas (es decir, su posición estará generalmente impuesta por su campo de control y responsabilidad dentro de una organización). c) En el caso que la posición responsable de la gestión del SGSI no sea un miembro de la alta Dirección, es esencial contar con un auspiciante de dicho nivel, para representar los intereses de la seguridad de la información y actuar como defensor del SGSI en los más altos niveles de la organización. d) el alcance y los límites necesitan ser definidos para asegurar que todos los activos pertinentes son tomados en cuenta al realizar la evaluación del riesgo, y para determinar los riesgos que puedan surgir a través estos límites. -15-


2011-684

20/75

5/28/2018



Basados en el enfoque, los límites organizacionales analizados deberían identificar a todo el personal afectado por el SGSI, y esto debería estar incluido en el alcance. La identificación del personal podría estar ligada a procesos y/o funciones, dependiendo del enfoque seleccionado. Si algunos procesos dentro del alcance están subcontratados, aquellas dependencias deben estar claramente documentadas. Dichas dependencias estarán sujetas a posterior análisis durante la implementación del proyecto del SGSI.

Salida Los entregables de esta actividad son: a) descripción de los límites organizacionales para el SGSI, incluyendo cualquier justificación para partes de la organización que han sido excluidas del alcance del SGSI, b) funciones y estructura de aquellas partes de la organización dentro del alcance del SGSI, c) identificación de la información intercambiada dentro del alcance e información intercambiada a través de los límites d) procesos y responsabilidades organizacionales para los activos de información dentro del alcance y fuera del mismo, e) proceso para la jerarquía de la toma de decisiones, así como, para la estructura dentro del SGSI.

Otra información No existe otra información específica.

6.3 Definir el alcance y límites de las tecnologías de la información y comunicación (TIC) Actividad El alcance y los límites de los elementos de la tecnología de la información y comunicación (TIC) y otros ítems de te cnología cubie rtos por el SGSI deberían definirse.

Entrada a) salida de la Actividad 5.3 Definir el alcance preliminar del SGSI – El documento para el alcance preliminar del SGSI b) salida de la Actividad 6.2 Definir el alcance y límites organizacionales

Guía La información definición del(en alcance y los debasado las TICen seTI). puede travésuna de decisión un enfoque dedirección sistema de lugar de un límites enfoque Unaobtener vez queaexista de la para incluir los procesos de sistemas de información del negocio en el alcance del SGSI, todos los elementos relacionados con las TIC deberían también ser considerados. Esto incluye todas las partes de la organización que almacenan, procesan o transportan información crítica, activos, o lo que sea crítico para las partes de la organización consideradas en el alcance. Los sistemas de información pueden cruzar los límites organizacionales o nacionales. De ser este el caso, debería considerarse lo siguiente: a) situación socio-cultural b) requerimientos legales, regulatorios y contractuales aplicables a las organizaciones c) responsabilidad sobre funciones claves d) restricciones técnicas (por ejemplo, ancho de banda disponible, disponibilidad de servicio, etc.)

-16-


2011-684

21/75

5/28/2018



Tomando en consideración lo anterior, los límites de las TIC deberían incluir una descripción de lo siguiente, cuando sea aplicable: a) la infraestructura de las comunicaciones, en donde la responsabilidad de su manejo recaiga en la organización, incluyendo tecnologías diferentes (por ejemplo, redes inalámbricas, de telefonía fija o de voz y datos). b) software dentro de los límites organizacionales, que sea usado y controlado por la organización c) hardware de las TIC requerido por la red o redes, aplicaciones o sistemas de producción d) roles y responsabilidades relativas al hardware de las TIC, red y software Si uno o más de los puntos mostrados arriba no están bajo control de la organización, las dependencias de terceros deben estar documentadas. Ver la Guía del tema 6.2.

Salida Los entregables de esta actividad son: a) información intercambiada dentro del alcance e información intercambiada a través de los límites b) Los límites de las TIC para el SGSI, incluyendo cualquier justificación para la exclusión de las TIC bajo control de la organización que han sido excluidas del alcance del SGSI. c) los sistemas de información y las redes de telecomunicaciones, que describen lo que está en el alcance, junto con las roles y responsabilidades para estos sistemas. Los sistemas que están fuera del alcance deberían ser resumidos brevemente.


6.4 Definir el alcance y límites físicos Actividad El alcance y los límites físicos que deberían ser cubiertos por el SGSI, deberían ser definidos.

Entrada a) salida de la Actividad 5.3 Definir el alcanc e pr elim inar del SGSI – El documento para el alcance preliminar del SGSI b) salida de la Actividad 6.2 Definir el alcance y límites organizacionales. c) salida de la Actividad 6.3 Definir el alcance y límites de las tecnologías de la información y comunicación (TIC)

Guía La definición del alcance y las limitaciones físicas consiste en la identificación de los locales, ubicaciones o instalaciones dentro de una organización que deberían ser parte del SGSI. Es más complejo tratar con sistemas de información, que cruzan los límites físicos, que necesitan: a) instalaciones remotas b) interfaces a los sistemas de información del cliente y a servicios provistos por terceros c) interfaces apropiadas aplicables y niveles de servicio. Tomando en consideración lo anterior, los límites físicos deberían incluir la descripción de lo siguiente, cuando sea aplicable: -17-


2011-684

22/75

5/28/2018



a) descripción de funciones o procesos considerando su ubicación física y la medida en que la organización los controla b) instalaciones especiales utilizadas que contienen o almacenan el hardware de las TIC o datos dentro del alcance (por ejemplo, cintas de respaldo), basados en la cobertura de los límites de las TIC Si una o más de los puntos indicados arriba no es controlado por la organización, las dependencias de terceros se deberían documentar. Ver la Guía del tema 6.2.

Salida Los entregables de esta actividad son: a) descripción de los límites físicos del SGSI, incluyendo cualquier justificación de la exclusión de límites físicos bajo la gestión de la organización y que han sido excluidos del alcance del SGSI, b) descripción de la organización y sus características geográficas pertinentes al alcance.


6.5 Integrar cada alcance y límites para obtener el alcance y límites del SGSI Actividad El alcance y los límites del SGSI deberían obtenerse mediante la integración de cada uno de los alcances y límites.

Entrada a) salida de la Actividad 5.3 Definir el alcance preliminar del SGSI – El documento para el alcance preliminar del SGSI b) salida de la Actividad 6.2 Definir el alcance y límites organizacionales c) salida de la Actividad 6.3 Definir el alcance y límites de las tecnologías de la información y comunicación(TIC) d) salida de la Actividad 6.4 Definir el alcance y límites físicos

Guía El alcance de un SGSI se puede describir y justificar de muchas formas. Por ejemplo, una ubicación física, tal como un centro de datos u oficina, podría ser seleccionada y los procesos críticos listados, uno deUno losdecuales involucrecríticos áreaspodría fuera ser, de por eseejemplo, centro de datos móvil pero incluyéndolas en elcada alcance. tales procesos el acceso a un sistema central de información.

Salida El entregable de esta actividad es un documento que describa el alcance y los límites del SGSI y que contiene la siguiente información: a) las características claves de la organización (su función, estructura, servicios, activos y el alcance y los límites de la responsabilidad de cada activo) b) los procesos organizacionales incluidos en el alcance c) la configuración de equipamiento y redes incluidos en el alcance d) una lista preliminar de activos de información incluidos en el alcance e) una lista de activos de las TIC incluidos en el alcance (por ejemplo, servidores) -18-


2011-684

23/75

5/28/2018



f) mapas de los sitios incluidos en el alcance, indicando las limitaciones físicas del SGSI. g) descripciones de las funciones y responsabilidades dentro del SGSI y sus relaciones con la estructura organizacional h) detalles y justificación para cualquier exclusión del alcance del SGSI


6.6 Desarrollar la política del SGSI y obtener la aprobación de la dirección Actividad La política del SGSI debería ser desarrollada y la aprobación de la Dirección debería ser obtenida.

Entrada a) salida de la Actividad 6.5 Integrar cada alcance y límites para obtener el alcance y límites del SGSI – El alcance y los límites documentados del SGSI b) salida de la Actividad 5.2 Aclarar las prioridades de la organización para desarrollar un SGSI – Los objetivos documentados para implementar el SGSI c) salida de la Actividad 5.4 Crear el caso de negocio y el plan del proyecto para aprobación de la Dirección – Los documentas de: 1. requerimientos de la organización y prioridades de la seguridad de la información, 2. el plan inicial del proyecto para la implementación del SGSI, con hitos, tales como la realización de la evaluación del riesgo, implementación, auditorías internas y revisión de la Dirección

Guía Al definir la política del SGSI, se deberían tomar en cuenta los siguientes aspectos: a) establecer los objetivos del SGSI en base a los requerimientos organizacionales y las prioridades de seguridad de la información de la organización b) establecer el enfoque general y la guía de acción para lograr los objetivos del SGSI c) considerar los requerimientos de la organización, legales o regulatorios y las obligaciones contractuales relacionadas con la seguridad de la información d) el contexto de la gestión del riesgo dentro de la organización e) establecer los criterios de evaluación de los riesgos (ver NTE INEN ISO/IEC 27005) y definir una estructura de evaluación del riesgo f) aclarar las responsabilidades de la alta Dirección en relación al SGSI h) obtener la aprobación de la Dirección.

Salida El entregable es un documento que describe la política del SGSI aprobada por la Dirección y debidamente documentada. Este documento debería ser re-confirmado en una fase posterior del proyecto por cuanto es dependiente del resultado de la evaluación del riesgo. Otra información La NTE INEN-ISO/IEC 27005 provee información adicional sobre los criterios para la evaluación de riesgos. -19-


2011-684

24/75

5/28/2018



7 Realizar el análisis de los requerimientos de seguridad de la información 7.1 Perspectiva general de la realización del análisis de los requerimientos de seguridad de la información El análisis de la situación actual en la organización es importante, por cuanto hay requerimientos existentes y activos de información quepueden deberían considerados implemente un SGSI. Las actividades descritas en esta fase serser emprendidas encuando paralelosecon aquellas descritas en la Cláusula 6 por razones de eficiencia y practicidad.

Objetivos: Definir los requerimientos pertinentes para ser respaldados por el SGSI, ident ificar los act ivos de información y obtener el estado actual de la seguridad de la información dentro del alcance.

NTE INEN-ISO/IEC 27001 cláusulas 4.2.1.c)1) parcialmente, 4.2.1. d), 4.2.1. e)

La información recopilada a través del análisis de la seguridad de la información debería: a) proveer a la Dirección de un punto de inicio (es decir, datos básicos correctos) b) identificar y documentar las condiciones para la implementación c) proveer entendimiento claro y bien establecido de las instalaciones de la organización d) considerar las circunstancias particulares y la situación de la organización e) identificar el nivel de protección deseado de la información f) determinar la compilación de la información requerida para toda o parte de una empresa dentro del alcance de implementación propuesto.

Obtener aprobación gerencia inicio proyecto ISMS 5

Aprobación gerencia para iniciar proyecto



Alcance y limites del ISMS

Requisitos seguridad de la Información

Política ISMS

Activos información


Diseñar el ISMS 9

Resultados evaluación seguridad información

Plazo

-20-


2011-684

25/75

5/28/2018



Define requisitos seguridad información para proceso ISMS 7.2

Requisitos seguridad información

Identificar activos dentro alcance y limites ISMS 7.3

Activos identificados

clasificación procesos / activos

Conducir evaluación seguridad información 7.4

Resumen estado seguridad de organización

Plazo

Figura 5 — Descripción general para ejecutar fase de requisitos de seguridad de la información 7.2 Definir los requerimientos de seguridad de la información para el proceso del SGSI Actividad Los requerimientos detallados de la seguridad de la información para el proceso del SGSI deberían ser analizados y definidos.

Entrada a) salida de la Actividad 5.2 Aclarar las prioridades de la organización para desarrollar un SGSI – Los documentos: 1. que resumen los objetivos, prioridades de la seguridad de la información, y requerimientos de la organización para el SGSI 2. que listen las restricciones regulatorias, contractuales y de la industria pertinentes a la seguridad de la información de la organización -21-


2011-684

26/75

5/28/2018



b) salida de la Actividad 6.5 Integrar cada alcance y límites para obtener el alcance y límites del SGSI – El alcance y los límites del SGSI c) salida de la Actividad 6.6 Desarrollar la política del SGSI y obtener la aprobación d e l a D i r e c c i ó n – L a p o l í t i c a d e l SGSI

Guía El primer paso requiere la recolección de toda la información de respaldo para el SGSI. Para cada proceso organizacional y tarea especializada, se necesita tomar una decisión en términos de qué tan crítica es la información, es decir, el nivel de protección requerido. Una variedad de condiciones internas podría afectar la seguridad de la información y estas deberían ser determinadas. En esta etapa temprana no es importante describir la tecnología de la información en detalle. Debería haber un resumen básico de la información analizada para un proceso organizacional y las aplicaciones y sistemas de TIC asociados. El análisis de los procesos de la organización provee sentencias acerca de los efectos de los incidentes de seguridad de la información en la actividad de la organización. En muchos casos, es adecuado trabajar con una descripción muy básica de los procesos de la organización. Los procesos, funciones, ubicaciones, sistemas de información y redes de comunicaciones necesitan ser identificados y documentados, si es que no han sido ya incluidos como parte del alcance del SGSI. Lo siguiente debería ser considerado para obtener los requerimientos detallados de la seguridad de la información para el SGSI: a) identificación preliminar de activos de información importantes y su protección actual de la seguridad de la información. b) identificar visiones de la organización y determinar el efecto de las visiones identificadas en futuros requerimientos de procesamiento de información c) analizar las formas actuales de procesamiento de la información, aplicaciones del sistema, redes de comunicación, ubicación de actividades y recursos de TI, etc. d) identificar todos los requerimientos esenciales (por ejemplo, requerimientos legales y normativos, obligaciones contractuales, requerimientos organizacionales, normas de la industria, acuerdos con clientes y proveedores, condiciones de aseguramiento, etc.) e) identificar el nivel de concientización sobre seguridad de la información y, desde ahí, derivar los requerimientos de capacitación y educación, en términos de cada unidad operativa y administrativa.

Salida Los entregables de esta actividad son: a) identificación de los procesos, funciones, ubicaciones, sistemas de información y redes de comunicación principales b) identificación de los activos de información de la organización c) clasificación de los procesos/activos críticos d) requerimientos de seguridad de la información derivados de los requerimientos legales, regulatorios, y contractuales de la organización. e) lista de vulnerabilidades públicamente conocidas que serán consideradas como un resultado de los requerimientos de seguridad f) requisitos organizacionales de capacitación y educación sobre seguridad de la información

Otra información No existe otra información específica. -22-


2011-684

27/75

5/28/2018



7.3 Identificar los activos dentro del alcance del SGSI Actividad Se deberían identificar los activos a ser respaldados por el SGSI.

Entrada a) salida de la Actividad 6.5 Integrar cada alcance y límites para obtener el alcance y límites del SGSI – El alcance y los límites del SGSI b) salida de la Actividad 6.6 Desarrollar la política del SGSI y obtener la aprobación de la Dirección – La política del SGSI c) salida de la Actividad 7.2 Definir los requerimientos de seguridad de la información para el proceso del SGSI.

Guía Para identificar los activos dentro del alcance del SGSI la siguiente información debería ser identificada y enlistada: a) nombre único del proceso b) descripción del proceso y de las actividades relacionadas (creadas, almacenadas, transmitidas, eliminadas) c) ponderación del proceso para la organización (crítico, importante, de respaldo) d) propietario del proceso (unidad de la organización) e) procesos que proveen entradas y salidas de este proceso f) aplicaciones de TI que respaldan el proceso g) clasificación de la información (confidencialidad, integridad, disponibilidad, control de acceso, no repudio, y / u otras propiedades importantes para la organización, por ejemplo, por cuánto tiempo podría almacenarse la información)

Salida Los entregables de esta actividad son: a) activos de información identificados de los principales procesos de la organización dentro del alcance del SGSI b) clasificación de la seguridad de la información de los procesos y activos de información críticos


7.4 Realizar una evaluación de la seguridad de la información Actividad La evaluación de seguridad de la información debería realizarse comparando el estado actual de la seguridad de la información de la organización con los objetivos deseados por la organización.

-23-


2011-684

28/75

5/28/2018



Entrada a) salida de la Actividad 6.5 Integrar cada alcance y límites para obtener el alcance y límites del SGSI – El alcance y los límites del SGSI b) salida de la Actividad 6.6 Desarrollar la política del SGSI y obtener aprobación de la D i r e c c i ó n – L a p o l í t i c a d e l SGSI c) salida de la Actividad 7.2 Definir los requerimientos de seguridad de la información para el proceso del SGSI d) salida de la Actividad 7.3 Identificar los activos dentro del alcance del SGSI

Guía La evaluación de la seguridad de la información es la actividad para identificar el nivel existente de seguridad de la información (es decir, los actuales procedimientos de la organización de manejo de la protección de la información). La finalidad fundamental de la evaluación de la seguridad de la información es proveer información que respalde la descripción requerida para el sistema de gestión, en la forma de políticas y las directrices. Obviamente, es necesario asegurarse que las deficiencias identificadas se las maneja en forma paralela mediante un plan de acción priorizado. Todas las partes involucradas deberían estar familiarizadas con los resultados del análisis de la organización, los documentos normativos, y tener acceso al personal de gestión pertinente. Las evaluaciones de la seguridad de la información analizan la situación actual de la organización y determinan el estado actual de la seguridad de la información y la vulnerabilidad de documentos, utilizando la siguiente información: a) estudiando hechos de fondo basados en procesos críticos b) clasificación de los activos de información c) requerimiento organizacional de seguridad de la información. Los resultados de la evaluación de la seguridad de la información, junto con los objetivos de la organización, son a menudo una parte importante del incentivo para trabajo futuro en seguridad de la información. La evaluación de la seguridad de la informaci ón debería ser realizada por un recurso interno o externo que sea independiente de la organización. La participación en la evaluación de la seguridad debería incluir a personas que posean un profundo conocimiento del entorno, condiciones actuales y lo que sea pertinente en términos de seguridad de la información. Estas personas deberían ser seleccionadas para representar un amplio espectro dentro de la organización e incluir: a) gerentes de línea (por ejemplo, jefes de unidad de la organización) b) propietarios de proceso (es decir, quienes representen áreas importantes de la organización) c) otras personas que posean un profundo conocimiento del entorno, condiciones actuales y lo que sea pertinente en términos de seguridad de la información. Por ejemplo, usuarios de procesos de negocio, y funciones operativas, administrativas y legales. Las siguientes acciones son importantes para una evaluación exitosa de la seguridad de la información: a) identificar y enlistar las normas pertinentes de la organización (por ejemplo, La NTE INENISO/IEC 27002). b) identificar requerimientos de control conocidos que surjan de las políticas, de los requerimientos legales y regulatorios, de las obligaciones contractuales, de los resultados de auditorías pasadas o de resultados de evaluaciones del riesgo realizadas en el pasado. c) utilizarlas como documentos de referencia con el fin de realizar una estimación aproximada de los requerimientos actuales de la organización relativos a su nivel de seguridad de la información. -24-


2011-684

29/75

5/28/2018



La priorización realizada en conjunción con el análisis de la organización constituye la base para la cual se deberían considerar precauciones de seguridad y verificaciones (controles). El siguiente es el enfoque para la realización de la evaluación de la seguridad de la información: a) seleccionar los procesos organizacionales de negocio importantes y los pasos de proceso relativos a los requerimientos de seguridad de la información, b) crear un flujograma completo que cubra los principales procesos de la organización incluyendo infraestructura (lógica y técnica), si es que éste no existe ya o fue realizado durante el análisis de la organización. c) discutir con personal apropiado y clave, y analizar la situación actual de la organización en relación con los requerimientos de seguridad de la información. Por ejemplo, ¿qué procesos son críticos?, ¿qué tan bien trabajan actualmente? (Los resultados son utilizados posteriormente en la evaluación del riesgo). d) determinar las deficiencias de control mediante la comparación de los controles existentes con requerimientos de control previamente identificados. e) completar y documentar el estado actual.

Salida El entregable de esta actividad es: a) un documento que resume el estado evaluado de la seguridad de la organización, y las vulnerabilidades evaluadas.

Otra información La evaluación de la seguridad de la información realizada en esta etapa, únicamente entregará información preliminar sobre el estado de la seguridad de la información de la organización y las vulnerabilidades, ya que el conjunto completo de políticas y normas de seguridad de la información es desarrollado en una etapa posterior (ver Cláusula 9), y una evaluación del riesgo aún no ha sido realizada.

8 Realizar la evaluación del riesgo y la planificación del tratamiento del riesgo 8.1 Perspectiva general de la realización de la evaluación del riesgo y la planificación del tratamiento del riesgo La implementación de un SGSI debería señalar riesgos relevantes de la seguridad de la información. La identificación, evaluación y tratamiento planificado de los riesgos, y la selección de los de deberían control ser y manejados los controles, son pasos importantes para la implementación de unobjetivos SGSI y que en esta fase. La NTE INEN ISO/IEC 27005 provee directrices específicas para la Gestión de Riesgos de la Seguridad de la Información y debería ser referida en toda la Cláusula 8. Se asume que la Dirección se ha comprometido a la implementación del SGSI; que el alcance del SGSI y la política del SGSI han sido definidos; y que los activos de información son conocidos al igual que los resultados de la evaluación de la seguridad de la información. Objetivo: Definir la metodología de evaluación del riesgo; identificar, analizar y evaluar los riesgos de la seguridad la controles. información, para seleccionar las opciones de tratamiento del riesgo y los objetivos de control ydelos

Norma NTE INEN ISO/IEC 27001 cláusulas 4.2.1 c) a 4.2.1 j)

-25-


2011-684

30/75

5/28/2018



Obtener aprobación gerencia iniciar proyecto ISMS 5

definir alcance, limites y política ISMS 6



Aprobación

Alcance y

Requisitos

Notificación escrita

gerencia inicio proyecto ISMS

limitaciones ISMS

seguridad de información

gerencia aprobación ejecución ISMS

Política ISMS

Información de activos

Plan tratamiento ries o

Resultados evaluación seguridad de información

SOA, Incluyendo control objetivos y controles seleccionados

Plazo

Diseñar el ISMS 9

Plazo

Evaluación riesgo 8.2

Metodologías evaluación ries o

Resultado evaluación riesgo Seleccionar objetivos control y controles 8.3

Lista controles seleccionados y objetivos control

Plan tratamiento riesgo Autorización gerencia implementación y operación ISMS 8.4

Aprobación implementación ISMS

Aceptación riesgos residuales

SoA, incluyendo control objetivo y control seleccionado

Plazo

Figura 6 — Descripción general de la fase de evaluación del riesgo -26-


2011-684

31/75

5/28/2018



8.2 Realizar la evaluación del riesgo Actividad Se debería realizar la evaluación del riesgo.

Entrada a) salidas de la Actividad de la cláusula 7 Realizar el análisis de los requerimientos de seguridad de la información – La información relacionada con: 1. resumen del estado de la seguridad de la información 2. activos de información identificados b) salida de la Actividad de la cláusula 6 Definir el alcance del SGSI, límites y políticas del SGSI – Los documentos de: 1. alcance del SGSI 2. política del SGSI c) NTE INEN ISO/IEC 27005

Guía La realización de una evaluación del riesgo dentro del contexto del negocio en apoyo del alcance del SGSI, es esencial para el cumplimiento e implementación exitosa del SGSI de acuerdo con la NTE INEN ISO/IEC 27001. La evaluación del riesgo debería: a) identificar amenazas y sus fuentes b) identificar controles existentes y planificados c) identificar las vulnerabilidades que pueden ser explotadas por las amenazas, para causar daños a los activos o a la organización d) identificar las consecuencias que las pérdidas de confidencialidad, integridad, disponibilidad, no repudio y otros requerimientos de seguridad, podrían tener sobre los activos e) evaluar el impacto al negocio que podría resultar de incidentes de seguridad de la información anticipados o reales f) evaluar la probabilidad de escenarios de incidentes g) estimar el nivel de riesgo h) comparar los niveles de riesgo frente a los criterios de evaluación del riesgo y los criterios de aceptación del riesgo La participación en la evaluación del riesgo debería incluir a personas con profundos conocimientos de los objetivos de la organización y entendimiento de seguridad (por ejemplo, una buena visión sobre lo que es relevante actualmente en términos de amenazas de los objetivos de la organización). Estas personas deberían seleccionarse para representar un amplio espectro dentro de la organización. Para referencia, ver Anexo B, ‘Roles y Responsabilidades’. Una organización podría emplear una metodología de evaluación del riesgo que sea específica para un proyecto, compañía o norma del sector.

-27-


2011-684

32/75

5/28/2018



Salida Los entregables de esta actividad son: a) la descripción de las metodologías de evaluación del riesgo b) los resultados de la evaluación del riesgo

Otra información Anexo B – información sobre Roles y Responsabilidades. NOTA Un escenario de incidente es la descripción de una amenaza que explote cierta vulnerabilidad o conjunto de vulnerabilidades en un incidente de seguridad de la información. La NTE INEN ISO/IEC 27001 describe la ocurrencia de escenarios de incidentes como “fallas de seguridad”. (ver NTE INEN ISO/IEC 27005)

8.3 Seleccionar los objetivos de control y los controles Actividad Las opciones para el tratamiento de los riesgos, al igual que la selección de los controles apropiados, deberían ser identificadas de acuerdo con las opciones de tratamiento del riesgo identificadas.

Entrada a) salida de Actividad 8.2 Realizar la evaluación del riesgo – El resultado de la evaluación del riesgo b) NTE INEN ISO/IEC 27005 c) NTE INEN ISO/IEC 27002

Guía Es importante especificar la relación que existe entre los riesgos y las opciones seleccionadas para el tratamiento de los mismos (por ejemplo, un plan de tratamiento del riesgo), por cuanto este proveerá un resumen del tratamiento del riesgo. Las posibles opciones para el tratamiento de los riesgos están enumeradas en la NTE INEN ISO/IEC 27001. Cláusula 4.2.1 f). El Anexo A (normativa) “Objetivos de control y controles " de la NTE INEN ISO/IEC 27001 es utilizado para seleccionar los objetivos de control y los controles para el tratamiento de los riesgos. Si no existen objetivos de control o controles apropiados en el Anexo A, los objetivos de control y los controles adicionales deberían ser especificados y utilizados. Es importante demostrar como los controles seleccionados mitigarán riesgos según lo requiere el plan de tratamiento de riesgos. Los datos provistos en el Anexo A de la NTE INEN ISO/IEC 27001 no intentan ser exhaustivos. Controles de un sector específico podrían ser identificados para apoyar las necesidades específicas del negocio, así como del SGSI. En el caso de la reducción del riesgo, el manejo de la relación entre cada riesgo y los objetivos de control y los controles seleccionados, es beneficioso para el diseño de la implementación del SGSI. Esto podría ser agregado a la lista que describe la relación entre los riesgos y las opciones de tratamiento del riesgo seleccionadas. Para facilitar las auditorias, la organización debería compilar una lista de controles que han sido seleccionados como pertinentes y aplicables al SGSI de la organización. Esto tiene la ventaja agregada de mejorar las relaciones del negocio, tales como subcontratación electrónica, mediante la provisión de un resumen de controles en práctica.

-28-


2011-684

33/75

5/28/2018



Es importante tomar en cuenta que el resumen de los controles es muy probable que contenga información sensible. Por lo tanto, se debería tomar la debida precaución cuando se hace un resumen de los controles disponibles a los beneficiarios, tanto internos como externos. En realidad podría ser apropiado tomar en cuenta la información generada como parte de la creación del SGSI para la definición de los activos.

Salida Los entregables de esta actividad son: a) una lista de los controles y objetivos de control seleccionados b) El Plan de Tratamiento del Riesgo, con: 1. Una descripción de la relación entre los riesgos y la opción de tratamiento del riesgo seleccionada 2. Una descripción de la relación entre los riesgos y los objetivos de control y los controles seleccionados (especialmente en el caso de reducción del riesgo)

Otra información NTE INEN-ISO/IEC 27002

8.4 Obtener autorización de la Dirección para implementar y operar un SGSI Actividad La aprobación de la Dirección debería obtenerse para implementar un SGSI, así como documentar la aceptación de los riesgos residuales.

Entrada a) Salida de las Actividades de la cláusula 5.4 Crear el caso de negocio y el plan del proyecto para aprobación de la Dirección - La aprobación inicial por parte de la Dirección del Proyecto del SGSI b) salidas de las Actividades en la cláusula 6 Definir el alcance del SGSI, límites y políticas del SGSI – Las declaraciones documentadas de: 1. las políticas y objetivos del SGSI 2. el alcance del SGSI c) salida de la Actividad 8.2 Realizar la evaluación del riesgo – Los documentos de: 1. la descripción de las metodologías de evaluación del riesgo 2. el resultado de la evaluación del riesgo d) salida de la Actividad 8.3 Seleccionar los objetivos de control y los controles – El Plan de Tratamiento del Riesgo

Guía Para obtener aprobación de la Dirección, los documentos descritos como las entradas de esta cláusula deberían ser preparados para evaluación y toma de decisiones de la Dirección. Las preparaciones para la Declaración de Aplicabilidad (SoA – Statement of Applicability) deberían incluirse como parte de los esfuerzos de gestión de la seguridad de la información. El nivel de detalle en el cual los controles están especificados, debería cumplir con los requerimientos necesitados para respaldar la aprobación del SGSI por parte de la Dirección de la organización.

-29-


2011-684

34/75

5/28/2018



Se debería obtener aprobación de la alta Dirección para la decisión de aceptar riesgos residuales, y autorización para la operación real del SGSI. Estas decisiones deberían basarse en una evaluación de los riesgos y oportunidades que podrían ocurrir como resultado de la implementación del SGSI, comparado con aquellos que resulten de no implementarlo.

Salida Los entregables de esta actividad son: a) notificación escrita de la aprobación de la Dirección para implementar el SGSI b) aceptación de la Dirección de los riesgos residuales. c) declaración de aplicabilidad, incluyendo los objetivos de control y los controles seleccionados


9 Diseño del SGSI 9.1 Perspectiva general del diseño del SGSI Un diseño detallado del proyecto del SGSI y las actividades planificadas para su implementación deberían ser desarrollados ahora. El plan final del proyecto del SGSI será único en su detalle para la organización específica, dependiendo de los resultados de las actividades anteriores, así como de los resultados de las actividades específicas en la fase de diseño descrita en esta cláusula. El plan específico final de implementación del proyecto del SGSI, es la salida de esta cláusula. En base a este plan, el proyecto del SGSI puede ser lanzado en la organización como parte de la primera fase “HACER” del ciclo PHVA descrito en la NTE INEN ISO/IEC 27001. Se entiende que la Dirección se ha comprometido a la implementación del SGSI que está definido en el alcance y en la política del SGSI. Los activos de información, al igual que los resultados de la evaluación de la seguridad de la información, se asumen disponibles. Adicionalmente, el plan de tratamiento del riesgo que describa los riesgos, las opciones de tratamiento del riesgo, con los objetivos de control y controles seleccionados e identificados, también deberían estar disponibles. El diseño del SGSI descrito aquí, se enfoca en la estructura interna y requerimientos del SGSI. Se debería tomar en cuenta que, en ciertos casos, el diseño del SGSI podría tener un impacto directo o indirecto del diseño de los procesos del negocio. De igual manera, se debería tomar en cuenta que generalmente existe la necesidad de integrar los componentes del SGSI con acuerdos de gestión e infraestructura pre-existentes.

Objetivo: Completar el plan final de implementación para el SGSI mediante: el diseño de la seguridad organizacional en base a las opciones de tratamiento del riesgo seleccionadas, al igual que los requerimientos relativos al registro y documentos; y el diseño de los controles, integrando provisiones de seguridad para las TIC, los procesos físicos y organizacionales; y el diseño de los requerimientos específicos del SGSI. NTE INEN ISO/IEC 27001 cláusulas: 4.2.2 a)-e), h) En el diseño del SGSI, los siguientes asuntos deberían ser tomados en cuenta: a) seguridad organizacional – cubre los aspectos administrativos de la seguridad de la información, incluyendo la responsabilidad la operación de la organización paraenellas tratamiento riesgo. Esto debería formar parte deldegrupo de actividades que resultan políticas,del objetivos, procesos y procedimientos para manejar y mejorar la seguridad de la información, en relación con las necesidades y riesgos de la organización.

-30-


2011-684

35/75

5/28/2018



b) seguridad de las TIC – cubre los aspectos de seguridad de la información específicamente relacionados con la responsabilidad de las operaciones de las TIC para la reducción del riesgo. Esto es para cumplir con los requerimientos establecidos por la organización y con la implementación técnica de controles para reducir los riesgos. c) seguridad física – cubre los aspectos de la seguridad de la información específicamente relacionados con la responsabilidad del manejo del ambiente físico, tal como edificios y su infraestructura para la reducción de riesgos. Esto es para cumplir con los requerimientos establecidos por la organización y con la implementación técnica de controles para reducir los riesgos. d) Específicos del SGSI – cubre los aspectos de los diferentes requerimientos específicos para un SGSI de acuerdo con la NTE INEN ISO/IEC 27001, aparte de lo que se cubren en las otras tres áreas. El enfoque es sobre ciertas actividades, que deberían ejecutarse en la implementación para lograr un SGSI operativo, las mismas que son: 1. monitoreo 2. medición 3. auditoria interna del SGSI 4. entrenamiento y concientización 5. gestión de incidentes 6. revisión por parte de la Dirección 7. mejoramiento del SGSI incluyendo acciones correctivas y preventivas El desarrollo del Proyecto del SGSI y el diseño de su implementación de controles planificada debería involucrar y hacer uso de las habilidades y experiencia del personal de aquellas partes de la organización que están, bien sea, dentro del alcance del SGSI, o tienen responsabilidades relacionadas con la gestión del SGSI. Los aspectos específicos del SGSI requieren diálogo con la Dirección. Para diseñar los controles seleccionados para el tratamiento del riesgo, es crucial diseñar el entorno de seguridad física y de las TIC, y el entorno de seguridad organizacional. La seguridad de las TIC trata, no solamente con los sistemas y redes de información, sino también con los requerimientos operacionales. La seguridad física trata con todos los aspectos del control de acceso, no repudio, protección física de los activos de información y lo que está almacenado o guardado; al igual que ser en sí, un medio de protección para los mismos controles de seguridad. Los controles seleccionados en las actividades descritas en la cláusula 8.3 deberían ser implementados de acuerdo con un plan específico de implementación estructurado y detallado, como parte del plan de proyecto del SGSI. Esta parte específica del plan de proyecto del SGSI debería indicar cómo manejar cada riesgo con el fin de lograr los objetivos de control. Esta parte específica del plan de proyecto del SGSI es esencial para que los controles seleccionados sean implementados apropiada y efectivamente. El equipo de gestión de la seguridad de la información es responsable de la preparación de esta parte específica del plan de implementación, que constituye la parte final del plan de proyecto del SGSI.

-31-


2011-684

36/75

5/28/2018



Aprobación gerencia inicio proyecto ISMS 5

aprobación gerencia


alcance y limites del ISMS

iniciar ISMS proyecto

Política ISMS



Diseñar el ISMS 9

Requisitos seguridad

Notificación escrita aprobación gerencia

Plan implementación

información

implementación IS,MS

proyecto final ISMS

Información activos Plan tratamiento ries o

Resultado evaluación seguridad información

SoA. Incluyendo objetivos control y controles seleccionados

Plazo

Diseño seguridad Información Organizacional 9.2

Diseño estructura final organización 9.2.1

Estructura organización papeles y responsabilidades

Diseño marco documentación ISMS 9.2.2

Diseño política seguridad información 9.2.3

Marco ISMS registros y documentación

Política seguridad información

Desarrollo normas y procedimientos seguridad información 9.2.4

Marco normas seguridad información

Procedimientos seguridad información

Diseño ICT y seguridad física información 9.3

Implementación controles relacionados ICT y seguridad

Diseño control específico seguridad información 9.4

Plan revisión gestión 9.4.1

Diseño programa concientización y capacitación

Lista entradas para ejecutar revisión manejo

Materiales capacitación seguridad información

Procedimiento manejo revisión incluyendo auditoria, monitoreo, aspectos medición

Capacitación seguridad información incluyendo roles y responsabilidades

Planes concientización seguridad información, capacitación educación

Registro resultados capacitación seguridad de información

Producir el proyecto final del ISMS 9.5

Plan implementación proyecto final del ISMS

Plazo

Figura 7 — Descripción general del diseño de la fase del SGSI

-32-


2011-684

37/75

5/28/2018



9.2 Diseñar la seguridad de la información organizacional 9.2.1 Diseño de la estructura organizacional final para la seguridad de la información Actividad Las funciones, roles y responsabilidades organizacionales para la seguridad de la información deberían estar alineadas con el tratamiento del riesgo.

Entrada a) salida de la Actividad 5.3.2 Definir roles y responsabilidades para el alcance p r e l i m i n a r d e l S G S I – La tabla de funciones y responsabilidades b) salida de la Actividad 6.5 Integrar cada alcance y límites para obtener el alcance y límites del SGSI – El alcance y los límites del SGSI c) salida de la Actividad 6.6 Desarrollar la política del SGSI y obtener aprobación de la Dirección – La política del SGSI d) salida de la actividad 7.2 Definir los requerimientos de seguridad de la información para el proceso del SGSI e) salida de la Actividad 7.3 Identificar los activos dentro del alcance del SGSI f) salida de la Actividad 7.4 Realizar una evaluación de la seguridad de la información g) salida de la Actividad 8.2 Realizar la evaluación del riesgo - Los resultados de la evaluación del riesgo h) salida de la Actividad 8.3 Seleccionar los objetivos de control y los controles i) NTE INEN ISO/IEC 27002

Guía El diseño de las estructuras y procesos organizacionales para operaciones internas del SGSI debería buscar crear e integrarse con áreas pre –existentes, cuando sea apropiado. De la misma forma, la integración del SGSI en estructuras de gestión pre-existentes más amplias (por ejemplo, auditoría interna) debería ser tomada en cuenta para el proceso de diseño del SGSI. La estructura organizacional diseñada para el SGSI debería reflejar las actividades para la implementación y operación del SGSI, al igual que señalar como una parte de las operaciones del SGSI, por ejemplo, los métodos de monitoreo y registro. Consecuentemente, la estructura para las operaciones del SGSI debería diseñarse en base a la implementación del SGSI planificada, tomando en consideración lo siguiente: a) ¿Se necesita cada rol de la implementación del SGSI para las operaciones del SGSI? b) ¿Los roles definidos son diferentes de aquellos para la implementación del SGSI? c) ¿Qué roles deberían agregarse para la implementación del SGSI? Por ejemplo, los siguientes roles podrían agregarse para las operaciones del SGSI: a) un responsable de las operaciones de seguridad de la información en cada departamento b) un responsable de la medición del SGSI en cada departamento Considerar los puntos detallados en el Anexo B “Roles y Responsabilidades” podría ayudar a decidir la

estructura y roles para la operación del SGSI mediante la revisión de la estructura y los roles para la implementación del SGSI.

-33-


2011-684

38/75

5/28/2018



Salida El entregable de esta actividad es un documento que resume: a) estructura de la organización, sus roles y responsabilidades

Otra información Anexo B – Información sobre roles y responsabilidades Anexo C – Información sobre planificación de auditorías

9.2.2 Diseñar un marco referencial para la documentación del SGSI Actividad Los registros y documentos en el SGSI deberían ser controlados mediante la identificación de los requerimientos y el marco referencial que permite cumplir con los requerimientos para el actual control de registros y documentos dentro del SGSI.

Entrada a) salida de la Actividad 6.5 Integrar cada alcance y límites para obtener el alcance y límites del SGSI – El alcance y los límites del SGSI b) definición del alcance y límites del SGSI c) salida de la Actividad 6.6 Desarrollar la política del SGSI y obtener aprobación de la Dirección – La política del SGSI d) salida de la Actividad 8.4 Obtener autorización de la Dirección para implementar y operar un SGSI. e) salida de la Actividad 9.2.1 Diseño de la estructura organizacional final para la seguridad de la información f) NTE INEN ISO/IEC 27002

Guía El diseño del registro del SGSI incluye las siguientes actividades: a) un marco referencial que describa los principios para documentar el SGSI, la estructura de los procedimientos para documentar el SGSI, los roles involucrados, formato de datos, y rutas de reportes para la Dirección b) diseño de los requerimientos de la documentación c) diseño de los requerimientos de registro La documentación del SGSI debería, incluir registros de las decisiones de la Dirección; asegurarse que las acciones son trazables a las decisiones y políticas de la Dirección y que los resultados registrados son reproducibles. Los documentos del SGSI deberían proveer la evidencia de que los controles son seleccionados en base a los resultados de la evaluación del riesgo y tratamiento del riesgo, y que tales procesos son implementados conjuntamente con la política y objetivos del SGSI. La documentación es esencial para reproducción de los resultados ydeprocedimientos. Al igual que para los controles seleccionados, el la establecimiento y documentación los procedimientos debería tener una referencia a la persona responsable de la parte real de la documentación. La documentación del SGSI debería incluir la documentación que se especifica en la cláusula 4.3.1 de la NTE INEN ISO/IEC 27001. -34-


2011-684

39/75

5/28/2018



Es necesario que los documentos del SGSI sean manejados y puestos a disposición del personal según sea requerido. Esto incluye lo siguiente: a) establecer el procedimiento administrativo de gestión de documentos del SGSI b) una aprobación formal de los documentos para la adecuación previa a la emisión c) asegurar que los cambios y el estado de la revisión actual de los documentos estén identificados d) protección y control de los documentos como un activo de información de la organización Es importante que las versiones pertinentes de los documentos aplicables, estén disponibles en los puntos de uso, asegurándose que los documentos se mantengan legibles, fácilmente identificables, transferidos, almacenados y finalmente, dispuestos de acuerdo con los procedimientos aplicables para su clasificación. Adicionalmente, asegurar que los documentos de origen externo sean identificados, que la distribución de los documentos sea controlada, evitando el uso no intencionado de documentos obsoletos, y aplicar el seguimiento apropiado de ellos, si es que son retenidos con cualquier propósito. Los registros deberían ser creados, mantenidos y controlados como evidencia de que el SGSI de la organización cumple con la NTE INEN ISO/IEC 27001, y para mostrar la efectividad de las operaciones. También se requiere mantener registros del estado de la implementación para toda la fase PHVA, al igual que registros de incidentes y eventos contra la seguridad de la información; registros de educación, capacitación, destrezas, experiencia y capacidades; auditorías internas del SGSI, acciones correctivas y preventivas, y registros organizacionales. Las siguientes tareas deberían ser realizadas para controlar los registros: a) documentar los controles requeridos para identificar, almacenar, proteger, buscar y descartar datos, y documentar la duración de su almacenamiento b) definir qué debería ser registrado, y en qué medida, dentro de los procesos operativos de gestión c) cuando un período de conservación sea especificado por las leyes o la legislación, el período de retención se debería establecer de conformidad con el requerimiento legal.

Salida Los entregables de esta actividad son: a) un documento que resume los requerimientos para los registros del SGSI y el control de documentación b) depósitos y plantillas para los registros requeridos del SGSI


9.2.3 Diseñar la política de seguridad de la información Actividad Se debería documentar la posición estratégica de la Dirección y de la Administración en cuanto a los objetivos de la seguridad de la información, con respecto de la operación del SGSI.

Entrada a) salida de la Actividad 5.2 Aclarar las prioridades de la organización para desarrollar un SGSI – Los objetivos resumidos y la lista de requerimientos

-35-


2011-684

40/75

5/28/2018



b) salida de la actividad 5.4 Crear el caso de negocio y el plan del proyecto para aprobación de la Dirección – La aprobación inicial de la Dirección para el proyecto del SGSI c) salida de la Actividad 6.5 Integrar cada alcance y límites para obtener el alcance y límites del SGSI – El alcance y los límites del SGSI d) salida de la Actividad 6.6 Desarrollar la política del SGSI y obtener la aprobación de l a D i r e c c i ó n – L a p o l í t i c a d e l S G S I e) salida de la actividad 7.2 Definir los requerimientos de seguridad de la información para el proceso del SGSI f) salida de la Actividad 7.3 Identificar los activos dentro del alcance del SGSI g) salida de la Actividad 7.4 Realizar una evaluación de la seguridad de la información h) salida de la Actividad 8.2 Realizar la evaluación del riesgo – Los resultados de la evaluación del riesgo de la salida de la Actividad 8.3 Seleccionar los objetivos de control y los controles i) salida de la Actividad 9.2.1 Diseño de la estructura organizacional final para la seguridad de la información j) salida de la Actividad 9.2.2 Diseñar un marco referencial para la documentación del SGSI k) NTE INEN ISO/IEC 27002 cláusula 5.1.1

Guía La política de seguridad de la información documenta la posición estratégica de la organización con respecto a los objetivos de la seguridad de la información en toda la organización La política es elaborada en base a la información y el conocimiento. Lo que ha sido identificado por la Dirección como importante en el análisis realizado previamente, debería hacerse evidente y enfatizarse en la política, con el fin de proveer incentivo y motivación en la organización. También es importante señalar lo que sucede si no se sigue la política. Los impactos legales y regulatorios que afectan la organización en cuestión, también deberían ser enfatizados. Ejemplos de una política de seguridad de la información pueden ser preparados a partir de literatura de referencia, el Internet, asociaciones de interés y asociaciones de la industria. Formulaciones y connotaciones pueden ser extraídas de informes anuales, de otras políticas o de otros documentos que la Dirección admita. Podría haber diferentes interpretaciones y requerimientos relativos al tamaño real de una política. Debería ser suficientemente resumida, de tal manera que el personal pueda entender la intención de la política. Adicionalmente, debería distinguir muy claramente los objetivos que son necesarios para tratar el grupo de regulaciones y objetivos de la organización. El tamaño y estructura de la política de seguridad de la información debería sustentar a los documentos que son usados en la siguiente etapa del proceso para introducir un sistema de gestión de la seguridad de la información (ver también el Anexo D – Información sobre estructura de la norma). Para organizaciones grandes y complejas (por ejemplo, con áreas operacionales muy diversas) podría ser necesario elaborar una norma general y varias normas subyacentes adaptadas a las operaciones. La guía sobre el contenido de una política de seguridad de la información se provee en la NTE INEN ISO/IEC 27002 cláusula 5.1.1. La política propuesta (con el número de versión y fecha) debería ser verificada y establecida dentro de la organización por el gerente de operaciones. A continuación del establecimiento dentro del grupo directivo o su equivalente, el gerente de operaciones aprueba la política de seguridad de la información. Ésta es luego comunicada a todas las personas en la organización de tal manera que sea pertinente, accesible y comprensible para sus lectores. -36-


2011-684

41/75

5/28/2018



Salida El entregable de esta actividad es un documento de la política de la seguridad de la información.

Otra información Anexo B – Información sobre roles y responsabilidades Anexo D - Información sobre la estructura de la política

9.2.4 Desarrollar normas y procedimientos de seguridad de la información Actividad Se deberían desarrollar las normas y procedimientos de seguridad de la información dirigida a toda la organización o a partes específicas.

Entrada a) salida de la Actividad 6.5 Integrar cada alcance y límites para obtener el alcance y límites del SGSI – El alcance y los límites del SGSI b) salida de la Actividad 6.6 Desarrollar la política del SGSI y obtener la aprobación de la Dirección – La política del SGSI c) salida de la Actividad 8.2 Realizar le evaluación del riesgo d) salida de la Actividad 8.3 Seleccionar los objetivos de control y los controles e) salida de la Actividad 8.4 Obtener autorización de la Dirección para implementar y operar un SGSI -La declaración de aplicabilidad, incluyendo los objetivos de control y los controles seleccionados f) salida de la Actividad 9.2.1 Diseño de la estructura organizacional final para la seguridad de la información g) salida de la Actividad 9.2.2 Diseñar un marco referencial para la documentación del SGSI h) salida de la Actividad 9.2.3 Diseñar la política de seguridad de la información i) NTE INEN ISO/IEC 27002

Guía Con el fin de proveer una base para el trabajo sobre la seguridad de la información dentro de la organización, las normas para la seguridad de la información, al igual que el conocerlos. grupo de requerimientos legales y regulatorios deberían estar a disposición de aquellos que necesitan Representantes de diferentes partes de la organización dentro del alcance del SGSI deberían participar en el proceso de desarrollo de normas y procedimientos. Aquellos que participen deberían tener autoridad y ser representantes de la organización. Por ejemplo, los siguientes roles podrían ser incluidos: a) directores de seguridad de la información, b) representantes de la seguridad física, c) propietarios de sistemas de información, y d) propietarios de procesos de áreas estratégicas y operacionales.

-37-


2011-684

42/75

5/28/2018



Se sugiere mantener el grupo editorial tan pequeño como sea posible, con la opción de incorporar temporalmente especialistas al equipo, según se requiera. Cada representante debería mantenerse en contacto activo con su propia área de la organización para proveerle soporte operativo transparente. Esto facilita la posterior mejora en la forma de procedimientos y rutinas a nivel operativo. Las normas y procedimientos de seguridad deberían entonces ser usados como una base para diseñar procedimientos técnicos u operativos detallados. Una manera práctica de enfocar el desarrollo de normas y procedimientos de seguridad de la información es considerar cada punto de la guía de implementación de las NTE INEN ISO/IEC 27001 e NTE INEN ISO/IEC 27002 que se considere aplicable (basado en los resultados de la evaluación del riesgo), y describir de manera precisa cómo debería aplicarse. Una evaluación de cualquier norma y procedimiento existente relativo a la seguridad de la información debería ser revisada. Por ejemplo, ¿si pueden ser mejorados y desarrollados, o requieren ser totalmente reemplazados? La documentación pertinente y actualizada debería proveerse a cada miembro del personal incluido en el alcance. Las normas y procedimientos de seguridad de la información deberían aplicarse a toda la organización o aclarar qué roles, sistemas y áreas están cubiertos. Una primera versión debería producirse oportunamente. La edición y proceso de revisión deberían definirse en una etapa temprana. Luego, se debería elaborar una estrategia respecto a cómo debería ser distribuida la información sobre cambios en la política.

Salida a) El entregable de esta actividad es un plan de implementación estructurado y detallado, parte del plan final del proyecto del SGSI, para controles relacionados con la seguridad organizacional y que incluya un marco referencial documentado del grupo de normas de seguridad de la información. b) normas de seguridad de la información incluyendo la línea de base de la organización c) procedimientos de seguridad de la información que cumplen normas de seguridad de la información

Otra información Anexo D- Información sobre la estructura de la política

9.3 Diseñar la seguridad de la información de las TIC y física Actividad Se deberían diseñar los controles para los ambientes de seguridad de las TIC y físicos .

Entrada a) salida de la Actividad 6.5 Integrar cada alcance y límites para obtener el alcance y límites del SGSI – El alcance y los límites del SGSI b) salida d e l a Actividad 6.6 Desarrollar la política del SGSI y o b t e n e r l a a p r o b a c i ó n d e l a D i r e c c i ó n – L a p o l í t i c a d e l SGSI c) salida de la Actividad 7.2 Definir los requerimientos de seguridad de la información para el proceso del SGSI d) salida de la Actividad 7.3 Identificar los activos dentro del alcance del SGSI e) salida de la Actividad 7.4 Realizar una evaluación de la seguridad de la información f) salida de la Actividad 8.3 Seleccionar los objetivos de control y los controles -38-


2011-684

43/75

5/28/2018



g) salida d e l a Actividad 8.4 Obtener autorización de la Dirección para implementar y operar un SGSI – Declaración de aplicabilidad, incluyendo los objetivos de control y los controles seleccionados h) NTE INEN ISO/IEC 27002

Guía En esta actividad lo siguiente debería ser documentado para cada control y debería formar parte del plan de proyecto del SGSI: a) nombre de la persona responsable de la implementación de un control b) prioridad del control para ser implementado c) tareas o actividades para implementar controles d) definición del tiempo en el cual el control debería haber sido implementado e) persona a quien se debería reportar la implementación del control, una vez que se lo haga f) recursos para la implementación (recurso humano, requerimientos de recursos, requerimientos de espacio, costos) Inicialmente, la seguridad de las TIC y física deberían ser diseñados conceptualmente. Lo siguiente debería ser considerado: Las responsabilidades para el proceso inicial de implementación generalmente incluyen: a) especificación de los objetivos de control con una descripción del estado planificado esperado b) asignación de los recursos (carga laboral, recursos financieros) c) tiempo meta realista para implementación del control d) opciones de integración con la seguridad de las TIC, física y organizacional Luego del diseño conceptual, se debería hacer el diseño real, como el desarrollo del sistema con el fin de alcanzar e implementar las mejores prácticas para la organización. Se debería tomar en cuenta lo siguiente: Las responsabilidades para el proceso real de implementación incluyen: a) diseño de cada uno de los controles seleccionados para las TIC, áreas físicas y organizacionales a nivel operativo del sitio de trabajo b) ejemplificación de cada control de acuerdo con el diseño acordado c) provisión de procedimientos e información para controles y cursos de capacitación para promover la conciencia de seguridad d) provisión de asistencia e implementación de los controles en el sitio de trabajo Dependiendo del tipo de controles (TIC, físico u organizacional) no siempre podría ser apropiado o necesario trazar una línea definida entre la parte inicial y la parte final del proceso de implementación. La implementación de controles requiere frecuentemente la cooperación de diferentes roles dentro de una organización. Es así que, por ejemplo, personas que tienen bajo su responsabilidad el sistema se requerirán para obtener, instalar y mantener infraestructura técnica. Otros roles podrían ser más apropiadas para concebir y documentar los procedimientos que rigen el uso de sistemas.

-39-


2011-684

44/75

5/28/2018



La seguridad de la información debería ser integrada en los procedimientos y procesos de toda la organización. Si su implementación se dificulta tanto para una parte de la organización como para un tercero, las partes involucradas deberían reportar esta situación inmediatamente a fin de que una determinación pueda ser acordada. Las soluciones a este tipo de situaciones incluyen la modificación de los procedimientos y procesos, la re-asignación de roles y responsabilidades, y la adaptación de procedimientos técnicos. Los siguientes son los resultados de la implementación de controles del SGSI. a) Plan de implementación que especifica los detalles de la implementación de controles, como cronograma, estructura del equipo de implementación, etc. b) Registros y documentación de los resultados de la implementación

Salida El entregable de esta actividad es un plan estructurado y detallado de la implementación de controles relacionados con la seguridad física y de las TIC, como parte del Plan del Proyecto del SGSI, que debe incluir para cada control: a) descripción detallada b) responsabilidades de diseño e implementación c) plazo de ejecución esperado d) tareas involucradas e) recursos requeridos f) propiedad (línea jerárquica de reporte)


9.4 Diseñar la seguridad de la información específica del SGSI 9.4.1 Plan para la revisión por parte de la Dirección Actividad Se debería desarrollar un plan para asegurar que la Dirección participe y se comprometa en la revisión de la operación y mejoramiento continuo del SGSI.

Entrada a) salida de la Actividad 6.5 Integrar cada alcance y límites para obtener el alcance y límites del SGSI – El alcance y los límites del SGSI b) salida de la Actividad 6.6 Desarrollar la política del SGSI y obtener la aprobación de la Dirección – La política del SGSI c) salida d e l a Actividad 8.4 Obtener autorización de la Dirección para implementar y operar un SGSI – Declaración de aplicabilidad, incluyendo los objetivos de control y los controles seleccionados d) salida de la Actividad 9.2.3 Diseñar la política de seguridad de la información e) NTE INEN ISO/IEC 27004

-40-


2011-684

45/75

5/28/2018



Guía La revisión de las actividades del SGSI por parte de la Dirección debería iniciar en las etapas más tempranas de especificación y desarrollo del caso de negocio del SGSI y continuar durante la revisión regular de las operaciones del SGSI. Esta cercana participación provee un medio para validar el SGSI frente a las necesidades del negocio y para mantener el compromiso del negocio con el SGSI. La planificación de las revisiones por parte de la Dirección incluye establecer cuándo y cómo deberían efectuarse las revisiones por parte de la Dirección. La información detallada relativa a los pre-requisitos para las revisiones por parte de la Dirección se encuentra en la cláusula 7.2 de la NTE INEN ISO/IEC 27001. Para planificar la revisión, se debe realizar una evaluación de qué roles se deben involucrar. La aprobación de la Dirección se debería buscar para la selección de roles, los cuales deberían ser informados tan pronto como sea posible. Se recomienda proporcionar a la Dirección información adecuada relativa a la necesidad y propósito del proceso revisión. (Ver Anexo B para mayor información acerca de roles y responsabilidades.) Las revisiones de la Dirección se deberían basar en los resultados de mediciones del SGSI y en otra información recopilada durante la operación del SGSI. Esta información es usada por las actividades de la Dirección del SGSI para determinar la madurez y eficacia del SGSI. Las entradas y salidas requeridas de las mediciones del SGSI se presentan en la NTE INEN ISO/IEC 27001, y mayor información relativa a las mediciones del SGSI se encuentra en el Anexo E y en la NTE INEN ISO/IEC 27004. También se debería tomar en cuenta que una revisión de la metodología y resultados de la evaluación del riesgo debería incluirse. Esto debería llevarse a cabo a intervalos planificados, tomando en consideración los cambios ocurridos en el entorno, como organización y tecnología. Se debería realizar la planificación para una auditoría interna del SGSI con el fin de poder evaluar regularmente el SGSI una vez que el mismo ha sido implementado. Los resultados de la auditoría interna del SGSI son importantes entradas para la revisión por parte de la Dirección del SGSI. Consecuentemente, antes de que se realice la revisión por parte de la Dirección, se debería planificar una auditoría interna del SGSI. La auditoría interna debería incluir la perspectiva respecto a si los objetivos de control, controles, procesos y procedimientos del SGSI están siendo efectivamente implementados, mantenidos y están en conformidad con: a) los requerimientos de la NTE INEN ISO/IEC 27001, b) legislación y regulaciones pertinentes, y c) los requerimientos identificados de seguridad de la información, (Ver Anexo C para mayor información sobre la planificación de auditoría). Las pre-condiciones de la revisión por parte de la Dirección son la información recolectada en base al SGSI implementado y operado. La información provista a un equipo de revisión de la Dirección, podría incluir lo siguiente: a) Reportes de incidentes del último período de operación b) Verificación de la efectividad del control y de no conformidades identificadas c) Los resultados de otras verificaciones regulares (más detalle si las verificaciones han revelado incumplimiento de la política). d) Recomendaciones para mejorar el SGSI. Un plan de monitoreo debería documentar los resultados de monitoreo, que deben ser registrados y reportados a la Dirección (para información adicional sobre monitoreo ver Anexo E).

-41-


2011-684

46/75

5/28/2018



Salida El entregable de esta actividad es un documento que resume el plan requerido para la revisión por parte de la Dirección, y que señale: a) entradas requeridas para realizar la revisión del SGSI por parte de la Dirección b) procedimientos para la revisión por parte de la Dirección que cubran la auditoría, el monitoreo y aspectos de medición

Otra información Anexo B – Roles y responsabilidades de la seguridad de la información Anexo C – Información relativa a la Auditoría Interna Anexo E – Información sobre el establecimiento de Monitoreo y Medición

9.4.2 Diseñar el programa de concientización, capacitación y educación sobre la seguridad de la información Actividad Se debería desarrollar el programa de concientización, capacitación y educación sobre la seguridad de la información,

Entrada a) salida de la Actividad 6.5 Integrar cada alcance y límites para obtener el alcance y límites del SGSI – El alcance y los límites del SGSI b) salida de la Actividad 6.6 Desarrollar la política del SGSI y obtener la aprobación de la Dirección – La política del SGSI c) salida de la Actividad 7.2 Definir los requerimientos de seguridad de la información para el proceso del SGSI - Particularmente los requerimientos de las organizaciones de capacitación y educación sobre la seguridad de la información Dirección d) salida de la actividad 8.3 Seleccionar los objetivos de control y los controles – Plan de tratamiento del riesgo e) salida d e l a actividad 8.4 Obtener autorización de la Dirección para implementar y operar un SGSI – Declaración de aplicabilidad, incluyendo objetivos de control y los controles seleccionados f) salida de la actividad 9.2.3 Diseñar la política de seguridad de la información g) salida de la actividad 9.2.4 Desarrollar normas y procedimientos de seguridad de la información h) perspectiva general del programa de educación y capacitación general de la organización

Guía La Dirección es responsable de llevar a cabo la educación y capacitación para asegurar que todo el personal al que se le ha asignado roles claramente definidos, tengan la capacidad para realizar las operaciones requeridas. Idealmente, el contenido de la educación y capacitación realizada debería ayudar a todo el personal a concientizarse y entender el significado e importancia de las actividades de la seguridad de la información que están involucrados, y la forma en que pueden contribuir para alcanzar las metas y objetivos del en SGSI.

-42-


2011-684

47/75

5/28/2018



En este punto, es importante asegurarse de que todos los empleados dentro del alcance del SGSI reciban la capacitación y/o educación necesaria sobre seguridad. En organizaciones grandes, por lo general, un solo paquete de material no es suficiente, por cuanto contiene muchos datos que son pertinentes solamente a tipos de trabajo específicos; por lo tanto serán grandes, complejos y difíciles de usar. En estos casos, generalmente es apropiado contar con diferentes juegos de material de capacitación, diseñados para cada rol, tal como para personal de oficina, personal de TI o choferes, y que están hechos para sus necesidades específicas. Un programa de concientización, capacitación y educación sobre seguridad de la información debería asegurar que se generen los registros de esta capacitación y educación en seguridad. Estos registros deberían ser revisados regularmente para asegurarse que todo el personal ha recibido la capacitación que requiere. Un rol debería ser responsable de este proceso. Los materiales de capacitación sobre seguridad de la información deberían ser diseñados para que concuerden con otros materiales de capacitación utilizados por la organización, especialmente cursos de capacitación brindados a usuarios de los sistemas de TI. La capacitación en aspectos relevantes de la seguridad de la información debería idealmente estar integrada en cada uno de los cursos para los usuarios de TI. El material de capacitación sobre seguridad de la información debería contener, como mínimo, los siguientes puntos según sea apropiado para la audiencia objetivo: a) riesgos y amenazas relativos a la seguridad de la información b) términos básicos de seguridad de la información c) definición clara de un incidente de seguridad: guía de cómo puede ser identificado y cómo debería ser manejado y reportado d) política de seguridad de la información, normas y procedimientos de la organización e) responsabilidades y canales de reporte relacionados con la seguridad de la información en la organización f) guía sobre la forma de ayudar a mejorar la seguridad de la información g) guía sobre incidentes de seguridad de la información y reporte h) dónde obtener información adicional. Se debería determinar un equipo de capacitación sobre seguridad de la información, el cual podría incluir las siguientes tareas: a) creación y manejo de registros de capacitación b) creación y manejo de materiales de capacitación c) realización de capacitación Estas tareas podrían ser asignadas utilizando el personal de capacitación existente. Pero el personal existente podría requerir entrenamiento sustancial en conceptos de seguridad de la información para asegurar que estos son expuestos de manera efectiva y precisa. Un programa de concientización, capacitación y educación sobre seguridad de la información debería incluir un procedimiento para asegurar que los materiales de capacitación sean revisados y actualizados continuamente. Un rol debería ser designado explícitamente responsable de revisar y actualizar los materiales de capacitación.

Salida Los entregables de esta actividad son: a) materiales de concientización, capacitación y educación sobre seguridad de la información

-43-


2011-684

48/75

5/28/2018



b) estructura para concientización, capacitación y educación sobre seguridad de la información, incluyendo roles y responsabilidades c) planes para la concientización, educación y capacitación sobre seguridad de la información, d) registros reales que muestran los resultados de la concientización, educación y capacitación sobre seguridad de la información a los empleados


9.5 Producir el plan final del proyecto del SGSI Actividad El plan de proyecto del SGSI debería ser finalizado incluyendo las actividades necesarias para implementar los controles seleccionados.

Entrada a) salida de la Actividad 6.5 Integrar cada alcance y límites para obtener el alcance y límites del SGSI – El alcance y los límites del SGSI b) salida de la Actividad 6.6 Desarrollar la política del SGSI y obtener la aprobación de la Dirección – La política del SGSI c) salida de la Actividad 9.2 – Diseñar la Seguridad de la Información Organizacional d) salida de la Actividad 9.3 – Diseñar la Seguridad de la Información de las TIC y física e) salida de la Actividad 9.4 – Diseñar la Seguridad de la Información específica del SGSI f) NTE INEN ISO/IEC 27002

Guía Las actividades requeridas para implementar los controles seleccionados y llevar a cabo otras actividades relacionadas con el SGSI deberían ser formalizados en un plan de implementación detallado como parte del proyecto final del SGSI. El plan de implementación detallado también podría estar respaldado por descripciones de herramientas y métodos de la implementación propuestos. Por cuanto un proyecto de SGSI involucra muchos roles diferentes en la organización, es importante que las actividades sean claramente asignadas a las partes responsables, y que el plan sea comunicado tanto tempranamente en el proyecto, como en toda la organización. Al igual que con todos los proyectos, es esencial que la persona responsable se asegure que los recursos suficientes han sido asignados al proyecto.

Salida El entregable de esta actividad es el plan final de implementación del proyecto del SGSI.

Otra información No existe otra información específica

-44-


2011-684

49/75

5/28/2018



Anexo A (informativo) Descripción del listado de verificación (checklist) Objeto: proveer un listado de verificación de actividades requeridas para establecer e implementar un SGSI respaldar el monitoreo del progreso de la implementación de un SGSI mapear las actividades relacionadas con la implementación del SGSI, con los requisitos de la NTE INEN ISO/IEC 27001

• • •

Fase de Implementación

Número Actividad, referencia NTE INEN ISO/IEC Paso Prede paso 27003 Requisito

Salida Documentada

NTE INEN ISO/IEC 27003 5 Obtener 1. Aprobación de la Dirección para la implementación del 2. SGSI

Referencia a la NTE INEN ISO/IEC 27001

Determinar los objetivos de negocio de la Ninguno compañía

Lista de los objetivos de N/A negocio de la compañía

Entender los existentes

Descripción de los sistemas N/A de gestión existentes

sistemas

de

gestión Ninguno

3.

5.2 Definir objetivos, ne ce si da de s de 1, 2 seguridad de la información, requerimientos del negocio para el SGSI

Resumen de los objetivos, N/A necesidades y requerimientos del negocio para el SGSI

4.

Recopilar normas regulatorias, de Ninguno cumplimiento, y de la industria pertinentes aplicables a la compañía

Resumen de normas N/A regulatorias, de cumplimiento y de la industria que son aplicables a la compañía

5.

5.3 Definir el alcance preliminar del SGSI 3, 4

Descripción del alcance preliminar del SGSI (5.3.1)

N/A

Definición de los roles y responsabilidades en el SGSI (5.3.2)

N/A

N/A

6.

5.4 Crear el caso de negocio y el plan del 5 proyecto para aprobación de la Dirección

Caso de negocio y el plan de proyecto propuesto

7.

5.5 Obtención de aprobación y 6 compromiso de la Dirección para iniciar un proyecto para implementar un SGSI

Aprobación de la Dirección N/A para iniciar un proyecto para implementar un SGSI

6 Definición del 8. alcance y política del SGSI

6.2 Definir límites organizacionales

7

Descripción de límites 4.2.1.a) organizacionales (parcialmente) •

Funciones y estructura de la organización •

intercambio de información a través de los límites •

Procesos del negocio y las responsabilidades de los activos de información dentro y fuera del alcance •

-45-


2011-684

50/75

5/28/2018





Salida Documentada


NTE INEN ISO/IEC 27003 9.

6.3 Definir los límites de las tecnologías7 de la información y comunicación

Descripción de los límites de las TIC

4.2.1.a) (parcialmente)

•

Descripción de los sistemas de información y redes de telecomunicaciones que describen los aspectos internos y externos del alcance •

10.

6.4 Definir los límites físicos

7

Descripción de límites físicos del SGSI •

los 4.2.1.a) (parcialmente)

Descripción de la organización y sus características geográficas describiendo el alcance interno y externo Un documento que describe 4.2.1.a) el alcance y los límites del SGSI •

7 Realizar el Análisis de la Organización

11.

6.5 Definir los límites del alcance del SGSI 8, 9, 10

12.

6.6 Desarrollar la política del SGSI

11

Política del SGSI aprobada 4.2.1.b) por la Dirección SGSI

13.

7.2 Definir requerimientos de seguridad de la información que respaldan el SGSI

12

Lista de los • principales procesos, funciones, ubicaciones, sistemas de información, redes de comunicación Requerimientos de la organización para la confidencialidad, disponibilidad e integridad Requerimientos de la organización de aspectos legales, normativos, contractuales y requerimientos de seguridad de la información del negocio

N/A

N/A

4.2.1.c) 1) Parcial mente

Lista de vulnerabilidades 4.2.1.d) conocidas de la organización 3) 14.

15.

7.3 Identificar activos dentro del alcance del SGSI

7.4 Generar una evaluación seguridad de la información

13

de

la 14

Descripción de los principales N/A procesos de la organización Identificación de los activos de información de los principales procesos de la organización

4.2.1.d) 1)

Clasificación de los procesos/activos críticos

N/A

Documento del estado y 4.2.1.e) evaluación real de la seguridad 2) de la información de la Parcialorganización, incluyendo los mente controles de seguridad de la información existentes Documento de las deficiencias de la •

•

organización, valoradas y evaluadas.

-46-


2011-684

51/75

5/28/2018






Número Actividad, referencia NTE INEN ISO/IEC Paso Pre- Salida Documentada de paso 27003 Requisito

8 Realizar 16. Evaluación del Riesgo y Selección de las Opciones de Tratamiento del Riesgo

8.2 Realizar evaluación del riesgo

15

Salida Documentada

Alcance de la evaluación del riesgo •

Referencia a la NTE INEN ISO/IEC Referencia a la NTE INEN ISO/IEC 4.2.1.c) 1)

Metodología de evaluación del riesgo aprobada, alineada con el contexto estratégico de gestión del riesgo de la organización •

Criterios de aceptación del riesgo •

17.

8.3 Seleccionar los objetivos de control y 16 controles

Evaluación documentada del 4.2.1.e) riesgo de alto nivel 3) partially; Identificar la necesidad de N/A una evaluación adicional más profunda del riesgo Evaluación profunda del 4.2.1.e) riesgo documentada 3) Parcialmente Resultados en conjunto de la N/A evaluación del riesgo

18.

8.4 Obtener aprobación de la Dirección 17 para implementar un SGSI

Riesgos y sus opciones 4.2.1.f) identificadas para tratamiento del riesgo Objetivos de con-trol seleccionados y controles para reducción del riesgo

4.2.1.g)

19.

Aprobación de la Dirección de riesgos residuales

18

Aprobación documentada la Dirección de los riesgos de 4.2.1.h) residuales propuestos (debería ser salida de 8.4)

20.

Autorización de la administración para implementar y operar el SGSI

19

21.

Preparar declaración de aplicabilidad

18

Autorización documentada 4.2.1.i) por la Dirección para implementar y operar un SGSI (debería ser salida de 8.4) Declaración de Aplicabilidad 4.2.1.j)

9 Diseño del SGSI 22.

9.2 Diseñar la seguridad organizacional

20

Estructura de la organización 5.1.c) y sus roles y responsabilidades relacionados con la seguridad de la información Identificación de la 4.3 documentación relacionada con el SGSI Plantillas de registros del SGSI e instrucciones para Documento de la política de NTE INEN seguridad de la información ISO/IEC 27002; 5.1.1 •

•

Línea base de las políticas y procedimientos de seguridad de la información (y si es aplicable, planes para el desarrollo de políticas, procedimientos específicos, etc.)

-47-


2011-684

52/75

5/28/2018





Salida Documentada

NTE INEN ISO/IEC 27003


23.

9.3 físicaDiseñ ar la segur idad de las TIC 20, 21

•

24.

9.4 Diseñar seguridad de la información22, 23 específica del SGSI

Procedimientos que describen 7.1 los procesos de reporte y revisión por parte de la administración

25.

Planes de del proyecto 4.2.2.c) implementación para el proceso de Parcialimplementación de los mente controles de seguridad seleccionados para la seguridad de la información de las TIC y física

Descripciones para auditoría, monitoreo y

4.2.3.a) Parcialmente

medición

4.2.3.b) Parcialmente; 6 5.2.2

•

26.

Un programa de capacitación y concientización •

27.

9.5 Producir el plan final del proyecto del SGSI

25

Plan de implementación del N/A proyecto, aprobado por la Dirección, para el proceso de implementación

28.

El plan final del proyecto final del SGSI

28

Un plan de implementación del proyecto del SGSI

N/A

específico deejecución la organización, que cubra la planificada de actividades para la seguridad de la información organizacional, de TIC y física, al igual que los requerimientos específicos del SGSI para la implementación de un SGSI de acuerdo a los resultados de las actividades cubiertas en la Norma ISO0/IEC 27003

-48-


2011-684

53/75

5/28/2018



Anexo B (informativo) Roles y responsabilidades para la Seguridad de la Información Este anexo provee una guía adicional respecto a los roles y responsabilidades dentro de una organización relacionadas con la seguridad de la información. Los roles son inicialmente dados en la visión organizacional para la implementación de un SGSI. Una tabla resume esta información y presenta ejemplos generales de roles y responsabilidades. 1. Rol del Comité de Seguridad de la Información El comité de seguridad de la información debería tener un rol de liderazgo para el SGSI en una organización. El comité de seguridad de la información debería ser responsable del manejo de los activos de información de la organización, y debería tener un entendimiento suficiente de la seguridad de la información para dirigir, monitorear y completar las tareas que sean necesarias. Los siguientes son ejemplos de posibles roles del comité de seguridad de la información: a) Completar la gestión del riesgo, estableciendo el plan para los documentos del SGSI, siendo responsable de la determinación del contenido de estos documentos y obtener aceptación de parte de la Dirección. b) Planificar la compra de nuevo equipamiento y/o decidir respecto de la re-utilización de equipo existente que ya posea la organización. c) Manejar cualquier problema que pueda surgir d) Considerar las mejoras que surjan de la implementación y medición del SGSI e) Brindar Dirección estratégica al SGSI (tanto durante la implementación del proyecto, como durante la operación), y f) Unión entre la alta Dirección , el equipo de implementación del proyecto y el personal de seguridad de la información. 2. Roles del Equipo de Planificación de la Seguridad de la Información El equipo del proyecto responsable del SGSI, cuando se encuentra planificando el proyecto, debería ser asistido por miembros quienes cuenten con una amplio entendimiento de los activos de información importantes dentro del alcance del SGSI, y que tengan suficiente conocimiento para considerar la forma de manejar esta información. Por ejemplo, al determinar cómo manejar los activos de información, podrían haber diferentes opiniones entre los distintos departamentos dentro del alcance del SGSI, por lo que podría haber una necesidad de ajustar los efectos positivos y negativos del plan. Se requiere que el equipo del proyecto trabaje como un coordinador de conflictos a través de límites departamentales. Para realizar esto, sus miembros necesitan aptitudes comunicacionales, basadas en sus experiencias y capacidades de coordinación, al igual que altos niveles de conocimiento sobre seguridad. 3. Especialistas y Consultores Externos Una organización debería seleccionar miembros para las funciones descritas anteriormente (si es posible, miembros con un rol exclusivo) antes de establecer el SGSI. Sin embargo, los miembros necesitan tener amplio conocimiento y experiencia en el campo de la seguridad de la información tal como “TI”, “decisiones gerenciales” y “entendimiento de la organización”. La gente responsable de

determinadas operaciones en su organización podría conocer mejor su campo específico de acción. Los especialistas que sean expertos en campos específicos en su organización deberían ser mencionados en términos del SGSI, cuando éste se refiera a sus campos específicos.

-49-


2011-684

54/75

5/28/2018



También es importante contar con un balance de esta pericia con el amplio conocimiento necesario para cumplir los objetivos de la organización. Los consultores externos pueden brindar asesoría basados en sus puntos de vista macroscópicos de una organización y su experiencia de otras ocasiones similares, aunque en general no necesariamente tienen un profundo conocimiento de los detalles específicos y operacionales de una organización. Los términos que se utilizan en los anteriores ejemplos, tal como Comité de Seguridad de la Información y Equipo de Planificación de la Seguridad de la Información, no son importantes. Únicamente la función de cada estructura debe ser entendida. Idealmente, deberían haber estructuras internas para coordinar la seguridad de la información de la organización, comunicando y trabajando estrechamente con cada departamento técnico. 4. Propietarios de los Activos de Información Una persona debería ser designada para cada proceso de la organización y aplicación especializada; esta persona actúa como

“propietario del activo de información” para todos los asuntos de la

seguridad de la información relacionados con el procesamiento de datos dentro de este proceso particular de la organización. La persona de contacto o propietario del proceso es responsable, por ejemplo, de la delegación de tareas y manejo de la información dentro de los procesos de la organización a los cuales han sido asignadas. En caso de compartición, evasión y conservación del riesgo, las acciones necesarias deberían tomarse de los aspectos de seguridad organizacional. Si se ha tomado la decisión de transferir riesgos, las acciones apropiadas deberían tomarse, usando contratos, convenios de seguros y la estructura organizacional, tal como asociaciones o emprendimientos conjuntos. . La Figura B.1 muestra un ejemplo de la estructura organizacional para establecer el SGSI. Los principales roles y responsabilidades de la organización dados abajo se basan en este ejemplo.

Dirección Emitir una carta de designación Aprobar •

•

Comité de seguridad de la información • •

Especialistas Consultores externos

Ajustar Aprobar Equipo de planificación de la seguridad de la información

Asesorar Departamento de Sistemas

Departamento de Recursos Humanos

Departamento de Contabilidad

Departamento de Auditoria

Departamento Administ rativ o Departamento de Gestión de infraestructura e inst alaciones

Figura B.1 — Estructura Organizacional Ejemplo para Establecer el SGSI Interacción con la organización Todas las partes involucradas deberían revisar y familiarizarse con los requerimientos actuales para proteger los activos de la organización. participaciónde enlael organización análisis organizacional debería las personas que posean un profundoLa conocimiento y del entorno en incluir el cuala opera. Estas personas deberían ser seleccionadas para representar un amplio espectro dentro de la organización e incluir:

-50-


2011-684

55/75

5/28/2018



a) alta Dirección (por ejemplo, Director General de Operaciones y Director Financiero) b) miembros del Comité de Seguridad de la Información c) miembros del Equipo de Planificación de la Seguridad de la Información d) gerentes de línea (por ejemplo, jefes de unidad de la organización) e) propietarios del proceso (es decir, representantes de áreas operacionales importantes) f) especialistas y consultores externos Ejemplos de roles y responsabilidades generales relacionadas con la seguridad de la información La seguridad de la información es un área muy amplia que afecta a toda la organización. Como tal, es esencial que las responsabilidades respecto a la seguridad sean claramente definidas para una exitosa implementación. Por cuanto los roles y responsabilidades respecto a la seguridad varían, es fundamental un entendimiento de los diferentes roles para entender algunas de las actividades descritas más adelante en esta Norma. La siguiente tabla bosqueja los roles y responsabilidades relacionados con la seguridad. Se debería tomar en cuenta que estas posiciones son generales y que para la implementación de un SGSI particular se necesitan descripciones específicas.

Tabla B.1 — Lista de Roles y Responsabilidades Ejemplificadas para la Seguridad de la Información Posición

Breve Descripción de Responsabilidades

Alta Dirección (por ejemplo, Director General de Operaciones, Director Ejecutivo, Director de Seguridad y Director Financiero)

Para la visión, decisiones estratégicas y actividades coordinadas para dirigir y controlar la organización.

Gerentes de Línea

Tienen la responsabilidad superior de las funciones organizacionales.

Director de la Seguridad de la

Tiene la responsabilidad y Dirección total de la seguridad de la información

Información asegurando el manejo correcto de los activos de información. Comité de Seguridad de la Información Manejo de los activos de información y rol de liderazgo para el SGSI en la (miembro del) organización. Equipo de Planificación de la Seguridad Durante las operaciones mientras el SGSI está siendo establecido. El equipo de de la Información (miembro del) planificación trabaja con los departamentos y resuelve conflictos hasta que el SGSI se establecido. Parte interesada

En el contexto de las descripciones de otros roles relativos a la seguridad de la información, la parte interesada es fundamentalmente definida como personas/organizaciones fuera de las operaciones normales – tal como el directorio, los propietarios (ambos en términos de propietarios organizacionales si es que la organización es parte de un grupo o una organización gubernamental y/o propietarios directos tales como accionistas en una organización privada). Otros ejemplos de partes interesadas podrían ser las compañías filiales, clientes, proveedores u otras organizaciones públicas tales como agencias gubernamentales de control financiero o bolsas de valores pertinentes, si la organización está cotizada.

Administrador de Sistemas

El administrador de sistemas es el responsable de un sistema de TI.

Gerente de IT

El gerente de todos los recursos de TI (por ejemplo, Gerente del Departamento de TI.)

Seguridad Física

La persona responsable de la seguridad física, por ejemplo, edificios etc., a menudo referido como Gerente e Instalaciones.

Gestión del Riesgos

La/s persona/s responsable/s del marco referencial de gestión del riesgo, incluyendo evaluación, tratamiento y monitoreo del riesgo.

Asesor Legal

Muchos riesgos de seguridad de la información tienen aspectos legales y el

Recursos Humanos

asesor legal es responsable de tomarlos en consideración. La/s persona/personas con total responsabilidad del personal.

-51-


2011-684

56/75

5/28/2018



Posición

Archivo

Datos Personales

Desarrollador de sistemas Especialista / Experto

Consultor Externo

Breve Descripción de Responsabilidades

Todas las organizaciones cuentan con archivos que contienen información vital que debe ser almacenada a largo plazo. La información podría ser ubicada en múltiples tipos de medios y una persona específica debería ser responsable de la seguridad de este almacenamiento. Si es requerido por la legislación nacional, puede haber una persona responsable de ser el contacto con el directorio de inspección de datos u otra organización oficial similar que supervise asuntos de integridad y privacidad personal. Si una organización desarrolla sus propios sistemas de información, alguien es responsable de este desarrollo. Los especialistas y expertos responsables de algunas operaciones en una organización deberían ser referidos en términos de su intención sobre asuntos del SGSI, en relación al uso en sus campos específicos. Los consultores externos pueden dar asesoría en base a sus puntos de vista macroscópicos de una organización o experiencia en la industria. Sin embargo, los consultores podrían no contar con un profundo conocimiento de la organización y sus operaciones.

Empleado / Personal / Usuario

Cada empleado es equitativamente responsable de mantener la seguridad de la información en el lugar de trabajo y en su entorno.

Auditor

El auditor es responsable de valorar y evaluar el SGSI.

Capacitador

El capacitador implementa programas de capacitación y concientización. Este no es un rol responsable como tal, pero en grandes organizaciones podría ser de gran ayuda en la etapa de implementación, contar con gente con profundos conocimientos sobre la implementación de un SGSI y que pueda apoyar el entendimiento y las razones que se encuentran detrás de la implementación. Ellos podrían influir positivamente en la opinión y podría, también, ser llamados

Promotor (Persona Influyente)

“Embajadores”.

-52-


2011-684

57/75

5/28/2018



Anexo C (informativo) Información sobre Auditoría Interna Este Anexo provee una guía adicional para respaldar la planificación de auditoría. La implementación de un SGSI debería ser evaluada regularmente por medio de auditorías internas e independientes. Estas también sirven para recopilar y evaluar las experiencias que da la práctica diaria. Con el fin de implementar un SGSI las formas de auditoría deben ser planificadas. En una auditoria de un SGSI, los resultados de la auditoria deberían ser determinados en base a evidencia. Por lo tanto, durante las operaciones del SGSI, se debería asignar una buena parte adecuada del tiempo para recolectar evidencia apropiada. Una auditoria interna de un SGSI, debería ser implementada y ejecutada de manera regular para evaluar si los objetivos de control, controles, procesos y procedimientos del SGSI cumplen los requerimientos de la NTE INEN ISO/IEC 27001 y con la legislación y normativa pertinentes; cumplen con los requerimientos identificados de seguridad de la información y si están implementados y mantenidos de manera efectiva. No obstante, la selección de los auditores internos del SGSI podría ser difícil para compañías pequeñas. Si no están disponibles recursos suficientes para la realización de esta clase de auditorías por personal interno experimentado, entonces se debe encargar la realización de actividades de auditoría a expertos externos . Cuando las organizaciones utilizan auditores externos, se debería tomar en cuenta lo siguiente : los auditores externos están familiarizados con auditorías internas de los SGSI; sin embargo, pueden no contar con conocimiento suficiente acerca del entorno organizacional. Esta información debería ser proporcionada por el personal interno. Por otra parte, los auditores internos podrían ejecutar auditorías detalladas considerando el entorno organizacional pero podrían no tener suficiente conocimiento sobre la ejecución de auditorías de SGSI. Las organizaciones deberían reconocer las características y potenciales deficiencias de las auditorías internas de un SGSI llevadas a cabo por auditores internos o por auditores externos. La efectividad y eficiencia de los controles implementados (ver NTE INEN ISO/IEC 27004) debería ser examinada dentro del alcance de las auditorías internas. Es importante que ninguna de las auditorías sean realizadas por aquellas personas que estuvieron involucrados en la planificación y diseño de los objetivos de seguridad, porque es difícil encontrar los errores propios. Por lo tanto, las unidades de la organización o personas que se encuentran fuera del alcance de las auditorías internas del SGSI deberían ser seleccionadas por la Dirección como auditores. Estos auditores deberían planificar, realizar, emitir informes y dar seguimiento de las auditorías internas del SGSI para obtener el compromiso de la Dirección. Dependiendo del tamaño de la organización, podría ser útil llamar a auditores externos para evitar una situación en la cual los miembros del personal se descuidan de su propio trabajo. En una auditoria interna del SGSI, debería constatarse que el SGSI esté siendo operado de manera efectiva y mantenido de acuerdo con lo esperado. Los auditores deberían tomar en cuenta el estado y la importancia de las metas, controles, procesos y procedimientos de gestión a ser auditados cuando se planifica un programa de auditoría, al igual que los resultados de auditorías anteriores. Cuando se realiza una auditoria, los criterios, alcance aplicable, frecuencia y método de la auditoría deberían ser documentados. La objetividad e imparcialidad del proceso de auditoria debería asegurarse en el momento de seleccionar a los auditores. Se requiere que un auditor cuente con las siguientes competencias cuando realice la serie de procesos de la auditoría: a) Planificación y ejecución de la auditoria b) Reporte de los resultados c) Propuesta de acciones preventivas y correctivas, etc.

-53-


2011-684

58/75

5/28/2018



Adicionalmente, la organización debe definir en la documentación de procedimiento, las responsabilidades de los auditores y las series de procesos para la auditoría. Un director responsable de un proceso que está siendo auditado debería asegurarse que no conformidades y sus causas sean apropiadamente tratadas sin demora. Sin embargo, esto no significa que la inconformidad necesariamente tiene que ser corregida inmediatamente. Además, las acciones correctivas ejecutadas deberían incluir una verificación de la acción que ha sido tomada y un informe de los resultados de verificación. Desde el punto de vista de la Dirección, la auditoría interna del SGSI puede ser realizada efectivamente como una parte de, o en colaboración con, otras auditorías internas de la organización. Cuando se realiza la auditoría, es una buena idea referirse a “Requisitos de organizaciones que proveen auditoría y certificación de SGSI, NTE INEN-ISO/IEC 27006”.

-54-


2011-684

59/75

5/28/2018



Anexo D (informativo) Estructura de las políticas Este anexo provee una guía adicional respecto de la estructura de las políticas incluyendo la política de seguridad de la información. En general, una política es una declaración de la intención total y orientación según lo expresado formalmente por la Dirección (ver FCD 27000 y NTE INEN ISO/IEC 27002). El contenido de una política guía las acciones y decisiones relativas al tema de la política. Una organización podría tener varias políticas; una para cada área de actividad importante para la organización. Algunas políticas son independientes la una de la otra, mientras que otras políticas tienen una relación jerárquica. En el área de seguridad, las políticas son comúnmente organizadas jerárquicamente. Por lo general, la política de seguridad de la organización es la política de más alto nivel. Esta política es respaldada por una variedad de otras políticas más específicas, incluyendo la política de seguridad de la información y la política del Sistema de Gestión de la Seguridad de la Información. A su vez, la política de seguridad de la información puede estar respaldada por varias políticas más detalladas sobre asuntos específicos relacionados con la seguridad de la información. Varias de estas son tratadas en la NTE INEN ISO/IEC 27002, por ejemplo la política de seguridad de la información está respaldada por las políticas relativas a acceso al control, escritorio limpio y pantalla limpia, el uso de servicios de red y el uso de controles criptográficos. Es posible que en algunos casos podrían ser añadidas capas de políticas adicionales. Esta organización se muestra en la Figura D1.

Políticas Generales de Alto Nivel Por ejemplo, política de seguridad, política de privacidad, política de mercadeo, política de desarrollo de producto

Políticas Específicas de Alto Nivel por ejemplo, política de seguridad de la información

Políticas Detalladas Por ejemplo, política de control de acceso, política de escritorio y pantalla limpios, política de uso de servicios de red, Política de uso de controles criptográficos Figura D.1 — Jerarquía de las políticas La NTE INEN ISO/IEC 27001 requiere que las organizaciones cuenten tanto con una política del SGSI, como con una política de seguridad de la información. Sin embargo, esto no especifica ninguna relación particular entre estas políticas. Los requerimientos para la política del SGSI son dados en las cláusulas 4.2.1 de la NTE INEN ISO/IEC 27001. Las directrices para las políticas de seguridad de la información están dadas en la cláusula 5.1.1 de la NTE INEN ISO/IEC 27002. Estas políticas podrían ser desarrolladas como normas similares; la política del SGSI podría estar subordinada a la política de seguridad de la información, o a la política de seguridad de la información podría estar subordinada a la política del SGSI.

-55-


2011-684

60/75

5/28/2018



El contenido de las políticas se basa en el contexto en el cual una organización opera. Específicamente lo siguiente debería ser considerado cuando se desarrolle cualquier política dentro del marco de referencia de la política. 1) Los fines y objetivos de la organización 2) Estrategias adoptadas para alcanzar sus objetivos 3) La estructura y procesos adoptados por la organización 4) Fines y objetivos asociados con el tema de la política 5) Los requerimientos de políticas de más alto nivel relacionadas Esto se muestra en la Figura D.2.

Estrategias de la organización

Fines y objetivos de alto nivel de la organización

Política sobre un tema

Requisitos de políticas de alto nivel

Fines y objetivos de la organización en el área de la política

Estructura y procesos de la organización

Figura D.2 — Entradas para el desarrollo de una política Las políticas pueden tener la siguiente estructura: 1. Resumen de la Política – Una descripción general de una o dos oraciones. (Algunas veces ésta podría unirse con la introducción.) 2. Introducción - una breve explicación del tema de la política. 3. Alcance – describe aquellas partes o actividades de una organización que son afectadas por la política. Si es pertinente, la cláusula de alcance enlista otras políticas que sean respaldadas por política. 4. Objetivos – describe el propósito de la norma. 5. Principios – describe las reglas relativas a las acciones y decisiones para lograr los objetivos. En algunos casos esto puede ser útil para identificar los procesos claves asociados con el tema de la política y luego las reglas para operar los procesos. 6. Responsabilidades – describe quién es responsable de las acciones para cumplir los requerimientos de la norma. En algunos casos esto podría incluir una descripción de los planes organizacionales, al igual que las responsabilidades del personal que tiene roles asignados.

-56-


2011-684

61/75

5/28/2018



7. Resultados Claves – describe los resultados del negocio si es que los objetivos se cumplen 8. Políticas relacionadas – describe otras políticas pertinentes al logro de los objetivos, generalmente mediante la provisión de detalles adicionales relativos a temas específicos. NOTA El contenido de la política puede ser organizado de varias formas. Por ejemplo, las organizaciones que hacen énfasis en los roles y responsabilidades podrían simplificar la descripción de los objetivos y aplicar los principios específicamente a la descripción de responsabilidades.

El siguiente es un ejemplo de una política de seguridad de la información que muestra su estructura y ejemplo de contenido.

Política de Seguridad de la Información (Ejemplo) Resumen de la Política

La información debería ser protegida siempre, cualquiera que sea su forma y sin importar que sea compartida, comunicada o almacenada. Introducción La información puede existir de mucha formas. Esta puede ser impresa o escrita sobre papel, almacenada electrónicamente, transmitida por correo o usando medios electrónicos, mostrada en filmaciones, o hablada en una conversación. La seguridad de la información es la protección de la información frente una gran variedad de amenazas con el fin asegurar la continuidad del negocio, minimizar el riego del negocio y maximizar el retorno de las inversiones y oportunidades de negocio. Alcance Esta política respalda la política general de seguridad de la organización. Esta política aplica a toda la organización. Objetivos de Seguridad de la Información 1) Los riesgos estratégicos y operacionales de la seguridad de la información son entendidos y tratados como aceptables a la organización. 2) Se protege la confidencialidad de la información del cliente, el desarrollo de producto y los planes de mercadeo. 3) 4)

La integridad de los registros contables es preservada. Los servicios web públicos y las redes internas cumplen normas específicas de disponibilidad.

Principios de Seguridad de la Información 1) Esta organización incentiva la toma de riesgos y tolera los riesgos que podrían no son tolerados en organizaciones administradas conservadoramente siempre y cuando los riesgos de la información sean entendidos, monitoreados y tratados cuando sea necesario. Los detalles del enfoque tomado para la evaluación y tratamiento del riesgo se encuentran en la política del SGSI. 2) Todo el personal será consciente y responsable de la seguridad de la información como importante para a su rol de trabajo. 3) Se hará la provisión para consolidar controles de seguridad de la información en procesos operacionales y de gestión de proyecto. 4) Las posibilidades de general fraude asociadas con abuso de los sistemas de información serán tomadas en cuenta en la gestión de los sistemas de información. 5) Estarán disponibles informes del estado de la seguridad de la información.

-57-


2011-684

62/75

5/28/2018



6) Los riesgos de la seguridad de la información serán monitoreados y las acciones serán tomadas cuando cambios resulten en riesgos que no sean aceptables. 7) Los criterios de clasificación y aceptabilidad del riesgo se encuentran en la política del SGSI. 8) Las situaciones que podrían colocar a la organización en un incumplimiento de las leyes o regulaciones estatutarias no serán pueden tolerar. Responsabilidades 1) El equipo de alta Dirección tiene la responsabilidad de asegurar que la seguridad de la información sea adecuadamente dirigida en toda la organización 2) Cada alto gerente es responsable de asegurar que las personas que trabajan bajo su control protejan la información de acuerdo con las normas de la organización. 3) El director de seguridad aconseja al equipo de alta Dirección, provee soporte especializado al personal de la organización y se asegura que los informes del estado de la seguridad de la información estén disponibles. 4) Cada miembro del personal tiene responsabilidades sobre la seguridad de la información como parte de su trabajo. Resultados Clave 1) Los incidentes de seguridad de la información no resultarán en costos serios e inesperados o en interrupciones importantes de los servicios y actividades del negocio. 2) Las pérdidas por fraude serán conocidas y dentro de límites aceptables. 3) La aceptación del producto o servicios por parte del cliente no será afectadas adversamente por preocupaciones sobre la seguridad de la información. Políticas Relacionadas Las políticas detalladas a continuación proveen principios y guía sobre aspectos específicos de la seguridad de la información: 1) La política del Sistema de Gestión de la Seguridad de la Información (SGSI) 2) la política de control de acceso 3) la política sobre escritorio limpio y pantalla limpia 4) la política de software no autorizado 5) la política relativa a la obtención de archivos de software de o a través de redes externas. 6) la política relativa a código móvil 7) la política de respaldo 8) la política concerniente al intercambio de información entre organizaciones 9) la política concerniente al uso aceptable de instalaciones de comunicaciones electrónicas 10) la política de conservación de registros 11) la política sobre el uso de servicios de red 12) la norma concerniente a computación y comunicación móvil 13) la política del tele trabajo -58-


2011-684

63/75

5/28/2018



14) la política sobre el uso de controles criptográficos 15 la política de cumplimiento 16) La política de licenciamiento de software 17) la política de desecho de software 18) la política de protección de datos y privacidad Todas estas políticas respaldan: Identificación del riesgo, mediante la provisión de una controles de línea base, que pueden ser usados para identificar vacíos en los diseños e implementaciones de sistemas; y

•

Tratamiento del riesgo mediante el soporte de la identificación de tratamientos para vulnerabilidades y amenazas identificados.

•

Identificación del Riesgo y Tratamiento del Riesgo, ambos son procesos definidos bajo la sección Principios de la política. Para detalles refiérase a la Política del SGSI.

-59-


2011-684

64/75

5/28/2018



Anexo E (informativo) Monitoreo y medición Este anexo provee una guía adicional para respaldar la planificación y diseño del monitoreo y medición. Información sobre Establecimiento de Monitoreo y Medición. El diseño de los requerimientos específicos del SGSI incluye un programa de monitoreo y de medición del SGSI que respalde la revisión de la Dirección. Diseño del Monitoreo

Figura E.1 — Flujo del Proceso de Monitoreo Preparación y coordinación: Identificación de activos relevantes para monitoreo Se debería tomar en cuenta que el monitoreo es un proceso continuo y, como tal, el diseño debería tomar en consideración el establecimiento del proceso de monitoreo al igual que el diseño de las necesidades y actividades reales de monitoreo. Estas actividades necesitan ser coordinadas, lo cual es parte del diseño. Con base a información previa establecida por el alcance y los activos definidos, en combinación con los resultados del análisis del riesgo y la selección de controles, se pueden definir los objetivos del monitoreo. Estos objetivos deberían incluir: Qué Detectar

•

Cuándo

•

Contra qué,

•

En términos prácticos, las actividades/procesos organizacionales establecidos previamente y los activos vinculados son el alcance básico para el monitor eo (punto a “Contra qué” de arriba). Para diseñar el monitoreo, se podría necesitar una selección para cubrir los activos importantes desde un punto de vista de seguridad de la información. Se debería también tomar en consideración el tratamiento del riesgo y la selección de controles con el fin de encontrar qué es lo que debería ser monitoreado de los activos y las actividades/procesos vinculadas de la organización. (Esto establecerá los puntos Qué Detectar y Cuándo).

-60-


2011-684

65/75

5/28/2018



Por cuanto el monitoreo podría implicar aspectos legales, es esencial que el diseño del monitoreo sea revisado de tal manera que no tenga ninguna ramificación legal Para asegurarse que el monitoreo es verdaderamente efectivo, es importante coordinar y hacer el diseño final de todas las actividades para el monitoreo. Actividades de Monitoreo Con el fin de mantener el nivel de seguridad de la información, los controles de seguridad de la información identificados como apropiados deberían ser aplicados correctamente; los incidentes de seguridad deberían ser detectados y respondidos a tiempo; y el desempeño del sistema de gestión de la seguridad de la información debería ser monitoreado regularmente. Revisiones regulares deberían ser realizadas para verificar si todos los controles están siendo aplicados e implementados según planeado en el concepto de seguridad de la información. Esto debería incluir la verificación de que se ha cumplido con los controles técnicos (por ejemplo, en relación a la configuración) y los controles organizacionales (por ejemplo, procesos, procedimientos y operaciones). Las revisiones deberían estar dirigidas principalmente hacia la remediación de defectos. Si las revisiones van a ser aceptadas, es importante que esta motivación sea reconocida por todos aquellos involucrados como objetos de las revisiones. Es importante analizar posibles soluciones a los problemas con los participantes durante una verificación y para pre-preparar remedios apropiados. Las revisiones deberían ser preparadas cuidadosamente para asegurar que puedan lograr sus metas tan eficientemente como sea posible y que al mismo tiempo causen el menor transtorno como sea posible a la rutina de trabajo. La implementación general de revisiones debería ser coordinada por anticipado con la Dirección. Las actividades de diseño podrían ser concluidas en tres formas básicas diferentes:

Informes de incidentes

Verificación o no conformidad de la funcionalidad del control

Otras Revisiones Regulares

•

•

•

Adicionalmente, los resultados de las actividades deberían ser diseñadas en términos de cómo se hacen los registros y la información se provee a la Dirección. La documentación formal debería ser hecha para describir el diseño y cubriendo las actividades iniciales y su propósito, al igual que la diferentes responsabilidades. Requerimientos para el resultados del monitoreo Los resultados son: a. Registros de las actividades de monitoreo en el nivel requerido de detalle Como un resultado de las actividades de monitoreo, un informe para la administración debería ser provisto. Toda la información que la Dirección requiere con el fin de cumplir sus obligaciones administrativas y de supervisión debería ser registrada con el nivel de detalle requerido. b. Información para la Dirección para la toma de decisiones cuando sean requeridas acciones rápidas. Los informes para la Dirección deberían terminar siempre con una lista de acciones recomendadas, claramente priorizada, junto con una evaluación realista del costo esperado de implementación de cada una de estas acciones. Esto asegura que las decisiones necesarias puedan ser obtenidas de la Dirección sin demoras indebidas. Establecimiento del programa de medición de la seguridad de la información

-61-


2011-684

66/75

5/28/2018



Visión general para el diseño de un programa de medición de la seguridad de la información El proceso de medición debería ser transparentemente integrado en el ciclo del SGSI del proyecto u organización, y usado para el mejoramiento continuo de procesos o resultados relacionados con la seguridad dentro de ese proyecto u organización. Esto es referido como un programa de medición de la seguridad de la información (NTE INEN ISO/IEC 27004). El diseño del programa necesita ser visto en una perspectiva del ciclo del SGSI. La siguiente figura describe cómo el proceso de medición se acomoda dentro del ciclo del SGSI. Se requieren las siguientes funciones de los sistemas de gestión para asegurar la satisfacción de los objetos requeridos y las expectativas, tal como la estructuración del PHVA necesario; la medición de la validez de las salidas y su eficacia; y provisión de retroalimentación de los resultados de medición al gerente de los procesos Con el fin de tener las medicines correctas establecidas, contar con información previamente generada es esencial, especialmente: a) La política del SGSI, incluyendo alcance y límites b) El resultado de la evaluación del riesgo c) La selección de controles d) Los objetivos de control e) Los objetivos específicos de seguridad de la información f) Procesos y recursos especificados, y su clasificación La Dirección debería establecer y sustentar un compromiso sobre todo el proceso de medición. Al implementar un proceso de medición, la Dirección debería: a) Aceptar los requerimientos para la medición; ver NTE INEN ISO/IEC 27004 para más detalles b) Poner atención a las necesidades de información; ver NTE INEN ISO/IEC 27004 para más detalles, c) Obtener el compromiso del personal mediante lo siguiente: •

•

•

•

•

La organización debería demostrar su compromiso a través de, por ejemplo, una política de medición para la organización, asignación de responsabilidades y deberes, capacitación, y asignación de presupuesto y otros recursos Una persona o unidad organizacional responsable del programa de medición debería ser asignada. La persona o unidad organizacional es responsable de comunicar la importancia de la medición del SGSI y sus resultados en toda la organización para asegurar su aceptación y uso, y debería contar con el respaldo de la Dirección. Asegurar que los datos de las medidas del SGSI sean compilados, analizados, y reportados al Director de Información y a otros interesados. Capacitar a los gerentes de línea de programa acerca del uso de resultados de la medición del SGSI para la política, asignación de recursos y decisiones sobre el presupuesto.

El programa de medición de la seguridad de la información y el diseño deberían involucrar las siguientes roles: a) Alta Dirección b) Los usuarios de los productos de seguridad c) Las personas a cargo de sistemas de información d) Las personas a cargo de la seguridad de la información

-62-


2011-684

67/75

5/28/2018



Un Programa de Medición de la Seguridad de la Información se establece con el fin de obtener indicadores de la efectividad del SGSI, objetivos de control y controles. El programa está descrito en la NTE INEN ISO/IEC 27004. El resultado de las mediciones apropiadas de la Fase de Planificación debería ser conducido para cumplir estos objetivos. Un Programa de Medición de la Seguridad de la Información apropiado podría ser diferente dependiendo de la estructura de la organización: Tamaño

•

Complejidad

•

Perfil/necesidad general del riesgo de seguridad de la información

•

Generalmente, mientras más grande y compleja sea una organización, se necesita de un programa de medición más amplio. Pero el nivel de riesgo general afecta también el alcance del programa de medición. Si el impacto de una pobre seguridad de la información es severo, una organización comparativamente más pequeña podría necesitar un programa de medición más exhaustivo para cubrir el riesgo, en comparación de una organización más grande que no enfrente el mismo impacto. El alcance del programa de medición puede ser evaluado en base a la selección de controles que necesitan ser cubiertos y en los resultados del análisis del riesgo. Diseño del programa de medición de la seguridad de la información La persona responsable del programa de medición de la seguridad de la información debería considerar lo siguiente: Alcance

•

Mediciones

•

Realizar las mediciones

•

Períodos de las mediciones

•

Reporte

•

El alcance del programa de medición debería cubrir el alcance, objetivos de control y controles del SGSI. Particularmente, los objetivos y límites de la medición del SGSI deberían ser puestos en términos de las características de la organización, la organización, su ubicación, activos y tecnología, e incluir detalles y justificación de cualquier exclusión del alcance del SGSI. Esto podría ser un solo control de seguridad, un proceso, un sistema, un área funcional, la empresa entera, un solo sitio, o una organización de sitios múltiples. Cuando se seleccionan mediciones simples, la NTE INEN ISO/IEC 27004 Pr oc es o d e M ed ic ió n de la Seguridad de la Información estipula que el punto de inicio es el objeto de la medida. Con el objeto de establecer un programa de medición estos objetos deberían ser identificados. Estos objetos podrían ser un proceso o un recurso. (Ver NTE INEN ISO/IEC 27004 para más detalles). Cuando se define el programa, los objetos definidos por el alcance del SGSI son a menudo echados abajo para encontrar los objetos reales que deberían ser medidos. Este proceso de definición podría ser ejemplificado por el siguiente ejemplo: La Organización es el objeto general – El Proceso A de la Organización / o el sistema de TI X es una parte de ese objeto y constituye un objeto en sí mismo Objetos dentro de ese proceso que afecta la seguridad de la información (Personas, Reglas, Red, Aplicaciones, Instalaciones, etc.) son generalmente los objetos de medida con el fin de ver la efectividad de proteger la información.

-63-


2011-684

68/75

5/28/2018



Cuando se implementa un Programa de Medición de la Seguridad de la Información, se debería tener mucho cuidado al considerar que los objetos de medición podrían servir a muchos procesos de la organización dentro del alcance del SGSI, y puede por lo tanto tener un impacto mayor sobre la efectividad del SGSI y los objetivos de control. Tales Objetos deberían generalmente ser priorizados con el alcance del programa, tal como la Organización de Seguridad y procesos relacionados, Centro de Cómputo, colegas relacionados con seguridad de la información, etc. El intervalo de medición podría variar, pero es preferible que la medición sea hecha o resumida en ciertos intervalos con el fin de acomodarse a la revisión de la Dirección y al proceso de mejora continua y ambiciones del SGSI. El diseño del programa debería establecer esto. El reporte de los resultados debería ser diseñado de tal manera que la comunicación está asegurada de acuerdo con la NTE INEN ISO/IEC 27004. El diseño del programa de Medición de la Seguridad de la Información debería concluir en un documento que estipula el procedimiento, y debería ser aprobado por la Dirección. Es documento debería cubrir lo siguiente: a) Responsabilidades para el Programa de Medición de la Seguridad de la Información b) Responsabilidades de comunicación c) El alcance de las mediciones d) Cómo se va a ejecutar (método básico usado, ejecución interna y externa, etc.) e) Cuándo debe ser ejecutado f) Cómo es reportado Si la organización desarrolla sus propios puntos de medición, éstos deben ser documentados como parte de la fase de diseño; para más referencia ver la NTE INEN ISO/IEC 27004. Este documento podría ser muy exhaustivo y no necesariamente necesita ser firmado por la Dirección, por cuanto los detalles podrían cambiar al ser implementado.

Medición de la efectividad del SGSI Cuando se establece el alcance para el Programa de Medición de la Seguridad de la Información que debería ser implementado, se debería tener mucho cuidado de tal manera que los objetos no sean muy numerosos. Si lo son, podría ser sensato dividir el programa en diferentes partes. El alcance de estas partes podría ser visto como mediciones separadas para efectos de comparación, pero su principal propósito prevalece: que una combinación de las mediciones provea una indicación para evaluar la efectividad del SGSI. Estos sub-alcances son normalmente una unidad organizacional que podría ser definida con límites claros. Una combinación de objetos que sirve a muchos procesos de la organización y las mediciones de los objetos dentro de los sub-alcances podrían juntos formar un alcance apropiado para el Programa de Medición de la Seguridad de la Información. Esto también podría ser visto como una serie de actividades del SGSI que pueden ser consideradas como construidas con dos o más procesos/objetos. Por lo tanto, la efectividad de todo el SGSI puede ser medida en base a la medición de los resultados de estos dos o más procesos/objetos. Por cuanto los objetivos son para medir la efectividad del SGSI, es importante medir los objetivos de control y controles. Un número suficiente de controles es un aspecto, y que estos controles sean suficientes para evaluar la efectividad del SGSI es el otro aspecto. (Podrían haber otras razones para limitar el alcance del Programa de Medición de la Seguridad de la Información, el cual es mencionado en la NTE INEN-ISO/IEC 27004:2009.)

-64-


2011-684

69/75

5/28/2018



Medición de la Efectividad del SGSI Partes interesadas

Revisar

Planificar

Entradas Hacer Requerimientos y Expectativas

Medir

Partes interesadas

Salidas Actuar

Verificar

Condición Adminis trada

Medición de la Efectividad de Cada Proceso

Proceso 1

Proceso 2

Proceso 3

Figura E.2 — Dos aspectos de medición de la efectividad con el proceso PHVA del SGSI y los ejemplos del proceso dentro de la organización Cuando se usan resultados de la medición para evaluar la efectividad del SGSI, objetivos de control y controles, es esencial que la Dirección esté consciente del alcance del Programa de Medición de la Seguridad de la Información. La persona responsable del programa de medición debería contar con la aprobación de la Dirección respecto al alcance del Programa de Medición de la Seguridad de la Información previo al lanzamiento. NOTA 1 El requisito relacionado con la medición de la efectividad en la NTE INEN-ISO/IEC 27001 es “la medición de controles o series de controles.” (ver 4.2.2 d) en la NTE INEN-ISO/IEC 27001) NOTA 2 El requisito relacionado con la efectividad de todo el SGSI en la NTE INEN-ISO/IEC 27001 es solamente una “revisión de la efectividad de todo el SGSI”, y l a “ m e d i c i ó n d e t o d o el SGSI” n o s e r e q u i e r e . (Ver 0.2.2 e n l a NTE INEN-ISO/IEC 27001). La realización real de mediciones podría ser hecha utilizando personal interno, externo o una combinación. El tamaño, estructura y cultura de la organización son factores a considerar cuando se evalúan recursos internos y externos. Compañías pequeñas y medianas se benefician más que las organizaciones grandes del uso de ayuda externa. El resultado de utilizar recursos externos podría también proveer un resultado de mayor validez, dependiendo de la cultura. Si la organización está acostumbrada a auditorías internas, recursos internos podrían tener la misma validez.

-65-


2011-684

70/75

5/28/2018



Bibliografía [1]

ISO 9001:2008, Quality management systems — Requirements

[2]

ISO 14001:2004, Environmental management systems — Requirements with Guidance for use

[3]

ISO/IEC 15026 (all parts), Systems and software engineering — Systems and software assurance1)

[4]

ISO/IEC 15408-1, Information technology — Security techniques — Evaluation criteria for

[5]

ISO/IEC 15408-2:2008, Information technology — Security techniques — Evaluation

[6]

ISO/IEC 15408-3:2008, Information technology — Security techniques — Evaluation

[7]

Information technology Security techniques ISO/IEC TRassurance 15443-1, — IT security Part 1: Description general and framework

[8]

ISO/IEC TR 15443-2, Information technology — Security techniques — A framework for

[9]

ISO/IEC TR 15443-3:2007, Information technology — Security techniques — A

[10]

ISO/IEC 15939:2007, Systems and software engineering — Measurement process

[11]

ISO/IEC 16085:2006, Systems and software engineering — Life cycle processes — Risk

IT security — Part 1: Introduction and general model

criteria for IT security — Part 2: Security functional components

criteria for IT security — Part 3: Security assurance components

—

—

A framework for

IT security assurance — Part 2: Assurance methods

framework for IT security assurance — Part 3: Analysis of assurance methods

management

[12]

ISO/IEC 16326, Systems and software engineering — Life cycle processes — Project management

[13]

ISO/IEC 18045:2008, Information technology — Security techniques — Methodology for IT security evaluation

[14]

ISO/IEC TR 19791:2006, Information technology — Security techniques — Security assessment of operational systems

[15]

ISO/IEC 20000-1, Information technology — Service management — Part 1: Specification

[16]

ISO/IEC 27001, Information technology — Security techniques — Information security management systems — Requirements

[17]

ISO/IEC 27004, Information technology — Security techniques — Information

[18]

ISO/IEC 27005, Information technology — Security techniques — Information security

security management — Measurement

risk management

[19]

ISO 21500, Project management — Guide to project management 2)

[20]

ISO/IEC 27006 Information technology — Security techniques — Requirements for bodies providing audit and certification of information security management systems

_________ 1) A ser publicada. 2) En preparación.

-66-


2011-684

71/75

5/28/2018



APÉNDICE Z Z.1 DOCUMENTOS NORMATIVOS A CONSULTAR Norma Técnica Ecuatoriana NTE INEN-ISO 9001

Sistemas

de

gestión

de

la

calidad.

Tecnología de la información. Gestión del Norma Técnica Ecuatoriana NTE INEN-ISO/IEC 20000-1 Requisitos servicio parte 1: Especificaciones (ISO/IEC 20000-1:2005) Norma Técnica Ecuatoriana NTE INEN-ISO/IEC 27001 Tecnología de la información. Técnicas de seguridad. Sistemas de gestión de la seguridad de la información (SGSI). Requisitos Tecnologías de la Información — Técnicas Norma Técnica Ecuatoriana NTE INEN-ISO/IEC 27004 de Seguridad — Gestión de la Seguridad de la Información – Medición Norma Técnica Ecuatoriana NTE INEN-ISO/IEC 27005 Tecnología de la Información. Técnicas de Seguridad. Gestión del riesgo en la

Norma Técnica Ecuatoriana NTE INEN-ISO/IEC 27006

Norma Técnica Ecuatoriana NTE INEN ISO 14001 ISO/IEC 15026 ISO/IEC 15408-1

seguridad la la Información Tecnologíadede información — Técnicas de Seguridad — Requisitos para organizaciones que proveen auditoría y certificación de sistemas de gestión de la seguridad de la información Sistemas de gestión ambiental – Requisitos con orientación para su uso (all parts), Systems and software engineering — Systems and software assurance Information technology — Security techniques — Evaluation criteria for IT security — Part 1: Introduction and general model Information technology — Security techniques — Evaluation criteria for IT security — Part 2: Security functional components Information technology — Security techniques — Evaluation criteria for IT security — Part 3: Security assurance components Information technology — Security techniques — A framework for IT security assurance — Part 1: Description

ISO/IEC 15408-2

ISO/IEC 15408-3

ISO/IEC TR 15443-1

general and framework Information technology — Security techniques — A framework for IT security assurance — Part 2: Assurance methods Information technology — Security techniques — A framework for IT security assurance — Part 3: Analysis of assurance methods Systems and software engineering — Measurement process Systems and software engineering — Life cycle processes — Risk management

ISO/IEC TR 15443-2

ISO/IEC TR 15443-3

ISO/IEC 15939 ISO/IEC 16085

Systems and software engineering — Life cycle processes — Project management

ISO/IEC 16326

-67-


2011-684

72/75

5/28/2018



Information technology — Security techniques — Methodology for IT security evaluation Information technology — Security techniques — Security assessment of operational systems Project management — Guide to project management

ISO/IEC 18045 ISO/IEC TR 19791 ISO 21500

Z.2 BASES DE ESTUDIO Esta norma es una adopción de la norma ISO/IEC 27003:2010. Information technology — Security techniques — Information security management system implementation guidance. International Organization for Standardization ISO. Geneve, 2010.

-68-


2011-684

73/75

5/28/2018


INFORMACIÓN COMPLEMENTARIA Documento: NTE INENISO/IEC 27003 ORIGINAL:

TÍTULO: TECNOLOGÍA DE LA INFORMACIÓN — TÉCNICAS Código: DE SEGURIDAD — GUÍA DE IMPLEMENTACIÓN DEL TI 01.01-301 SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN. REVISIÓN:

Fecha de iniciación del estudio:

Fecha de aprobación Oficialización con el anterior Carácterdel de Directorio por Resolución No. de publicado en el Registro Oficial No. de Fecha de iniciación del estudio:

Fechas de consulta pública: de

a

Subcomité Técnico: Tecnologías de la información Fecha de iniciación: Integrantes del Subcomité Técnico:

Fecha de aprobación:

NOMBRES:

INSTITUCIÓN REPRESENTADA:

Manuel Rodríguez (Presidente) Christian León Diego Ponce Efrén Cepeda Ramiro Pulgar Johan Garzón Karen Alvarado Paulina Carrera

SUBSECRETARIA DE INFORMATICA BANCO ECUATORIANO DE LA VIVIENDA BANCO ECUATORIANO DE LA VIVIENDA BLUEHAT CONSULTORES BLUEHAT CONSULTORES CONATEL CONATEL CONSORCIO DE CONSEJOS PROVINCIALES DEL ECUADOR CONSORCIO DE CONSEJOS PROVINCIALES DEL ECUADOR CORPORACION ELECTRICA DEL ECUADOR CORPORACION ELECTRICA DEL ECUADOR

Reinaldo Vélez Fernando Guerrero Rafael Melgarejo Tania Guevara Ana Yépez Yandry Castro Fabián Baez Rodolfo Espinosa Galo Garzon Bermeo Pablo Maldonado Heriberto Soto Diana Martínez

CORPORACION FINANCIERA NACIONAL CORPORACION NACIONAL DE TELECOMUNICACIONES CORPORACION NACIONAL DE TELECOMUNICACIONES CORREOS DEL ECUADOR ECUADOR TURISTICO EXTERMO SOFTWARE HEWLETT PACKARD INSTITUTO DE ALTOS ESTUDIOS NACIONALES INSTITUTO ECUATORIANO DE CREDIT EDUCATIVO Y BECAS INSTITUTO ECUATORIANO DE CREDIT EDUCATIVO Y BECAS INSTITUTO NACIONAL DE PREINVERSION MINISTERIO DE FINANZAS MINISTERIO DE TELECOMUNICACIONES MINISTERIO DE TELECOMUNICACIONES ORGANISMO DE ACREDITACION ECUATORIANO ORGANISMO DE ACREDITACION ECUATORIANO REGISTRO CIVIL SECRETARIA NACIONAL DE PLANIFICACION Y DESARROLLO SERVICIO DE RENTAS INTERNAS SUPERINTENDENCIA DE TELECOMUNICACIONES SUPERINTENDENCIA DE TELECOMUNICACIONES UNIVERSIDAD TECNOLOGICA INSTITUTO ECUATORIANO DE NORMALIZACION

Julio Bustamante Vilma Zapata Nubia Pazmiño Marco Javier jara Mario Hernán Pazmiño Alex Anchaluisa Marcelo Brugos Jaime Sáenz Gabriel Llumiquinga José Luis Carrasco Andrea Ruiz Benhur Escobar Wilson Largo Edgar Valenzuela V. (Secretario Técnico)

Otros trámites: La Subsecretaría de la Calidad del Ministerio de Industrias y Productividad aprobó este proyecto de norma Oficializada como:

Por Resolución No.


Registro Oficial No.

74/75

5/28/2018


Instituto Ecuatoriano de Normalización, INEN - Baquerizo Moreno E8-29 y Av. 6 de Diciembre Casilla 17-01-3999 - Telfs: 593 2)2 501885 al 2 501891 - Fax: 593 2) 2 567815 Dirección General: E-Mail:[email protected] Área Técnica de Normalización: E-Mail:[email protected] Área Técnica de Certificación: E-Mail:[email protected] Área Técnica de Verificación: E-Mail:[email protected] Área Técnica de Servicios Tecnológicos: E-Mail:[email protected] Regional Guayas: E-Mail:[email protected] Regional Azuay: E-Mail:[email protected] Regional Chimborazo: E-Mail:[email protected] URL:www.inen.gob.ec


75/75

Nte Inen Iso-iec 27003

Recommend Documents