0405 iso 27000present final
Transcript of 0405 iso 27000present final
ISO 27000SISTEMA DE GESTIÓN DE
INFORMACIÓN
Jaquelyn Graciela Alarcón RamírezRolando Roberto Aguilar MarroquínÁngel Marcelo Reyes CanalesNora Alicia Rodríguez GuardadoGabriel Enrique Ramírez Menjívar
La ISO 27000 es realmente una serie de estándares desarrollados, por ISO (International Organization for Standardization) e IEC (International Electrotechnical Commission) e indica cómo puede una organización implantar un sistema de gestión de seguridad de la información (SGSI) basado en ISO 27001.
Los rangos de numeración reservados por ISO van de 27000 a 27019 y de 27030 a 27044.
Serie 27000
Este estándar a sido preparado para proporcionar y promover un modelo para establecer, implementar, operar, monitorear, revisar, mantener y mejorar in Sistema de Gestión de Seguridad de Información.
Serie 27000
Serie 27000BS ISO/IEC 27000 – Fundamentos y Vocabulario
Noviembre de 2008
BS ISO/IEC 27001 – Sistema de Gestión de Seguridad de la Información – Requisitos
Publicado en Octubre 2005
BS ISO/IEC 27002 – Código de práctica para la Gestión de la Seguridad de la información
Anteriormente ISO/IEC 17799:2005Cambio a 27002 en el 2007 (solo se fue un cambio de número)
BS ISO/IEC 27003 – Guía de Implementación
Mayo de 2009
BS ISO/IEC 27004 – Métricas y Medidas Noviembre de 2008
BS ISO/IEC 27005 – Gestión de Riesgos en Seguridad de la Información
2008/2009. Actualmente BS 7799-3, Publicada Marzo 2006
BS ISO/IEC 27006 – Acreditación de Estándares de Auditoria
13 de Febrero de 2007
27007…...27011 Reservados para futuros desarrollos (productos manejados por BSI y potencialmente ISO TC)
BS ISO/IEC 27031 – Guía de Continuidad de Negocio de TI
En desarrollo
BS ISO/IEC 27032 – Guía relativa a la Ciberseguridad
En desarrollo
BS ISO/IEC 27033 – consta de 7 partes: Gestión de Seguridad de Redes, Arquitectura de Seguridad, escenarios de redes de referencia, Aseguramiento de las comunicaciones entre redes mediante gateways, Acceso remoto, Aseguramiento de Comunicaciones mediante VPNs y diseño e implementación de seguridad de redes.
2010/ 2011
BS ISO/IEC 27034 – Guía de Seguridad de Aplicaciones
Febrero de 2009
BS ISO/IEC 27099 – Gestión de seguridad de la información en el sector sanitario
12 de junio de 2008
¿Qué es ISO 27001? Es enfoque de procesos para
la gestión de la seguridad de la información.
ISO 27001
Facilita a los administradores tener una visión y control sobre:
entender los requerimientos de seguridad de la información de una organización y la necesidad de establecer una política y objetivos para la seguridad de la información.
implementar y operar controles para manejar los riesgos de la seguridad de la información.
monitorear y revisar el desempeño y la efectividad del SGSI; y
mejoramiento continúo en base a la medición del objetivo.
ISO 27001
Beneficios: Abarca a todos los tipos de organizaciones (comerciales,
gubernamentales, organizaciones sin fines de lucro, etc.).
Adopta el modelo del proceso Planear-Hacer-Chequear-Actuar (PDCA), el cual se puede aplicar a todos los proceso SGSI.
Da lineamientos acerca la importancia del mejoramiento del SGSI atreves de el mejoramiento continuo, Acción correctiva, Acción Preventiva.
Proporciona una guía importante de los objetivos de control y controles, enfocados a política de seguridad de información.
ISO 27001
Arranque del Proyecto
Planificación
Implementación
Seguimiento
Mejora Continua
Enfoque del Proceso
ISO 27002
CODIGO PARA LA PRÁCTICA DE LA
GESTION DE SEGURIDAD DE LA
INFORMACION
Fuentes para establecer los requerimientos de seguridad:
evaluar los riesgos para la organización, tomando en cuenta la estrategia general y los objetivos de la organización
Requerimientos legales, reguladores, estatutarios y contractuales
Conjunto particular de principios, objetivos y requerimientos comerciales para el procesamiento de la información
ISO 27002
Estructura del Estándar
a) Política de Seguridad
b) Organización de la Seguridad de la Información;
c) Gestión de Activos;
d) Seguridad de Recursos Humanos;
e) Seguridad Física y Ambiental;
f) Gestión de Comunicaciones y Operaciones;
g) Control de Acceso;
h) Adquisición, Desarrollo y Mantenimiento de Sistemas de Información;
i) Gestión de Incidentes de Seguridad de la Información;
j) Gestión de la Continuidad Comercial;
k) Conformidad.
ISO 27002
¿Por qué?
Reconocer los Riesgos y su Impacto en los Negocios
ISO 27002
INTERNET
Nadie logra controlar la epidemia: el “correo basura” invade las casillas de todo el mundo
Apenas 150 “spammers” norteamericanos son los responsables del 90 por ciento de los mensajes no deseados que atestan las computadoras de todo el mundo. Todavía no hay leyes para limitar su impacto económico.
11:22 | EL GUSANO Un nuevo virus se esconde en tarjetas navideñas
Un virus informático, que se esconde en una tarjeta electrónica de felicitación, comenzó a circular por la red, informó Panda Software. La compañía advirtió a los usuarios que extremen las medidas de seguridad durante estas fiestas.
ESTAFAS EN INTERNET El “phishing” ya pesca en todo AméricaDetectaron casos que afectaron a numerosas empresas y a los clientes de bancos estadounidenses y del resto de América.
ISO 27002
12:50 | A TRAVES DE MAILUtilizan las siglas del FBI para propagar un virus
La famosa policía federal estadounidense advirtió sobre la difusión de falsos correos electrónicos que llevan su nombre.
La pregunta secreta del caso "Paris Hilton" ------------------------------Hace apenas unos días saltó la noticia de que los contenidos del teléfono móvil de Paris Hilton habían sido publicados en Internet. Enun principio se barajó la posibilidad de que hubieran accedido a la tarjeta SIM, o de que se tratara de una intrusión a los servidoresde T-Mobile aprovechando inyecciones SQL. Al final parece ser que el método empleado fue mucho más sencillo, bastaba con contestar a lapregunta "¿cuál es el nombre de su mascota favorita?".
ISO 27002
ISO 27002
Principales riesgos y su impacto en los negocios
Captura de PC desde el exterior
Violación de e-mails
Violación de contraseñas
Interrupción de los servicios
Intercepción y modificación de e-mails
Virus
Fraudes informáticos
Incumplimiento de leyes y regulaciones
Robo o extravío de notebooks
Robo de información
Destrucción de soportes documentales
Acceso clandestino a redes
Intercepción de comunicaciones
Destrucción de equipamiento
Programas “bomba”
Acceso indebido a documentos impresos
Software ilegal
Agujeros de seguridad de redes conectadas
Falsificación de información para terceros
Indisponibilidad de información clave
Spamming
Violación de la privacidad de los empleados
Ingeniería social
Propiedad de la Información
Mails “anónimos” con información crítica o con
agresiones
Políticas de seguridad
La gerencia deberá establecer claramente la dirección de la política en línea con los objetivos comerciales y demostrar su apoyo, y su compromiso con, la seguridad de la información, a través de la emisión y mantenimiento de una política de seguridad de la información en toda la organización.
ISO 27002
GarantizarVerificación
de la compatibilidad técnica
Cumplimiento de la política de seguridad
sistemas de información,proveedores de sistemas,propietarios de información y de recursos de información,usuarios,gerentes.
revisión de los sistemas operacionales,puede comprender pruebas de penetración,realizadas por personas competentes y autorizadas.
Objetivo de la política
Seguridad Física
Control Las áreas seguras debieran
protegerse mediante controles de ingreso apropiados para asegurar que sólo se le permita el acceso al personal autorizado.
ISO 27002
Control del acceso
Se debiera controlar el acceso a la información, medios de procesamiento de la información y procesos comerciales sobre la base de los requerimientos comerciales y de seguridad.
Las reglas de control del acceso debieran tomar en cuenta las políticas para la divulgación y autorización de la información.
ISO 27002
Política de control del acceso
Se deberá tomar en cuenta lo siguiente:
a) los requerimientos de seguridad de las aplicaciones comerciales individuales;
b) identificación de toda la información relacionada con las aplicaciones comerciales y los riesgos que enfrenta la información;
c) las políticas para la divulgación y autorización de la información;
d) los perfiles de acceso de usuario estándar para puestos de trabajo comunes en la organización;
e) segregación de roles del control del acceso;
ISO 27002
Caso practico:
La empresa “ABC, S. A. de C. V.” Se dedica a la venta electrodomésticos en general, operando en toda la región Centroamericana, actualmente posee un sistema de información, dados ciertos eventos, en los que se involucran:
1. Pérdida de información
2. Filtro de información
3. Accesos no autorizados a la información
4. Modificación no autorizada de la información, entre otros
ISO 27001
Procedimientos a desarrollar:
A. ESTABLECIMIENTO DEL SGSI
1. Alcance
2. Políticas del SGSI
3. Identificación de Riesgos
4. Enfoque de Evaluación de Riesgos
5. Identificación y Evaluación de opciones para el tratamiento de los Riesgos
ISO 27001
B. IMPLEMENTAR Y OPERAR EL SGSI IDENTIFICACION DE RIESGOS:
Captura de PC desde el exterior Violación de e-mails Robo de información Violación de contraseñas Destrucción de equipamiento Virus Programas “bomba” Interrupción de los servicios Acceso clandestino a redes Acceso indebido a documentos impresos Intercepción de comunicaciones Falsificación de información para terceros
ISO 27001
C. USO DE TECNICAS DE CUANTIFICACION DE RIESGOS:
ISO 27001
D. MONITOREAR Y REVISAR EL SGSI Detección de errores en los resultados de procesamiento Verificar que las actividades planeadas y toda la normativa
emitida se están aplicando correctamente Aplicar indicadores para evaluar el desempeño del SGSI
E. MANTENER Y MEJORAR EL SGSI
Dado que los resultados del monitoreo determinan que el SGSI continúa siendo útil, deciden mantenerlo y darle seguimiento, bajo la condición de una constante actualización en relación a los cambios experimentados en la normativa y sobre todo en las condiciones de la organización.
ISO 27001
GRACIAS POR SU ATENCION