implantaciÓn del iso 27001:2005 sistema de gestiÓn de seguridad de informaciÓn alberto g....

IMPLANTACIÓN DEL ISO 27001:2005 “SISTEMA DE GESTIÓN DE

SEGURIDAD DE INFORMACIÓN”

Alberto G. Alexander, Ph.D, CBRPAuditor Sistemas de Gestión de Seguridad de Información

Certificado IRCA (International Registered of Certified Auditors)

“www.eficienciagerencial.com”

2

¿Su base de datos está protegida de manos criminales?

¿Los activos de su empresa¿Los activos de su empresa han sido inventariados yhan sido inventariados y tasados?tasados?

INFORMACIÓN EN LA

EMPRESA

5

El personal de la Universidad Católica ha recibido el día de hoy un mail indicando actualizar sus datos a una página web del banco BBVA Banco Continental, la cual es falsa. Informamos que si bien el banco suele enviar correos siempre es a titulo personal y por temas puntuales y con la siguiente dirección: [email protected] Si usted ha recibido esta comunicación no ingrese ningún dato, y si lo ha hecho deberá comunicarse a la brevedad a los teléfonos 261 0447, 461 9760, fax 460 0544, teléfonos internos de la PUCP anexos 3046, 3040.

AtentamenteDirección de AdministraciónOficina de Relaciones Laborales

INFORMACIÓN EN LA

EMPRESA

Un reciente reporte del House Banking Committee de Estados Unidos, muestra que el sector financiero perdió 2.4 billones de dólares por ataques computarizados en 1998 –más del triple que en 1996. No es sorprendente, considerando que por día se transfieren electrónicamente 2 trillones de dólares, mucho de lo cual pasa a través de líneas que según el FBI no son muy seguras. (Fortune 500, 2003).

Los hackers son expertos en ingeniería social –consiguiendo personas de dentro de las compañías para sacarles contraseñas y claves de invitados. “Si te levantas a la secretaria ganaste, dice Dill Dog”. (Famoso hacker).

3

Casi el 80% de los valores intelectuales de las corporaciones son electrónicos, de acuerdo a la Cámara de Comercio estadounidense, y un competidor puede subir hasta las nubes si roba secretos comerciales y listas de clientes. (Sloan Review, 2003).

INFORMACIÓN EN LA

EMPRESA

El fraude celular no escapa a ninguna compañía telefónica en el mundo. Telcel y Movilnet en el caso de Venezuela afirman que en el año 1997 las pérdidas por concepto de clonación se ubicaaron en 1,800 millones de dólares, lo que los ha impulsado a mejorar su sistema de gestión de seguridad de información.

La clonación ocurre cuando los “clonadores” capturan la transmisión de los números de identificación (ESN: número asignado), bien sea rastreando los datos o sobornando a un empleado de la operadora y la copian en otros equipos no autorizados, skimming de tarjetas.

(Cielorojo/computación 19/01/04).

4

INFORMACIÓN EN LA

EMPRESA

La información en la empresa es uno de los más importantes activos que se poseen.

Las organizaciones tienen que desarrollar mecanismos que les permitan asegurar la disponibilidad, integridad y confidencialidad en el manejo de la información.La información está sujeta a muchas amenazas, tanto de índole interna como externa.

5

ISO 27001:2005 SISTEMA DE GESTIÓN DE

SEGURIDAD DE INFORMACIÓN

El nuevo estándar internacional, el ISO 27001:2005, está orientado a establecer un sistema gerencial que permita minimizar el riesgo y proteger la información en las empresas, de amenazas externas o internas.

HISTORIADEL

ESTÁNDARBS 7799

E ISO 17799

•Grupo de trabajo de la industria se establece en 1993•Código de práctica - 1993 •British standard - 1995

•BS 7799 parte 1 y parte 2 revisada en 1999

•BS 7799 parte 2 - 1998 •BS 7799 parte 1 - 1998

•BS / ISO / IEC – 17799 - 2000

6

ISO 27001:2005-SISTEMA DE GESTIÓN DE

SEGURIDAD DE INFORMACIÓN

ISO / IEC 17799 : 2005

Código de práctica de seguridad en la gestión de la información – Basado en BS 7799 – 1 : 2000..Recomendaciones para buenas prácticas No puede ser utilizado para certificación

ISO 27001:2005

Especificación para la gestión del sistema de seguridad de información.Es utilizado para la certificación

7

INFORMACIÓN

8

“La información es un activo, que tal

como otros importantes activos del

negocio, tiene valor para una

empresa y consecuentemente

requiere ser protegida

adecuadamente”.

ISO 17799:2005

¿QUÉ ES SEGURIDAD DE INFORMACIÓN?

9

La seguridad de información se caracteriza por la preservaciónde:

a) CONFIDENCIALIDAD : La información está protegida de personas no autorizadas.

b) INTEGRIDAD : La información está como se pretende, sin modificaciones inapropiadas.

c) DISPONIBILIDAD : Los usuarios tienen acceso a la información y a los activos asociados cuando lo requieran.

Seguridad de información es determinar qué requiere ser protegido y por qué, de qué debe ser protegido y cómo protegerlo.

Seguridad de información es mucho más que establecer “firewalls”, aplicar parches para corregir nuevas vulnerabilidades en el sistema de software, o guardar en la bóveda los “backups”.

10

NATURALEZA Y DINÁMICA DELISO 27001:2005

SISTEMA DE GESTIÓN DE SEGURIDAD DE INFORMACIÓN

MODELO PDCA APLICADO A

LOS PROCESOS DEL SISTEMA

DE GESTIÓN DE SEGURIDAD DE INFORMACIÓN

SGSI

11

PARTESINTERESADAS

REQUERI-MIENTOS YEXPECTATI-VAS DE LA

SEGURIDADDE INFOR-MACIÓN

PARTESINTERESADAS

SEGURIDADDE

INFORMA-CIÓN

MANEJADA

ESTABLECEREL SGSI 4.2

IMPLEMENTARY OPERAR ELEL SGSI 4.2.2

MANTENER YMEJORAR

EL SGSI 4.2.4

MONITOREARY REVISAR

EL SGSI 4.2.3

PLAN

DO

CHECK

ACT

4.3 Requerimientos de documentación 4.3.2 Control de documentos 4.3.3 Control de registros5.0 Responsabilidad de la gerencia 5.1 Compromiso de la gerencia 5.2 Gestión de recursos 5.2.1 Provisión de recursos 5.2.2 Capacitación, conocimiento y capacidad6.0 Revisión gerencial 6.4 Auditorias internas7.0 Mejoramiento del SGSI 7.1 Mejoramiento continuo 7.2 Acción correctiva 7.3 Acción preventiva

Desarrollar,mantenery mejorar

el ciclo

METODOLOGÍA PARA CUMPLIR

CON EL ISO 27001:2005

12

CLÁUSULASACTIVIDADES

ORGANIZACIONALES

Establecer el SGSI

(Sección 4.2.1)

a) Definir el alcance del SGSI

b) Definir un sistemático enfoque para evaluación del riesgo

c) Identificar el riesgo

d) Evaluar el riesgo

e) Definir política SGSI

f) Identificar y evaluar opciones para el tratamien-to del riesgo

g) Seleccionar objetivos de control y controles

h) Preparar un enunciado de aplicabilidad

i) Obtener aprobación de la gerencia


CON EL BS 7799-2:2002

13


ORGANIZACIONALES

Implementar y operar el SGSI

(Sección 4.2.2)

a) Formular un plan para tratamiento del riesgo

b) Implementar el plan de tratamiento del riesgo

c) Implementar todos los objetivos de control y controles seleccionados

d) Implementar programa de entrenamiento y toma de conciencia

e) Gestionar operaciones

f) Gestionar recursos

14


ORGANIZACIONALES

Monitorear y revisar el SGSI

(Sección 4.2.3)

a) Ejecutar procedimientos de monitoreo

b) Efectuar revisiones regulares de la eficacia del SGSI

c) Revisar el nivel del riesgo residual y del riesgo aceptable

d) Conducir las auditorias internas del SGSI

e) Registrar todos los eventos que tienen un efecto en el desempeño del SGSI

Mantener y mejorar el SGSI

(Sección 4.2.4)

a) Implementar las mejoras identificadas

b) Tomar apropiadas acciones correctivas y preventivas

c) Comunicar los resultados a todas las partes interesadas

d) Asegurar que las mejoras alcancen los objetivos deseados


CON EL ISO 27001:2005

CICLO METODOLÓ-

GICO PARA LA IMPLANTACIÓN DEL MODELO

ISO 27001:2000

15

Entendimiento de losrequerimientos del modelo

(1)

Determinación delAlcance del modelo

(2)

Análisis y evaluacióndel riesgo

(3)

Elaboración Plan de Gestiónde Continuidad Comercial

(4)

Implementar y operarel SGSI

(5)

Monitorear y revisarel SGSI

(6)

Mantener y mejorarel SGSI

(7)

Desarrollo de competenciasorganizacionales

(8)

Redacción del Manual deSeguridad de Información

(9)

Ejecución deAuditorias Internas

(10)

Obtención de laCertificación Internacional

(11)

METODOLOGÍA DETALLADA

PARA IMPLANTAR EL

SISTEMA DE GESTIÓN DE

SEGURIDAD DE INFORMACIÓN ISO 27001:2005

16

Entendimientode los requerimientos del modelo

PASO I

Determinacióndel alcance

Informe a lagerenciaPASO II

Taller estratégico con lagerencia para analizar

requerimientos delmodelo ISO 27001:2005

Definir alcancedel modelo

PASO III

Análisis yevaluación delriesgo

Efectuar un análisis yevaluación del riesgo

Evaluación del riesgo

-Amenazas,-Vulnerabilidades-Impactos

Política deseguridadDefinir la política

de seguridad

Diseño del Alcance“Método de las elipses”


PARA IMPLANTAR EL



17

Plan de continuidadcomercial del negocio

Evaluar las opciones para el tratamiento

del riesgo

Identificaropciones

Plan de continuidadcomercialdocumentado

Seleccionar controles yobjetivos de control a

implantar

Elaborar un enunciadode aplicabilidad

Tabla decontroles

Enunciado deaplicabilidad

Enfoque de lagerencia paratratar el riesgo

Utilización deAnexo A de lanorma

Análisis yevaluación delriesgo

Controles seleccionados

PASO IV

Plan de control del negocio

18


PARA IMPLANTAR EL



Elaborar Plan de Tratamiento del Riesgo

Determinar la efectividad de los controles

Medicionesdocumentadas

Plan de Tratamientodel riesgo

Opciones deTratamientodel riesgo

PASO V

Implementar y operar el SGSI

Controles

PASO VI

Monitorear y revisar el SGSI

Mediciones del SGSI

Acción correctiva

Funcionamiento del SGSI

19


PARA IMPLANTAR EL



Mantener y mejorar el SGSI

PASO VIIMantenimiento del

SGSI

Comunicarresultados

Implementar mejoras

PASO VIII

Desarrollar competencias organizacionales

Entrenamiento endocumentación de

procedimientos,instrucciones de trabajo

Procedimiento para manejo de la acción correctiva

Taller estratégico paramanejo de la acción

correctiva y preventiva

Procedimiento de auditoria interna documentado

Taller estratégico paramanejo de auditoria

interna


PARA IMPLANTAR EL



PASO IX

Redacción del Manual de Seguridad de Información

Elaboración del manualde seguridad de

información

Manual deSeguridadde Información

PASO VIII

Desarrollar competencias organizacionales

20

PASO X

Auditarse internamente

Efectuar auditoriainterna

Informe de laauditoria interna

PASO XI

Auditoria decertificadora

Auditoria de empresacertificadora

Entrega deinforme

PASO XII

Tomar Acciones Correctivas

Efectuar CertificaciónEntrega delcertificado


PARA IMPLANTAR EL



21

22

CASO PRÁCTICO DE IMPLANTACIÓN

DEL ISO 27001:2005 EN UNA

ORGANIZACIÓN FINANCIERA

ÁREA: AHORROS-CAPTACIONES

23

DEFINICIÓN DEL ALCANCE DEL MODELO EN EL

BANCO

El punto de partida consiste en identificar el alcance del modelo detallando todas sus interfases.

Una vez determinado el alcance del modelo en la empresa, se debe proceder a identificar los distintos activos de información, los cuales se convierten en el eje principal del modelo.

IDENTIFICA-CIÓN DE

ACTIVOS DE INFORMACIÓN

24

En el caso del banco, se conformó un grupo multidisciplinario, compuesto por los dueños de los subprocesos que conformaban el proceso escogido en el alcance.

Se incluyó a los clientes vitales y proveedores internos de ahorros/captaciones.

Al grupo multidisciplinario, se le denominó comité gestor.

ANÁLISIS Y EVALUACIÓN DEL RIESGO

25

A los activos de información se les debe efectuar un análisis y evaluación del riesgo, e identificar las opciones para el tratamiento del riesgo: reducción, evitar, transferencia, aceptar.

Es importante en este punto, clarificar qué es un activo de información en el contexto del ISO 27001:2005. Según el ISO 17799:2005 (Código de Práctica para la Gestión de Seguridad de Información) un activo de información es: “algo a lo que una organización directamente le asigna un valor y, por lo tanto, la organización debe proteger”.

26


Los activos de información son clasificados por el ISO 17799:2005 en las siguientes categorías:

-Activos de información (datos, manuales, usuarios, etc.)-Documentos de papel (contratos)-Activos de software (aplicación, software de sistemas, etc.)-Activos físicos (computadoras, medios magnéticos, etc.)-Personal (clientes, personal)-Imagen de la compañía y reputación-Servicios (comunicaciones, etc.)

27

ALCANCE DEL SGSI

Al establecer el alcance, en la organización financiera se determinó que fuera el área de ahorros y captaciones.

Para dicho efecto, se utilizó el método de las elipses para determinar los activos de información y todas sus interfases.

AHORROS CAPTACIONES

UIF

BCR

SBS Org. Ext. (pj) INDECOPI

RENIEC

Clientes

Bco. AFP’s

Clientes

-Atenc. Y Cons.-Inscripción-Actualización

-Definición Pro.-Requisitos-Condiciones-Recepción S/ $-Genera Cta.

-Depósitos-Retiros-Transferencias-OT-Bloq. Y Desbloq.-OP (Entrega y recep)-Renovaciones-Serv. Cobranzas-Externos-Habilitaciones

-Recepción Doc.-Autrización-Entrega Efectivo-Registro-FSD (ctas. > 10 años)

Recepción/Emisión deInformación

-Consultas-Reclamos-Emisión de Ext.-Emisión de Cartas-Lavado de Activos-Anexos SBS

Adm. de Cred.Age. Org. Des. Ahorros

Tesorería Defen. Cli.Aud. Int.

Contab.

SistemasLogística Créditos Seguridad Ases. Leg.

URI/OC

Registro deClientes

Apertura deCuentas

OperacionesCancela-ciones

ACTIVOS DE INFORMACIÓN CONFIDENCIALIDAD INTEGRIDAD DISPONIBILIDAD TOTAL

- Software periplo 2 5 5 4

- BD (Aho-peripl) 5 5 4 5

- Equipo de cómputo 1 1 4 2

- Línea dedicada 2 2 5 3

- Internet 2 1 3 2

- Servidor de archivos 5 5 4 5

- Servidor de BD 5 5 5 5

- Copias de respaldo 5 5 3 4

- Switchers 1 1 5 2

- Router’s 1 1 5 2

- Modem 1 1 5 2

- Líneas telefónicas 4 2 3 3

- Central telefónica 4 2 3 3

- Disco duro y grab. (vid) 5 5 3 4

- Cámaras 1 1 5 2

- Teléfonos 4 1 3 3

TASACIÓN DE ACTIVOS DE INFORMACIÓN

DISTRIBUCIÓN DE ACTIVOS Y SUS PROPIETARIOS

ACTIVOS DE INFORMACIÓN PROPIETARIOS

1. BDD (Aho-Periplo) SISTEMAS

2. SERVIDOR BDD SISTEMAS

3. JEFE/ASISTENTE DE AHORROS AHORROS

4. SOFTWARE CLIENTES SISTEMAS

5. CLAVES AHORROS

6. SERVIDOR DE ARCHIVOS SISTEMAS

7. COPIAS DE RESPALDO SISTEMAS

8. DISCO DURO Y GRAB. (Videos) SEGURIDAD INTEGRAL

9. FILE DE CLIENTES AHORROS

10. FORMATOS AHORROS

11. VOUCHER’S ADM. DE CRÉDITOS

12. FORMATO DE LAVADO ACTIVOS AHORROS


ACTIVOSDE

INFORMA-CIÓN

AMENAZAS

POSIBI-LIDAD OCU-

RRENCIA

VULNERA-BILIDADES

POSIBILI-DAD QUE AMENAZAPENETREVULNERA-

BILIDAD

VALORDE

ACTIVOSDE

RIESGOS

POSIBI-LIDAD

DE OCU-RRENCIADE AME-

NAZA

TOTALCRITI-CIDAD

OBJETIVOSDE

CONTROL

CONTRO-LES

INDICADOR EFECTIVIDADCONTROLES

1. BCD DEAHO-CLI

3. VitalesAho-cli

- Virus- Daño físi-co en el DD

- Errores deprograma-ción/valida-ción/prueba

35

3

- Falta de antivirus- Falla técni-ca

- Mala programación- Mala valida-ción y prue-bas

3

4

3

4

5

4

4

4

20

16

C

C

A.3.1 Promocionar direccióngerencial y apoyo a la S.I.A.7.2 Seguridad del equipo:evitar la pérdida, daño ocompromiso de los activosy la interrupción de las ac-tividades comerciales.A.8.3 Proteger la integridaddel software y la informa-ción del daño de softwaremalicioso.A.8.4 Mantener la integridady disponibilidad de los ser-vicios de procesamiento deinformación y comunica-ciones.

A.3.1.1A.3.1.2A.7.2.4

A.8.3.1

A.8.4.1A.8.4.3

Nº veces/interrupción

Nº veces/eventos de seguridad

Nº veces/incidentes seguridad

A.8.2 Minimizar el riesgo defallas en los sistemas.A.10.1 Asegurar que se in-corpore seguridad en lossistemas de información.A.10.2 Evitar la pérdida, mo-dificación o mal uso de ladata del usuario en los sis-temas de información.A.10.4 Asegurar que los proyectos T.I. y las actividadesde apoyo se reducen demanera segura.

A.8.2.1A.8.2.2

A.10.1.1

A.10.2.1A.10.2.2A.10.2.3

A.10.4.1A.10.4.3

Nº veces/ fallas en sistemas

Nº veces/pérdida datos usuario

2. Serv. deBDD

- Daño físi-co en laspartes- Virus

3

3

- Falla técni-ca- Softwaredesactuali-zado

4

3

5 4 20 C

A.8.3 Proteger la integridaddel software y la informa-ción del daño de softwaremalicioso.

A.8.3.1 Nº veces/ intentos hacking

Nº veces/software dañado

RIESGORESIDUAL

MODELO PDCA APLICADO A

LOS PROCESOS DEL SISTEMA

DE GESTIÓN DE SEGURIDAD DE INFORMACIÓN

SGSI

32

PARTESINTERESADAS

REQUERI-MIENTOS YEXPECTATI-VAS DE LA

SEGURIDADDE INFOR-MACIÓN

PARTESINTERESADAS

SEGURIDADDE

INFORMA-CIÓN

MANEJADA

ESTABLECEREL SGSI 4.2

IMPLEMENTARY OPERAR ELEL SGSI 4.2.2

MANTENER YMEJORAR

EL SGSI 4.2.4

MONITOREARY REVISAR

EL SGSI 4.2.3

PLAN

DO

CHECK

ACT

4.3 Requerimientos de documentación 4.3.2 Control de documentos 4.3.3 Control de registros5.0 Responsabilidad de la gerencia 5.1 Compromiso de la gerencia 5.2 Gestión de recursos 5.2.1 Provisión de recursos 5.2.2 Capacitación, conocimiento y capacidad6.0 Revisión gerencial 6.4 Auditorias internas7.0 Mejoramiento del SGSI 7.1 Mejoramiento continuo 7.2 Acción correctiva 7.3 Acción preventiva

Desarrollar,mantenery mejorar

el ciclo

CICLO METODOLÓ-

GICO PARA LA IMPLANTACIÓN DEL MODELO

ISO 27001:2000

33

Entendimiento de losrequerimientos del modelo

(1)

Determinación delAlcance del modelo

(2)

Análisis y evaluacióndel riesgo

(3)

Elaboración Plan de Gestiónde Continuidad Comercial

(4)

Implementar y operarel SGSI

(5)

Monitorear y revisarel SGSI

(6)

Mantener y mejorarel SGSI

(7)

Desarrollo de competenciasorganizacionales

(8)

Redacción del Manual deSeguridad de Información

(9)

Ejecución deAuditorias Internas

(10)

Obtención de laCertificación Internacional

(11)

34

BENEFICIOS DE UN SGSI

ISO 27001:2005 A UNA

ORGANIZACIÓN FINANCERIA

•Permite a la Organización Financiera alinearse con las exigencias de BASILEA II en relación al riesgo patrimonial

•Desarrolla un sistema para mitigar el riesgo operativo con indicadores de eficacia del desempeño de los controles, facilitando la labor del gobierno corporativo.

•Alto impacto económico al reducir sustancialmente el riesgo operativo en la organización.

•Permite a la empresa tener un sistema que le asegure continuidad en su funcionamiento.

IMPLANTACIÓN DEL ISO 27001:2005 “SISTEMA DE GESTIÓN DE

SEGURIDAD DE INFORMACIÓN”

Alberto G. Alexander, Ph.D, CBCPAuditor Sistemas de Gestión de Seguridad de Información

Certificado IRCA (International Registered of Certified Auditors)

www.eficienciagerencial.com

implantaciÓn del iso 27001:2005 sistema de gestiÓn de seguridad de informaciÓn alberto g....

Documents