“Existen pequeños hábitos vitales que debemos tener

muy en cuenta. Son los que ayudan a construir nuestra seguridad día a

día”

Implantación de un Sistema de Gestión de Seguridad de la Información

Vanesa Gil LaredoConsultora Jurídico-

Procedimental

RESTRINGIDO 2

Índice

Indice

¿Por qué implantar un SGSI?

Metodología de implantación de un SGSI.

Factores clave de éxito.

Auditoría de Certificación.

RESTRINGIDO 3

¿Por qué implantar un SGSI?

¿Qué es la Seguridad de la Información?

Protección de la información de un amplio rango de

amenazas, con el fin de asegurar la continuidad del

negocio, minimizar los riesgos de negocio y

maximizar el retorno de la inversión y las oportunidades

de negocio.

Preservación de la confidencialidad, integridad y

disponibilidad de la información.

RESTRINGIDO 4

¿Por qué implantar un SGSI?

Obtención de la certificación de un Sistema de Gestión de la Seguridad de la Información (SGSI).

Disposiciones normativas base de la implantación:

ISO/IEC 17799:2005: “Código de Buenas Prácticas para la Gestión de la Seguridad de la Información”.

Directrices básicas para la gestión de la seguridad de la información, con el fin de garantizar la confidencialidad, integridad y disponibilidad de la información objeto de tratamiento en la Organización.

UNE 71502: “Especificaciones para los Sistemas de Gestión de la Seguridad de la Información”.

Directrices generales para el diseño e implantación de un Sistema de Gestión de Seguridad de la Información.

RESTRINGIDO 5

¿Por qué implantar un SGSI?

Ventajas de la obtención de la certificación del SGSI

Marco de gestión de la seguridad consistente e internacionalmente reconocido.

Imagen corporativa de compromiso con la seguridad.

Buenas prácticas para la gestión de la seguridad de la información.

Reducción de los riesgos de seguridad.

Promueve la confianza en las relaciones con terceros.

Seguridad de la información como proceso de gestión (no proceso técnico).

Equilibrio entre seguridad física, técnica, procedimental y de personal.

RESTRINGIDO 6

Metodología de Implantación de un SGSI

Para garantizar la efectiva implantación del SGSI es fundamental considerar el modelo conocido como PDCA (Plan-Do-Check-Act).

Establecer el Alcance del SGSI

Monitorizar y Revisar el SGSI

Mejorar

el SGSI

Diseñar e Implantar el

SGSI

CICLO DE DESARROLLO,

MANTENIMIENTO Y MEJORA (PDCA)

PLANIFICARPLANIFICAR (PLAN)

EJECUTAR (DO)

REVISAR (CHECK)

ACTUAR (ACT)

RESTRINGIDO 7

Metodología de Implantación de un SGSI

La Metodología de implantación del SGSI consta de las siguientes fases:

Fase IV: Gestión

del Riesgo

Fase IV: Gestión

del Riesgo

Fase V:Selección de Controles

a Implantar

Fase V:Selección de Controles

a Implantar

Fase VI:Implantación de

Controles Seleccionados

Fase VI:Implantación de

Controles Seleccionados

GESTIÓN DE PROYECTOGESTIÓN DE PROYECTO

Fase VII:Completar

requerimientos para certificación

Fase VII:Completar

requerimientos para certificación

Fase II:Desarrollo de la

Política de Seguridad

de la Información

Fase II:Desarrollo de la

Política de Seguridad

de la Información

Fase III:Realizac ión del

Análisisde Riesgos

Fase III:Realizac ión del

Análisisde Riesgos

GESTIÓN DE PROYECTOGESTIÓN DE PROYECTO

Fase I:Definición del Alcance del

SGSI

Fase I:Definición del Alcance del

SGSI

RESTRINGIDO 8

Definición del Alcance del SGSI

DEFINICIÓN DEL ALCANCE DEL SGSI

Determinación del alcance del SGSI:ProcesosActivosTecnología ServiciosPersonal y relaciones con terceros

Aspectos a considerar:

Objetivos de negocio.Objetivos estratégicos de seguridad.

Necesidad de una correcta definición del alcance del SGSI.

Participación activa de la Dirección, para garantizar la consecución de un marco de seguridad consistente.

RESTRINGIDO 9

Definición del Alcance del SGSI

Requerimientos de seguridad

de la información

Alcance del SGSI:

Totalidad de los sistemas.Conjunto de procesos limitado.

Considerar las iniciativas y acciones en materia de seguridad realizadas hasta la fecha.

Mayor amplitud, mayor dificultad.

Obtención de un inventario de activos.

Identificar departamentos implicados y relación entre los mismos.

Satisfaccióndel cliente

Satisfaccióndel clienteTercerosTerceros

OrganizaciónOrganización

SGSISGSIServicios

Generales

Dirección Seguridad

Asesoría Jurídica

Proveedoresexternos

Necesidades del clienteNecesidades

del cliente

Proveedores externos

RRHH

Personal externo

Desarrollo

Operaciones

Producción

RESTRINGIDO 10

Política de Seguridad de la Información

DESARROLLO DE LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN

Definir el objetivo de la Organización con respecto a la seguridad de la información.

Nivel de seguridad objetivo acorde a las necesidades del negocio.

Aspectos a contemplar:

Compromiso de la Organización de obtener y mantener la certificación.

Objetivo de implantación y alcance del SGSI.

Directrices globales en materia de seguridad (Norma ISO/IEC 17799).

Responsabilidades del personal implicado en el SGSI.

Marco jurídico aplicable al SGSI.

Apoyo por parte de la Dirección a la implantación del SGSI.

Revisiones periódicas de la Política y del SGSI.

RESTRINGIDO 11

Análisis de Riesgos

REALIZACIÓN DE UN ANÁLISIS DE RIESGOS

Identificar y evaluar los riesgos relacionados con el SGSI.

Actividad 1.Identificación yValoración de

Activos

Actividad 1.Identificación yValoración de

Activos

Actividad 2.Identificaciónde Amenazas

Actividad 2.Identificaciónde Amenazas

Actividad 3.Identificación

deVulnerabilidades

Actividad 3.Identificación

deVulnerabilidades

Actividad 4.Evaluacióndel impacto

Actividad 4.Evaluacióndel impacto

Actividad 5.Evaluación del

riesgo

Actividad 5.Evaluación del

riesgo

Evaluar el impacto de una pérdida de confidencialidad, integridad o disponibilidad de los activos.

Identificar amenazas y probabilidad de ocurrencia de las mismas.

Identificar vulnerabilidades que favorecerían la materialización de estas amenazas.

Identificar los controles de seguridad existentes.

RESTRINGIDO 12

Análisis de Riesgos

Requerimientos de seguridad

de la información

Principales dificultades para la realización del Análisis de Riesgos:

Selección de la metodología a emplear: MAGERIT v1.0, NIST Special Publication 800-30,

OCTAVE,…

Alcance del Análisis de Riesgos (cuanto más amplio sea el alcance, mayor dificultad).

Valoración de activos: Procesos que soportan vs. Visión Departamentos.

Tipos de impacto: impacto financiero, imagen pública, impacto legal, operativo, humano,…

Tipificación de amenazas y vulnerabilidades.

Empleo de criterios cuantitativos o cualitativos.

Aprobación de los resultados del Análisis por parte de la Dirección.

RESTRINGIDO 13

Gestión del Riesgo

GESTIÓN DEL RIESGO

Reducir el riesgo a un nivel aceptable para la Organización.

Identificar áreas de mayor riesgo que necesitan mayor protección.

Establecer la estrategia de gestión del riesgo de la Organización:

Reducir el riesgo Asumir el riesgoTransferir el riesgoEvitar el riesgo

Definir el grado de aceptación de nivel de riesgo.

Análisis comparativo: controles existentes vs. controles necesarios para la reducción de los riesgos.

RESTRINGIDO 14

Gestión del Riesgo

Aspectos a considerar para una correcta gestión de la seguridad de la información:

Política de Seguridad

Organización de la Seguridad de la Información

Gestión de Activos

Seguridad de los Recursos Humanos

Seguridad Física y del Entorno

Gestión de Comunicaciones y Operaciones

Control de Acceso

Adquisición, Desarrollo y Mantenimiento de Sistemas

Gestión de Incidentes de Seguridad de la Información

Gestión de Continuidad de Negocio

Conformidad con Requisitos Legales

RESTRINGIDO 15

Selección de Controles

SELECCIÓN DE CONTROLES A IMPLANTAR

Identificar y seleccionar los objetivos de control y controles aplicables al SGSI para reducir el

riesgo.

Estimar la eficacia de los controles para lograr la reducción del riesgo.

Desarrollo del SOA (Declaración de Aplicabilidad).

Justificación de la no implantación de controles.

Repercusiones de la nueva versión del 2005 en la

obtención de la certificación (Empresas actualmente

en proceso de certificación).

RESTRINGIDO 16

Implantación de Controles Seleccionados

IMPLANTACIÓN DE CONTROLES SELECCIONADOS

Planificar la implantación de los controles seleccionados.

Diseño de un Plan de Implantación:

Medidas a adoptarPrioridad de implantación Fecha de implantación Costes de implantación Recursos necesarios (humanos, tecnológicos, económicos)Responsable de la implantación

Definir el nivel de participación necesario de las diferentes áreas.

Desarrollar un Plan de Formación y Concienciación de usuarios.

RESTRINGIDO 17

Requerimientos para la Certificación

COMPLETAR REQUERIMIENTOS PARA CERTIFICACIÓN

Completar el desarrollo de la documentación necesaria para la obtención de la Certificación en base a la Norma UNE 71502.

Documentación del SGSI: Política, Análisis de Riesgos, SOA, Plan de Implantación,…

Documentación de los procedimientos necesarios

para garantizar la planificación, operación y control

de los controles incluidos en el SGSI.

Realización de revisiones periódicas del SGSI.

Desarrollo de procedimientos para la monitorización y evaluación de los controles implantados.

Política

Procedimientos

Guías, formularios, instrucciones,…

Registros

Nivel 1

Nivel 2

Nivel 3

Nivel 4

RESTRINGIDO 18

Requerimientos de seguridad

de la información

Formalización de las iniciativas de seguridad desarrolladas en la Organización: Enfoque global para la gestión de la seguridad

Continuación lógica del trabajo realizado durante la obtención de una Certificación de Calidad.

Apoyo por parte de la Dirección a la implantación del SGSI.

Obtención de la aprobación de productos resultantes de las diferentes fases. Creación de un Comité de Seguridad.

Formación y concienciación en materia de seguridad.

Componente fundamental: Revisión y mejora continua del SGSI.

Existencia de registros suficientes que garanticen la plena

implantación del SGSI.

Factores Clave de Éxito

RESTRINGIDO 19

Factores Clave de Éxito

Requerimientos de seguridad

de la información

Revisión y evaluación del SGSI

Objeto

Verificar la efectiva implantación de los controles.

Verificar la adecuación de los controles a las características de la Organización.

Identificar aspectos susceptibles de mejora.

Adoptar medidas preventivas y correctivas.

Aspectos a revisar

Vulnerabilidades y amenazas a las que se encuentran expuestos los activos.

Cambios relevantes en la Organización que puedan suponer modificaciones en el SGSI

Nuevas técnicas o productos de gestión de la seguridad de la información.

Gestión de incidentes que se hayan podido materializar.

RESTRINGIDO 20

Auditoría de Certificación

Fases de la Auditoría:

Revisión de documentación del SGSI.

Auditoría de Implementación.

Búsqueda de evidencia objetiva:

Intención

Implantación

Eficacia

Mejora Continua

Dictamen del Auditor.

Certificación del SGSI.

Muchas Gracias por su Atención