SlideShare a Scribd company logo
1 of 18
Download to read offline
Estándares y Normas de Seguridad

¿Por qué normas/estándares de seguridad?

Las organizaciones necesitan (en ocasiones deben) demostrar que
realizan una gestión competente y efectiva de la seguridad de los
recursos y datos que gestionan.
− Deben demostrar que identifican y detectan los riesgos a los que está sometida y
que adoptan medidas adecuadas y proporcionadas.
− Necesario: conjunto estructurado, sistemático, coherente y completo de normas a
seguir.

Herramienta: SGSI (Sistema de Gestión de la Seguridad de la
Información)

En inglés ISMS (Information Security Management System)

SGSI: proceso sistemático, documentado y conocido por toda la
organización para garantizar que la seguridad de la información es
gestionada correctamente
Familia de Normas ISO/IEC 27000

Normas ISO 27000: Familia de estándares de ISO (International
Organization for Standardization) e IEC (International Electrotechnical
Commission) que proporciona un marco para la gestión de la seguridad

Conjunto de normas que especifican los requisitos para establecer,
implantar, poner en funcionamieto, controlar, revisar, mantener y mejorar un
SGSI

Normas base: 20001, 20002

Normas complementarias: 20003, 20004, 20005, ...

Seguridad de la información (según ISO 27001): preservación de su confidencialidad, integridad y
disponibilidad, así como la de los sistemas implicados en su tratamiento

Confidencialidad: la información no se pone a disposición ni se revela a individuos, entidades o
procesos no autorizados.

Integridad: mantenimiento de la exactitud y completitud de la información y sus métodos de
proceso.

Disponibilidad: acceso y utilización de la información y los sistemas de tratamiento de la misma
por parte de los individuos, entidades o procesos autorizados cuando lo requieran.
Familia de Normas ISO/IEC 27000

ISO/IEC 27000: define el vocabulario estándar empleado en la
familia 27000 (definición de términos y conceptos)

ISO/IEC 27001: especifica los requisitos a cumplir para
implantar un SGSI certificable conforme a las normas 27000

Define cómo es el SGSI, cómo se gestiona y cúales son las resposabilidades de los
participantes.

Sigue un modelo PDCA (Plan-Do-Check-Act)

Puntos clave: Gestión de riesgos + Mejora contínua

ISO/IEC 27002: código de buenas prácticas para la gestión de la
seguridad

Recomendaciones sobre qué medidas tomar para asegurar los sistemas de información de una
organización

Describe los objetivos de control (aspectos a analizar para garantizar la seguridad de la
información) y especifica los controles recomendables a implantar (medidas a tomar)

Antes ISO 17799, basado en estándar BS 7799 (en España norma UNE-ISO 17799)
Familia de Normas ISO/IEC 27000
ISO/IEC 27003:guía de implementación de SGSI e información
acerca del uso del modelo PDCA (Plan-Do-Check-Act) y de los
requerimientos de sus diferentes fases (en desarrollo, pendiente de
publicación)
ISO/IEC 27004: especifica las métricas y las técnicas de medida
aplicables para determinar la eficacia de un SGSI y de los controles
relacionados (en desarrollo, pendiente de publicación)
 medición de los componentes de la fase “Do” (Implementar y Utilizar) del ciclo PDCA.
ISO/IEC 27005: gestión de riesgos de seguridad de la información
(recomendaciones, métodos y técnicas para evaluación de riesgos
de seguridad)
ISO/IEC 27006: requisitos a cumplir por las organizaciones
encargadas de emitir certificaciones ISO/IEC 27001
 Requisitos para la acreditación de las entidades de auditoria y certificación
Familia de Normas ISO/IEC 27000

ISO/IEC 27007: guía de actuación para auditar los SGSI conforme a las
normas 27000

ISO/IEC 27011: guía de gestión de seguridad de la información
específica para telecomunicaciones (en desarrollo)

elaborada conjuntamente con la ITU (Unión Internacional de Telecomunicaciones)

ISO/IEC 27031: guía de continuidad de negocio en lo relativo a
tecnologías de la información y comunicaciones (en desarrollo)

ISO/IEC 27032: guía relativa a la ciberseguridad (en desarrollo)

ISO/IEC 27032: guía de seguridad en aplicaciones (en desarrollo)

ISO/IEC 27799: guía para implantar ISO/IEC 27002 específica para
entornos médicos
ISO/IEC 27001

“ Norma que especifica los requisitos para establecer, implantar, poner en
funcionamiento, controlar, revisar, mantener y mejorar un SGSI documentado dentro
del contexto global de los riesgos de negocio de la organización. Especifica los requisitos
para la implantación de los controles de seguridad hechos a medida de las necesidades de
organizaciones individuales o partes de las mismas”
Objetivo: Mejora continua
Se adopta el modelo Plan-Do-Check-
Act (PDCA ó ciclo de Deming) para
todos los procesos de la organización.
ISO/IEC 27001
Fase Planificación (Plan) [establecer el SGSI]: Establecer la
política,objetivos, procesos y procedimientos relativos a la
gestión del riesgo y mejorar la seguridad de la información de la
organización para ofrecer resultados de acuerdo con las
políticas y objetivos generales de la organización.
Fase Ejecución (Do) [implementar y gestionar el SGSI]:
Implementar y gestionar el SGSI de acuerdo a su política,
controles, procesos y procedimientos.
Fase Seguimiento (Check) [monitorizar y revisar el SGSI]:
Medir y revisar las prestaciones de los procesos del SGSI.
Fase Mejora (Act) [mantener y mejorar el SGSI]: Adoptar
acciones correctivas y preventivas basadas en auditorías y
revisiones internas ó en otra información relevante a fin de
alcanzar la mejora contínua del SGSI.
Normas leyes
ISO/IEC 27001
DO: Implantación y puesta en marcha
del SGSI

preparar un plan de tratamiento del riesgo

implantar los controles que se hayan seleccionado

medir la eficacia de dichos controles

crear programas de formación y concienciación
CHECK + ACT: Control y evaluación
del SGSI

implantar una serie de procedimientos para el control y la
revisión

puesta en marcha de una serie de revisiones regulares
sobre la eficacia del SGSI, a partir de los resultados de
las auditorías de seguridad y de las mediciones

tomar las medidas correctivas y preventivas
PLAN: Establecimiento
y gestión del SGSI
 definir el alcance del sistema
de gestión
 definir la política del SGSI
 definir la metodología para la
valoración del riesgo
 identificar los riesgos
 elaborar un análisis y
evaluación de dichos
riesgos
 identificar los diferentes
tratamientos del riesgo
 seleccionar los controles y
objetivos de los mismos que
posibilitarán dicho tratamiento
ISO/IEC 27002

Conjunto de recomendaciones sobre qué medidas tomar en la
empresa para asegurar los Sistemas de Información.

Los objetivos de seguridad recogen aquellos aspectos
fundamentales que se deben analizar para conseguir un sistema
seguro en cada una de las áreas que los agrupa. Para conseguir
cada uno de estos objetivos la norma propone una serie de medidas
o recomendaciones (controles) que son los que en definitiva
aplicaremos para la gestión del riesgo analizado.

Objetivo: Definir los aspectos prácticos/operativos de la
implantación del SGSI
ISO/IEC 27002
Areas/secciones sobre las que actuar:
Objetivos de control: aspectos a asegurar dentro de cada
área/sección
Controles: mecanismos para asegurar los distintos objetivos
de control (guía de buenas prácticas)
Para cada control se incluye una guía para su implantación
Control de accesos
Desarrollo y mantenimiento de
sistemas
Gestión de incidentes de seguridad de
la información
Gestión de continuidad de negocio
Conformidad
Política de seguridad
Aspectos organizativos para la
seguridad
Clasificación y control de activos
Seguridad ligada al personal
Seguridad física y del entorno
Gestión de comunicaciones y
operaciones
ISO/IEC 27002
Legislación
• Leyes aplicables en relación con la Seguridad en los
Sistemas de Información
• Ley Orgánica de Protección de Datos (LOPD)
+ normativas de protección de datos
• Ley de Servicios para la Sociedad de la Información y el
Comercio Electrónico (LSSI-CE)
• Legislación de Firma Electrónica (LFE)
• Relacionadas:
– Ley de Acceso de los Ciudadanos a los Servicios Públicos
– Ley de Medidas de Impulso a la Sociedad de la Información
Protección de Datos
• Todas las organizaciones que tengan ficheros con datos personales
han de declararlos a la Agencia Española de Protección de Datos
(www.agpd.es)
• Hay que implantar un documento de seguridad
• Ficheros de datos personales clasificados en tres niveles:
– Básico: Ficheros con información personal
– Medio: Ficheros con datos relativos a la comisión de infracciones administrativas,
Hacienda Pública, Servicios financieros, así como los ficheros para la prestación
de servicios de información sobre solvencia patrimonial y de crédito
– Alto: Ficheros con datos sobre ideología, religión, creencias, origen racial, salud o
vida sexual, así como los datos recabados para fines policiales sin consentimiento
del afectado
• Hay que aplicar medidas de seguridad técnicas y organizativas en
función del nivel y según establece el reglamento
• Auditorías bienales para ficheros de nivel medio y alto
Protección de Datos Personales
Ley Orgánica 15/1999, de 13 de Diciembre de Protección de Datos
de Carácter Personal - LOPD
Real Decreto 994/1999 de 11 de Junio por el que se aprueba el
Reglamento de Medidas de Seguridad de los ficheros
automatizados que contengan datos de carácter personal
Real Decreto 1720/2007 de 19 de diciembre por el que se aprueba el
Nuevo Reglamento de Medidas de Seguridad de los ficheros
automatizados y físicos que contengan datos de carácter personal
LSSI-CE
• Ley 34/2002 de 11 de Julio, de Servicios de la Sociedad
de la Información y del Comercio Electrónico – LSSI-CE (
www.lssi.es)
• Establece los criterios de servicios en Internet, cuando
sean parte de actividad económica.
• Validez y regulación del comercio electrónico
LSSI-CE
• Servicios por Internet
– Mostrar en la web: Nombre, NIF, dirección, correo electrónico
– Datos de inscripción registral incluyendo nombre del dominio
– Mostrar precios de los productos y servicios,
– Contratación y tramitación on-line
– Autenticación mediante certificados y establecer canales seguros SSL
• Sobre la publicidad por Internet
– Prohibición de los spam (email no solicitado)
– Posibilidad de borrarse de las listas de correo informativo
• Sobre los prestadores de servicios ISP, Hosting
– Colaborar con los organos públicos para resolucion de incidencias: almacenamiento de logs y eventos para rastreo
– Informar a los clientes sobre medidas de seguridad a aplicar
– No son responsables de contenidos ilícitos si no los elaboran,
– Sí son responsables si los conocen y no los retiran o no los comunican.
• Sobre titulares de páginas personales
– Solo sujetas a la ley si tienen publicidad por la que perciban ingresos
– Identificar claramente la publicidad y la identidad: nombre, tfno, fax, eMail, NIF
Legislación Firma Electrónica
• Ley 59/2003 de 19 de Diciembre, de firma electrónica
• Equipara la firma electrónica a la firma física, estableciendo su
validez legal
• Regula a los Prestadores de Servicios de Certificación (PSC –
Autoridades de Certificación)
• Regula los certificados reconocidos
• Regula los dispositivos seguros de creación de firmas
• Implementa/adapta la directiva europea 1999/93/EC (iniciativas
eEurope)
• Introduce el DNI electrónico (DNIe)
– RD 1553/2005 de 23 Diciembre, regula la expedición

More Related Content

What's hot

Estandares ISO 27001 (4)
Estandares ISO 27001 (4)Estandares ISO 27001 (4)
Estandares ISO 27001 (4)dcordova923
 
Sistemas de Gestión de Seguridad Informática.
Sistemas de Gestión de Seguridad Informática. Sistemas de Gestión de Seguridad Informática.
Sistemas de Gestión de Seguridad Informática. Eduardo Maradiaga
 
Iso 27001-y-27002-para-la-gestion-de-seguridad-de-la-informacion
Iso 27001-y-27002-para-la-gestion-de-seguridad-de-la-informacionIso 27001-y-27002-para-la-gestion-de-seguridad-de-la-informacion
Iso 27001-y-27002-para-la-gestion-de-seguridad-de-la-informacionGabriel Gonzales
 
Sistema de gestión de seguridad de la información Danny Calix
Sistema de gestión de seguridad de la información Danny CalixSistema de gestión de seguridad de la información Danny Calix
Sistema de gestión de seguridad de la información Danny CalixDanny Calix
 
Sistemas de Gestión de Seguridad Informática SGSI
Sistemas de Gestión de Seguridad Informática SGSISistemas de Gestión de Seguridad Informática SGSI
Sistemas de Gestión de Seguridad Informática SGSIJoel Sorto
 
Estandaresiso27001 Hinostroza Cirilo Marcela
Estandaresiso27001 Hinostroza Cirilo MarcelaEstandaresiso27001 Hinostroza Cirilo Marcela
Estandaresiso27001 Hinostroza Cirilo Marcelamarzeth
 
ISO BASADOS EN SISTEMAS INFORMÁTICOS Y SGSI
ISO BASADOS EN SISTEMAS INFORMÁTICOS Y SGSIISO BASADOS EN SISTEMAS INFORMÁTICOS Y SGSI
ISO BASADOS EN SISTEMAS INFORMÁTICOS Y SGSIUCC
 
9-Unidad 3: Marcos de Referencia para Seguridad de la Información - 3.1 ISO 2...
9-Unidad 3: Marcos de Referencia para Seguridad de la Información - 3.1 ISO 2...9-Unidad 3: Marcos de Referencia para Seguridad de la Información - 3.1 ISO 2...
9-Unidad 3: Marcos de Referencia para Seguridad de la Información - 3.1 ISO 2...Luis Fernando Aguas Bucheli
 

What's hot (19)

Iso27001
Iso27001Iso27001
Iso27001
 
Estandares ISO 27001 (4)
Estandares ISO 27001 (4)Estandares ISO 27001 (4)
Estandares ISO 27001 (4)
 
Guía de implementación iso 27001:2013
Guía de implementación iso 27001:2013Guía de implementación iso 27001:2013
Guía de implementación iso 27001:2013
 
Sistemas de Gestión de Seguridad Informática.
Sistemas de Gestión de Seguridad Informática. Sistemas de Gestión de Seguridad Informática.
Sistemas de Gestión de Seguridad Informática.
 
Norma iso 27000
Norma iso 27000Norma iso 27000
Norma iso 27000
 
Iso 27001-y-27002-para-la-gestion-de-seguridad-de-la-informacion
Iso 27001-y-27002-para-la-gestion-de-seguridad-de-la-informacionIso 27001-y-27002-para-la-gestion-de-seguridad-de-la-informacion
Iso 27001-y-27002-para-la-gestion-de-seguridad-de-la-informacion
 
Sistema de gestión de seguridad de la información Danny Calix
Sistema de gestión de seguridad de la información Danny CalixSistema de gestión de seguridad de la información Danny Calix
Sistema de gestión de seguridad de la información Danny Calix
 
Iso 27005-espanol
Iso 27005-espanolIso 27005-espanol
Iso 27005-espanol
 
Sistemas de Gestión de Seguridad Informática SGSI
Sistemas de Gestión de Seguridad Informática SGSISistemas de Gestión de Seguridad Informática SGSI
Sistemas de Gestión de Seguridad Informática SGSI
 
ISO 27000
ISO 27000ISO 27000
ISO 27000
 
Estandaresiso27001 Hinostroza Cirilo Marcela
Estandaresiso27001 Hinostroza Cirilo MarcelaEstandaresiso27001 Hinostroza Cirilo Marcela
Estandaresiso27001 Hinostroza Cirilo Marcela
 
ISO BASADOS EN SISTEMAS INFORMÁTICOS Y SGSI
ISO BASADOS EN SISTEMAS INFORMÁTICOS Y SGSIISO BASADOS EN SISTEMAS INFORMÁTICOS Y SGSI
ISO BASADOS EN SISTEMAS INFORMÁTICOS Y SGSI
 
Iso 27000
Iso 27000Iso 27000
Iso 27000
 
Iso 27001
Iso 27001Iso 27001
Iso 27001
 
Iso 27001
Iso 27001Iso 27001
Iso 27001
 
9-Unidad 3: Marcos de Referencia para Seguridad de la Información - 3.1 ISO 2...
9-Unidad 3: Marcos de Referencia para Seguridad de la Información - 3.1 ISO 2...9-Unidad 3: Marcos de Referencia para Seguridad de la Información - 3.1 ISO 2...
9-Unidad 3: Marcos de Referencia para Seguridad de la Información - 3.1 ISO 2...
 
Norma iso 27001
Norma iso 27001Norma iso 27001
Norma iso 27001
 
Norma iso 27001
Norma iso 27001Norma iso 27001
Norma iso 27001
 
Iso 20000
Iso 20000Iso 20000
Iso 20000
 

Viewers also liked

1ª entrevista al escriba 3ª pregunta y respuesta - la partícula original
1ª entrevista al escriba   3ª pregunta y respuesta - la partícula original1ª entrevista al escriba   3ª pregunta y respuesta - la partícula original
1ª entrevista al escriba 3ª pregunta y respuesta - la partícula originalantonioPJ
 
Diferencias entre fondos de inversión, fondos índice y ETFs
Diferencias entre fondos de inversión, fondos índice y ETFsDiferencias entre fondos de inversión, fondos índice y ETFs
Diferencias entre fondos de inversión, fondos índice y ETFsRankia
 
Google Adwords: Cómo Captar y Mantener Turistas de todo el Mundo
Google Adwords: Cómo Captar y Mantener Turistas de todo el MundoGoogle Adwords: Cómo Captar y Mantener Turistas de todo el Mundo
Google Adwords: Cómo Captar y Mantener Turistas de todo el MundoGuillermo Pareja
 
La cola del diablo - josé aricó
La cola del diablo - josé aricóLa cola del diablo - josé aricó
La cola del diablo - josé aricókronerone
 
ZanoniDI ¿Que es el Diseño Instruccional?
ZanoniDI ¿Que es el Diseño Instruccional?ZanoniDI ¿Que es el Diseño Instruccional?
ZanoniDI ¿Que es el Diseño Instruccional?Alvaro Zanoni
 
Nuevo Catalogo Terrissal
Nuevo Catalogo Terrissal Nuevo Catalogo Terrissal
Nuevo Catalogo Terrissal Terrissal2016
 
2010-07-01 (UC3M) Daniel Burgos ATOS Origin, I Jorn eMadrid
2010-07-01 (UC3M) Daniel Burgos ATOS Origin, I Jorn eMadrid2010-07-01 (UC3M) Daniel Burgos ATOS Origin, I Jorn eMadrid
2010-07-01 (UC3M) Daniel Burgos ATOS Origin, I Jorn eMadrideMadrid network
 
FERPOL 5119 SV5 Resina de Poliéster Preacelerada
FERPOL 5119 SV5 Resina de Poliéster PreaceleradaFERPOL 5119 SV5 Resina de Poliéster Preacelerada
FERPOL 5119 SV5 Resina de Poliéster Preaceleradadegarden
 
NewsMonitor Apresentação
NewsMonitor ApresentaçãoNewsMonitor Apresentação
NewsMonitor ApresentaçãoNewsMonitor
 
Adecco_CSR_Report2015_16_Web_FINAL
Adecco_CSR_Report2015_16_Web_FINALAdecco_CSR_Report2015_16_Web_FINAL
Adecco_CSR_Report2015_16_Web_FINALLilian Furrer
 
Minoxidil - Translation from Hypertension ingredient to Hair Growth Stimulant
Minoxidil - Translation from Hypertension ingredient to Hair Growth StimulantMinoxidil - Translation from Hypertension ingredient to Hair Growth Stimulant
Minoxidil - Translation from Hypertension ingredient to Hair Growth StimulantKumar Organic Products Ltd
 
Ortotipografía
OrtotipografíaOrtotipografía
Ortotipografía92mariams
 
Factors pas mite logos
Factors pas mite logosFactors pas mite logos
Factors pas mite logosrosasabates
 
Delta Handheld Xrf Mining In 12
Delta Handheld Xrf Mining In 12Delta Handheld Xrf Mining In 12
Delta Handheld Xrf Mining In 12najp51n
 
Opportunities for Integrating Mental Health into HIV, MCH, and Other Health S...
Opportunities for Integrating Mental Health into HIV, MCH, and Other Health S...Opportunities for Integrating Mental Health into HIV, MCH, and Other Health S...
Opportunities for Integrating Mental Health into HIV, MCH, and Other Health S...CORE Group
 
ERP, CRM Y DATA WAREHOUSE
ERP, CRM Y DATA WAREHOUSEERP, CRM Y DATA WAREHOUSE
ERP, CRM Y DATA WAREHOUSEOscar Camacho
 
Glosario de Periodismo j villamonte
Glosario de Periodismo j villamonteGlosario de Periodismo j villamonte
Glosario de Periodismo j villamonteJuliana Villamonte
 

Viewers also liked (20)

1ª entrevista al escriba 3ª pregunta y respuesta - la partícula original
1ª entrevista al escriba   3ª pregunta y respuesta - la partícula original1ª entrevista al escriba   3ª pregunta y respuesta - la partícula original
1ª entrevista al escriba 3ª pregunta y respuesta - la partícula original
 
Diferencias entre fondos de inversión, fondos índice y ETFs
Diferencias entre fondos de inversión, fondos índice y ETFsDiferencias entre fondos de inversión, fondos índice y ETFs
Diferencias entre fondos de inversión, fondos índice y ETFs
 
Espacio tecnologico i
Espacio tecnologico iEspacio tecnologico i
Espacio tecnologico i
 
Google Adwords: Cómo Captar y Mantener Turistas de todo el Mundo
Google Adwords: Cómo Captar y Mantener Turistas de todo el MundoGoogle Adwords: Cómo Captar y Mantener Turistas de todo el Mundo
Google Adwords: Cómo Captar y Mantener Turistas de todo el Mundo
 
La cola del diablo - josé aricó
La cola del diablo - josé aricóLa cola del diablo - josé aricó
La cola del diablo - josé aricó
 
ZanoniDI ¿Que es el Diseño Instruccional?
ZanoniDI ¿Que es el Diseño Instruccional?ZanoniDI ¿Que es el Diseño Instruccional?
ZanoniDI ¿Que es el Diseño Instruccional?
 
CQ3010 PCT 2015 TT14
CQ3010 PCT 2015 TT14CQ3010 PCT 2015 TT14
CQ3010 PCT 2015 TT14
 
Nuevo Catalogo Terrissal
Nuevo Catalogo Terrissal Nuevo Catalogo Terrissal
Nuevo Catalogo Terrissal
 
2010-07-01 (UC3M) Daniel Burgos ATOS Origin, I Jorn eMadrid
2010-07-01 (UC3M) Daniel Burgos ATOS Origin, I Jorn eMadrid2010-07-01 (UC3M) Daniel Burgos ATOS Origin, I Jorn eMadrid
2010-07-01 (UC3M) Daniel Burgos ATOS Origin, I Jorn eMadrid
 
FERPOL 5119 SV5 Resina de Poliéster Preacelerada
FERPOL 5119 SV5 Resina de Poliéster PreaceleradaFERPOL 5119 SV5 Resina de Poliéster Preacelerada
FERPOL 5119 SV5 Resina de Poliéster Preacelerada
 
NewsMonitor Apresentação
NewsMonitor ApresentaçãoNewsMonitor Apresentação
NewsMonitor Apresentação
 
Adecco_CSR_Report2015_16_Web_FINAL
Adecco_CSR_Report2015_16_Web_FINALAdecco_CSR_Report2015_16_Web_FINAL
Adecco_CSR_Report2015_16_Web_FINAL
 
Minoxidil - Translation from Hypertension ingredient to Hair Growth Stimulant
Minoxidil - Translation from Hypertension ingredient to Hair Growth StimulantMinoxidil - Translation from Hypertension ingredient to Hair Growth Stimulant
Minoxidil - Translation from Hypertension ingredient to Hair Growth Stimulant
 
Ortotipografía
OrtotipografíaOrtotipografía
Ortotipografía
 
Factors pas mite logos
Factors pas mite logosFactors pas mite logos
Factors pas mite logos
 
Ficha de registro 2010
Ficha de registro 2010Ficha de registro 2010
Ficha de registro 2010
 
Delta Handheld Xrf Mining In 12
Delta Handheld Xrf Mining In 12Delta Handheld Xrf Mining In 12
Delta Handheld Xrf Mining In 12
 
Opportunities for Integrating Mental Health into HIV, MCH, and Other Health S...
Opportunities for Integrating Mental Health into HIV, MCH, and Other Health S...Opportunities for Integrating Mental Health into HIV, MCH, and Other Health S...
Opportunities for Integrating Mental Health into HIV, MCH, and Other Health S...
 
ERP, CRM Y DATA WAREHOUSE
ERP, CRM Y DATA WAREHOUSEERP, CRM Y DATA WAREHOUSE
ERP, CRM Y DATA WAREHOUSE
 
Glosario de Periodismo j villamonte
Glosario de Periodismo j villamonteGlosario de Periodismo j villamonte
Glosario de Periodismo j villamonte
 

Similar to Normas leyes

Iso 27001 Jonathan Blas
Iso 27001   Jonathan BlasIso 27001   Jonathan Blas
Iso 27001 Jonathan BlasJonathanBlas
 
Seguridad-auditoria
Seguridad-auditoriaSeguridad-auditoria
Seguridad-auditoriaJohan Retos
 
Sistema de gestión de la seguridad de la informacion
Sistema de gestión de la seguridad de la informacionSistema de gestión de la seguridad de la informacion
Sistema de gestión de la seguridad de la informacionCinthia Yessenia Grandos
 
Introducción a los Sistemas de Gestión de Seguridad de la Información (SGSI)
Introducción a los Sistemas de Gestión de Seguridad de la Información (SGSI)Introducción a los Sistemas de Gestión de Seguridad de la Información (SGSI)
Introducción a los Sistemas de Gestión de Seguridad de la Información (SGSI)Dilcia Mejia
 
Sistema de gestión de la seguridad de la información
Sistema de gestión de la seguridad de la informaciónSistema de gestión de la seguridad de la información
Sistema de gestión de la seguridad de la informacióncarolapd
 
Sistema de gestión de la seguridad de la información
Sistema de gestión de la seguridad de la informaciónSistema de gestión de la seguridad de la información
Sistema de gestión de la seguridad de la informacióncarolapd
 
Implementación de la norma UNE-ISO/IEC 27001
Implementación de la norma UNE-ISO/IEC 27001Implementación de la norma UNE-ISO/IEC 27001
Implementación de la norma UNE-ISO/IEC 27001Jennyfer Cribas
 
Seguridad De La InformacióN
Seguridad De La InformacióNSeguridad De La InformacióN
Seguridad De La InformacióNmartin
 
Sistema de gestión de la seguridad de la informacion
Sistema de gestión de la seguridad de la informacionSistema de gestión de la seguridad de la informacion
Sistema de gestión de la seguridad de la informacionDarwin Calix
 
27001:2013 Seguridad orientada al negocio
27001:2013 Seguridad orientada al negocio27001:2013 Seguridad orientada al negocio
27001:2013 Seguridad orientada al negocioFabián Descalzo
 
iso_27001.pptx
iso_27001.pptxiso_27001.pptx
iso_27001.pptxAreaTIC1
 
Sistemas de gestión de seguridad de la información yarleny perez_20102006282
Sistemas de gestión de seguridad de la información yarleny perez_20102006282Sistemas de gestión de seguridad de la información yarleny perez_20102006282
Sistemas de gestión de seguridad de la información yarleny perez_20102006282yar_mal
 
Sistemas de Gestión de Seguridad de la Información
Sistemas de Gestión de Seguridad de la InformaciónSistemas de Gestión de Seguridad de la Información
Sistemas de Gestión de Seguridad de la InformaciónGeybi Sabillon
 

Similar to Normas leyes (20)

I S O 27001
I S O 27001I S O 27001
I S O 27001
 
Iso 27001
Iso 27001Iso 27001
Iso 27001
 
Iso 27000
Iso 27000Iso 27000
Iso 27000
 
Iso 27001 Jonathan Blas
Iso 27001   Jonathan BlasIso 27001   Jonathan Blas
Iso 27001 Jonathan Blas
 
SGSI 27001
SGSI 27001SGSI 27001
SGSI 27001
 
Seguridad-auditoria
Seguridad-auditoriaSeguridad-auditoria
Seguridad-auditoria
 
Sistema de gestión de la seguridad de la informacion
Sistema de gestión de la seguridad de la informacionSistema de gestión de la seguridad de la informacion
Sistema de gestión de la seguridad de la informacion
 
Introducción a los Sistemas de Gestión de Seguridad de la Información (SGSI)
Introducción a los Sistemas de Gestión de Seguridad de la Información (SGSI)Introducción a los Sistemas de Gestión de Seguridad de la Información (SGSI)
Introducción a los Sistemas de Gestión de Seguridad de la Información (SGSI)
 
Sistema de gestión de la seguridad de la información
Sistema de gestión de la seguridad de la informaciónSistema de gestión de la seguridad de la información
Sistema de gestión de la seguridad de la información
 
Sistema de gestión de la seguridad de la información
Sistema de gestión de la seguridad de la informaciónSistema de gestión de la seguridad de la información
Sistema de gestión de la seguridad de la información
 
Implementación de la norma UNE-ISO/IEC 27001
Implementación de la norma UNE-ISO/IEC 27001Implementación de la norma UNE-ISO/IEC 27001
Implementación de la norma UNE-ISO/IEC 27001
 
Seguridad De La InformacióN
Seguridad De La InformacióNSeguridad De La InformacióN
Seguridad De La InformacióN
 
Sistema de gestión de la seguridad de la informacion
Sistema de gestión de la seguridad de la informacionSistema de gestión de la seguridad de la informacion
Sistema de gestión de la seguridad de la informacion
 
27001:2013 Seguridad orientada al negocio
27001:2013 Seguridad orientada al negocio27001:2013 Seguridad orientada al negocio
27001:2013 Seguridad orientada al negocio
 
14. iso 27001
14. iso 2700114. iso 27001
14. iso 27001
 
Iso 27000 estandar
Iso 27000 estandarIso 27000 estandar
Iso 27000 estandar
 
iso_27001.pptx
iso_27001.pptxiso_27001.pptx
iso_27001.pptx
 
Sistemas de gestión de seguridad de la información yarleny perez_20102006282
Sistemas de gestión de seguridad de la información yarleny perez_20102006282Sistemas de gestión de seguridad de la información yarleny perez_20102006282
Sistemas de gestión de seguridad de la información yarleny perez_20102006282
 
Sistemas de Gestión de Seguridad de la Información
Sistemas de Gestión de Seguridad de la InformaciónSistemas de Gestión de Seguridad de la Información
Sistemas de Gestión de Seguridad de la Información
 
Seguridad Informatica
Seguridad InformaticaSeguridad Informatica
Seguridad Informatica
 

More from Angelica Lopera

Proyecto+resolucion+estandares+minimos+sg sst
Proyecto+resolucion+estandares+minimos+sg sstProyecto+resolucion+estandares+minimos+sg sst
Proyecto+resolucion+estandares+minimos+sg sstAngelica Lopera
 
Proyecto+estandares+mínimos+del+sg sst
Proyecto+estandares+mínimos+del+sg sstProyecto+estandares+mínimos+del+sg sst
Proyecto+estandares+mínimos+del+sg sstAngelica Lopera
 
Pre auditoria trabajos_alturas
Pre auditoria trabajos_alturasPre auditoria trabajos_alturas
Pre auditoria trabajos_alturasAngelica Lopera
 
Listado+legislación+en+rr+ll agosto+2014
Listado+legislación+en+rr+ll agosto+2014Listado+legislación+en+rr+ll agosto+2014
Listado+legislación+en+rr+ll agosto+2014Angelica Lopera
 
Indicadores sgrl por_arl_sem1_2013(2)
Indicadores sgrl por_arl_sem1_2013(2)Indicadores sgrl por_arl_sem1_2013(2)
Indicadores sgrl por_arl_sem1_2013(2)Angelica Lopera
 
Anexo 18-estandar-para-trabajos-en-altura
Anexo 18-estandar-para-trabajos-en-alturaAnexo 18-estandar-para-trabajos-en-altura
Anexo 18-estandar-para-trabajos-en-alturaAngelica Lopera
 

More from Angelica Lopera (14)

Res 6549 161014
Res 6549 161014Res 6549 161014
Res 6549 161014
 
Reintegro laboral
Reintegro laboralReintegro laboral
Reintegro laboral
 
Proyecto+resolucion+estandares+minimos+sg sst
Proyecto+resolucion+estandares+minimos+sg sstProyecto+resolucion+estandares+minimos+sg sst
Proyecto+resolucion+estandares+minimos+sg sst
 
Proyecto+estandares+mínimos+del+sg sst
Proyecto+estandares+mínimos+del+sg sstProyecto+estandares+mínimos+del+sg sst
Proyecto+estandares+mínimos+del+sg sst
 
Pre auditoria trabajos_alturas
Pre auditoria trabajos_alturasPre auditoria trabajos_alturas
Pre auditoria trabajos_alturas
 
Listado+legislación+en+rr+ll agosto+2014
Listado+legislación+en+rr+ll agosto+2014Listado+legislación+en+rr+ll agosto+2014
Listado+legislación+en+rr+ll agosto+2014
 
Indicadores sgrl por_arl_sem1_2013(2)
Indicadores sgrl por_arl_sem1_2013(2)Indicadores sgrl por_arl_sem1_2013(2)
Indicadores sgrl por_arl_sem1_2013(2)
 
Guia escombros baja
Guia escombros bajaGuia escombros baja
Guia escombros baja
 
Foro alturas
Foro alturasForo alturas
Foro alturas
 
Es health&safety (low)
Es health&safety (low)Es health&safety (low)
Es health&safety (low)
 
Ats
AtsAts
Ats
 
Alturas
AlturasAlturas
Alturas
 
Anexo 18-estandar-para-trabajos-en-altura
Anexo 18-estandar-para-trabajos-en-alturaAnexo 18-estandar-para-trabajos-en-altura
Anexo 18-estandar-para-trabajos-en-altura
 
Directrices+oit+sg sst
Directrices+oit+sg sstDirectrices+oit+sg sst
Directrices+oit+sg sst
 

Recently uploaded

2. ¡Promoviendo la Paternidad Responsable en La Recoleta!
2. ¡Promoviendo la Paternidad Responsable en La Recoleta!2. ¡Promoviendo la Paternidad Responsable en La Recoleta!
2. ¡Promoviendo la Paternidad Responsable en La Recoleta!ProfesorGualberto
 
ROSAURA REVUELTAS, ESPERANZA Y LA SAL DE LA TIERRA (1).pdf
ROSAURA REVUELTAS, ESPERANZA Y LA SAL DE LA TIERRA (1).pdfROSAURA REVUELTAS, ESPERANZA Y LA SAL DE LA TIERRA (1).pdf
ROSAURA REVUELTAS, ESPERANZA Y LA SAL DE LA TIERRA (1).pdfavitiadgo
 
3. ¡Promoviendo la Paternidad Responsable en La Recoleta!
3. ¡Promoviendo la Paternidad Responsable en La Recoleta!3. ¡Promoviendo la Paternidad Responsable en La Recoleta!
3. ¡Promoviendo la Paternidad Responsable en La Recoleta!ProfesorGualberto
 
Escuela de la Confianza DRELM-MINEDU Ccesa007.pdf
Escuela de la Confianza DRELM-MINEDU  Ccesa007.pdfEscuela de la Confianza DRELM-MINEDU  Ccesa007.pdf
Escuela de la Confianza DRELM-MINEDU Ccesa007.pdfDemetrio Ccesa Rayme
 
7. ¡Promoviendo la Paternidad Responsable en La Recoleta!
7. ¡Promoviendo la Paternidad Responsable en La Recoleta!7. ¡Promoviendo la Paternidad Responsable en La Recoleta!
7. ¡Promoviendo la Paternidad Responsable en La Recoleta!ProfesorGualberto
 
6. ¡Promoviendo la Paternidad Responsable en La Recoleta!
6. ¡Promoviendo la Paternidad Responsable en La Recoleta!6. ¡Promoviendo la Paternidad Responsable en La Recoleta!
6. ¡Promoviendo la Paternidad Responsable en La Recoleta!ProfesorGualberto
 
4. ¡Promoviendo la Paternidad Responsable en La Recoleta!
4. ¡Promoviendo la Paternidad Responsable en La Recoleta!4. ¡Promoviendo la Paternidad Responsable en La Recoleta!
4. ¡Promoviendo la Paternidad Responsable en La Recoleta!ProfesorGualberto
 
11. ¡Promoviendo la Paternidad Responsable en La Recoleta!
11. ¡Promoviendo la Paternidad Responsable en La Recoleta!11. ¡Promoviendo la Paternidad Responsable en La Recoleta!
11. ¡Promoviendo la Paternidad Responsable en La Recoleta!ProfesorGualberto
 
9. ¡Promoviendo la Paternidad Responsable en La Recoleta!
9. ¡Promoviendo la Paternidad Responsable en La Recoleta!9. ¡Promoviendo la Paternidad Responsable en La Recoleta!
9. ¡Promoviendo la Paternidad Responsable en La Recoleta!ProfesorGualberto
 
8. ¡Promoviendo la Paternidad Responsable en La Recoleta!
8. ¡Promoviendo la Paternidad Responsable en La Recoleta!8. ¡Promoviendo la Paternidad Responsable en La Recoleta!
8. ¡Promoviendo la Paternidad Responsable en La Recoleta!ProfesorGualberto
 
MINISTERIO DE EDUCACIÓN prueba-diagnostica-lectura-CUARTO AÑO DE SECUNDARIA
MINISTERIO DE EDUCACIÓN prueba-diagnostica-lectura-CUARTO AÑO DE SECUNDARIAMINISTERIO DE EDUCACIÓN prueba-diagnostica-lectura-CUARTO AÑO DE SECUNDARIA
MINISTERIO DE EDUCACIÓN prueba-diagnostica-lectura-CUARTO AÑO DE SECUNDARIANELLYKATTY
 
5. ¡Promoviendo la Paternidad Responsable en La Recoleta!
5. ¡Promoviendo la Paternidad Responsable en La Recoleta!5. ¡Promoviendo la Paternidad Responsable en La Recoleta!
5. ¡Promoviendo la Paternidad Responsable en La Recoleta!ProfesorGualberto
 
Lengua Y Literatura 8 Básico 2024 pdfyyy
Lengua Y Literatura 8 Básico 2024 pdfyyyLengua Y Literatura 8 Básico 2024 pdfyyy
Lengua Y Literatura 8 Básico 2024 pdfyyyDidiexy1
 
Lengua Y Literatura 8 Básico 2024 pdfghh
Lengua Y Literatura 8 Básico 2024 pdfghhLengua Y Literatura 8 Básico 2024 pdfghh
Lengua Y Literatura 8 Básico 2024 pdfghhDidiexy1
 
12. ¡Promoviendo la Paternidad Responsable en La Recoleta!
12. ¡Promoviendo la Paternidad Responsable en La Recoleta!12. ¡Promoviendo la Paternidad Responsable en La Recoleta!
12. ¡Promoviendo la Paternidad Responsable en La Recoleta!ProfesorGualberto
 
2024-orientaciones-para-la-evaluacion-diagnostica-2024-en-las-iiee-publicas-d...
2024-orientaciones-para-la-evaluacion-diagnostica-2024-en-las-iiee-publicas-d...2024-orientaciones-para-la-evaluacion-diagnostica-2024-en-las-iiee-publicas-d...
2024-orientaciones-para-la-evaluacion-diagnostica-2024-en-las-iiee-publicas-d...William Henry Vegazo Muro
 
El_ideal_de_Nación-En_Miguel-Triana[1].pdf
El_ideal_de_Nación-En_Miguel-Triana[1].pdfEl_ideal_de_Nación-En_Miguel-Triana[1].pdf
El_ideal_de_Nación-En_Miguel-Triana[1].pdfAngel David Guerrero
 
Manual guía Liderazgo y Equipo Ciclo 2024 - UPF Argentina
Manual guía Liderazgo y Equipo Ciclo 2024 - UPF ArgentinaManual guía Liderazgo y Equipo Ciclo 2024 - UPF Argentina
Manual guía Liderazgo y Equipo Ciclo 2024 - UPF ArgentinaUPF Argentina
 

Recently uploaded (20)

2. ¡Promoviendo la Paternidad Responsable en La Recoleta!
2. ¡Promoviendo la Paternidad Responsable en La Recoleta!2. ¡Promoviendo la Paternidad Responsable en La Recoleta!
2. ¡Promoviendo la Paternidad Responsable en La Recoleta!
 
ROSAURA REVUELTAS, ESPERANZA Y LA SAL DE LA TIERRA (1).pdf
ROSAURA REVUELTAS, ESPERANZA Y LA SAL DE LA TIERRA (1).pdfROSAURA REVUELTAS, ESPERANZA Y LA SAL DE LA TIERRA (1).pdf
ROSAURA REVUELTAS, ESPERANZA Y LA SAL DE LA TIERRA (1).pdf
 
3. ¡Promoviendo la Paternidad Responsable en La Recoleta!
3. ¡Promoviendo la Paternidad Responsable en La Recoleta!3. ¡Promoviendo la Paternidad Responsable en La Recoleta!
3. ¡Promoviendo la Paternidad Responsable en La Recoleta!
 
Escuela de la Confianza DRELM-MINEDU Ccesa007.pdf
Escuela de la Confianza DRELM-MINEDU  Ccesa007.pdfEscuela de la Confianza DRELM-MINEDU  Ccesa007.pdf
Escuela de la Confianza DRELM-MINEDU Ccesa007.pdf
 
7. ¡Promoviendo la Paternidad Responsable en La Recoleta!
7. ¡Promoviendo la Paternidad Responsable en La Recoleta!7. ¡Promoviendo la Paternidad Responsable en La Recoleta!
7. ¡Promoviendo la Paternidad Responsable en La Recoleta!
 
6. ¡Promoviendo la Paternidad Responsable en La Recoleta!
6. ¡Promoviendo la Paternidad Responsable en La Recoleta!6. ¡Promoviendo la Paternidad Responsable en La Recoleta!
6. ¡Promoviendo la Paternidad Responsable en La Recoleta!
 
4. ¡Promoviendo la Paternidad Responsable en La Recoleta!
4. ¡Promoviendo la Paternidad Responsable en La Recoleta!4. ¡Promoviendo la Paternidad Responsable en La Recoleta!
4. ¡Promoviendo la Paternidad Responsable en La Recoleta!
 
Sesión de clase: El anhelo de Dios en Sion
Sesión de clase: El anhelo de Dios en SionSesión de clase: El anhelo de Dios en Sion
Sesión de clase: El anhelo de Dios en Sion
 
11. ¡Promoviendo la Paternidad Responsable en La Recoleta!
11. ¡Promoviendo la Paternidad Responsable en La Recoleta!11. ¡Promoviendo la Paternidad Responsable en La Recoleta!
11. ¡Promoviendo la Paternidad Responsable en La Recoleta!
 
9. ¡Promoviendo la Paternidad Responsable en La Recoleta!
9. ¡Promoviendo la Paternidad Responsable en La Recoleta!9. ¡Promoviendo la Paternidad Responsable en La Recoleta!
9. ¡Promoviendo la Paternidad Responsable en La Recoleta!
 
8. ¡Promoviendo la Paternidad Responsable en La Recoleta!
8. ¡Promoviendo la Paternidad Responsable en La Recoleta!8. ¡Promoviendo la Paternidad Responsable en La Recoleta!
8. ¡Promoviendo la Paternidad Responsable en La Recoleta!
 
MINISTERIO DE EDUCACIÓN prueba-diagnostica-lectura-CUARTO AÑO DE SECUNDARIA
MINISTERIO DE EDUCACIÓN prueba-diagnostica-lectura-CUARTO AÑO DE SECUNDARIAMINISTERIO DE EDUCACIÓN prueba-diagnostica-lectura-CUARTO AÑO DE SECUNDARIA
MINISTERIO DE EDUCACIÓN prueba-diagnostica-lectura-CUARTO AÑO DE SECUNDARIA
 
Tema 4.- INSFRAESTRUCTURAS DE TI Y TECNOLOGIAS EMERGENTES.pdf
Tema 4.- INSFRAESTRUCTURAS DE TI Y TECNOLOGIAS EMERGENTES.pdfTema 4.- INSFRAESTRUCTURAS DE TI Y TECNOLOGIAS EMERGENTES.pdf
Tema 4.- INSFRAESTRUCTURAS DE TI Y TECNOLOGIAS EMERGENTES.pdf
 
5. ¡Promoviendo la Paternidad Responsable en La Recoleta!
5. ¡Promoviendo la Paternidad Responsable en La Recoleta!5. ¡Promoviendo la Paternidad Responsable en La Recoleta!
5. ¡Promoviendo la Paternidad Responsable en La Recoleta!
 
Lengua Y Literatura 8 Básico 2024 pdfyyy
Lengua Y Literatura 8 Básico 2024 pdfyyyLengua Y Literatura 8 Básico 2024 pdfyyy
Lengua Y Literatura 8 Básico 2024 pdfyyy
 
Lengua Y Literatura 8 Básico 2024 pdfghh
Lengua Y Literatura 8 Básico 2024 pdfghhLengua Y Literatura 8 Básico 2024 pdfghh
Lengua Y Literatura 8 Básico 2024 pdfghh
 
12. ¡Promoviendo la Paternidad Responsable en La Recoleta!
12. ¡Promoviendo la Paternidad Responsable en La Recoleta!12. ¡Promoviendo la Paternidad Responsable en La Recoleta!
12. ¡Promoviendo la Paternidad Responsable en La Recoleta!
 
2024-orientaciones-para-la-evaluacion-diagnostica-2024-en-las-iiee-publicas-d...
2024-orientaciones-para-la-evaluacion-diagnostica-2024-en-las-iiee-publicas-d...2024-orientaciones-para-la-evaluacion-diagnostica-2024-en-las-iiee-publicas-d...
2024-orientaciones-para-la-evaluacion-diagnostica-2024-en-las-iiee-publicas-d...
 
El_ideal_de_Nación-En_Miguel-Triana[1].pdf
El_ideal_de_Nación-En_Miguel-Triana[1].pdfEl_ideal_de_Nación-En_Miguel-Triana[1].pdf
El_ideal_de_Nación-En_Miguel-Triana[1].pdf
 
Manual guía Liderazgo y Equipo Ciclo 2024 - UPF Argentina
Manual guía Liderazgo y Equipo Ciclo 2024 - UPF ArgentinaManual guía Liderazgo y Equipo Ciclo 2024 - UPF Argentina
Manual guía Liderazgo y Equipo Ciclo 2024 - UPF Argentina
 

Normas leyes

  • 1. Estándares y Normas de Seguridad  ¿Por qué normas/estándares de seguridad?  Las organizaciones necesitan (en ocasiones deben) demostrar que realizan una gestión competente y efectiva de la seguridad de los recursos y datos que gestionan. − Deben demostrar que identifican y detectan los riesgos a los que está sometida y que adoptan medidas adecuadas y proporcionadas. − Necesario: conjunto estructurado, sistemático, coherente y completo de normas a seguir.  Herramienta: SGSI (Sistema de Gestión de la Seguridad de la Información)  En inglés ISMS (Information Security Management System)  SGSI: proceso sistemático, documentado y conocido por toda la organización para garantizar que la seguridad de la información es gestionada correctamente
  • 2. Familia de Normas ISO/IEC 27000  Normas ISO 27000: Familia de estándares de ISO (International Organization for Standardization) e IEC (International Electrotechnical Commission) que proporciona un marco para la gestión de la seguridad  Conjunto de normas que especifican los requisitos para establecer, implantar, poner en funcionamieto, controlar, revisar, mantener y mejorar un SGSI  Normas base: 20001, 20002  Normas complementarias: 20003, 20004, 20005, ...  Seguridad de la información (según ISO 27001): preservación de su confidencialidad, integridad y disponibilidad, así como la de los sistemas implicados en su tratamiento  Confidencialidad: la información no se pone a disposición ni se revela a individuos, entidades o procesos no autorizados.  Integridad: mantenimiento de la exactitud y completitud de la información y sus métodos de proceso.  Disponibilidad: acceso y utilización de la información y los sistemas de tratamiento de la misma por parte de los individuos, entidades o procesos autorizados cuando lo requieran.
  • 3. Familia de Normas ISO/IEC 27000  ISO/IEC 27000: define el vocabulario estándar empleado en la familia 27000 (definición de términos y conceptos)  ISO/IEC 27001: especifica los requisitos a cumplir para implantar un SGSI certificable conforme a las normas 27000  Define cómo es el SGSI, cómo se gestiona y cúales son las resposabilidades de los participantes.  Sigue un modelo PDCA (Plan-Do-Check-Act)  Puntos clave: Gestión de riesgos + Mejora contínua  ISO/IEC 27002: código de buenas prácticas para la gestión de la seguridad  Recomendaciones sobre qué medidas tomar para asegurar los sistemas de información de una organización  Describe los objetivos de control (aspectos a analizar para garantizar la seguridad de la información) y especifica los controles recomendables a implantar (medidas a tomar)  Antes ISO 17799, basado en estándar BS 7799 (en España norma UNE-ISO 17799)
  • 4. Familia de Normas ISO/IEC 27000 ISO/IEC 27003:guía de implementación de SGSI e información acerca del uso del modelo PDCA (Plan-Do-Check-Act) y de los requerimientos de sus diferentes fases (en desarrollo, pendiente de publicación) ISO/IEC 27004: especifica las métricas y las técnicas de medida aplicables para determinar la eficacia de un SGSI y de los controles relacionados (en desarrollo, pendiente de publicación)  medición de los componentes de la fase “Do” (Implementar y Utilizar) del ciclo PDCA. ISO/IEC 27005: gestión de riesgos de seguridad de la información (recomendaciones, métodos y técnicas para evaluación de riesgos de seguridad) ISO/IEC 27006: requisitos a cumplir por las organizaciones encargadas de emitir certificaciones ISO/IEC 27001  Requisitos para la acreditación de las entidades de auditoria y certificación
  • 5. Familia de Normas ISO/IEC 27000  ISO/IEC 27007: guía de actuación para auditar los SGSI conforme a las normas 27000  ISO/IEC 27011: guía de gestión de seguridad de la información específica para telecomunicaciones (en desarrollo)  elaborada conjuntamente con la ITU (Unión Internacional de Telecomunicaciones)  ISO/IEC 27031: guía de continuidad de negocio en lo relativo a tecnologías de la información y comunicaciones (en desarrollo)  ISO/IEC 27032: guía relativa a la ciberseguridad (en desarrollo)  ISO/IEC 27032: guía de seguridad en aplicaciones (en desarrollo)  ISO/IEC 27799: guía para implantar ISO/IEC 27002 específica para entornos médicos
  • 6. ISO/IEC 27001  “ Norma que especifica los requisitos para establecer, implantar, poner en funcionamiento, controlar, revisar, mantener y mejorar un SGSI documentado dentro del contexto global de los riesgos de negocio de la organización. Especifica los requisitos para la implantación de los controles de seguridad hechos a medida de las necesidades de organizaciones individuales o partes de las mismas” Objetivo: Mejora continua Se adopta el modelo Plan-Do-Check- Act (PDCA ó ciclo de Deming) para todos los procesos de la organización.
  • 7. ISO/IEC 27001 Fase Planificación (Plan) [establecer el SGSI]: Establecer la política,objetivos, procesos y procedimientos relativos a la gestión del riesgo y mejorar la seguridad de la información de la organización para ofrecer resultados de acuerdo con las políticas y objetivos generales de la organización. Fase Ejecución (Do) [implementar y gestionar el SGSI]: Implementar y gestionar el SGSI de acuerdo a su política, controles, procesos y procedimientos. Fase Seguimiento (Check) [monitorizar y revisar el SGSI]: Medir y revisar las prestaciones de los procesos del SGSI. Fase Mejora (Act) [mantener y mejorar el SGSI]: Adoptar acciones correctivas y preventivas basadas en auditorías y revisiones internas ó en otra información relevante a fin de alcanzar la mejora contínua del SGSI.
  • 9. ISO/IEC 27001 DO: Implantación y puesta en marcha del SGSI  preparar un plan de tratamiento del riesgo  implantar los controles que se hayan seleccionado  medir la eficacia de dichos controles  crear programas de formación y concienciación CHECK + ACT: Control y evaluación del SGSI  implantar una serie de procedimientos para el control y la revisión  puesta en marcha de una serie de revisiones regulares sobre la eficacia del SGSI, a partir de los resultados de las auditorías de seguridad y de las mediciones  tomar las medidas correctivas y preventivas PLAN: Establecimiento y gestión del SGSI  definir el alcance del sistema de gestión  definir la política del SGSI  definir la metodología para la valoración del riesgo  identificar los riesgos  elaborar un análisis y evaluación de dichos riesgos  identificar los diferentes tratamientos del riesgo  seleccionar los controles y objetivos de los mismos que posibilitarán dicho tratamiento
  • 10. ISO/IEC 27002  Conjunto de recomendaciones sobre qué medidas tomar en la empresa para asegurar los Sistemas de Información.  Los objetivos de seguridad recogen aquellos aspectos fundamentales que se deben analizar para conseguir un sistema seguro en cada una de las áreas que los agrupa. Para conseguir cada uno de estos objetivos la norma propone una serie de medidas o recomendaciones (controles) que son los que en definitiva aplicaremos para la gestión del riesgo analizado.  Objetivo: Definir los aspectos prácticos/operativos de la implantación del SGSI
  • 11. ISO/IEC 27002 Areas/secciones sobre las que actuar: Objetivos de control: aspectos a asegurar dentro de cada área/sección Controles: mecanismos para asegurar los distintos objetivos de control (guía de buenas prácticas) Para cada control se incluye una guía para su implantación Control de accesos Desarrollo y mantenimiento de sistemas Gestión de incidentes de seguridad de la información Gestión de continuidad de negocio Conformidad Política de seguridad Aspectos organizativos para la seguridad Clasificación y control de activos Seguridad ligada al personal Seguridad física y del entorno Gestión de comunicaciones y operaciones
  • 13. Legislación • Leyes aplicables en relación con la Seguridad en los Sistemas de Información • Ley Orgánica de Protección de Datos (LOPD) + normativas de protección de datos • Ley de Servicios para la Sociedad de la Información y el Comercio Electrónico (LSSI-CE) • Legislación de Firma Electrónica (LFE) • Relacionadas: – Ley de Acceso de los Ciudadanos a los Servicios Públicos – Ley de Medidas de Impulso a la Sociedad de la Información
  • 14. Protección de Datos • Todas las organizaciones que tengan ficheros con datos personales han de declararlos a la Agencia Española de Protección de Datos (www.agpd.es) • Hay que implantar un documento de seguridad • Ficheros de datos personales clasificados en tres niveles: – Básico: Ficheros con información personal – Medio: Ficheros con datos relativos a la comisión de infracciones administrativas, Hacienda Pública, Servicios financieros, así como los ficheros para la prestación de servicios de información sobre solvencia patrimonial y de crédito – Alto: Ficheros con datos sobre ideología, religión, creencias, origen racial, salud o vida sexual, así como los datos recabados para fines policiales sin consentimiento del afectado • Hay que aplicar medidas de seguridad técnicas y organizativas en función del nivel y según establece el reglamento • Auditorías bienales para ficheros de nivel medio y alto
  • 15. Protección de Datos Personales Ley Orgánica 15/1999, de 13 de Diciembre de Protección de Datos de Carácter Personal - LOPD Real Decreto 994/1999 de 11 de Junio por el que se aprueba el Reglamento de Medidas de Seguridad de los ficheros automatizados que contengan datos de carácter personal Real Decreto 1720/2007 de 19 de diciembre por el que se aprueba el Nuevo Reglamento de Medidas de Seguridad de los ficheros automatizados y físicos que contengan datos de carácter personal
  • 16. LSSI-CE • Ley 34/2002 de 11 de Julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico – LSSI-CE ( www.lssi.es) • Establece los criterios de servicios en Internet, cuando sean parte de actividad económica. • Validez y regulación del comercio electrónico
  • 17. LSSI-CE • Servicios por Internet – Mostrar en la web: Nombre, NIF, dirección, correo electrónico – Datos de inscripción registral incluyendo nombre del dominio – Mostrar precios de los productos y servicios, – Contratación y tramitación on-line – Autenticación mediante certificados y establecer canales seguros SSL • Sobre la publicidad por Internet – Prohibición de los spam (email no solicitado) – Posibilidad de borrarse de las listas de correo informativo • Sobre los prestadores de servicios ISP, Hosting – Colaborar con los organos públicos para resolucion de incidencias: almacenamiento de logs y eventos para rastreo – Informar a los clientes sobre medidas de seguridad a aplicar – No son responsables de contenidos ilícitos si no los elaboran, – Sí son responsables si los conocen y no los retiran o no los comunican. • Sobre titulares de páginas personales – Solo sujetas a la ley si tienen publicidad por la que perciban ingresos – Identificar claramente la publicidad y la identidad: nombre, tfno, fax, eMail, NIF
  • 18. Legislación Firma Electrónica • Ley 59/2003 de 19 de Diciembre, de firma electrónica • Equipara la firma electrónica a la firma física, estableciendo su validez legal • Regula a los Prestadores de Servicios de Certificación (PSC – Autoridades de Certificación) • Regula los certificados reconocidos • Regula los dispositivos seguros de creación de firmas • Implementa/adapta la directiva europea 1999/93/EC (iniciativas eEurope) • Introduce el DNI electrónico (DNIe) – RD 1553/2005 de 23 Diciembre, regula la expedición