Reflexiones ISO 27000

Borrador
1 / 20
Índex
1. Interpretación Norma 27000
2. Dominios básicos Norma 27000.
3. Relación de Normativas diferenciados familia 27000.
4. Interpretaciones de los Dominios.
5. Conclusiones y Grupos de Actuación.

6. Otros …. De complemento
6.1 Seguridad Fisica y Medioambiental.
6.2 Sistemas Industriales.
6.3 Cifrado

Objetivos de Control y Controles.

Futuro a Desarrollar :
Indicadores, KPIs y método de seguimiento.
 14 Dominios básicos a la Norma 27000
Visión AAM

13 -
CONTINUIDAD DEL NEGOCIO.

1 – POLITICA DE 14- COMPLIANCE.

SEGURIDAD. Cumplimiento Legal.

12 – GESTION DE INCIDENTES.

9 - Seguridad en las
3- telecomunicaciones.
Segurid 8-
ad 10 – Segurid
Adquisición y
Ligada Desarrollo de ad en
11- RELACIONES CON a los los Si’s y Sist. 7- Seg. la
Industriales
LOS Física y
SUMINISTRADORES.
Recurs
Ambiental.
os -------------- Operati
Human 5- Control va.
6-
os. de CIFRADO
Accesos.

4- CLASIFICACIÓN DE ACTIVOS
Y NIVELES DE RIESGOS.
2- ASPECTOS ORGANIZATIVOS DE LA SEGURIDAD DE LA
INFORMACIÓN
Visión Piramidal de la Norma 27000
Una Visión de la Norma muy extendida en Consultoria, donde solamente
se llegan a tratar 10 Dominios.
 Relación de Normas identificadas en la familia 27000. 5
AAM

ISO 27001: Es la norma principal de la serie y contiene los requisitos del sistema de gestión de seguridad de la información.
ISO 27002: guía de buenas prácticas que describe los objetivos de control y controles recomendables.
ISO 27004: KPI’s , Métricas y técnicas de medida para determinar la eficacia de un SGSI y controles relacionados SI
 

ISO 27011: guía de gestión de seguridad de la información específica para telecomunicaciones, elaborada conjuntamente con la ITU
(Unión Internacional de Telecomunicaciones). TN
 
ISO 27031 : guía de continuidad de negocio en cuanto a tecnologías de la información y comunicaciones.

ISO 27032: Módulo donde se realiza una profundización en ciberseguridad.

 
ISO 27033: Proviene de la revisión, ampliación y renumeración de ISO 18028. ITI
Es una norma consistente en 7 partes:
• gestión de seguridad de redes,
• arquitectura de seguridad de redes,
• escenarios de redes de referencia,
• aseguramiento de las comunicaciones entre redes mediante gateways,
• acceso remoto,
• aseguramiento de comunicaciones en redes mediante VPNs y
• diseño e implementación de seguridad en redes.
 
 
ISO 27034: guía de seguridad en desarrollo de aplicaciones. SI

Ver Además
Normativas de Seguridad y Controles CI’s de ISAC (USA) … 
Center for Internet Security (CIS) is a 501(c)(3) not-for-profit organization founded in October, 2000,[1] whose mission is to "enhance the cyber security readiness and
response of public and private sector entities, with a commitment to excellence through collaboration." The company is located in East Greenbush, New York.
 
 
 14 Dominios básicos a la Norma 27000
Visión AAM

13 -
CONTINUIDAD DEL NEGOCIO.

1 – POLITICA DE 14- COMPLIANCE.

SEGURIDAD. Cumplimiento Legal.

12 – GESTION DE INCIDENTES.

9 - Seguridad en las
3- telecomunicaciones.
Segurid 8-
ad 10 – Segurid
Adquisición y
Ligada Desarrollo de ad en
11- RELACIONES CON a los los Si’s y Sist. 7- Seg. la
Industriales
LOS Física y
SUMINISTRADORES.
Recurs
Ambiental.
os -------------- Operati
Human 5- Control va.
6-
os. de CIFRADO
Accesos.

4- CLASIFICACIÓN DE ACTIVOS
Y NIVELES DE RIESGOS.
2- ASPECTOS ORGANIZATIVOS DE LA SEGURIDAD DE LA
INFORMACIÓN
TMB 14 Dominios básicos a la Norma 27000 7

14 DOMINIOS BASICOS.
1- POLÍTICAS DE SEGURIDAD.
Directrices de la Dirección en seguridad de la información.

2 - ASPECTOS ORGANIZATIVOS DE LA SEGURIDAD DE LA INFORMAC.

Organización interna. Dispositivos para movilidad y teletrabajo. Teletrabajo.
3- SEGURIDAD LIGADA A LOS RECURSOS HUMANOS.
Antes de la contratación. Durante la contratación. Cese o cambio de puesto de trabajo.
4- GESTIÓN DE ACTIVOS.
Responsabilidad sobre activos. Clasificación de información. Manejo soportes almacenamiento.
5 - CONTROL DE ACCESOS.
Requisitos de negocio para el control de accesos. Gestión de acceso de usuario.
Responsabilidades del usuario. Control de acceso a sistemas y aplicaciones.
6 - CIFRADO. Controles criptográficos.

7 - SEGURIDAD FÍSICA Y AMBIENTAL. Áreas seguras. Seguridad de los equipos.

8 - SEGURIDAD EN LA OPERATIVA.
Responsabilidades y procedimientos de operación. Protección contra código malicioso. Copias de seguridad.
Registro de actividad y supervisión. Control del software en explotación. Gestión de la vulnerabilidad técnica.
9 - SEGURIDAD EN LAS TELECOMUNICACIONES . Gestión de la seguridad en las redes. -- Intercambio de información con partes externas.
10 - ADQUISICIÓN, DESARROLLO Y MANT. DE LOS SISTEMAS DE INFORMACIÓN .
Requisitos de seguridad de los SI’s. Seguridad en los procesos de desarrollo y soporte. Datos de prueba.

11 - RELACIONES CON SUMINISTRADORES .

Seguridad de la información en las relaciones con suministradores. Gestión de la prestación del servicio por suministradores.
12 - GESTIÓN DE INCIDENTES EN LA SEGURIDAD DE LA INFORMACIÓN .

13. ASPECTOS EN LA GESTIÓN DE LA CONTINUIDAD DEL NEGOCIO.

Continuidad de la seguridad de la información. Redundancias.
14. CUMPLIMIENTO. Marco legal y Buenas Prácticas
Cumplimiento de los requisitos legales y contractuales. Revisiones seguridad de la información.
 14 Dominios básicos a la Norma 27000
Visión AAM

13 -
CONTINUIDAD DEL NEGOCIO.

1 – POLITICA DE 14- COMPLIANCE.

“faro que ilumina “ SEGURIDAD. Cumplimiento Legal.

12 – GESTION DE INCIDENTES.

9 - Seguridad en las
3- telecomunicaciones.
Segurid 8-
ad 10 – Segurid
Adquisición y
Ligada Desarrollo de ad en
11- RELACIONES CON a los los Si’s y Sist. 7- Seg. la
Industriales
LOS Física y
SUMINISTRADORES.
Recurs
Ambiental.
os -------------- Operati
Human 5- Control va.
6-
os. de CIFRADO
Accesos.

4- CLASIFICACIÓN DE ACTIVOS
¿qué protegemos?
Y NIVELES DE RIESGOS.
2- ASPECTOS ORGANIZATIVOS DE LA SEGURIDAD DE LA
INFORMACIÓN
“Puestos Directivos en la organización”
 Agrupación en Procesos de dominios y controles. 9
AAM

Cumplimiento con la normativa vigente. COMPLIANCE.

Aspectos Organizativos.
Puestos, Roles en Materia de Seguridad, Diferencias en Seg. Física y Ciberseguridad.
Inventario de Activos y Análisis de Riesgos.
 14 Dominios, Objetivos de Control y Controles a TMB.
AAM 1 Politica, 14 Marco Legal, Compliance, 2 Puestos, Roles Directivos, 4 Inventario de Activos 10
 14 Dominios básicos a la Norma 27000
Visión AAM
13 -
CONTINUIDAD DEL NEGOCIO.

1 – POLITICA DE 14- COMPLIANCE.

SEGURIDAD. Cumplimiento Legal.

12 – GESTION DE INCIDENTES.

9 - Seguridad en las
3- telecomunicaciones.
Segurid 8-
ad 10 – Segurid
Adquisición y
Ligada Desarrollo de ad en
11- RELACIONES CON a los los Si’s y Sist. 7- Seg. la
Industriales
LOS Física y
SUMINISTRADORES.
Recurs
Ambiental.
os -------------- Operati
Human 5- Control va.
¿Quiénes? os. de
6-
CIFRADO
Accesos.

4- CLASIFICACIÓN DE ACTIVOS
Y NIVELES DE RIESGOS.
2- ASPECTOS ORGANIZATIVOS DE LA SEGURIDAD DE LA
INFORMACIÓN
 14 Dominios, Objetivos de Control y Controles a TMB.
TMB Pilares y Relaciones : 3 SGSI a RRHH empleados (internos, externos), 12
11 Relaciones con Suministradores, Stake Holders, etc…
 Agrupación en Procesos de dominios y controles. 13
AAM

Cumplimiento con la normativa vigente. COMPLIANCE.

Aspectos Organizativos.
Puestos, Roles en Materia de Seguridad, Diferencias en Seg. Física y Ciberseguridad.

Inventario de Activos y Análisis de Riesgos.

Gestión de Recursos Humanos

(empleados, personal subcontratado, Stake holders, etc…)
Establecimiento de relaciones contractuales
(suministradores, mantenedores, autoridades, UTE’s, Colaboraciones, Stake holders, etc…)
 14 Dominios básicos a la Norma 27000
Visión AAM
13 -
CONTINUIDAD DEL NEGOCIO.

1 – POLITICA DE 14- COMPLIANCE.

SEGURIDAD. Cumplimiento Legal.

12 – GESTION DE INCIDENTES.

9 - Seguridad en las
3- telecomunicaciones.
“Pilares“
Segurid 8- Politica Restrictiva
ad 10 – Segurid Buenas Prácticas.
Adquisición y
Ligada Desarrollo de ad en
11- RELACIONES CON a los los Si’s y Sist. 7- Seg. la
Industriales
LOS Física y
SUMINISTRADORES.
Recurs
Ambiental.
os -------------- Operati
Human 5- Control va.
6-
os. de CIFRADO
Accesos.

4- CLASIFICACIÓN DE ACTIVOS
Y NIVELES DE RIESGOS.
2- ASPECTOS ORGANIZATIVOS DE LA SEGURIDAD DE LA
INFORMACIÓN
 14 Dominios, Objetivos de Control y Controles a TMB.
. Pilares : 8 Implementación de tecnologías de la Seguridad, Politicas Restrictivas, 15
TMB
5 Accesos lógicos, Sist. Industriales, 9 Telecomunicaciones, 6 Cifrado , 10 Desarrollo SI’s,
 Agrupación en Procesos de dominios y controles. 16
TMB

Cumplimiento con la normativa vigente. COMPLIANCE.

Aspectos Organizativos.
Puestos, Roles en Materia de Seguridad, Diferencias en Seg. Física y Ciberseguridad.
Inventario de Activos y Análisis de Riesgos.

Gestión de Recursos Humanos

(empleados, personal subcontratado, Stake holders, etc…)

Establecimiento de relaciones contractuales

(suministradores, mantenedores, autoridades, UTE’s, Colaboraciones, Stake holders, etc…)

Implementación de tecnologías de la seguridad.

Seguridad en la Operativa, Politicas Restrictivas.
Control de Accesos, ¿Quién, Qué, Cómo acceden?,
Defensa en profundidad, encriptación, etc…
Telecomunicaciones, Sistemas Industriales (TO`s), Sistemas de Información.
 14 Dominios básicos a la Norma 27000
Visión AAM
Nuestro servicio 13 -
debe continuar CONTINUIDAD DEL NEGOCIO.

1 – POLITICA DE 14- COMPLIANCE.

SEGURIDAD. Cumplimiento Legal.

Aprendamos de la historia. 12 – GESTION DE INCIDENTES.

9 - Seguridad en las
3- telecomunicaciones.
Segurid 8-
ad 10 – Segurid
Adquisición y
Ligada Desarrollo de ad en
11- RELACIONES CON a los los Si’s y Sist. 7- Seg. la
Industriales
LOS Física y
SUMINISTRADORES.
Recurs
Ambiental.
os -------------- Operati
Human 5- Control va.
6-
os. de CIFRADO
Accesos.

4- CLASIFICACIÓN DE ACTIVOS
Y NIVELES DE RIESGOS.
2- ASPECTOS ORGANIZATIVOS DE LA SEGURIDAD DE LA
INFORMACIÓN
AAM 14 Dominios, Objetivos de Control y Controles 18
13 Continuidad del Negocio, contingencia, 12 Incidentes, patrones, 8 Operativa.
 Agrupación en Procesos de dominios y controles.
4 GRUPOS. 19
AAM

Cumplimiento con la normativa vigente. COMPLIANCE.

Aspectos Organizativos.
Puestos, Roles en Materia de Seguridad, Diferencias en Seg. Física y Ciberseguridad.
Inventario de Activos y Análisis de Riesgos.

Gestión de Recursos Humanos

(empleados, personal subcontratado, Stake holders, etc…)
Establecimiento de relaciones contractuales
(suministradores, mantenedores, autoridades, UTE’s, Colaboraciones, Stake holders, etc…)

Implementación de tecnologías de la seguridad.

Seguridad en la Operativa, Politicas Restrictivas.
Control de Accesos, ¿Quién, Qué, Cómo acceden?,
Defensa en profundidad, encriptación, etc…
Telecomunicaciones, Sistemas Industriales (TO`s)

Gestión de Continuidad.
Alertas, eventos, Informes de Incidentes, Servicios críticios priorizados, contingencia.
20 / 20