NORMATIVIDAD INTERNACIONAL

NORMATIVIDAD INTERNACIONAL

Estándar RFC2196

El Estándar RFC2196 es un estándar usado en la práctica de la seguridad de la información. Entre las características de la seguridad de la información, según el RFC2196, se tienen las siguientes:

Se debe poder poner en práctica mediante procedimientos descritos de administración de sistemas, publicación de guías sobre el uso aceptable de los recursos informáticos o por medio de otros métodos prácticos apropiados

Debe poder implantarse

Debe obligar al cumplimiento de las acciones relacionadas mediante herramientas de seguridad

Tiene que detectar fugas o errores; debe definir claramente las áreas de responsabilidad de los usuarios, administradores y dirección, y tener un uso responsable para toda situación posible.

El RFC 2196, llamado “Site Security Handbook” es un manual de seguridad que puede ser utilizado como estándar para establecer Políticas de Seguridad. Este manual fue escrito por varios autores y fue publicado en Septiembre de 1997, y a pesar de tener varios años, por sus contenidos y la temática que trata es un documento vigente y valido en el área de la Seguridad Informática.

Este documento trata entre otros, los siguientes temas:

Políticas de Seguridad

Que es una Política de Seguridad y porque es necesaria.

Que es lo que hace que una Política de Seguridad sea buena.

Manteniendo la Política Flexible.

Arquitectura de Red y de Servicios

Configuración de Red y de Servicios.

Firewalls.

Servicios y Procedimientos de Seguridad

Autentificación

Confidencialidad.

Integridad.

Autorización.

Acceso

Auditoria

Gestión de Incidentes de Seguridad

Notificación y puntos de contacto

Identificando un Incidente

Gestión de un Incidente

Consecuencias de un Incidente

Responsabilidades.

Estándar IT Baseline Protection Manual

El IT Baseline Protection Manual presenta un conjunto de recomendaciones de seguridad, establecidas por la Agencia Federal Alemana para la Seguridad en Tecnología de la Información.

Este estándar plantea en forma detallada aspectos de seguridad en ámbitos relacionados con aspectos generales (organizacionales, gestión humana, criptografía, manejo de virus, entre otros); infraestructura, (edificaciones, redes wifi); sistemas (Windows, novell, unix); redes (cortafuegos, módems), y aplicaciones (correo electrónico, manejo de la web, bases de datos, aplicativos)

Estándar ISO 27001

Este es el nuevo estándar oficial. Su título completo en realidad es BS 7799-2:2005 (ISO/IEC 27001:2005). También fue preparado por el JTC 1 y en el subcomité SC 27, IT Security Techniques. La versión que se considerará es la primera edición, de fecha 15 de octubre de 2005.

El conjunto de estándares que aportan información de la familia ISO-2700x que se puede tener en cuenta son:

• ISO/IEC 27000 Fundamentals and vocabulary.ISO_27001.gif

• ISO/IEC 27001 ISMS - Requirements (revised BS 7799 Part 2:2005).

Publicado el 15 de octubre del 2005.

• ISO/IEC 27002 Code of practice for information security management.

Actualmente ISO/IEC 17799:2005, publicado el 15 de junio del 2005.

• ISO/IEC 27003 ISMS implementation guidance (en desarrollo).

• ISO/IEC 27004 Information security management measurement (en desarrollo).

• ISO/IEC 27005 Information security risk management (basado en ISO/IEC 13335

MICTS Part 2 e incorporado a éste; en desarrollo).

El ISO-27001:2005 es aceptado internacionalmente para la administración de la seguridad de la información y aplica a todo tipo de organizaciones, tanto por su tamaño como por su actividad. Presentar al ISO-27001:2005 como estándar de facto genera la posibilidad de tener un estándar mejorado y más robusto en el trayecto de la historia; los entes que aplican estos procedimientos para garantizar la seguridad e integridad de la información mejorarán considerablemente el estándar, luego de haber hecho las pruebas y haber tenido la experiencia.

Los demás estándares establecidos, como el alemán, basado en el IT Baseline Protection Manual, y las recomendaciones de la IEFT con su RFC2196, constituyen orientaciones y guías para usuarios que deseen implementar gestión en la seguridad de la información; sin embargo, queda demostrado que el estándar de ISO es el más adoptado por las empresas porque es más flexible y se acopla mejor a los procesos que normalmente se llevan a cabo en las organizaciones; ISO es el estándar de facto en la gerencia de la integridad de la información.

Estándar ISO/IEC 17799 (denominado tambien como ISO 27002)

Proporciona recomendaciones de las mejores prácticas en la gestión de la seguridad de la información a todos los interesados y responsables en iniciar, implantar o mantener sistemas de gestión de la seguridad de la información. La seguridad de la información se define en el estándar como "la preservación de la confidencialidad (asegurando que sólo quienes estén autorizados pueden acceder a la información), integridad (asegurando que la información y sus métodos de proceso son exactos y completos) y disponibilidad (asegurando que los usuarios autorizados tienen acceso a la información y a sus activos asociados cuando lo requieran)".

La versión de 2005 del estándar incluye las siguientes once secciones principales:

ISO_27002.gif

Política de Seguridad de la Información.

Organización de la Seguridad de la Información.

Gestión de Activos de Información.

Seguridad de los Recursos Humanos.

Seguridad Física y Ambiental.

Gestión de las Comunicaciones y Operaciones.

Control de Accesos.

Adquisición, Desarrollo y Mantenimiento de Sistemas de Información.

Gestión de Incidentes en la Seguridad de la Información.

Cumplimiento

Gestión de Continuidad del Negocio.

Estándar ISO/IEC 27000:2009

Es parte de una familia en crecimiento de Estándares para Sistemas de Administración de Seguridad de la información (ISMS), las “series ISO/IEC 27000”

ISO/IEC 27000 es un estándar internacional titulado “Tecnología de la Información – Técnicas de Seguridad – Sistemas de Administracion de la Seguridad de la Información – Visión general y Vocabulario”

El estándar fue desarrollado por el sub-comité 27 (SC27) del primer Comité Técnico Conunto (JTC1), de la ISO (International Organization for Standardization) y el IEC (International Electrotechnical Commission)

ISO/IEC

...