Gestión estratégica de seguridad en la empresa - Anetcom

More documents

Recommendations

Info

◆ 3.3. Gestión de Servicios TI: ITIL/ISO 20000 104 Ilustración 19.- Componentes del COBIT (Fte. ISACA) El presente apartado trata de describir someramente la norma ISO/IEC 20000:2005 Tecnología de la Información – Gestión de Servicios, UNE ISO/IEC 20000:2007 en el esquema español publicado por AENOR. No se trata pues de describir exhaustivamente dicha norma, sino de destacar ciertos puntos clave de la misma sobre seguridad de la información. La norma UNE ISO/IEC 20000:2007, nace de la adopción de la británica BS 15000 (revisión del 2002) como respuesta a la demanda de las organizaciones, y departamentos TIC de las mismas, de disponer de una norma que permitiera auditar y certificar un Sistema de Gestión de Servicios de Tecnologías de la Información. Al igual que para el desarrollo de Sistemas de Seguridad de la Información se dispone de referenciales para requisitos, tales como ISO/IEC 27001:2005, y mejores prácticas. UNE ISO/IEC 17799:2002, esta norma se estructura en dos partes. La primera, UNE ISO/IEC 20000:2007-1, trata de las especificaciones del Sistema de Gestión de Servicios de Tecnologías de la Información y es la parte auditable de la norma, y, la segunda, UNE ISO/IEC 20000:2007-2, recopila una serie de buenas prácticas para dar respuesta a cómo cumplir las especificaciones de la parte 1 de la norma. La norma en sí no implica el uso de ITIL ni su adopción, sin embargo dado su origen histórico, su parte 2 recoge, en buena lógica, los procesos que predica ITIL.
Ilustración 20.- Marco Conceptual y algunas referencias a modo ilustrativo. La filosofía y la aproximación que debe realizar cualquier organización, que adopte esta u otra norma, en el desarrollo de un Sistema de Gestión propio, en este caso de Gestión de Servicios de Tecnologías de la Información, es que le sirva como marco de referencia para su desarrollo, de forma que no tenga que “reinventar la rueda”, ni en el plano estratégico, la planificación del sistema, ni en el táctico, adopción de “buenas prácticas”, y poner en valor dicho marco para la organización, aumentando la eficacia y eficiencia de la misma. Bajo este prisma deben de desterrarse concepciones de épocas pasadas donde la razón de ser del desarrollo de un Sistema de Gestión basado en una norma era la consecución de un sello de acreditación, o el cumplimiento a toda costa de los requerimientos de dicha norma frente al valor que aportaban. En el sentido anteriormente mencionado, la UNE ISO/IEC 20000:2007-1, proporciona un marco de referencia, suficientemente global y estructurado, para que el desarrollo de un Sistema de Gestión de Servicios TI se pueda realizar de forma que aporte valor al cliente de TI y además, pueda integrarse de forma natural en otros Sistemas de Gestión de la organización basados en otras normas o modelos. Esta parte de la norma respondería a la pregunta: ¿qué debería hacer la organización para la Gestión de Servicios TI? Y la parte 2, UNE ISO/IEC 20000:2007-2, respondería a ¿cómo podría lograrlo? La estructura de la norma UNE ISO/IEC 20000:2007-1 se basa en 10 cláusulas: 105
Page 3 and 4:
Gestión Estratégica de Seguridad
Page 5 and 6:
Índice Prólogo 7 1. Introducción
Page 9 and 10:
Prólogo La Seguridad de los Sistem
Page 13 and 14:
Introducción Definitivamente era m
Page 15 and 16:
Ilustración 1.- Seguridad de la In
Page 17 and 18:
Dado el escenario planteado, en el
Page 19 and 20:
que se enfrenta su organización, s
Page 21 and 22:
fiduciarios y específicos de segur
Page 23 and 24:
Ilustración 2.- El papel del Gobie
Page 25:
sos humanos, tecnología, continuid
Page 28 and 29:
26 ción haga suya dicha política,
Page 30 and 31:
28 1. Definición del equipo de red
Page 32 and 33:
30 A la segunda de las preguntas se
Page 34 and 35:
32 les (ISO, NIST, etc.), así como
Page 36 and 37:
34 ¿Por qué incluir en un inventa
Page 38 and 39:
36 2.2.3. El riesgo como factor de
Page 40 and 41:
38 2.2.4. Algunas realidades en la
Page 42 and 43:
40 Cuando se aborda la determinaci
Page 44 and 45:
◆ 42 dicho análisis debe ser val
Page 46 and 47:
44 Su objetivo es por tanto prioriz
Page 48 and 49:
46 que a través del Plan Director
Page 50 and 51:
48 El último aspecto que se debe r
Page 52 and 53:
50 • La gestión. • Los sistema
Page 54 and 55:
52 • Existen varias líneas de de
Page 56 and 57: 54 La política de mantenimiento de
Page 58 and 59: 56 • Proporcionar seguridad de lo
Page 60 and 61: 58 tructura de cortafuegos, segment
Page 62 and 63: 60 • Dispositivos móviles accedi
Page 64 and 65: 62 • Accesos remotos (redes priva
Page 66 and 67: 64 Estas tecnologías suelen trabaj
Page 68 and 69: 66 de la continuidad se ha converti
Page 70 and 71: 68 ción y los recursos necesarios
Page 72 and 73: 70 ble de servicio estima que la en
Page 74 and 75: 72 Ilustración 14.- Priorización
Page 76 and 77: 74 la intimidad personal y familiar
Page 78 and 79: 76 Gestión de incidencias Control
Page 80 and 81: 78 • Los precios de los productos
Page 82 and 83: 80 para la realización de las audi
Page 84 and 85: 82 Si lo deseado es un resultado ho
Page 86 and 87: 84 le queda en el depósito o si ha
Page 88 and 89: 86 los indicadores y métricas de s
Page 90 and 91: 88 En definitiva, el Cuadro de Mand
Page 92 and 93: 90 Otro caso especialmente relevant
Page 94 and 95: 92 • Certificaciones de Seguridad
Page 96 and 97: 94 • ISO/IEC 27001 se centra en l
Page 98 and 99: 96 pero que no sabe si se está rea
Page 100 and 101: 98 económicos. Por ello, es fundam
Page 102 and 103: 100 esta fase se encarga también d
Page 104 and 105: 102 COBIT® parte de un concepto se
Page 108 and 109: 106 1. Alcance. 2. Términos y defi
Page 111: • ISO 17799 • COBIT • ISO 270
show all

Gestión estratégica de seguridad en la empresa - Anetcom

You also want an ePaper? Increase the reach of your titles

Delete template?

Save as template?