Capítulo 1
Gestión de la seguridad y normativas
1. Introducción
En la actualidad, y cada vez más, las tecnologías de la información tienen un papel muy importante en cualquier tipo de organización, hasta el punto de integrarse plenamente en los distintos procedimientos de gestión de las mismas.
Por ello, es imprescindible tener un conocimiento básico y genérico sobre las distintas normativas referentes a las tecnologías de la información.
En este capítulo, primeramente se procederá a ofrecer una visión general del código de buenas prácticas para efectuar una adecuada gestión de la seguridad de la información, llamado también norma ISO/IEC 27002.
A continuación, se estudiará la librería de infraestructuras de las tecnologías de la información, herramienta fundamental con una serie de recomendaciones para que la integración de las tecnologías de la información con los servicios de la organización se realice correctamente.
Aparte, las tecnologías de la información van estrechamente ligadas al tratamiento de datos personales, ya que muy frecuentemente los datos personales forman parte de la base de datos de cualquier organización. En este capítulo se da una especial importancia a la normativa referente al tratamiento de datos personales, para evitar incurrir en cualquier infracción debido al desconocimiento de las normas fundamentales.
Para terminar, además de una correcta gestión de la seguridad de la información automatizada, también es vital mantener un nivel adecuado de seguridad física para evitar la intromisión de personas no autorizadas o para prevenir un mal uso de los ficheros manuales que contengan información delicada. Por este motivo, el capítulo termina con una serie de medidas y recomendaciones que aporten a la organización un nivel de seguridad física óptimo.
2. Norma ISO 27002. Código de buenas prácticas para la gestión de la seguridad de la información
La norma ISO/IEC 27002 se crea bajo la coordinación de la International Organization for Standaration y la Comisión Electrotécnica Internacional e, inicialmente, era llamada normativa ISO 17799.
Importante
La norma ISO 17799 consiste en un manual de buenas prácticas para una adecuada gestión de la seguridad de la información.
Se engloba dentro de un conjunto de normativas ISO/IEC 2700X que regulan temas de seguridad en los ámbitos digital y electrónico:
1 ISO 27000: incluye fundamentalmente el vocabulario que se va a utilizar en las normas incluidas en toda la serie para una mayor comprensión de las mismas.
2 ISO/IEC 27001: también es un manual de buenas prácticas pero, en este caso, se incluyen los requisitos necesarios de los sistemas de gestión de seguridad de la información.
3 ISO/IEC 27002: es un estándar para la seguridad de la información (también se considera una guía de buenas prácticas) en el que se incluyen los distintos objetivos de control y controles recomendados para mantener un nivel de seguridad de la información óptimo.
La norma ISO/IEC 27002 está formada por una serie de secciones que se van a describir y detallar brevemente en este apartado:
1 Introducción.
2 Campo de aplicación.
3 Términos y definiciones.
4 Estructura del estándar.
5 Evaluación y tratamiento del riesgo.
6 Política de seguridad.
7 Organización de la seguridad de la información.
8 Gestión de archivos.
9 Seguridad ligada a los recursos humanos.
10 Seguridad física y del entorno.
11 Gestión de comunicaciones y operaciones.
12 Control de accesos.
13 Adquisición, desarrollo y mantenimiento de sistemas de información.
14 Gestión de incidentes de seguridad de información.
15 Gestión de continuidad del negocio.
16 Cumplimientos legales.
Nota
En la norma ISO/IEC 27002 se incluyen un total de 133 controles, aunque cada organización debe considerar previamente cuántos serán realmente los aplicables según sus propias necesidades.
En cada una de las secciones se describen los objetivos de los controles para la seguridad de la información, indicándose también una guía para la implantación de estos controles.
2.1. Introducción
La información es un activo especialmente valioso en cualquier organización, sobre todo si se tiene en cuenta que el entorno empresarial está cada vez más interconectado debido al fenómeno de la globalización.
Este fenómeno provoca que la información cada vez sea más vulnerable ante ataques y amenazas, por lo que resulta imprescindible que esté protegida con un nivel de seguridad lo más elevado posible.
Para establecer sistemas de información seguros, la norma ISO 27002 establece una serie de pasos importantes que debe realizar cada empresa u organización (tanto privadas como públicas):
1 Identificar los requerimientos de seguridad, evaluando los distintos riesgos de la organización.
2 Evaluar metódicamente los riesgos de seguridad para establecer prioridades de gestión de riesgos y controles.
3 Selección de los controles adecuados que se deben implantar para reducir los riesgos a un nivel aceptable.
4 Establecimiento de un punto de inicio de la seguridad como, por ejemplo, implantar una serie de controles como esenciales.
5 Identificación de los factores críticos de éxito en la implementación de la seguridad de la información de la organización.
6 Desarrollo y adaptación de controles propios.
2.2. Objeto y campo de aplicación
Los objetivos de control y los controles de la ISO 27002 se diseñan para que, al implementarse, se satisfagan los requerimientos identificados mediante la evaluación de los riesgos de la organización.
Esta normativa, aparte de mostrar y definir unos controles recomendados, también sirve como orientación de partida para las organizaciones con el fin de elaborar e implantar sus propias medidas de seguridad y para fomentar un ambiente de confianza y participación de las distintas áreas organizativas en las actividades relacionadas con la seguridad de la información.
2.3. Términos y definiciones
En este apartado se recogen las definiciones de los términos más utilizados en esta normativa. Los más significativos son los siguientes:
1 Control: medios para manejar el riesgo, incluyendo políticas, procedimientos, prácticas o estructuras organizacionales, que pueden ser administrativas, técnicas, de gestión o de naturaleza legal.
2 Medios de procesamiento de la información: cualquier