LIC. EN TECNOLOGÍAS E INFORMACIÓN INFORMACIÓ N 2014A CONTEXTUALIZACIÓN DE LAS TECNOLOGÍAS DE LA INFORMACIÓN Y LA COMUNICACIÓN (I7713) UNIDAD UNIDAD 2: POL TICAS, TICAS, LINEAMIENT LINEAMIENTOS OS Y EST NDARES NDARES DE LAS TIC A NIVEL NIVEL MUNDIAL, MUNDIAL, AMÉRICA LATINA Y NACIONAL ACTIVIDAD 2: MODELO ISO SOBRE TIC ASESOR TITULAR: JAVIER RIZO PIMENTEL ASESOR: JAVIER RIZO PIMENTEL COORDINADOR DE LTEI: PAOLA MERCADO LOZANO ALUMNO: GABRIEL PÉREZ GUERRERO (214294341) GRUPO: 81490
SISTEMA DE UNIVERSIDAD VIRTUAL UDG VIRTUAL 16 DE MARZO DE 2014 UNIVERSIDAD DE GUADALAJARA
Modelo ISO sobre TIC. Actualmente el uso de las TIC ha crecido, y sigue en aumento, por lo que los riesgos asociados también van en aumento. Las empresas utilizarán una serie de herramientas para controlar, prevenir y remediar los fallos de seguridad y dar confianza y tranquilidad a los clientes, así, asegurando la fidelidad de estos y su continuidad en el negocio. El sistema de gestión en las TIC nos ayuda a gestionar el control interno de TIC, siempre y cuando esté alineado e integrado con los objetivos del negocio y que cumplan con la normalización legal y sectorial. Es necesario aplicar las normas ISO para obtener una correcta gestión de las TIC en el negocio.
Principales elementos del modelo ISO en TIC. Calidad y Seguridad. 25,300 Certificados ISO 9000 1,200 Certificados OHSAS 18001 + 250 certificados ISO 27001 + 70 certificados ISO 20000-1 24 certificados SPICE nivel 2 1 certificado SPICE nivel 3 Para la calidad, es un concepto global de gestionar calidad en empresas tecnológicas o departamentos de informática de pymes y grandes empresas. La calidad se aplica en la prestación de servicios IT (Information Technology), tales como atención a cliente, subcontratación de servicios, desarrollo de software, disponibilidad de sistemas críticos, hosting, entrega de apl icaciones, etc. Una de las claves de del negocio de las organizaciones es la información, ésa que está alojada en los sistemas TIC, en el conocimiento de sus empleados, en los procesos de la organización, en los archivos físicos. La información forma parte del activo más importante de una compañía y es necesario protegerla por la propia continuidad de negocio. La seguridad de la información 1 GABRIEL PÉREZ GUERRERO LTEI_2014A
debe ser gestionada como un proceso abarcando temas tecnológicos y aspectos que comienzan desde la propia gestión en las personas.
Medio ambiente. 6,220 certificados ISO 14000 558 certificados EMAS Menor impacto negativo al medio ambiente.
Producto. Más de 89,570 certificados Calidad y seguridad del producto.
Normalización. Más de 25,000 Normas (UNE y Ratificadas) Documentación que permite a los diferentes interlocutores tener la certeza de que están hablando de lo mismo cuando tratan sobre un servicio prestado, una forma de gestionar una entidad o un producto.
Internacional. Más de 45 acuerdos internacionales para la certificación de sistemas Más de 40 países donde AENOR ha concedido certificados
Recursos Humanos. 500 auditores/25 auditores TICs
Cambio climático. 2 GABRIEL PÉREZ GUERRERO LTEI_2014A
Más de 200 proyectos MDL, AC y voluntarios Normas con relación con TIC’s: BS25999 (1y2) Gestión de continuidad de negocio. BS 25999-1presenta los procesos y principios necesarios para una adecuada gestión de la continuidad del negocio que permita cubrir las necesidades de clientes y organizaciones. BS 25999-2 es una norma británica emitida en 2007, y se ha convertido en la principal norma para gestión de la continuidad del negocio. Define un sistema de gestión de la continuidad del negocio con las siguientes fases de gestión: planificación, implementación, revisión y supervisión, y por último, mejora. IT Governance. ISO 15504 SPiCE. Software Process Improvement Capability Determination. Sirve para la mejora, evaluación de los procesos de desarrollo, mantenimiento de sistemas de información y p roductos de software. ISO12207 Ciclo de vida de desarrollo de software. ISO 19770 SAM. Estándar internacional relacionado con la gestión de activos de software (SAM). ISO20001-1 S.G. STI ISO20000-2 Guía de buenas prácticas. 3 GABRIEL PÉREZ GUERRERO LTEI_2014A
ISO 27001 S.G. Seguridad de la información. ISO 27002 Guía de controles.
Modelo ISO para las TIC’s y otros entornos. Gobierno y gestión de las TIC’s con estándares ISO.
SGCN UNE 71599-2 Sistema de Gestión Continuidad del Negocio. UNE 71599-1 Entendimiento de la empresa: análisis de impacto, identificación de actividades críticas, determinación de requisitos de continuidad, evaluación de amenazas sobre actividades críticas, determinación de opciones, visto bueno. Determinación de la estrategia de continuidad del negocio: Opciones estratégicas, personal, locales, tecnología, información, suministros, partes interesadas, emergencias civiles, visto bueno. Desarrollo e implantación de una respuesta GCN: Estructura de la respuesta a incidentes, contenido de los planes, plan de Gestión de Incidentes, plan de continuidad del negocio. Prueba, mantenimiento y revisión: Programa de pruebas, pruebas de puesta en práctica, mantenimiento de las disposiciones, revisión de las disposiciones. Gestión del programa de GCN: Asignación de responsabilidades (gobierno), implantación de la continuidad de negocio en la organización, gestión continua, documentación de GCN.
UNE 71599-2 4 GABRIEL PÉREZ GUERRERO LTEI_2014A
Establecer: Planificación del Sistema de Continuidad de Negocio: Creación y Gestión del SGCN; Implantación de la GCN en la cultura de la Organización; Documentos y registros del SGCN. Implantar y operar: Implantación y operación del SGCN: Entender la Organización; Determinación de la estrategia de continuidad de negocio; Desarrollo e implantación de una respuesta de GCN; Prueba, mantenimiento y revisión de pl anes y acciones de GCN. Seguimiento y supervisión: Supervisión y seguimiento del SGCN: Auditoría Interna; Revisión por la di rección del SGCN. Mantener y mejorar: Mantenimiento y mejora del SGCN: Acciones Preventivas Correctivas; Mejora continua.
Gobierno de TI ISO / IEC 38500 IT Governance Fija estándares de una buena gestión de procesos y decisiones empresariales relacionadas con los servicios de información y comunicación, los cuales suelen estar gestionados tanto por especialistas TI internos o ubicados en otras unidades de negocio de la organización. Asegura que se pueda confiar en el gobierno corporativo TI, si la norma es seguida de manera adecuada (directivos, consultores, ingenieros, proveedores de hardware, auditores, etc.). Informa y orienta a los directores que controlan el uso de las TI en la organización. Proporciona una base para la evaluación objetiva por parte de la alta dirección de la gestión de TI. Se puede aplicar a entidades de todo tamaño, incluyendo empresas públicas y privadas, organizaciones gubernamentales o sin ánimo de lucro. Desarrollo de software
Nivel de Madurez. Ciclo de Vida de SW SPICE ISO 15504 Modelo de evaluación, mejora y madurez de software: Adaptación para la evaluación de procesos en PYME’s y pequeños grupos de desarrollo software por niveles de madurez según la norma ISO/IEC 15504. Permite realizar evaluaciones usando niveles de madurez. La madurez define en niveles, siendo éstos conjuntos predefinidos de procesos que ayudan a una organización a mejorar en el desarrollo del software. Nivel 0 – Organización inmadura: La organización no tiene una implementación efectiva de los procesos. Nivel 1 – Organización básica: Implementa y alcanza los objetivos de los procesos. 5 GABRIEL PÉREZ GUERRERO LTEI_2014A
Nivel 2 – Organización gestionada: Gestiona los procesos y los productos de trabajo se establecen, controlan y mantienen. Nivel 3 – Organización establecida: Utiliza procesos adaptados basados en estándares. Nivel 4 – Organización predecible: Gestiona cuantitativamente los procesos. Nivel 5 – Organización optimizando: Mejora continuamente los procesos para cumplir los objetivos de negocio.
ISO 12207 Ciclo de Vida de Desarrollo de Software Procesos de ciclo de vida del software: Los procesos se clasifican en tres tipos: Procesos principales, de soporte y procesos de la organización. Procesos principales: Adquisición, suministro, desarrollo, operación, mantenimiento. Procesos de soporte: Documentación, gestión de la configuración, aseguramiento de calidad, verificación, validación, revisión conjunta, auditoría, resolución de problemas. Procesos de la organización: Gestión, infraestructura, mejora, recursos humanos. Procesos/Servicios
SGAS – SAM ISO 19770-1 Pertenece al estándar internacional ISO/IEC 19770. ISO 19770-1 Establece un conjunto base de procesos para la gestión de activos de software (SAM). Procesos SAM. Gestión organizacional: Ambiente de control, procesos de planificación e implementación. Procesos nucleares de SAM: Inventario, verificación y cumplimiento, gestión de operaciones e interfaces. Procesos básicos: Procesos de ciclo de vida SAM. 6 GABRIEL PÉREZ GUERRERO LTEI_2014A
Sistema de Gestión Activos Software
SGSTI ISO 20000-1 Primera parte del ISO 20000. Sistema de Gestión de Servicios TI: Requisitos de los sistemas de gestión de servicios. Define los requerimientos necesarios para realizar una entrega de servicios TI alineados con las necesidades de negocio, con calidad y valor añadido para los clientes, asegurando la optimización de costes y garantiza la seguridad de la entrega. También garantiza que se está realizando un ciclo de mejora continuo en la gestión de servicios TI.
ISO 20000-2 Segunda parte del ISO 20000. Guía de Buenas Prácticas. Guía de implementación de los sistemas de gestión de servicios. Representa el conjunto de buenas prácticas adoptadas y aceptadas por la industria en materia de Gestión de Servicio de TI. Es la guía y soporte de establecimiento de acciones de mejora en el servicio o preparación de auditorías contra el ISO 20000-1:2005.
SGSI ISO 27001 Sistema de Gestión Seguridad de la Información. Estándar para la seguridad de la información, aprobado y publicado como estándar internacional en Octubre de 2005 por International Organization for Standarization y por la comisión International Electrotechnical Commission. Especifica los requisitos para establecer, implantar, mantener y mejorar un sistema de gestión de la seguridad se la información (SGSI) según el conocido como “Ciclo de Deming”: PDCA – Plan, Do, Check, Act. En 2013 desaparece la sección “enfoque a procesos” dando mayor flexibilidad para la elección de metodologías de trabajo para el análisis de riesgos y mejoras. Cambia su estructura conforme al anexo SL común al resto de estándares de la ISO. Pasa de 102 requisitos a 130. Considerables cambios en los controles establecidos en el anexo A. Inclusión de un nuevo dominio sobre “Relaciones con el Proveedor”. Se parte del análisis de riesgos para determinar los controles necesarios y compararlos con el anexo A.
ISO 27002 7 GABRIEL PÉREZ GUERRERO LTEI_2014A
Estándares Internacionales aplicables a las TIC
Anteriormente denomidada ISO 17799. Guía de Controles. Guía de buenas prácticas que describe los objetivos de control y controles recomendables en cuanto a la seguridad de la información. En la versión del 2005 incluye Política de Seguridad de la Información, Organización de la Seguridad de la Información, Gestión de Activos de Información, Seguridad de los Recursos Humanos, Seguridad Física y Ambiental, Gestión de las Comunicaciones y Operaciones, Control de Accesos, Adquisición, Desarrollo y Mantenimiento de Sistemas de Información, Gestión de Incidentes en la Seguridad de la Información, Gestión de Continuidad del Negocio, Cumplimiento. Dentro de cada una de las secciones anteriormente mencionadas, se especifican los objetivos de los distintos controles para la seguridad de la información.
8 GABRIEL PÉREZ GUERRERO LTEI_2014A
ISO
Descripción
BS 25999 (1y2) ISO 15504 ISO 12207 ISO 19770
Gestión de continuidad de negocio SPICE (Software Process Improvement Capability Determination) Ciclo de vida de desarrollo de software Estándar internacional relacionado con la gestión de activos de software (SAM) SGSTI (Sistema de Gestión de Servicios TI) Guía de Buenas Prácticas SGSI (Sistema de Gestión Seguridad de la Información) Guía de Controles SGCN (Sistema de Gestión de Continuidad del Negocio) Gobierno de TI / IT Governance SW SPICE – Nivel de Madurez – Ciclo de Vida de Software Ciclo de Vida de Desarrollo de Software SGAS (Sistema de Gestión de Activos Software) SAM Perfiles de ciclo de vida para pequeñas entidades Calidad del producto de Software
ISO 20001-1 ISO 20000-2 ISO 27001 ISO 27002 UNE 71599-2 ISO/IEC 38500 ISO 15504 ISO 12207 ISO 19770-1 ISO/IEC 29110 Familia de normas ISO 25000 ISO/IEC 29119
Pruebas de Software que aún están en elaboración
9 GABRIEL PÉREZ GUERRERO LTEI_2014A
REFERENCIA BIBLIOGRÁFICA (2013, Noviembre 27) Aplicación de las Normas ISO para la correcta gestión de las TIC. Recuperado el 16 de Marzo del 2014 de, http://www.sbqconsultores.es/aplicacion-de-las-normas-iso-para-la-correcta-gestion-de-las-tic/ 27001 Academy. ISO 27001 and ISO 22301 Online Consultation Center. (s.f.) Conceptos básicos de la BS 25999-2. Recuperado el 15 de Marzo del 2014 de, http://www.iso27001standard.com/es/que-es-la-norma-bs-25999-2 10 GABRIEL PÉREZ GUERRERO LTEI_2014A
Fernández, C. M. (2011). Normas (estándares) ISO relativas a T IC. Modelo de ISO en las TIC. AENOR. Recuperado el 14 de Marzo del 2014 de, http://www.s2grupo.es/pdf/Carlos_Manuel_AENOR.pdf IT360 (s.f.) Calidad TIC. Seguridad de la Información, Calidad de desarrollo de software. Recuperado el 15 de Marzo del 2014 de, http://www.it360.es/calidadtic.php Marble Station. Sergi Blanco-Cuaresma. (2008, Marzo 09) BS 25999-1: Gestión de la Continuidad del Negocio. Recuperado el 15 de Marzo del 2014 de, http://www.marblestation.com/?p=650 Martínez Cándano, Beatríz. (2008, Junio) ISO/IEC 38500 y el Buen Gobierno de las T.I. Recuperado el 15 de Marzo del 2014 de, http://www.criptored.upm.es/guiateoria/gt_m453a.htm Valderrama Antón, José Angel; Jiménez Caballero, José Antonio. (2008, Octubre) Normalización y Certificación en TIC. Recuperado el 15 de Marzo del 2014 de, http://www.revistadintel.es/Revista1/DocsNum26/Normas/Valderrama.pdf Wikipedia
(Actualización:
09
de
Octubre
2013)
ISO/IEC
15505.
Recuperado
el
15
de
Marzo
del
2014
de,
http://es.wikipedia.org/wiki/ISO/IEC_15504
11 GABRIEL PÉREZ GUERRERO LTEI_2014A
Wikipedia
(Actualización:
10
de
Febrero
2014)
ISO/IEC
20000.
Recuperado
el
15
de
Marzo
del
2014
de,
ISO/IEC
27002.
Recuperado
el
15
de
Marzo
del
2014
de,
ISO/IEC
19770.
Recuperado
el
15
de
Marzo
del
2014
de,
http://es.wikipedia.org/wiki/ISO/IEC_20000 Wikipedia
(Actualización:
10
de
Febrero
2014)
http://es.wikipedia.org/wiki/ISO/IEC_27002 Wikipedia
(Actualización:
21
de
Febrero
2014)
http://es.wikipedia.org/wiki/ISO/IEC_19770 Wikipedia (Actualización: 26 de Enero 2014) Modelo de evaluación de procesos software ISO 15504 SPICE. Recuperado el 15 de Marzo del 2014 de, http://es.wikipedia.org/wiki/Modelo_de_evaluaci%C3%B3n_de_procesos_software_ISO_15504_SPICE Wikipedia
(Actualización:
29
de
Enero
2014)
ISO/IEC
12207.
Recuperado
el
15
de
Marzo
del
2014
de,
http://es.wikipedia.org/wiki/ISO/IEC_12207
12 GABRIEL PÉREZ GUERRERO LTEI_2014A
