Gestión estratégica de seguridad en la empresa - Anetcom

100
esta fase se encarga también de imprevistos, habitualmente llamados incidentes
de seguridad, contingencias o más comúnmente aún, respuesta ante
ataques. Dentro de estas actividades se enmarcan la disponibilidad de equipos
de respuesta ante incidentes (CSIRT), análisis forense, etc. El estándar no
requiere explícitamente estos elementos, pero sí exigen que la organización
se dote de capacidad de respuesta ante estas circunstancias.
Estos son los contenidos de ISO 27001. Como se ha podido comprobar, un
SGSI es una herramienta de cierta complejidad, que incluye actividades muy
diversas y que requiere de conocimientos multidisciplinares. Es precisamente
esta necesidad la que da origen al resto de los estándares de la familia.
El segundo estándar de la familia, y posiblemente el más popular, es ISO
27002. Su título “Guía de buenas prácticas para la implantación de la seguridad
de la información” es perfectamente descriptivo. Se trata de una lista de
ideas, de sugerencias, de posibles controles de seguridad, que nos ayudan a
implantar la seguridad de la información. Es decir, en el proceso anterior del
Sistema de Gestión, cuando hay que decidir qué debemos hacer para controlar
los riesgos de seguridad identificados en el análisis de riesgos, se debe
acudir a este estándar para encontrar el control de seguridad que permite
resolver el problema de seguridad identificado. En realidad, si alguna organización
decidiera implantar el total de controles descritos en ISO 27002, tendría
un nivel de seguridad elevadísimo. Y posiblemente, el tiempo y recursos
necesarios para conseguirlo serían claramente ineficientes. Por ello ISO
27001 identifica los problemas que hay y qué controles merecen la pena ser
implantados (y con qué recursos), dejando la parte más tecnológica de cómo
hacerlo a ISO 27002.
ISO 27002 contiene 133 controles de seguridad, ordenados en 39 objetivos
de control y en 11 capítulos: controles relativos a la política de seguridad,
organización para la seguridad, clasificación y control de activos, recursos
humanos, seguridad física, seguridad en comunicaciones, control de acceso,
desarrollo y mantenimiento de SS.II., gestión de incidentes de seguridad, continuidad
de negocio y conformidad legal (también llamada Compliance).
Dentro de estos capítulos encuentran acomodo para su tratamiento algunos
aspectos tan comúnmente aceptados y en boga en estos momentos como la
formación en seguridad (en recursos humanos), la externalización de servicios
(en organización para la seguridad), la implantación de planes de conti-