Resumen del origen

RESUMEN DEL ORIGEN LA PALICACIÓN DE LA METODOLOGIA AZ/NZS -4360

La viabilidad de la gran mayoría de los negocios de hoy se encuentra fuertemente ligada a la infraestructura de Tecnologías de la Información. Cada vez son más necesarias las TIC en el desarrollo de modelos Informáticos que lleven a la empresa a tener un excelente nivel corporativo. Por ello la mayoría de las empresas tienen muy claro que compartir la carga de trabajo con la tecnología reduce considerablemente los tiempos de ejecución de tareas complejas, pero también están conscientes de que el precio que se paga por la modernización, es la apertura de brechas en la seguridad, lo que supone peligros potenciales para su propia existencia. Así, se hace necesaria y de vital importancia la gestión del riesgo digital la cual es igual de importante como administrar riesgos financieros y otros riesgos operativos ya que más de la mitad de las empresas experimentan complicaciones inesperadas en algún sistema crítico a lo largo del año. Con lo cual La pérdida y la violación de información tienen impactos altamente negativos para la reputación y estabilidad financiera de estas organizaciones.

Para combatir los nuevos riesgos de origen tecnológico se han desarrollado estándares de protección y resguardo de procesos: el Octave (Operationally Critical Threat, Asset and Vulnerability Evaluation), cuyo enfoque permite evaluar las vulnerabilidades y amenazas que existen sobre los activos y las operaciones críticas de una organización, orienta la evaluación fundamentalmente hacia el riesgo operacional y las prácticas de seguridad; el NIST (National Institute of Standards and Technology) que permite la evaluación de riesgos relacionados con las Tecnologías de Información (comercio electrónico, cajeros automáticos, etc.); y el AS/NZS (Australian/New Zealand Standard 4360:2004), el cual más que evaluar la seguridad de la información, se encarga de lograr una mayor comprensión de los riesgos en los procesos administrativos en general.

En mayo 31 de 2004 el Instituto Colombiano de Normas Técnicas y Certificación (ICONTEC) emitió la Norma Técnica de Gestión del Riesgo NTC-5254, basada en el Estándar de Australia y Nueva Zelanda AS/NZS 4360, el cual es genérico y aplicable en cualquier tipo de organización sin importar el sector, naturaleza o tamaño; esta norma es consistente y apoya otros modelos y normas mundiales o locales relativas a la gestión del riesgo y el control, tales como el modelo COSO, CobIT, Principios de Gestión del riesgo del comité de Basilea (Sector Financiero), Ley Sarbanes-Oxley de 2002 y la Guía de administración del riesgo del Departamento Administrativo de la Función Pública (DAFP) de 2004.

ESTANDARES NACIONALES

NORMA TECNICA COLOMBIANA NTC 5254

La Norma Técnica Colombiana de gestión del riesgo 5254 es una traducción idéntica de la norma técnica Australiana AS/NZ 4360:2004 de amplia aceptación y reconocimiento a nivel mundial para la gestión de riesgos independiente de la industria o el negocio que desee emplearla.

Esta norma provee una guía genérica para el establecimiento e implementación del proceso de administración de riesgos involucrando el establecimiento del contexto y la identificación, análisis, evaluación, tratamiento, comunicación y el monitoreo en curso de los riesgos.

ESTANDARES INTERNACIONALES

LA NORMA BS 7799 / ISO 17799

BS 7799 / ISO 17799 tiene por objetivo "proporcionar una base común para la elaboración de las normas de seguridad de las organizaciones, un método de gestión eficaz de la seguridad y establecer informes de confianza en las transacciones y las relaciones entre empresas".

La norma es publicada en dos partes:

 ISO/CEI 17799 Parte 1: Código de buenas prácticas relativo a la gestión de la seguridad de la información.  BS 7799 Parte 2: Especificaciones relativas a la gestión de la seguridad de la información.

ISO/CEI 17799 (1ª parte) Esta primera parte contiene diez dominios específicos compuestos de 36 objetivos y de 127 medidas de seguridad, ISO / IEC 17799 se presenta bajo la forma de notas de orientación y recomendaciones, las cuales han sido reunidas a posteriori de las consultas realizadas a las empresas más importantes.

BS 7799-2 (2e parte) Una organización que basa su SGSI (sistema de gestión de la seguridad de la información) sobre las disposiciones de BS 7799 puede obtener el registro de un organismo acreditado. La organización así demuestra a sus socios que su sistema cumple tanto con los estándares de la norma, como así también con las exigencias de controles para la seguridad que son establecidos según sus propias necesidades.

Un SGSI ofrece un enfoque metodológico para administrar la información sensible con el fin de protegerla. Su ámbito de aplicación incluye a los empleados, los procesos y los sistemas informáticos.

¿A quién va dirigida ISO 17799?  BS 7799 / ISO 17799 puede ser utilizada por cualquier tipo de organización o de compañía, privada o pública.  Si la organización utiliza sistemas internos o externos que poseen informaciones confidenciales, si depende

...