segunda-feira, 20 de julho de 2020

ISO/IEC 27001




Resultado de imagen de ISO/IEC 27001
ISO/IEC 27001 es un estándar Information technology - Security techniques - Information security management systems - Requirements, es decir, para la seguridad de la información, aprobado y publicado como estándar internacional en octubre de 2005 por 

- International Organization for Standardization y 
- por la comisión International Electrotechnical Commission.

Especifica los requisitos necesarios para 

  • establecer, 
  • implantar, 
  • mantener y 
  • mejorar 

un sistema de gestión de la seguridad de la información(SGSI) según es conocido como "Ciclo de Deming": PDCA- acrónimo de Plan, Do, Check, Act, es decir:

  • Planificar, 
  • Hacer, 
  • Verificar, 
  • Actuar. 

Es consistente con las mejores prácticas descritas en ISO/IEC 27002, anteriormente conocida como ISO/IEC 17799, con orígenes en la norma BS 7799-2:2002, desarrollada por la entidad de normalización británica, la British Standards Institution (BSI).


Resultado de imagen de ISO/IEC 27001 

La versión actual de la norma (NTC-ISO-IEC 27001:2013) se encuentra normalizada por el Instituto Colombiano de Normas y Técnicas y Certificación ICONTEC. Esta norma es una adopción idéntica (IDT) por traducción de la norma ISO/IEC 27001:2013, y se encuentra dividida en dos partes; la primera de las cuales se compone de 10 puntos entre los cuales se encuentran:
  1. Objeto y campo de aplicación: Especifica 
    1. la finalidad de la norma y 
    2. su uso dentro de una organización.
  2. Referencias normativas
  3. Término y definiciones: Los términos y definiciones usados se basan en la norma ISO/IEC 27000.
  4. Contexto de la organización: Se busca determinar las necesidades y expectativas dentro y fuera de la organización que afecten directa o indirectamente al sistema de gestión de la seguridad de la información. Adicional a esto, se debe determinar el alcance.
  5. Liderazgo: Habla sobre 
    1. la importancia de la alta dirección y 
    2. su compromiso con el sistema de gestión, 
    3. estableciendo políticas, 
    4. asegurando la integración de los requisitos del sistema de seguridad en los procesos de la organización, 
    5. así como los recursos necesarios para su implementación y 
    6. operabilidad.
  6. Planificación: Se deben 
    1. valorar, analizar y evaluar los riesgos de seguridad de acuerdo a los criterios de aceptación de riesgos, 
    2. adicionalmente se debe dar un tratamiento a los riesgos de la seguridad de la información. 
    3. Los objetivos y los planes para logar dichos objetivos también se deben definir en este punto.
  7. Soporte: Se trata sobre 
    1. los recursos destinados por la organización, 
    2. la competencia de personal, 
    3. la toma de conciencia por parte de las partes interesadas, 
    4. la importancia sobre la comunicación en la organización. 
    5. La importancia de la información documentada, también se trata en este punto.
  8. Operación: se establece 
    1. como se debe planificar y controlar la operación, 
    2. así como la valoración de los riesgos y 
    3. su tratamiento.
  9. Evaluación de desempeño: Debido a la importancia del ciclo PHVA (Planificar, Hacer, Verificar, Actuar), se debe realizar un 
    1. seguimiento, 
    2. medición, 
    3. análisis y 
    4. evaluación del sistema de gestión de la información.
  10. Mejora: Habla sobre 
    1. el tratamiento de las no conformidades, 
    2. las acciones correctivas y 
    3. la mejora continua.
La segunda parte establece los objetivos de control y los controles de referencia.

Resultado de imagen de ISO/IEC 27001 

En España, en el año 2004 se publicó la UNE 71502 titulada Especificaciones para los Sistemas de Gestión de la Seguridad de la Información (SGSI) y que fue elaborada por el comité técnico AEN/CTN 71. Es una adaptación nacional de la norma británica British Standard BS 7799-2:2002.

Con la publicación de UNE-ISO/IEC 27001, -que es la traducción al español del original inglés-, dejó de estar vigente la UNE 71502 y las empresas nacionales certificadas en esta última están pasando progresivamente sus certificaciones a UNE-ISO/IEC 27001.

ISO 27001:2013. Existen varios cambios con respecto a la versión 2005 en la versión 2013. Entre ellos destacan los siguientes:
  • Desaparece la sección "enfoque a procesos" dando mayor flexibilidad para la elección de metodologías de trabajo para el análisis de riesgos y mejoras.
  • Cambia su estructura conforme al anexo SL común al resto de estándares de la ISO.
  • Pasa de 102 requisitos a 130.
  • Considerables cambios en los controles, incrementando el número de dominios a 14 y disminuyendo el número de controles a 114.
  • Inclusión de un nuevo dominio sobre "Relaciones con el Proveedor" por las crecientes relaciones entre empresa y proveedor en la nube.
  • Se parte del análisis de riesgos para determinar los controles necesarios, en lugar de identificar primero los activos, las amenazas y sus vulnerabilidades.
Beneficios a los objetivos de la organización:
  • Demuestra la garantía independiente de los controles internos y 
  • cumple los requisitos de gestión corporativa y 
  • de continuidad de la actividad comercial.
  • Demuestra independientemente que se respetan las leyes y normativas que sean de aplicación.

  • Proporciona una ventaja competitiva 
    • al cumplir los requisitos contractuales y 
    • demostrar a los clientes que la seguridad de su información es primordial.

  • Verifica independientemente que 
    •  los riesgos de la organización estén correctamente identificados, 
    • evaluados y 
    • gestionados 
    • al tiempo que formaliza unos procesos, 
    • procedimientos y 
    • documentación de protección de la información.
  • Demuestra el compromiso de la cúpula directiva de su organización con la seguridad de la información.
  • El proceso de evaluaciones periódicas ayuda a supervisar continuamente el rendimiento y la mejora.
Las organizaciones que simplemente cumplen la norma ISO/IEC 27001 o las recomendaciones de la norma del código profesional, ISO/IEC 27002 no logran estas ventajas

Implantación. La implantación de ISO/IEC 27001 en una organización determinada es un proyecto que suele tener una duración entre 6 y 12 meses, dependiendo 

  • del grado de madurez en seguridad de la información 
  • y el alcance, 

entendiendo por alcance el ámbito de la organización que va a estar sometido al Sistema de Gestión de la Seguridad de la Información elegido. 

En general, se recomienda la ayuda de consultores externos para la implantación.

Las organizaciones 

  • que hayan adecuado previamente de forma rigurosa 
  • sus sistemas de información y 
  • sus procesos de trabajo 

a las exigencias de las normativas legales de protección de datos (p.ej., en España la conocida LOPDy sus normas de desarrollo, siendo el más importante el Real Decreto 1720/2007, de 21 de diciembre de desarrollo de la Ley Orgánica de Protección de Datos) 

  • o que hayan realizado un acercamiento progresivo a la seguridad de la información mediante la aplicación de las buenas prácticas de ISO/IEC 27002, partirán de una posición más ventajosa a la hora de implantar ISO/IEC 27001.

El equipo de proyecto de implantación debe estar 

  • formado por representantes de todas las áreas de la organización que se vean afectadas por el SGSI, 
  • liderado por la dirección y 
  • asesorado por consultores externos especializados en 
    • seguridad informática generalmente Ingenieros o Ingenieros Técnicos en Informática,  
    • derecho de las nuevas tecnologías,  
    • protección de datos y 
    • sistemas de gestión de seguridad de la información (que hayan realizado un curso de implantador de SGSI).
Imagen relacionada

Por lo que respecta a la certificación de un SGSI esta viene a ser el proceso mediante el cual una entidad de certificación externa, independiente y acreditada audita el sistema, 

  • determinando su conformidad con ISO/IEC 27001, 
  • su grado de implantación real y 
  • su eficacia y, en caso positivo, 
  • emite el correspondiente certificado.

Antes de la publicación del estándar ISO 27001, las organizaciones interesadas eran certificadas según el estándar británico BS 7799-2.

Desde finales de 2005, las organizaciones ya pueden obtener la certificación ISO/IEC 27001 en su primera certificación con éxito o mediante su recertificación trienal. La certificación BS 7799-2 ha quedado reemplazada.

Se dan correspondencias del Sistema de Gestión de la Seguridad de la Información (SGSI) con el Sistema de Gestión de la Calidad según ISO 9001:2000 y con el Sistema de Gestión Medio Ambiental según ISO 14001:2004 (ver ISO 14000), hasta el punto de poder llegar a certificar una organización en varias normas y con base en un sistema de gestión común.

Serie 27000. La seguridad de la información tiene asignada la serie 27000 dentro de los estándares ISO/IEC:
  • ISO 27000: Publicada en mayo de 2009, contiene la descripción general y vocabulario a  emplear en toda la serie 27000. Se puede utilizar para tener un entendimiento más claro de la serie y la relación entre los diferentes documentos que la conforman.
  • UNE-ISO/IEC 27001: 2007 "Sistemas de Gestión de la Seguridad de la Información (SGSI). Requisitos". Fecha de la versión española 29 noviembre de 2007. Es la norma principal de requisitos de un Sistema de Gestión de Seguridad de la Información. Los SGSIs deberán ser certificados por auditores externos a las organizaciones. Contempla una lista con los objetivos de control y controles que desarrolla la ISO 27002 (anteriormente denominada ISO 17799).
  • ISO/IEC 27002: (anteriormente denominada ISO 17799). Guía de buenas prácticas que describe los objetivos de control y controles recomendables en cuanto a seguridad de la información con 11 dominios, 39 objetivos de control y 133 controles.
  • ISO/IEC 27003: Guía de implementación de SGSI e información acerca del uso del modelo PDCA y de los requisitos de sus diferentes fases. Tiene su origen en el anexo B de la norma BS 7799-2 y en la serie de documentos publicados por BSI a lo largo de los años con recomendaciones y guías de implantación.
  • ISO 27004: Publicada en diciembre de 2009. Especifica las métricas y las técnicas de medida aplicables para determinar la eficiencia y eficacia de la implantación de un SGSI y de los controles relacionados.
  • ISO 27005: Publicada en junio de 2008. Guía para la gestión del riesgo de la seguridad de la información y sirve, por tanto, de apoyo a la ISO 27001 y a la implantación de un SGSI. Incluye partes de la ISO 13335.
  • ISO 27006: Publicada en febrero de 2007. Especifica los requisitos para acreditación de entidades de auditoría y certificación de sistemas de gestión de seguridad de la información.
Resultado de imagen de ISO/IEC 27001Referencias
  • ISO/IEC 27001:2005 Information technology — Security techniques — Information security management systems - Requirements
  • ISO/IEC 27005:2008 Information technology — Security techniques — Information security risk management
  • ISO/IEC 27006:2007 Information technology — Security techniques — Requirements for bodies providing audit and certification of information security management systems
  • ISO/IEC 27002:2005 Information technology — Security techniques — Code of practice for information security management (anterior ISO/IEC 17799:2005)
  • ISO 9001:2000, Quality management systems — Requirements
  • ISO/IEC 13335-1:2004, Information technology — Security techniques — Management of information and communications technology security — Part 1: Concepts and models for information and communications technology security management
  • ISO/IEC TR 13335-3:1998, Information technology — Guidelines for the management of IT Security — Part 3: Techniques for the management of IT security
  • ISO/IEC TR 13335-4:2000, Information technology — Guidelines for the management of IT Security — Part 4: Selection of safeguards
  • ISO 14001:2004, Environmental management systems — Requirements with guidance for use
  • ISO/IEC TR 18044:2004, Information technology — Security techniques — Information security incident management
  • ISO 19011:2002, Guidelines for quality and/or environmental management systems auditing
  • iSO 90011:2003, GUILLEN AUIDIT ENVIROMENTAL
Otros SGSI

  • SOGP. Otro SGSI que compite en el mercado es el llamado "Information Security Forum's Standard of Good Practice" (SOGP). Es más una "buenas práctica", basado en las experiencias del ISF.

  • ISM3. Information Security Management Maturity Model ("ISM3") (conocida como ISM-cubed o ISM3) está construido en 
    • estándares como ITIL, ISO 20000, ISO 9001, CMM, ISO/IEC 27001, 
    • e información general de conceptos de seguridad de los gobiernos. 
    • ISM3 puede ser usado como plantilla para un ISO 9001 compliant. 
    • Mientras que la ISO/IEC 27001 está basada en controles. 
    • ISM3 está basada en proceso e incluye métricas de proceso.

  • COBIT. En el caso de COBIT, los controles son aún más amplios que en la ISO-IEC 27001. La versión más actual es la COBIT 5.
 
ICONTEC (2015). ICONTEC, ed. Compendio seguridad de la información(Segunda edición edición). Colombia: ICONTEC Internacional. ISBN 978-958-8585-53-6.

Related posts


Postado por às Nenhum comentário:

LOS REALES DE MORELOS

José María Morelos en un peso de 1948
Como aficionado y coleccionista de numismática puedo afirmar sin temor a equivocarme que si realmente existen unas piezas con Historia (con mayúsculas) son las de necesidad. Es cierto que por su naturaleza la moneda de necesidad no suele gozar de una gran belleza estética ni de calidad en su diseños. No obstante, al haberse producido en tiempos de crisis puede reflejar momentos realmente interesantes de la Historia de la Humanidad, como guerras y revoluciones que para bien o para mal dieron pie a cambios significativos. Además, su peor calidad y menor valor intrínseco garantiza en buena medida que, de acuerdo con la ley de Gresham (que, muy básicamente explicada, indica que la moneda "mala" desplaza a la "buena") fueron piezas que circularon de forma extensa entre la población, un hecho que muchos coleccionistas valoramos especialmente. Los reales mejicanos de hoy, de tosquedad bizantina aunque acuñados hace poco más de 200 años, son un buen ejemplo de ello. 



A principios del siglo XIX se daban en Méjico las condiciones perfectas para el estallido de una revolución. Considerada la colonia más rica del imperio ultramarino español y por tanto la que más ingresos reportaba, las desigualdades sociales y económicas dentro de su territorio eran extremas. La gran mayoría de indígenas y mestizos vivía en condiciones de total servidumbre y desposeída de todo tipo de derechos. La población criolla, aunque podía ser considerada como la élite mayoritaria local, desarrolló  un cierto resentimiento hacia  los españoles, normalmente mejor posicionados en el comercio internacional y la función pública. Las haciendas, base de la riqueza económica de los criollos, estaban expuestas a continuas crisis agrarias que mermaban unos ya de por sí limitados ingresos y hacían empeorar aún más las condiciones de los grupos sociales más desfavorecidos, dependientes del trabajo en el campo.

Todos estos problemas importaban muy poco a la metrópoli, más interesada en la obtención de recursos financieros y naturales del virreinato de Nueva España para costear sus campañas contra Inglaterra que en mejorar las condiciones de vida de la población autóctona, criollos incluidos. Solo era necesario esperar el momento propicio, que llegaría en 1808 tras la invasión napoleónica y la consiguiente sensación de confusión y vacío de poder que reinaron en todo el territorio español, no solo peninsular. 

Anverso de moneda fiduciaria de un real, con el monograma de Morelos en la parte superior

José María Morelos (1765-1815) fue un claro exponente de los conflictos latentes y el descontento que caracterizaban al Méjico de los primeros años del siglo XIX. Hijo de padre de ascendencia indígena y madre criolla, compaginó su carrera sacerdotal con inquietudes revolucionarias tras hacerse cargo de varias de las parroquias más empobrecidas del país. No dudó en ponerse a las órdenes de otro célebre párroco, Manuel Hidalgo, tras el conocido como "grito de Dolores" liderando las fuerzas insurgentes en el sur del país en 1810. Tras formar un ejército digno de tal nombre pudo apuntarse notables éxitos en sus campañas frente a las fuerzas realistas, como la toma de Oaxaca en 1812. 

En un momento en que las diferentes facciones insurgentes debatían sobre cuál debía ser la relación de Méjico con España, Morelos defendía la independencia total, al considerar que el trato siempre había sido injusto y desigual. Su nacionalismo poseía unos claros tintes sociales y religiosos, pues apelaba tanto a reformas sociales como a la defensa a ultranza de la fe católica. Promovió la abolición de la esclavitud, los derechos de la población indígena y la reforma agraria, mientras que se esforzaba en mantener el orden y la disciplina en las zonas bajo su control, sabedor de que la sensación de anarquía le restaría apoyo social. 
Reverso de la moneda de real de Morelos, con la palabra SUD bajo arco y flecha

La emisión de moneda fiduciaria puede enmarcarse dentro de estos intentos por mantener el orden y la estabilidad económica. Ante la escasez de plata, que en tiempos de crisis e incertidumbre tiende a atesorarse como valor seguro o a destinarse íntegramente al esfuerzo bélico, Morelos decidió poner en marcha en las zonas bajo su control moneda fiduciaria, es decir, promesas de pago canjeables por su valor en plata u oro una vez triunfase la revolución. Se trataba de piezas de cobre de diferentes valores (8, 2, 1 y medio real) emitidas de forma un tanto precaria, como podemos constatar en la imagen. Esta moneda de un real reproduce en su anverso el monograma de Morelos consistente en las letras M-O-S junto con su valor facial y el año de acuñación, que puede adivinarse como 1812. El reverso refleja la palabra SUD coronada por un arco y una flecha que apunta al norte, alusiva a las campañas militares contra las fuerzas realistas. Esta simplicidad en el diseño, y su relativa uniformidad en la zona de circulación, hace que hoy en día sea difícil identificar la ceca concreta en la que estas monedas fueron acuñadas. 

A partir de 1813, a medida que España se libraba del yugo francés, los reveses militares y la desunión entre los revolucionarios pusieron a Morelos a la defensiva. La constitución del llamado Congreso de Chilpancingo trató de establecer un órgano legislativo operativo en la zona revolucionaria, y aunque aprobó importantes medidas como la abolición de la esclavitud, la igualdad de todos los mejicanos sin distinción de clases o la declaración formal de independencia, se vio constantemente hostigado por las fuerzas realistas. Fue precisamente en defensa del Congreso el momento en que Morelos fue capturado y posteriormente ejecutado en 1815. 

La independencia tendría que esperar unos años pero no muchos. Curiosamente, se produjo en la década de 1820 como reacción a la revolución liberal que tuvo lugar en España tras el pronunciamiento de Rafael Riego, cuyas medidas fueron percibidas como una amenaza sobre las clases dominantes. Para entonces José María Morelos ya formaba parte de la Historia de su país como una figura clave en los primeros pasos para su emancipación así como en la defensa de los más desfavorecidos.  


Sobre la independencia de Méjico y José María Morelos: 
Lynch, J. Las Revoluciones Hispanoamericanas 1808-1826, Ariel Historia, Barcelona 1976 
https://www.biografiasyvidas.com/biografia/m/morelos.htm

Sobre los reales fiduciarios: 
http://blognumismatico.com/2018/10/02/15082/
http://www.anterior.banxico.org.mx/divulgacion/billetes-y-monedas/6--historia-moneda-del-billet.html#MonedadeMorelos

Read more
Postado por às Nenhum comentário:
Assinar: Postagens (Atom)