Cuales son los Modelos y estándares de seguridad

MODELOS Y ESTÁNDARES:

Para las organizaciones cada día es más importante la atención que se le presta a la seguridad de su información, no es un secreto decir, que el activo principal de estas es la información, sin importar en que medio se encuentre localizada (física o digital).

El estándar con mayor reconocimiento a nivel mundial en temas de Seguridad de la Información sin duda alguna es el compendio de la norma ISO 27000, la cual detalla aspectos dedicados exclusivamente a temas de Seguridad de la información.

Esta norma internacional se encuentra conformada de la siguiente manera:

Si se quiere aplicar una norma o estándar que ayude a gestionar de mejor manera la seguridad de la información, se debe recurrir a la norma (ISO – IEC 27001 Sistemas de Gestión de Seguridad de la Información. Requisitos). La cual es la única de la familia 27000 que es certificable.

Esquema de la Norma ISO-IEC 27001

Lo primero que debe conocer la organización para inicial cualquier proceso de adopción de una norma ISO es su estructura.

• Introducción.
• Objetivo y campo de aplicación.
• Referencias normativas.
• Términos y definiciones.
• Contexto de la organización.

• Conocimiento de la Organización y su contexto.
• Comprensión de las necesidades y expectativas de las partes interesadas.
• Determinación del alcance del sistema de gestión de seguridad de la información.
• Sistema de Gestión de Seguridad de la Información.

• Liderazgo.

• Liderazgo y compromiso.
• Política.
• Roles, responsabilidades y autoridades en la organización.

• Planificación.

• Acciones para tratar riesgos y oportunidades.
• Objetivos de Seguridad de la Información y planes para lograrlos.

• Soporte.

• Recursos.
• Competencia.
• Toma de conciencia.
• Comunicación.
• Información documentada.

• Operación.

• Planificación y control operacional.
• Valoración de riesgos de seguridad de la información.
• Tratamiento de riesgos de seguridad de la información.

• Evaluación del Desempeño.

• Seguimiento, medición y análisis y evaluación.
• Auditoría interna.
• Revisión por la dirección.

• Mejora.

• No conformidades y acciones correctivas.
• Mejora continua.

• Documento de referencia.
• Bibliografía.
• ANEXO A (Normativo) Objetivos de control y controles de referencia.

La norma ISO-IEC 27001 en el compendio de requisitos descritos anteriormente, define las pautas para implementar un SGSI Sistema de Gestión de Seguridad de la Información en cualquier tipo de organización, para lograrlo, todos estos requerimientos exigen la elaboración de documentos, registros y procedimientos.

Para realizar una implementación de la norma ISO-IEC 27001 es importante reconocer el modelo o ciclo PDCA o PHVA (Planear, Hacer, Verificar y actuar) también conocido como ciclo de Deming, el cual permite estructurar a la organización para que adopte o implemente la norma en cierto orden.

[pic 1]

Imagen 1. Ciclo PHVA adoptado a la norma ISO-IEC 27001

Fuente. http://www.iso27000.es/doc_certificacion_all_archivos/image001.jpg

ITIL V3 – GESTIÓN DEL SERVICIO DE TI

ITIL, a diferencia de la norma ISO 27001, es un estándar de buenas prácticas en Gestión del Servicio de Tecnología, desarrollado a partir de la experiencia de grandes compañías en el manejo de la tecnología a favor de la organización.

Un conjunto de buenas prácticas es un framework de trabajo, donde este se puede utilizar como referencia para el manejo estructurado de la gestión tecnológica de una organización y utilizar de este mismo, los procesos que se crean necesarios, este conjunto de buenas prácticas no es certificable, a diferencia de normas como la ISO 20000-1, que si pueden ser objeto de certificación por parte del organismo interesado, este tipo de certificaciones son avaladas o entregadas por entidades internacionales reconocidas para tal fin.

Estructura de ITIL V3.

ITIL V3, está compuesto por cinco grandes fases, las cuales a su vez se encuentran constituidas por un conjunto de procesos.

Las fases de ITIL son gestionadas por el Ciclo de vida del servicio de Tecnología, el cual da las pautas de implementación de las fases en una organización.

[pic 2]

Imagen 2. Ciclo de vida de Gestión del Servicio de TI

Fuente. http://itilv3.osiatis.es/ciclo_vida_servicios_TI.php

Fases del Ciclo de Vida.

Fase 1. Estrategia del Servicio.

La fase de Estrategia del Servicio es central al concepto de Ciclo de vida del servicio y tiene como principal objetivo convertir la Gestión del Servicio en un activo estratégico.

...