27001/2 ◤ Integrantes: Moyano, Gonzalo Bravo, Gonzalo Nicolás Benítez, Exequiel Martín Administración de Infraestructuras Tecnicatura Superior en Soporte de Infraestructuras de Tecnologías de la Información Profesor: Ing. Cristian Santiago ◤ Historia de la norma BS 7799 El origen de esta norma data de 1995, en la norma BS 7799-1 publicada la BSI (Institución de Normas Británicas). BS 7799-1 contenía una serie de mejores prácticas para ayudar a las empresas británicas a administrar la Seguridad de la Información. No daban opción a ningún tipo de certificación ni establecía la forma de conseguirla. Esto fue corregido en 1998 cuando se publica su segunda parte, conocida como BS 7799-2, la cual incorporaba los requisitos a cumplir para tener un SGSI (Sistema de Gestión de Seguridad de la Información) certificable. ◤ Transformándose en ISO 27001/2 La ISO (Organización Internacional para la Estandarización) revisó la norma BS 7799, dando lugar a la llamada ISO 17799. Nace ISO 27001 como norma internacional certificable y se modifica la ISO 17799 dando lugar a la ISO 27001:2005. 1999 / 2000 2005 2002 2007 BSI publicó una nueva versión de la BS 77992 la cual incorpora el ciclo de Deming con el fin de alinearse a estándares de calidad, como ser la ISO 9001. Se establece la numeración 27000 para la Seguridad de la Información. El estándar ISO/IEC 17799:2005 fue renombrado como ISO/IEC 27002. ◤ ISO 27001/2 en Argentina La última versión ISO 27001 fue publicada en 2015, trae cambios en la estructura, en la evaluación y tratamiento de los riesgos. La última versión de ISO 27002 incorpora nuevos términos y definiciones, una nueva estructura de temas y atributos de los controles. Estas normas son conocidas en Argentina como ▪ IRAM-ISO IEC 27001 ▪ IRAM-ISO-IEC 27002 Son distribuidas y certificadas por el IRAM (Instituto Argentino de Normalización y Certificación)en conjunto con IQ Net. Objetivo de la norma ◤ ISO / IEC 27001 Su objetivo principal es la defensa, protección y gestión de la información como uno de los activos más importantes de la organización. Define los requisitos para implementar un Sistema de Gestión de Seguridad de la Información buscando... ▪ Su confidencialidad ▪ Su integridad ▪ Su disponibilidad Qué es un Sistema de Gestión de Seguridad de la Información ◤ El concepto clave de un SGSI es el diseño, implementación y mantenimiento de un conjunto de procesos para gestionar eficientemente la accesibilidad de la información. Un SGSI debe seguir siendo eficiente durante largo tiempo adaptándose a los cambios de la organización así como los del entorno. ▪ Definir la política de seguridad de la organización. ▪ Definir el alcance del SGSI. ▪ Análisis de riesgos en los activos de información, amenazas y vulnerabilidades. ▪ Gestión del riesgo. ▪ Selección de los controles definidos por la norma y de controles adicionales para la gestión de la información. Es por esto que se hace hincapié en el Ciclo de Deming. ▪ Declaración de aplicabilidad en la organización de los controles seleccionados. ▪ Revisión del SGSI y de sus medidas preventivas y correctivas. ◤ Y de que se trata el Ciclo de Deming Para la implementación de un Sistema de Gestión de la Seguridad de la Información, ISO 27001 adopta el ciclo de Deming como metodología. Este aplica a todos los procesos que abarca el SGSI. El ciclo busca optimizar constantemente las actividades a través de cuatro etapas. Una vez que se llega a la última etapa, debe volver a comenzar, promoviendo así una autoevaluación continua que le permita identificar oportunidades de mejora en cada proceso. Entre sus ventajas, permite incrementar la productividad de manera continua e ilimitada. Pero a su vez, es susceptible a imprevistos. Por lo cual su implementación depende de condiciones estables y esto provoca lentitud en su aplicación. ◤ Estructura de la norma ISO 27001 Se compone de 10 cláusulas ▪ Alcance y campo de aplicación ▪ Referencias normativas ▪ Términos y definiciones ▪ Contexto de la organización ▪ Liderazgo ▪ Planificación ▪ Apoyo ▪ Operación ▪ Evaluación del desempeño ▪ Mejora Por último, un Anexo de controles. Estructura de la norma 1. Alcance y aplicación ◤ Describe la finalidad, su uso dentro de la organización, el modo de aplicar del estándar y los límites del SGSI. Es necesario elaborar y mantener un inventario de toda aquella información que tiene valor para la empresa. Debemos incluir los requisitos para la evaluación y tratamiento de los riesgos de la seguridad de la información que se adapten a las necesidades de la organización. Este punto es fundamental, se debe tener en cuenta la responsabilidad sobre la protección de la información sin importar dónde, cómo y quién acceda a la misma. ◤ Estructura de la norma 2. Referencias normativas Con el fin de ayudar a organizaciones a implementar y operar un SGSI, La norma referencia a toda la familia ISO/IEC 27000 Son un grupo de estándares internacionales titulados: ▪ Tecnología de la Información ▪ Técnicas de Seguridad ▪ Sistemas de Gestión de la Seguridad de la Información ▪ Visión de conjunto y vocabulario. Gracias a esto, ISO/IEC 27000 proporciona: ▪ Una introducción a los SGSI ▪ Una visión general de normas sobre SGSI ▪ Una breve descripción del proceso para PDCA ▪ Los términos y las definiciones utilizadas en la familia de normas SGSI ◤ Estructura de la norma 3. Términos y definiciones En su última revisión, ISO/IEC 27000: 2018 proporciona terminología que se utiliza comúnmente en la familia de normas sobre seguridad de la información. Aun así, ISO 27000 no abarca todos los términos y definiciones aplicados en los sistemas de gestión SGSI. Es por ello que cada estándar SGSI puede definir nuevos términos. Algunos términos comunes son: ▪ Recurso (Asset): Cualquier cosa que tenga valor para la organización. ▪ Disponibilidad (Availability): Propiedad de ser accesible y usable bajo demanda por una entidad autorizada. ▪ Confidencialidad (Confidentiality): Propiedad que la información no esté disponible o pueda ser descubierta por usuarios no autorizados, entidades o procesos. ▪ Alcance (Scope): Ámbito de la organización que queda sometido al SGSI. ▪ Amenaza (Threat): Causa potencial de un incidente no deseado, que puede provocar daños a un sistema o a la organización. ◤ Estructura de la norma 4. Contexto de la organización Comprender la organización y su contexto. Es indispensable determinar los aspectos internos y externos a la organización que sean relevantes, entendiendo su importancia para lograr los objetivos propuestos. Determinar la necesidades y expectativas. La organización debe determinar que tanto las partes interesadas como los requisitos propuestos responden a un SGSI. Definir el alcance del SGSI. Se debe identificar a las partes interesadas relevantes al SGSI y cumplir sus requisitos. Las partes deben comprometerse en establecer, implementar, mantener y mejorar de manera continua el SGSI. ◤ Estructura de la norma 5. Liderazgo Liderazgo y compromiso. Debe existir compromiso y apoyo por parte de la alta dirección. Verificar que los objetivos correspondan a la dirección estratégica de la organización y asegurar tanto la integración de los requisitos como la asignación de recursos. Políticas. Se debe establecer una política de seguridad de la información conforme al alcance del negocio y que considere los requisitos definidos. Roles, responsabilidades y autoridades. La alta dirección debe asignar los recursos que garanticen que el SGSI cumple con los requisitos de esta norma, verificar e informar su desempeño. Estructura de la norma 6. Planificación ◤ Considerar todos los peligros, riesgos y oportunidades que necesitan abordarse. Se pone de manifiesto la importancia de la determinación de riesgos y oportunidades a la hora de planificar un SGSI, así como de establecer objetivos de Seguridad de la Información y el modo de lograrlos. Asegurar que se cumplan los objetivos. Es esencial establecer objetivos claros, consistentes y en lo posible, medibles. Estos objetivos deben ser correctamente informados y documentados, incluyendo: ▪ Qué se hará? ▪ Quién lo llevará a cabo? ▪ Cuándo se realizará? ▪ Cómo se evaluarán los resultados? Estructura de la norma 7. Apoyo Recursos, competencias, conocimiento y comunicación. Para el correcto funcionamiento del SGSI la organización debe contar con los recursos, competencias, conciencia, comunicación e información documentada pertinente en cada caso. ◤ Se debe asegurar la comunicación de objetivos. Documentación. Toda información que debe ser documentada y mantenerse actualizada. Tanto aquella que es requerida por la norma como toda la necesaria para lograr la efectividad de la SGSI. ◤ Estructura de la norma 8. Operación Control y planificación operacional. Para cumplir con los requisitos del SGSI se debe planificar, implementar y controlar los procesos de la organización. Es esencial hacer una valoración de los riesgos de la Seguridad de la Información y cómo tratarlos. Evaluación y tratamiento de riesgos de la seguridad de la información. Realizar evaluaciones de riesgo en intervalos regulares considerando los criterios establecidos en el proceso de Planificación, esto se conserva como información documentada. Debe poder ejecutarse, evaluarse y medirse para garantizar las medidas de contingencia. ◤ Estructura de la norma 9. Evaluación de Desempeño Monitoreo, revisión y análisis. Establece la necesidad y forma de llevar a cabo el seguimiento, medición, análisis. Auditorías internas. El SGSI debe cumplir los requisitos propios y de la norma Debidamente implementado, auditado e informado. Revisión de la alta dirección. Debe analizar el SGSI con regularidad para asegurar su conveniencia, suficiencia y efectividad. ◤ Estructura de la norma 10. Mejora No conformidades y acciones correctivas. Menciona las formas en que la organización debe tratar las no conformidades (incumplimiento a los requisitos), evaluando las acciones para tratar las causas de no conformidad y evitarlas. Mejora continua. Debe mejorar continuamente en todos aquellos aspectos que promueven la seguridad de la información de la compañía. El SGSI ha de evolucionar en conjunto con la organización. ◤ El Anexo A es un documento normativo compuesto de 114 puntos que sirve como guía para implementar los controles de seguridad específicos de ISO 27001. Si deseamos implementar la norma, la aplicación de dichos controles es obligatoria salvo en los casos que no se puedan aplicar. Todos estos controles están dirigidos a mejorar la Seguridad de la información de la organización en su totalidad. Estructura de la norma Anexo A Recordemos que la seguridad de la información no solo se refiere a lo que comúnmente se conoce como ciberseguridad, ya que un SGSI abarca tanto este tipo de información como la que se encuentra en formato físico y de diferentes áreas como Recursos Humanos, Finanzas, Comercio Exterior, etc. ◤ Relación con otras normas En particular, la norma ISO 27001 se encuentra muy ligada a: ▪ ISO 22301, de continuidad del negocio ▪ ISO/IEC 20000, de gestión de servicios TI (Tecnología de la Información) La norma ISO 22301 trata el tema de la seguridad en la empresa desde una perspectiva mucho más general y global, lo cual influye en aspectos como: Activos financieros, contabilidad, legales y todos los factores ligados con la producción y la operativa. Un aspecto muy importante de la norma ISO 22301 son los tiempos de recuperación. Una cuestión crucial para poder evaluar si nuestro plan de contingencia es el adecuado y lograr reanudar la actividad lo antes posible una vez ha ocurrido el incidente. ◤ Relación con otras normas Por otra parte, tenemos el estándar ISO/IEC 20000 de Gestión de la Calidad de los Servicios TI Este refiere a hosting, páginas web, elearning, desarrollo de software. Siempre ligado a la continuidad del negocio y de los servicios de información y, en conjunto, sirve para garantizar un servicio seguro, sin interrupciones importantes y de calidad. Para finalizar, podemos mencionar otras dos normas adicionales relacionadas como: ▪ ITIL: Es conjunto de normas mejores prácticas para gestionar los servicios IT. ▪ PCI: Se desarrolla para la protección de datos personales que se resguardan en tarjetas de crédito y medios electrónicos que disponga de información sensible del cliente. Hablemos de la norma ◤ ISO / IEC 27002 Como mencionamos antes, en 1995 ISO e IEC dieron origen a un grupo de normas que consolidaron las directrices relacionadas a la Seguridad de la Información, siendo representada por la serie 27000. En este grupo se encuentra la ISO/IEC 27002, que establece el código de mejores prácticas para apoyar la implementación de un SGSI. Su versión más reciente es la ISO 27002:2013. En qué se diferencia con la ISO 27001? Por un lado, ISO 27001 indicará que se debe cumplir con los requisitos “x” y “z” para llevar a cabo el control de un determinado activo de la información de tu organización. Por su parte, ISO 27002 señala que se debe hacer en la práctica para poder cumplir con los requerimientos “x” y “z” que indica la ISO 27001 para este punto. Norma ISO / IEC 27002 Objetivo y Estructura Cual es su objetivo ? El principal objetivo de ISO 27002 es establecer directrices y principios generales para iniciar, implementar, mantener y mejorar la gestión de la seguridad de la información en una organización. ◤ que la adopción o no de ISO 27002 no es un requisito formal Cabe aclarar de ISO 27001. Eso sí, sirve para apoyar la implementación y comprender los controles del Anexo A y su funcionamiento. Cómo está estructurada u organizada ? La ISO 27002 está formada por 14 capítulos. La parte principal de la norma se encuentra distribuida en las siguientes secciones, que corresponden a controles de seguridad de la información. Norma ISO / IEC 27002 Secciones... Políticas de Seguridad de la Información Dentro de este capítulo se hace hincapié en la importancia que ocupa la disposición de una adecuada política de seguridad, aprobada por la dirección, comunicada a todo el personal, revisada de forma periódica y actualizada con los cambios que se producen en el interior y en el exterior. Organización de la Seguridad de la Información Los controles indicados en este capítulo buscan estructurar un marco de seguridad eficiente tanto mediante los roles, tareas, seguridad, etc. como en los dispositivos móviles. Seguridad relativa a los recursos humanos Si analizamos los incidentes de seguridad que se producen en una organización nos daremos cuenta de que la gran mayoría de estos tienen su origen en un error humano. ◤ Norma ISO / IEC 27002 Secciones... Gestión de activos Se centra en la atención en la información como activo y en cómo se deben establecer las medidas adecuadas para guardarlos de las incidencias, quiebras en la seguridad y en la alteración no deseada. Control de acceso Controlar quien accede a la información dentro de un aspecto relevante. Aquí es donde se deben establecer todos los controles como registro de los usuarios, gestión de los privilegios de acceso, etc. Criptografía En el caso de que estemos tratando la información sensible o crítica puede ser interesante utilizar diferentes técnicas criptográficas para proteger y garantizar su autenticidad, confidencialidad e integridad. Seguridad física y del entorno Una simple labor de no dejar las pantallas e impresoras en zonas que sean fácilmente accesibles, por parte del personal externo los documentos con los que se están trabajando no sólo nos permitirán gestionar de forma adecuada la seguridad sino que se acabarán convirtiendo en hábitos que nos aportan eficiencia en la gestión. Norma ISO / IEC 27002 Secciones... Seguridad de las operaciones Tiene un marcado componente técnico entrado en todos los aspectos disponibles como la protección del software malicioso, copias de seguridad, control de software en explotación, gestión de vulnerabilidad, etc. Seguridad de las comunicaciones Partiendo de la base de que la gran mayoría de los intercambios de información y de datos en distintas escalas se llevan a cabo mediante las redes sociales, garantizar la seguridad y proteger de forma adecuada los medios de transmisión de estos datos clave. Adquisiciones, desarrollo y mantenimiento de los sistemas de información La seguridad no es un aspecto de un área en concreto, ni de un determinado proceso, no que es general, abarca toda la organización y tiene que estar presente como elemento transversal clave dentro del ciclo de vida del sistema de gestión. ◤ Norma ISO / IEC 27002 Secciones... Relación con los proveedores Cuando se establecen las relaciones con terceras partes, como puede ser proveedores, se deben establecer medidas de seguridad pudiendo ser muy recomendable e incluso necesario en determinados casos. Gestión de incidentes de seguridad de la información No podemos hablar de controles de seguridad sin mencionar un elemento clave, los incidentes en seguridad. Y es que, estar preparados para cuando estos incidentes ocurran, dando una respuesta rápida y eficiente siendo la clave para prevenirlos en el futuro. Aspectos de seguridad de la información para la gestión de la continuidad de negocio No sabemos lo que necesitábamos un dato hasta que lo hemos perdido. Sufrir una pérdida de información relevante y no poder recuperarla de alguna forma puede poner en peligro la continuidad de negocio de la organización. ◤ Norma ISO / IEC 27002 Secciones... Cumplimiento No podemos hablar de seguridad de la información sin hablar de legislación, normas y políticas aplicables relacionadas con este campo y con las que conviven en las organizaciones. Debemos tener presente que ocupan un enorme lugar en cualquier sistema de gestión y deben garantizar que se cumple y que están actualizados con los últimos cambios siendo esencial para no llevarnos sorpresas. Los controles en ISO 27002 se nombran igual que en el Anexo A de ISO 27001, la diferencia está en el nivel de detalle: ISO 27002 explica un control en una página entera mientras que el Anexo A de ISO 27001 dedica solo una frase a cada control. Sin la descripción proporcionada por la ISO 27002, los controles definidos en el Anexo A de ISO 27001 no se podrían implementar. Proceso de Auditoría Es un proceso llevado a cabo por profesionales especialmente capacitados, consiste en recoger, agrupar y evaluar evidencias para determinar si nuestro SGSI mantiene la integridad de los datos eficazmente a los fines de la organización, si utiliza eficientemente los recursos y cumple con las leyes y regulaciones establecidas. Estas auditorías pueden ser internas o externas... ◤ Auditoria Interna Auditoria Externa Su propósito es garantizar la adhesión a las políticas, procedimientos y procesos determinados por la organización. Suelen ser llevadas a cabo por los clientes o proveedores externos. Así como confirmar el cumplimiento de la norma ISO 27001. Estas auditorías también pueden ser realizadas por los reguladores o cualquier otra parte externa que tenga un interés formal en una organización. Proceso de Auditoría Checklist de Auditoría... El auditor es consciente que antes o después de elaborar una checklist de auditoría para ISO 27001 es que no es un listado inamovible y rígido, sino una herramienta que ha de ser flexible y adaptable a los objetivos y perspectivas del momento. La auditoría se desarrollaría en los siguientes pasos: Revisar la documentación: En este paso el auditor revisa todos y cada uno de los documentos obligatorios, exigidos por ISO 27001. Para ello, es preciso que el auditor se familiarice con los requisitos y los procesos del sistema. Crear la checklist: De modo paralelo a la tarea de revisión de los documentos y aprovechando la inmersión en su contenido, el auditor elabora la lista de verificación. Planificar la auditoría: La tarea puede llevar al auditor a diferentes áreas y ubicaciones. El plan de auditoría debe establecer cuándo visitar cada una de ellas y cuánto tiempo destinar, dependiendo del número de actividades previstas para cada departamento. Realizar la auditoría: La labor de auditoría en sí es eminentemente práctica. Se trata de recorrer las instalaciones, verificando la lista, hablando con los empleados, revisando los ordenadores y otro tipo de dispositivos, determinar las condiciones de seguridad física, la implementación adecuada de los controles. Proceso de Auditoría Checklist de Auditoría... Y continúa con: Redactar los informes: Cuanto más puntual, mejor. En los informes deben aparecer las no conformidades halladas, pero también los puntos positivos relevantes. La lista de verificación es un buen apoyo en este momento para evitar que algo importante se quede fuera. Realizar seguimiento: La tarea de auditoría no culmina con la presentación de los informes. El auditor debe verificar que las acciones correctivas propuestas se implementan y que resultan efectivas. Para finalizar este punto, vemos que la lista de verificación puede ser clave en diferentes momentos del proceso. Por esto es que en la creación de una checklist se ha de tener en cuenta uno a uno: Requisitos del estándar: El listado debe permitir comprobar que se está cumpliendo cada requisito de ISO 27001. Lo ideal es concretar al máximo en relación a la manera en que la empresa, a su modo, ha decido enfocar la conformidad en cada punto con el estándar. Es decir, cada punto de la checklist debe ser fácilmente verificable. Contenido en políticas y procedimientos y planes: Si la política sobre seguridad de la información indica que se debe realizar una copia de seguridad cada seis horas, este debe ser un ítem que forme parte del checklist para ser verificado en su momento. ◤ Beneficios de aplicar ISO 27001/2 Además de asegurar la información de la organización, contar con un SGSI facilitará cumplir con todos los requerimientos legales que ya existen en el ámbito de la protección de la información. Su implementación también permitirá reducir los costes que podrían derivarse de incidentes de seguridad en la empresa. ▪ Aumenta la resistencia a ataques. ▪ Reduce los costos aplicando seguridad a medida de la necesidad ▪ Dada su constante aprendizaje y mejora, se adapta a las amenazas ▪ Ayuda a proteger la información, papel, digital o nube ◤ Y en el caso de las sanciones? ISO 27001/2 Es necesario que las violaciones a las Políticas Seguridad de la Información sean clasificadas e informadas con el objetivo de aplicar medidas correctivas conforme con los niveles de clasificación definidos y mitigar posibles afectaciones contra la seguridad de la información. Las medidas correctivas pueden considerarse desde acciones administrativas, hasta acciones de orden disciplinario o penal, de acuerdo con las circunstancias, si así lo ameritan. Los empleados que estén involucrados en incidentes de incumplimiento pueden ser sancionados o incluso ver terminado su contrato de acuerdo con las condiciones que en él se hayan establecido. Según IBM, el coste medio de una violación de datos es de aproximadamente 3,16 millones de euros (3,79 millones de dólares). ◤ En resumen… Para la implementación de un SGSI , recomendamos: 1. Obtención del apoyo de la dirección 2. Definición del alcance e inventario de activos 3. Análisis de riesgos 4. Desarrollo e implementación del programa de SGSI 5. Herramientas de operación del sistema 6. Auditoría interna 7. Acciones correctivas 8. Auditoría de certificación 9. Operación integrada en la rutina del SGSI 10. Auditorías regulares de vigilancia ◤ Finalizamos con ISO 27001/2… Preguntas? ◤ 27001/2 Finalizamos con ISO 27001/2… Gracias! 27001/2
