Integración 27001 y COBIT

ACTIVIDAD POST TAREA – INTEGRACIÓN DE MODELOS Y ESTANDARES DE SEGURIDAD INFORMATICA

JHONATTAN SCHNEIDER DÍAZ CHÁVARRO

UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA

MODELOS Y ESTÁNDARES DE SEGURIDAD INFORMATICA

ESPECIALIZACIÓN EN SEGURIDAD INFORMÁTICA

2019

TABLA DE CONTENIDO

TABLA DE ILUSTRACIONES        3

INTRODUCCIÓN        4

Integración del modelo y los estándares        5

Norma ISO/IEC 27001:2013 y COBIT        5

Controles en el modelo:        5

Aspectos financieros de la integración:        11

CONCLUSIÓN        12

BIBLIOGRAFIA        13

TABLA DE ILUSTRACIONES

Ilustración 1 Ciclo PHVA en ISO 27001 y COBIT        6

Ilustración 2 Fase de Planeación        7

Ilustración 3 Fase de Ejecución        8

Ilustración 4 Fase de Verificación        9

Ilustración 5 Fase de Actuar        10

Ilustración 6 Financiación de Implementación        11

INTRODUCCIÓN

Se pretende adaptar los modelos de seguridad informática y para ello se realizará la integración entre el modelo COBIT y el estándar de la norma ISO 27001. Los controles, objetivos y los costos financieros de implementación para el proceso de integración de los modelos.

Integración del modelo y los estándares

Norma ISO/IEC 27001:2013 y COBIT

ISO/IEC 27001:2013 Especifica los requerimientos para establecer, implementar, mantener y mejorar la continuidad de los procesos de una organización con un sistema de gestión de seguridad de la información. Los requisitos establecidos por la norma ISO/IEC 27001:2013 son genéricos y aplicables a todas las organizaciones.

La revisión más reciente de esta norma fue publicada en 2013, quedando con el nombre completo de ISO/IEC 27001:2013. La primera revisión se publicó en base de la norma británica BS 7799-2 en 2005.

COBIT:  Es un marco encargado del uso adecuado y los controles de proyectos de tecnología, utilizado para la planeación, implementación, control y evaluación de gobiernos TIC, incorporando una serie de objetivos, directivas, medidas y resultados para encontrar factores críticos y plantear modelos para mitigar riesgos y/o vulnerabilidades y garantizar la continuidad de los procesos de las organizaciones.

ISO 27001 es un estándar con un mayor nivel de seguridad en comparación que COBIT, pero que al integrarse pueden generar una implementación de SGSI apropiada.

De acuerdo con ISACA, la integración de este modelo y el estándar nos permite contextualizar un gobierno de seguridad de la información liderando una estructura organizacional para proteger la información.

Controles en el modelo:

La norma 27001 y COBIT manejan la estructura basada en el ciclo Deming.

[pic 1]

Ilustración 1 Ciclo PHVA en ISO 27001 y COBIT

A. Planear

En esta primera fase del ciclo Deming, se establecen los 10 procesos manejar por COBIT para PO- Planear y Organizar.

En la ilustración 2 se observa la relación que existe entre los procesos de dominio de PO que define COBIT y la norma ISO 27001. Se evidencia que, en esta etapa de planeación, tanto para el marco de gobierno TI y el estándar se centran en la definición estratégica basada en las directrices del SGSI.

Desde la identificación de los activos de información se busca establecer una metodología de gestión de riesgos para poder aplicar controles y mitigar riesgos.

[pic 2]

Ilustración 2 Fase de Planeación

B. Hacer

En esta etapa se define las actividades a ejecutar de la etapa de planeación teniendo en cuenta adquisición, implementación y continuidad de procesos e infraestructura (Software y hardware).

Los controles que define la norma ISO 27001 para alcanzar sus objetivos y la interacción del marco estratégico COBIT en relación del control de sus procesos, definen que la implementación del SGSI permiten mitigar las vulnerabilidades que puedan surgir si se implementar por separado.

En la ilustración 3 se define las fases a ejecutar para la adquisición e implementación de COBIT y los objetivos de control de ISO 27001.

[pic 3]

Ilustración 3 Fase de Ejecución

C. Verificar

En este proceso se verifica y se evalúa la calidad de acuerdo al dominio ME Monitorear y Evaluar que se encuentra dentro del marco de COBIT.

Este proceso es el encargado del cumplimiento de los requerimientos de control. Evaluando de forma gradual todos los procesos de TI, monitoreando el control, el cumplimiento y la aplicación del gobierno de COBIT.

En esta fase se evidencia el cumplimiento que debe existir en las organizaciones para garantizar, supervisar, evaluar y dar cumplimiento con lo regulado en TI, es por esto que COBIT integra controles de la norma ISO 27001 que se encuentran en Monitorear y Revisar del SGSI.

En la siguiente ilustración 4 se evidencia la fase de verificación entre COBIT y la norma ISO 27001.

[pic 4]

Ilustración 4 Fase de Verificación

Tanto el modelo como el estándar coinciden en sus enfoques para la necesidad de implementar controles para la evaluación, verificación y promover que los riesgos críticos de la organización sean alineados de acuerdo a los controles planteados por ambos.

...