Gestión estratégica de seguridad en la empresa - Anetcom

106
1. Alcance.
2. Términos y definiciones.
3. Requerimientos para un Sistema de Gestión.
4. Planificación e implementación de la Gestión de Servicios.
5. Planificación e implementación de servicios nuevos o modificados.
6. Proceso de prestación de servicio.
7. Procesos de relaciones.
8. Procesos de resolución.
9. Procesos de control.
10. Proceso de liberación.
En la temática que nos ocupa, la Seguridad de la Información, dentro de la
cláusula 6, se establece la sub-cláusula 6.6 Gestión de la Seguridad de la
Información. En dicha sub-cláusula, se hace referencia explícita a la ISO/IEC
17799 como guía para la Gestión de la Seguridad de la información que,
como es sabido, hace referencia a los controles de seguridad de la información
o código de buenas prácticas.
Atendiendo a lo que especifica la norma en este punto, se establece como punto
de partida la aprobación de la política de seguridad de la organización por
parte de la dirección de la organización como guía del proceso y, por tanto,
debe ser comunicada a los grupos de interés implicados.
De igual forma, y siguiendo el mismo esquema que se puede observar en normativas
relativas a Sistemas de Gestión de Seguridad de la Información, se
establecen una serie de requerimientos que deben desarrollarse mediante
controles específicos y documentados, entre otros y sin ser exhaustivos, para
la implementación de los requisitos descritos en la política y la gestión de
riesgos. Debe evaluarse el impacto de los cambios en la organización sobre
los controles previamente a su implementación. Deben formalizarse los
requisitos de seguridad cuando se precise la accesibilidad de grupos de interés
externos a sistemas o servicios prestados y deben gestionarse, en su
amplio sentido, los incidentes de seguridad mediante procedimientos que
permitan su tratamiento, comunicación y registro. Y por último, y muy importante,
las acciones de mejora identificadas durante el proceso de gestión de
la seguridad de la información deben incorporarse como entradas del plan de
mejora de servicios TI.