De Wikipedia, la enciclopedia libre
Ir a navegaciónSaltar a buscar

ISO / IEC 27002 es un estándar de seguridad de la información publicado por la Organización Internacional de Normalización (ISO) y por la Comisión Electrotécnica Internacional (IEC), titulado Tecnología de la información - Técnicas de seguridad - Código de prácticas para controles de seguridad de la información .

Los estándares de la serie ISO / IEC 27000 descienden de un estándar de seguridad corporativo donado por Shell a una iniciativa del gobierno del Reino Unido a principios de la década de 1990. [1] El estándar Shell se desarrolló en el estándar británico BS 7799 a mediados de la década de 1990 y se adoptó como ISO / IEC 17799 en 2000. El estándar ISO / IEC fue revisado en 2005 y renumerado ISO / IEC 27002 en 2007 para alinear con las otras normas de la serie ISO / IEC 27000 . Se revisó nuevamente en 2013. Más tarde, en 2015, se creó la ISO / IEC 27017 a partir de esa norma con el fin de sugerir controles de seguridad adicionales para la nube que no estaban completamente definidos en ISO / IEC 27002.

ISO / IEC 27002 proporciona recomendaciones de mejores prácticas sobre controles de seguridad de la información para que las utilicen los responsables de iniciar, implementar o mantener sistemas de gestión de seguridad de la información (SGSI). La seguridad de la información se define dentro del estándar en el contexto de la tríada CIA :

la preservación de la confidencialidad (asegurando que la información sea accesible solo para aquellos autorizados a tener acceso), integridad (salvaguardando la exactitud e integridad de la información y los métodos de procesamiento) y disponibilidad (asegurando que los usuarios autorizados tengan acceso a la información y los activos asociados cuando sea necesario) . [2]

Esquema

Esquema para ISO / IEC 27002: 2013

El estándar comienza con 5 capítulos introductorios:

  1. Introducción
  2. Alcance
  3. Referencias normativas
  4. Términos y definiciones
  5. Estructura de esta norma

Estos son seguidos por 14 capítulos principales:

  1. Políticas de seguridad de la información
  2. Organización de la seguridad de la información
  3. Seguridad de los recursos humanos
  4. Gestión de activos
  5. Control de acceso
  6. Criptografía
  7. Seguridad física y ambiental
  8. Seguridad operativa: procedimientos y responsabilidades, protección contra malware, respaldo, registro y monitoreo, control de software operativo, gestión de vulnerabilidades técnicas y coordinación de auditorías de sistemas de información
  9. Seguridad de las comunicaciones: gestión de la seguridad de la red y transferencia de información
  10. Adquisición, desarrollo y mantenimiento de sistemas: requisitos de seguridad de los sistemas de información, seguridad en los procesos de desarrollo y soporte y datos de prueba
  11. Relaciones con los proveedores: seguridad de la información en las relaciones con los proveedores y gestión de la prestación de servicios con los proveedores
  12. Gestión de incidentes de seguridad de la información: gestión de incidentes y mejoras de seguridad de la información
  13. Aspectos de seguridad de la información de la gestión de la continuidad del negocio: continuidad y redundancias de la seguridad de la información
  14. Cumplimiento: cumplimiento de los requisitos legales y contractuales y revisiones de seguridad de la información

Dentro de cada capítulo, se especifican y describen los controles de seguridad de la información y sus objetivos. Los controles de seguridad de la información generalmente se consideran medios de mejores prácticas para lograr esos objetivos. Para cada uno de los controles, se proporciona una guía de implementación.

Los controles específicos no son obligatorios ya que:

  1. Se espera que cada organización lleve a cabo un proceso estructurado de evaluación de riesgos de seguridad de la información para determinar sus requisitos específicos antes de seleccionar los controles que sean apropiados para sus circunstancias particulares. La sección de introducción describe un proceso de evaluación de riesgos, aunque existen normas más específicas que cubren esta área, como ISO / IEC 27005 . El uso del análisis de riesgos de seguridad de la información para impulsar la selección e implementación de controles de seguridad de la información es una característica importante de la serie ISO / IEC 27000Estándares: significa que los consejos genéricos de buenas prácticas de este estándar se adaptan al contexto específico de cada organización de usuarios, en lugar de aplicarse de memoria. No todos los 39 objetivos de control son necesariamente relevantes para todas las organizaciones, por ejemplo, por lo que pueden no considerarse necesarias categorías enteras de control. Los estándares también son abiertos en el sentido de que los controles de seguridad de la información son 'sugeridos', dejando la puerta abierta para que los usuarios adopten controles alternativos si lo desean, siempre que los objetivos clave de control relacionados con la mitigación de los riesgos de seguridad de la información, estan satisfechos. Esto ayuda a mantener la relevancia del estándar a pesar de la naturaleza cambiante de las amenazas a la seguridad de la información, las vulnerabilidades y los impactos, y las tendencias en el uso de ciertos controles de seguridad de la información.
  2. Es prácticamente imposible enumerar todos los controles concebibles en una norma de propósito general. Las pautas de implementación específicas de la industria para ISO / IEC 27001: 2013 e ISO / IEC 27002 ofrecen asesoramiento adaptado a las organizaciones en la industria de las telecomunicaciones (consulte ISO / IEC 27011 ) y la atención médica (consulte ISO 27799 ).

La mayoría de las organizaciones implementan una amplia gama de controles relacionados con la seguridad de la información, muchos de los cuales son recomendados en términos generales por ISO / IEC 27002. Estructurar la infraestructura de controles de seguridad de la información de acuerdo con ISO / IEC 27002 puede ser ventajoso ya que:

  • Está asociado con un estándar internacional muy respetado.
  • Ayuda a evitar lagunas y superposiciones de cobertura
  • Es probable que sea reconocido por aquellos que están familiarizados con la norma ISO / IEC.

Ejemplo de implementación de ISO / IEC 27002

A continuación se muestran algunos ejemplos de políticas típicas de seguridad de la información y otros controles relacionados con tres partes de ISO / IEC 27002. (Nota: esto es simplemente una ilustración. La lista de controles de ejemplo está incompleta y no es de aplicación universal).

Seguridad física y ambiental

  • El acceso físico a las instalaciones y la infraestructura de apoyo (comunicaciones, energía, aire acondicionado, etc.) debe ser monitoreado y restringido para prevenir, detectar y minimizar los efectos del acceso no autorizado e inapropiado, manipulación, vandalismo, daños criminales, robo, etc.
  • La lista de personas autorizadas para acceder a áreas seguras debe ser revisada y aprobada periódicamente (al menos una vez al año) por la Administración o el Departamento de Seguridad Física, y verificada por sus gerentes departamentales.
  • Está prohibido tomar fotografías o grabar videos dentro de las áreas restringidas sin el permiso previo de la autoridad designada.
  • Se deben ubicar cámaras de videovigilancia adecuadas en todas las entradas y salidas de las instalaciones y otros puntos estratégicos como áreas restringidas, grabadas y almacenadas durante al menos un mes, y monitoreadas las 24 horas por personal capacitado.
  • Se pueden proporcionar tarjetas de acceso que permitan el acceso por tiempo limitado a áreas generales y / o específicas a los aprendices, proveedores, consultores, terceros y otro personal que haya sido identificado, autenticado y autorizado para acceder a esas áreas.
  • Aparte de las áreas públicas como el vestíbulo de recepción y las áreas privadas como los baños, los visitantes deben ser acompañados en todo momento por un empleado mientras se encuentren en las instalaciones.
  • La fecha y hora de entrada y salida de los visitantes junto con el propósito de las visitas deben registrarse en un registro mantenido y controlado por Seguridad del Sitio o Recepción.
  • Todos en el sitio (empleados y visitantes) deben usar y mostrar su pase válido emitido en todo momento, y deben presentar su pase para inspección a solicitud de un gerente, guardia de seguridad o empleado interesado.
  • Los propios sistemas de control de acceso deben estar adecuadamente protegidos contra accesos no autorizados / inapropiados y otros compromisos.
  • Se deben realizar simulacros de incendio / evacuación periódicamente (al menos una vez al año).
  • Está prohibido fumar dentro de las instalaciones excepto en las zonas designadas para fumadores.

Seguridad de los recursos humanos

  • Todos los empleados deben ser examinados antes del empleo, incluida la verificación de identidad con un pasaporte o una identificación con foto similar y al menos dos referencias profesionales satisfactorias. Se requieren controles adicionales para los empleados que ocupan puestos de confianza.
  • Todos los empleados deben aceptar formalmente un acuerdo vinculante de confidencialidad o no divulgación con respecto a la información personal y de propiedad proporcionada o generada por ellos en el curso del empleo.
  • El departamento de Recursos Humanos debe informar a Administración, Finanzas y Operaciones cuando un empleado es contratado, transferido, renuncia, es suspendido o liberado con licencia a largo plazo, o cuando se termina su empleo.
  • Al recibir una notificación de RR.HH. de que el estado de un empleado ha cambiado, la Administración debe actualizar sus derechos de acceso físico y la Administración de Seguridad de TI debe actualizar sus derechos de acceso lógico en consecuencia.
  • El gerente de un empleado debe asegurarse de que el empleado devuelva todas las tarjetas de acceso, llaves, equipos de TI, medios de almacenamiento y otros activos corporativos valiosos en su último día de empleo o antes.

Control de acceso

  • El acceso de los usuarios a los sistemas de TI corporativos, las redes, las aplicaciones y la información debe controlarse de acuerdo con los requisitos de acceso especificados por los propietarios de activos de información pertinentes, normalmente de acuerdo con la función del usuario.
  • Los ID genéricos o de prueba no deben crearse ni habilitarse en sistemas de producción a menos que estén específicamente autorizados por los propietarios de activos de información pertinentes.
  • Después de un número predefinido de intentos fallidos de inicio de sesión, se deben generar entradas de registro de seguridad y (cuando corresponda) alertas de seguridad, y las cuentas de usuario deben bloquearse según lo requieran los propietarios de activos de información relevantes.
  • Las contraseñas o frases de contraseña deben ser largas y complejas, compuestas por una combinación de letras, números y caracteres especiales que serían difíciles de adivinar.
  • Las contraseñas o frases de contraseña no deben escribirse ni almacenarse en un formato legible.
  • La información de autenticación, como contraseñas, registros de seguridad, configuraciones de seguridad, etc., debe protegerse adecuadamente contra el acceso, modificación, corrupción o pérdida no autorizados o inapropiados.
  • Los derechos de acceso privilegiado que normalmente se requieren para administrar, configurar, gestionar, proteger y monitorear los sistemas de TI deben ser revisados ​​periódicamente (al menos dos veces al año) por Seguridad de la Información y verificados por los gerentes departamentales correspondientes.
  • Los usuarios deben cerrar sesión o bloquear sus sesiones con contraseña antes de dejarlas desatendidas.
  • Los protectores de pantalla protegidos por contraseña con un tiempo de inactividad de no más de 10 minutos deben habilitarse en todas las estaciones de trabajo / PC.
  • El acceso de escritura a los medios extraíbles (unidades USB, grabadoras de CD / DVD, etc.) debe estar deshabilitado en todos los equipos de escritorio a menos que esté específicamente autorizado por razones comerciales legítimas.

Estándares nacionales equivalentes

ISO / IEC 27002 tiene estándares nacionales directamente equivalentes en varios países. La traducción y la publicación local a menudo dan lugar a un retraso de varios meses después de que se revisa y publica la norma principal ISO / IEC, pero los organismos nacionales de normalización hacen todo lo posible para garantizar que el contenido traducido refleje de forma precisa y completa ISO / IEC 27002.

Los paisesEstándar equivalente
 ArgentinaIRAM-ISO-IEC 27002: 2008
 Australia

 Nueva Zelanda

AS / NZS ISO / IEC 27002: 2006
 BrasilISO / IEC NBR 17799/2007 - 27002
 IndonesiaSNI ISO / IEC 27002: 2014
 ChileNCH2777 ISO / IEC 17799/2000
 porcelanaGB / T 22081-2008
 República ChecaČSN ISO / IEC 27002: 2006
 CroaciaHRN ISO / IEC 27002: 2013
 DinamarcaDS / ISO27002: 2014 (DK)
 EstoniaEVS-ISO / IEC 17799: 2003, versión 2005 en traducción
 AlemaniaDIN ISO / IEC 27002: 2008
 JapónJIS Q 27002
 LituaniaLST ISO / IEC 27002: 2009 (adoptado ISO / IEC 27002: 2005, ISO / IEC 17799: 2005)
 MéxicoNMX-I-27002-NYCE-2015
 Países BajosNEN-ISO / IEC 27002: 2013
 PerúNTP-ISO / IEC 17799: 2007
 PoloniaPN-ISO / IEC 17799: 2007, basado en ISO / IEC 17799: 2005
 RusiaГОСТ Р ИСО / МЭК 27002-2012 , basado en ISO / IEC 27002: 2005
 EslovaquiaSTN ISO / IEC 27002: 2006
 SudáfricaSANS 27002: 2014 / ISO / IEC 27002: 2013 [3]
 EspañaUNE 71501
 SueciaSS-ISO / IEC 27002: 2014
 pavoTS ISO / IEC 27002
 TailandiaUNIDAD / ISO
 UcraniaДСТУ ISO / IEC 27002: 2015
 Reino UnidoBS ISO / IEC 27002: 2005
 UruguayUNIDAD / ISO 17799: 2005

Certificación

ISO / IEC 27002 es una norma de asesoramiento que debe interpretarse y aplicarse a todos los tipos y tamaños de organizaciones de acuerdo con los riesgos particulares de seguridad de la información que enfrentan. En la práctica, esta flexibilidad da a los usuarios mucha libertad para adoptar los controles de seguridad de la información que tengan sentido para ellos, pero la hace inadecuada para las pruebas de cumplimiento relativamente sencillas implícitas en la mayoría de los esquemas de certificación formales.

ISO / IEC 27001: 2013 ( Tecnología de la información - Técnicas de seguridad - Sistemas de gestión de seguridad de la información - Requisitos ) es una norma certificable ampliamente reconocida. ISO / IEC 27001 especifica una serie de requisitos firmes para establecer, implementar, mantener y mejorar un SGSI, y en el Anexo A hay un conjunto de controles de seguridad de la información que se anima a las organizaciones a adoptar cuando sea apropiado dentro de su SGSI. Los controles del Anexo A se derivan y están alineados con ISO / IEC 27002.

Desarrollo continuo

Tanto ISO / IEC 27001: 2013 como ISO / IEC 27002 son revisados ​​por ISO / IEC JTC1 / SC27 cada pocos años para mantenerlos actualizados y relevantes. La revisión implica, por ejemplo, incorporar referencias a otras normas de seguridad emitidas (como ISO / IEC 27000 , ISO / IEC 27004 e ISO / IEC 27005 ) y varias buenas prácticas de seguridad que han surgido en el campo desde su última publicación. Debido a la significativa 'base instalada' de organizaciones que ya utilizan ISO / IEC 27002, particularmente en relación con los controles de seguridad de la información que respaldan un SGSI que cumple con ISO / IEC 27001, cualquier cambio debe estar justificado y, siempre que sea posible, de naturaleza evolutiva más que revolucionaria.

Ver también

  • BS 7799 , el estándar británico original del cual se derivaron ISO / IEC 17799 y luego ISO / IEC 27002
  • Serie ISO / IEC 27000
  • Protección básica de TI
  • Gestión de riesgos de TI
  • Lista de normas ISO
  • Sarbanes-Oxley
  • Estándar de buenas prácticas publicado por el Foro de seguridad de la información
  • ISO / IEC JTC 1 / SC 27 - Técnicas de seguridad de TI
  • Marco de ciberseguridad del NIST
  • Cuantificación del riesgo cibernético

Referencias

  1. ^ "Línea de tiempo ISO27k" . ISO27001security.com . ISECT Ltd . Consultado el 9 de marzo de 2016 .
  2. ^ "Guía de estudio oficial de ISC CISSP" . SYBEX. ISBN 978-1119042716. Consultado el 1 de noviembre de 2016 .
  3. ^ "SANS 27002: 2014 (Ed. 2.00)" . Tienda web SABS . Consultado el 25 de mayo de 2015 .

Enlaces externos

  • El boletín de noticias ISO 17799
  • ISO / IEC 27002: 2013