ISO 27001: El estndar de seguridad de la informacin

ISO 27001: El estndar de seguridad de la informacin

ndice Introduccin Metodologa de un SGSI segn ISO 27001 Cambios / mejoras en ISO 27001 A.6 Mejoras en las relaciones con terceras partes A.8 Mejoras en el control de las personas A.13 Mejoras en el registro de incidentes / debilidades A.14 Mejoras en la gestin de continuidad de negocio Beneficios de implantacin de un SGSI Conclusiones

ISO 27001: El estndar de seguridad de la informacin Introduccin Incidentes de seguridad: Quien es quien
Otros Incidentes seguridad externos Virus

30 % Incidentes Externos

Incidentes seguridad internos

70 % Incidentes internos

Errores de usuario

ISO 27001: El estndar de seguridad de la informacin

Introduccin Impacto de incidentes de seguridad en el negocio:

ISO 27001: El estndar de seguridad de la informacin

Introduccin

MANTENIMIENTO

AUDITORAS

F O R M A C I N

SISTEMA GESTIN DE LA SEGURIDAD DE LA INFORMACIN (SGSI)

SNOC

Your Network
ISO 27001

HERRAMIENTAS

LOPD / LSSI

ISO 27001: El estndar de seguridad de la informacin

Introduccin

BS 7799 / ISO 27001 Evolution

Ao 1999 Ao 2000 2002 Ao 2005 (Junio) Ao 2006 (Enero) Ao 2007

BS

BS 7799 1

ISO 17799 (2000)

ISO 17799 (2005)

ISO 27002

ISO

BS 7799 2

BS 7799-2:2002

BS 7799-2 (2005)

ISO 27001

UNE 71502

+ ISO 27004 Indicadores y Cuadros de mando (2007)

ISO 27001: El estndar de seguridad de la informacin Metodologa de un SGSI segn ISO 27001
Documento de la poltica

Fase 1

Definir la poltica

Fase 2

Definir el alcance del SGSI Anlisis Activos de Informacin

Alcance del SGSI

Fase 3

Riesgos, amenazas y vulnerabilidades Gestin de riesgos desde el punto de vista organizacional Grado de aseguramiento requerido Seccin 5 de la ISO 27001 objetos de control y controles Controles adicionales que no sean de ISO 27001

Anlisis de riesgos

Anlisis de riesgo

Fase 4

Resultados y conclusiones

Gestionar el riesgo
Controles seleccionados

Fase 5

Seleccionar objetos de control y controles a implementar

Objetos de control y controles seleccionados

Fase 6

Preparar una declaracin de aplicabilidad

Declaracin de aplicabilidad

Implementacin

ISO 27001: El estndar de seguridad de la informacin Cambios / Mejoras en ISO 27001

4.2.2 Implement and operate the ISMS 4.2.2 Implement and operate the ISMS Item d) Define how to measure the effectiveness has been added This is possibly the biggest change in that as well as implementing and operating the ISMS, it is now required to define how to measure the effectiveness of controls or groups of controls, and that it shall be specified how these measurements are to be used to assess control effectiveness to produce comparable and reproducible results. This could cause some major problems for clients.

ISO 27001: El estndar de seguridad de la informacin A.6 Mejora en las relaciones con terceras partes

ISO 27001: El estndar de seguridad de la informacin A.8 Mejoras en el control sobre las personas

ISO 27001: El estndar de seguridad de la informacin A.8 Mejoras en el control sobre las personas

ISO 27001: El estndar de seguridad de la informacin A.8 Mejoras en el control sobre las personas

ISO 27001: El estndar de seguridad de la informacin

A.13 Mejoras en el registro de incidentes / debilidades

ISO 27001: El estndar de seguridad de la informacin

A.13 Mejoras en el registro de incidentes / debilidades

ISO 27001: El estndar de seguridad de la informacin A.14 Mejoras en la gestin de continuidad de negocio

ISO 27001: El estndar de seguridad de la informacin

A.14 Mejora en la gestin de continuidad de negocio

ISO 27001: El estndar de seguridad de la informacin Beneficios de implantacin de un SGSI

Estructura e inversiones adecuadas, costo correcto Control y clasificacin de activos Direccin de operaciones y comunicaciones Poltica de Seguridad Evaluacin de riesgos internos y a terceros Gestin de las personas: Seguridad del personal Desarrollo y mantenimiento de sistemas Direccin de Planes de Contingencia Cumplimiento con la legislacin

ISO 27001: El estndar de seguridad de la informacin

Conclusiones La Seguridad en TIC es un proceso que afecta a toda la organizacin. Las organizaciones deben definir una estrategia de seguridad basada en el negocio y no en la tecnologa. La seguridad que proporciona un SGSI es permanente puesto que es un proceso, y no acciones puntuales. El enfoque de la Seguridad debe ser integral, si no puede conducir a una falsa sensacin de seguridad y al fracaso La seguridad de la informacin se basa en las personas.

ISO 27001: El estndar de seguridad de la informacin

Objetivo: La proteccin (seguridad) de nuestro negocio (la informacin) mediante las personas COMPORTAMIENTO Aceptacin Concienciado Formado Informado Proactivo

TIEMPO

ISO 27001: El estndar de seguridad de la informacin