Download - Mapas EstáNdares
Reglas
guíasPrácticas
Políticas
Medidas organizativas
Técnicas
ISO
IECNorma Internacional (ISO/IEC)
Comités Técnicos
Informe Técnico
CEN
Normas europeas
Subcomités
Grupos de Trabajo
Comisión Electrotécnica Internacional
Especificaciones técnicas
Informes técnicos
Asociación Española de Normalización
SC 27
Identificación de requisitos genéricos
GT1
Normalización de algoritmos criptográficos
Desarrollo del soporte de la gestión
Desarrollo de guías de seguridad
Desarrollo de técnicas y mecanismos
GT2
GT3
Mecanismos y técnicas de seguridad
Requisitos, servicios de seguridad y guías
Criterios y evaluación de seguridad
Modo de actuación
Gestión de identidad y privacidad
GT4
Mantener coherencia
Hitos
GT5
Servicios y controles de seguridad
Apoyar difusión y uso denormas de seguridad
Elaboración de proyectos normas nacionales UNE
Canalizar normalización nacional e internacional
Apoyar integración de sectores público y privado
Papel de editor en proyectos de normas nacionales e internacionales
AEN/CTN 71/SC27Normas UNE relativas a la seguridad
Apoyar desarrollo de normas de seguridad
Demandas de actuación
Reuniones internacionales SC27
Traducción de normas ISO/IEC para producción de normas UNE
Contribución a la normalización internacional
Formación de posición común relativa al voto en los procedimientos
CuestionesPasos para garantizar seguridad en los sistemas
Pone de manifiesto que se lleva a cabo una administración competente
Organización Internacional deNormalización
Comité Europeo de Normalización
AENOR
Gestión de seguridad en Información
Técnicas y mecanismos
Gestión de Identidad y privacidad
Servicios y controles de seguridad
Evaluación de seguridad de las TI
Grupos de Trabajo
Papel en las TI
Normalización ISO/IEC SC27
Organizaciones
definiciones
Normas
SubcomitéISO/IEC JTC1/SC 27
Normas de Seguridad de Tecnologías de información
Coherente con los principios generales del gobierno te TI
Marco de normas de gestión de seguridad
Sistemas de gestión de la seguridad
Coherente con las guías ISO
Principios
Normas relativas a controles y salvaguardas
Coherente con principios de OCDE
Norma de métricas
Norma relativa de análisis y gestión de riesgos
Otras normas necesarias para desarrollar áreas técnicas específicas
Coherente con sistemas de gestión ISO 9001
Marco de normas de gestión de seguridad de la información
Normas relativas a sistemas de gestión de seguridad
Servicios de fechado electrónico
Análisis y gestión de riesgos
Controles y salvaguardas
Funciones hash criptográficas
Auditoría
Métricas
Autenticación de entidades
algoritmos de cifrado simétricos
Directrices de implantación
Requisitos de módulos criptográficos
Difusión y concienciación
Otros aspectos
Mecanismos de no repudio
Técnicas criptográficas basadas en curvas elípticas
Gestión de claves
Normas relativas a auditoría de gestión de seguridad
Amenazas identificadas
Directrices relativas a la difusión y concienciación de seguridad
Política de seguridad
Supuestos de seguridad
Normas
Requisitos funcionales
Objetivos de seguridad
Requisitos de aseguramientoNorma ISO/IEC Evaluation criteria for IT secutury
Normas
Técnicas y mecanismos
Norma ISO/IEC Methodology for IT security
Norma ISO/IEC TR Guide for the production of protection rpofiles and security targets
Gestión de seguridad de la información
Cobertura
Evaluar el riesgo debido a backups insuficientes
CoBIT
Indicador
NIST 800-55
Porcentaje de datos y operaciones críticas con frecuencia de backup establecida
Archivos críticos con backup establecido/ archivos que requieren backup
de lapso
Fórmula
de forma
Propósito
Métrica
Madurez
Rendimiento
Propósito Recoger, analizar y comunicar datos de SI
Conocer, evaluar y gestionar seguridad de SIFinalidad
% de archivos que requerían backup, copiados conforme a procedimientos
Key Performance Indicators
Medición de procesos Resultado
Activity goals
Permiten
CMM, Balance scorrecard, métricas de análisis de riesgos Definición de objetivos y métricas de procedimientos
Benchmarking de capacidad de procesos
Controlar eficacia y eficiencia
Analizar y comprender el estado de la seguridad
Predecir el tiempo y costo de un proyecto
Mejorar la gestión de seguridad de la información
Sistemas de monitorización CoBIT
Métricas de gestión de la seguridad
Key Goal IndicatorsIndicadores
Indicadores, métricas o medidas de seguridad
Métricas de seguridad de la información
Norma 27001
Entender requisitos de seguridad
Modelo
Visión general
Relación costo-beneficio
Información necesaria
Requisitos de stakeholders
Rendimiento
Políticas de seguridad
Identificar y documentar participantes
Estratégica
Cuantitativa
Razonable
Interpretativa
Verificable
Evolutiva
Útil
Indivisible
Repetible
Cumplir criterios
Controles y objetivos
Documentar
Indicadores
Objetivos de medición
Objetos de negocio
Medidas individuales
Proceso de análisis de datos
Proceso y formato de informes
Funciones y responsabilidades de satakeholders
Cómo medir
Pruebas
Producción de registros, informes y pistas de auditoría
Registro de acontecimientos
Métricas de seguridad de la información
Muestras estadísticas
Informes de incidentes
Mejora continua basada en mediciones objetivas
Métricas o medidas
Base
Identificación
Proceso de medición
Verificar alcance de requisitos de seguridad
Objeto
Controlar y revisar comportamiento y eficacia de SGSI
Implantar controles para gestionar riesgos
Comunicar el valor de la seguridad
Evaluar eficiencia de implantación
Evaluar eficacia de sistema de gestión
Proporcioanr un estado de seguridad para revisión
Derivada
Aportación al plan de tratamiento de riesgos
Tipos de medidasCumplimiento
Evaluación y análisis de riesgos
Establecimiento de prioridades
Selección de controles y objetivos de control
Auditorías internas o externasMedidas de gestión de la seguridad
cuestionarios y preguntas
Cómo se desarrolla Selección de controles
Proceso de medida
Alcance y objeto de la norma
Favorece su desarrollo
Afianza la posición de la organización
Potencia la imagen de marca
Constituye un factor competitivo
permite superar barreras técnicas
Fidelización y captación de nuevos clientes
Ante el mercado
Se mejora comunicación con el cliente
Mayor confianza al clienteAnte los clientes
Mejora de procesos y servicios prestados
Ante la gestión de la organización
Aumento de la satisfacción del cliente
Conocimiento y depuración de los procesos internacionales
Ahorro de tiempo y recursos necesarios
Mejor gestión de los recursos
Estímulo para entrar en un proceso de mejora continua
Análisis dle riesgo
Valoración del riesgo
Evaluación del riesgo
Riesgo residual
Definir política de seguridad
Realizar análisis de riesgos
Seleccionar los controles
Do
Implantar los controles
Revisar internamente el SGSICheck
Adoptar las acciones correctivasAct
Adoptar las acciones preventivas
Modelo PDCA Implantar el SGSI
Implantar plan de gestión de riesgos
Realizar auditorias internas del SGSI
Características
Gestión de riesgo
Tratamiento del riesgo
Aceptación del riesgo
Requisitos para establecer, implantar, poner en funcionamiento, controlar, revisar, mantener y mejorar su SGSI
Identificación de riesgos
Metodología para valoración de riesgo
Establecer alcance de SGSIPlan
Política
Alcance
Análisis y evaluación de riesgos
Identificación de tratamientos del riesgo
SGSI
Establecimiento y gestión
Plan de tratamiento del riesgo
eficaciade dichos controles
Selección de los controles
Eficacia del SGSI
programas de formación y concienciación
Medidas correctivas y preventivas
Procedimiento documentado
Implantación y puesta en marcha
Sistema de registro
Control y evaluación
Anexos
cultura de la seguridad
Procedimientos para control y revisión
Auditorías de seguridad y mediciones
ISO 27001
Beneficios de sistemas de gestión
Procesos externalizados
Legislación y normas sectoriales
El riesgo de las TSI
Resumen ejecutivo
Esquema
Las TSI están alineadas con el negocio
Las TSI posibilitan la realización de la actividad del negocio
Monitorizar y evaluar
Los recursos de TSI son utilizados de forma responsable
Efectividad o eficacia
Eficiencia
Confidencialidad
Integridad
Apéndices
Disponibilidad
Cumplimiento
Contenido central
Confiabilidad
Requerimientos del negocio
Aplicaciones
Información
Infraestructura
Personal
Recursos de TSI afectados
Alineación estratégica
Entrega y servicio que añada valor
Gestión del riesgo
Medición del rendimiento
Gestión de recursos
Cuadro de objetivos y métricas aplicables Indicadores clave de rendimiento
Indicadores de objetivos clave de procesos
Indicafores de objetivos clave de TSI
Objetivos de actividad
Objetivos de procesos
Objetivos de TSI
Apartados
Modelo de madurez
0-No existente
1-Inicial
2- Repetible
3-Definido
4-Gestionado
5-Optimizado
Áreas Centrales para el gobierno de TSI
Objetivos de control del detalle
Directrices de gestión
Responsabilidades de los distintos niveles de Dirección y gerencia
Marco de referencia
Los riesgos de TSI son gestionados adecuadamente
Los riesgos provienen de muchos casos
CoBIT 4 no incluye detalles técnicos sobre determinadas plataformas
Su implantación puee ser apoyada por auditoría
CoBIT puede ser aplicada a todas las empresas
Los criterios y procesos no deben ser rígidos
La aplicación de CoBIT debe realizarse si el esquema es eficiente
A. Análisis y comprensión del contenido de CoBit
C. Definir el valor que aportará
B. Fundamentación de la utilidad
D. Análisis y evaluación del riesgo
E. Definición de los dominios, procesos y actividades de TSI
F.Definición de los controles a implantar
TSI como recurso crítico
Gestión y gobierno
Estructura
Debe permitir el crecimiento controlado de TSI
Aplicación
Orden de implementación
Elementos externos en la gestiónIntroducción
Dominios
Normas complementarias para elementos puntuales de TSICoBIT 7
Ayuda al gobierno de TSI en su globalidad
Entregar y dar soporte
Adquirir e implementar
Planificar y organizar
Gestión de seguridad
Diseño y planificación
Despliegue
Operaciones
Soporte técnico
Gestión de servicios
Gestión de la infraestrctura TI
Gestión de aplicaciones
Soporte del servicio
Provisión de Servicio
Soporte de Servicio
Gestión de la disponibilidad
Gestión de cambios
Objetivos
Centro de servicios
Conceptos básicos
Alcance
Gestión de incidentes
Elementos de configuración
Base de datos
Planificación
Identificación
Control
Monitorización
Gestión dle cambio
Gestión de la versión
Gestión de nivel de servicios
Gestión financiera
Gestión de la disponibilidad
Gestión de la continuidad
Gestión de la capacidad
Procesos relacionados
Costos
Problemas
Gestión del problema
Gestión del incidente
Verificación y auditorías
Gestión de configuración
Actividades
Planificación para la aplicación de los servicios de gestión
Gestión de problemas
Gestión de la capacidad
Perspectiva de negocio
Gestión financiera
Gestión de niveles de servicio
Gestión de versiones
Presupuestación
Contabilidad de TSI
CargosEntrega del servicio
Gestión de continuidad
Se describen mejor los servicios
Se manejan mejor la calidad y costo
Mejora la comunicación con la organización
La org desarrolla una estructura más clara y eficaz
La dirección tiene más control
Brinda un marco para concretar adecuadamente la externalización
La provisión se orienta más al cliente
Cliente/Usuario
Calidad global mejorada
Soporte del negocio más fiable
Mejores relaciones de trabajo entre los clientes y el proveedor
incremento en la productividad
Financieros
Organización
Visibilidad y reputación mejorada del departamento de TSI
Beneficios financieros a largo plazo
Empleado
Comprensión más clara de requisitos
Mejor información sobre servicios actuales
Mayor flexibilidad para el negocio Innovación
La plantilla sabe que esperar de las TSI
Infraestructura de TSI y servicios justificados en costos
Capacidad mejorara para reconocer tendencias al cambio
Mayor productividad
Internos
Roles y responsabilidades claramente definidos
Visión más clara de la capacidad de TSI
Comunicaciones mejoradas y trabajo inter-equipos
Mejor información sobre los servicios actuales
Métricas e informes mejorados
Procedimietos de continuidad dle servicio de acuerdo a las necesidades del negocio
Negocio
Clientes saben qué esperar
Sarisfacción del clienteBeneficios LibrosITIL
Alcance
Generación de informes del servicio
Gestión de la continuidad y disponibilidad del servicio
Gestión de la capacidad
Presupuestar y contabilizar servicios de TSI
Términos y definiciones
Gestión de seguridad de la información
Requisitos de un Sistema de Gestión
Planificación e Implementación de la Gestión del Servicio
Gestión de Nivel del servicio
Procesos de Provisión de Servicio
Gestión de Relaciones con el negocio
Subtema
Gestión de configuración
Gestión del cambio
Procesos de resolución
Procesos de control
Proceso de entrega de versiones Proceso de gestión d entrega
Gestión de suministradores
Gestión del incidente
Gestión del problema
Guías y recomendaciones relativas a las buenas prácticas de gestión del servicio.
Procesos de relación
Parte 1. EspecificaciónUNE-ISO/IEC 20000
Parte 2. Código de prácticas
Todas las transacciones están autorizadas
Los activos están protegidos contra el uso no autorizado
Las transacciones están correctamente registradas
Declaración de responsabilidad sobre la estructura de control
Identificación del marco de operación
Relice y documente evaluación de efectividad
Su informe sea refrendado por el auditor externo
Sección 404
Exige a la dirección
Sección 302
Revisar el informe que se presenta
Informar a auditores independientes las deficiencias significativas
Los estados financieros básicos y la información financiera adicional
Ejecutivos certificadores son responsables del establecimiento de controles
Todos los certificadores han evaluado la efectividad de los controles
Riesgos del negocio y su impacto en el proceso
Cuentas significativas
Impacto
Identificar
Características
Desarrollo de aplicaciones
Funciones específicas de TSI
El desarrollo del proceso de cierre
Procesos de TSI vinculados
EL flujo de transacciones
Procesos significativos en su impacto en estados contables
Actividades de explotación de sistemasClasificación de procesos
Control de cambios a producción
Procesos y controles automatizados dentro de las actividades del negocio
Principales secciones
Controles de "Entity-level"
Implantación de sistema de control
Controles de TSI
Controles generales de TSI
Remota
Posible
Probable
Intrascendente
Material
Trascendente
Significativa
MaterialNiveles de deficiencias
Volumen de error potencial
Probabilidad de ocurrencia
Presentar conlcusiones respecto a la eficacia de los controles
Aspecto específico de TSIIdentificar las posibles aserciones erróneas
Identificar las partidas significativas de los estados financieros
Accesos a programas y datos
Deficiencias detectadas en el sistema
Planificación y ejecución de la conversión de datos
Desarrollo de aplicaciones
Gestión del programa de actividades
Análisis y diseño
Pruebas y aseguramiento de la calidad
Documentación de usuario y técnica y formación
Controles en construcción
Desarrollo de pruebasCambios a programas
Procedimientos de selección de paquetes SW/HW
Modelo de organización y estión
Modelo de gestión de la seguridad de las aplicaciones
Existencia de políticas y procedimientos
Acceso a programas y datos
Pasos especificados, con autorización y seguimiento
Modelo de gestión de sistemas operativos
Autorización del paso al entorno de producción
Documentación técnoca y de usuario y formación
Modelo de gestión de la seguridad de los datos
Seguridad de la red perimentral
Seguridad de la red interna
Controles típicos de TSI
Operaciones
Existencia de políticas y procedimientos
Modelo de organización y gestión
Planificación y ejecución de procesos batch
Gestión de copias de seguridad
Procedimientos de recuperación de fallos operativos
Seguridad física
Controles de aplicación
Gestión de proyectos
Modelo de gestión del programa de actividades de desarrollo
Sarbanes-Oxley
Identificar las aserciones acertadas para evaluar la complejidad de sistemas
Garantizar y evaluar riesgos
Discutir estado de riesgos
Tomar en cuenta la información de riesgos
Implantar mecanismos de supervisiónGestores
Consejo de administración
Gestión del riesgo
Supervisar riesgos
Actividades de control
Transmitir información que afecte al sistema
Auditores internos
Evaluación de riesgos
Recomendaciones de mejoras
Implantación de ERM
Alinea la tolerancia al riesgo y la estrategia
Relaicona crecimiento, riesgo y retorno de inversión
Amplía las decisiones de respuesta al riesgo
Identifica y gestiona riesgos en los distintos niveles
Proporciona respuestas integradas a los múltiples riesgos
Ayuda a organizaciones a lograr objetivos y evitar pérdidas
Informa a gestores de riesgos y consejo para establecer supervisión
Aprovecha estratégicamente las oportunidadesBeneficios
Mejora los sistemas de reporte
Asegurar ligación entre planes y operaciones de TSI
Ejecución del valor aportado por las TSI
Alineamiento estratégico
Ayuda a asegurar el cumplimiento con leyes y reglamentos
Medición del desempeñoProcesos de medición de objetivos y alineamiento
Ofrece un sistema por el cual los reultados son infaliblesGestión de recursosUtilización efectiva y eficiente de recursos
Entrega de valorCOSO y CoBIT Mitos
Sólo sirve para catalogar o tomar inventario de riesgos
Resuelve todo y con él se pueden tomar deciones básicas
Otro personal
Responsabilidades
COSO
Es un modelo muy costoso de implementar
ERM versa sobre asuntos financieros y seguros
Favorece su desarrollo
Afianza la posición de la organización
Constituye un factor competitivo
Potencia la imagen de marcaAnte el mercado
Fidelización y captación de nuevos clientes
Se mejora comunicación con el cliente
Mayor confianza al clienteAnte los clientes
Ante la gestión de la organización
Permite superar barreras técnicas
Aumento de la satisfacción del cliente
Conocimiento y depuración de los procesos internacionales
Mejora de procesos y servicios prestados
Ahorro de tiempo y recursos necesarios
Mejor gestión de los recursos
Estímulo para entrar en un proceso de mejora continua
Definir políticas de seguridad
Establecer alcance de SGSI
Realizar análisis de riesgos
Seleccionar los controles
Implantar plan de gestión de riesgos
Implantar el SGSIDo
Implantar los controles
Realizar auditorías internas del SGSI
Adoptar las acciones correctivasAct
CheckRevisar internamente el SGSI
Adoptar las acciones preventivas
Requisitos del SGSI
Gestión de riesgo
Tratamiento del riesgo
Riesgo residual
Análisis del riesgo
Aceptación del riesgo
Valoración del riesgo
Evaluación del riesgo
Alcance
Política
Valoración de riesgo
Establecimiento y gestión
Selección de controles
Análisis y evaluación
Identificaión de riesgos
Plan de tratamiento del riesgo
Eficacia de dichos controles
Identificación de tratamientos de riesgo
Cultura de la seguridad
Control y evaluación
Implantación y puesta en marcha
Procedimientos para control y revisión
Auditorías de seguridad y mediciones
Procedimiento documentado
Sistema de registro
Anexos
Programas de formación y concienciación
Eficacia del SGSI
Medidas correctivas y preventivas
Características
SGSI
Beneficios de sistemas de gestión
Plan
Modelo PDCA
ISO 27001
Organización de Seguridad
Conceptos
Recursos Humanos
Conformidad legal Seguridad Física
Gestión de comunicaciones y operaciones
Control de accesoCompras, desarrollo y mantenimiento de sistemas
Política de Seguridad
Gestión de la continuidad del negocio
Gestión de Activos
Análisis y gestión de riesgosNorma ISO 17799