Este artículo es la
continuación del análisis de la norma
ISO-27001.
Para facilitar su lectura y que no sea tan
extenso, se presentará en dos partes. En la presente
(Parte I), se desarrollarán los primeros cinco
grupos de controles, dejando los seis restantes para
la parte II del mismo.
PRÓLOGO
En un artículo anterior a este, denominado
"Análisis de la ISO 27001:2005", se desarrollaron los
conceptos generales de este nuevo estándar de seguridad de
la información. Se describió su origen y
posicionamiento, y luego se hizo un resumen de las
consideraciones clave del mismo. En concreto ese texto presentaba
lo siguiente:
"Los detalles que conforman el cuerpo de
esta norma, se podrían agrupar en tres grandes
líneas:
– SGSI (Sistema de Gestión de la
Seguridad de la Ingormación o ISMS: Information Security
Managemet System).
– Valoración de riegos (Risk
Assesment)
– Controles"
De esas tres grandes líneas, por ser una
presentación de la norma, se continuó con las
generalidades y se hizo bastante hincapié en el concepto
de SGSI (o ISMS), por considerarse a este tema el que más
necesitaba ser explicado inicialmente, pues es lo que
verdaderamente hace del estándar un "Sistema completo de
Gestión de la Seguridad" (Si bien hay más aspectos
que están siendo incorporados en una nueva versión
de controles que estará disponible muy
brevemente).
Tal vez la conclusión más importante de
ese texto fuera que "Se puede prever, que la certificación
ISO-27001, será casi una obligación de cualquier
empresa que desee competir en el mercado en el corto plazo". Por
esta razón es que se consideró necesario seguir
adelante con el análisis del mismo.
Los primeros pasos para la implementación de esta
norma son:
– Definir el ámbito y
política del SGSI.
– Proceso de análisis y
valoración de riesgos (Evaluación de
Riesgos).
– Selección, tratamiento e
implementación de Controles.
– ………
El tercer punto anteriormente presentado es
lo que se desarrollará en el presente artículo para
tratar de entrar en el detalle de cada uno de los grupos que
propone ISO 27001.
DESARROLLO
I.
PRESENTACIÓN:
Sobre el tema de Análisis de Riesgo, no se desea
profundizar, pues la norma deja abierto el camino a la
aplicación de cualquier tipo de metodología,
siempre y cuando la misma sea metódica y completa, es
decir satisfaga todos los aspectos que se mencionan en ella.
Existen varios tipos de metodologías, en España las
más empleadas, tal vez sean MAGERIT y COBIT, pero hasta es
posible la aplicación de procedimientos propietarios o
particulares, si presenta rigurosidad en los pasos y
resultados.
Lo que es necesario recalcar aquí es que los
controles serán seleccionados e implementados de acuerdo a
los requerimientos identificados por la valoración del
riesgo y los procesos de tratamiento del riesgo. Es decir, que de
esta actividad surgirá la primera decisión acerca
de los controles que se deberán abordar.
La preparación y planificación de SGSI, se
trató en el artículo anterior, pero en definitiva,
lo importante de todo este proceso es que desencadena en una
serie de controles (o mediciones) a considerar y documentar, que
se puede afirmar, son uno de los aspectos fundamentales del SGSI
(junto con la Valoración de riesgo). Cada uno de ellos se
encuentra en estrecha relación a todo lo que especifica la
norma ISO/IEC 17799:2005 en los puntos 5 al 15, y tal vez estos
sean el máximo detalle de afinidad entre ambos
estándares. La evaluación de cada uno de ellos debe
quedar claramente documentada, y muy especialmente la de los
controles que se consideren excluidos de la misma.
"DESCONCEPTO": Al escuchar la palabra "Control",
automáticamente viene a la mente la idea de alarma, hito,
evento, medición, monitorización, etc…., se
piensa en algo muy técnico o acción. En el caso de
este estándar, el concepto de "Control", es mucho (pero
mucho) más que eso, pues abarca todo el conjunto de
acciones, documentos, medidas a adoptar, procedimientos, medidas
técnicas,
etc………………….
Un "Control" es lo que permite garantizar
que cada aspecto, que se valoró con un cierto riesgo,
queda cubierto y auditable
¿Cómo? Æ De muchas
formas posibles.
El estándar especifica en su "Anexo A" el listado
completo de cada uno de ellos, agrupándolos en once
rubros. Para cada uno de ellos define el objetivo y lo describe
brevemente.
Página siguiente  |