12/4/2010

Sergio Paños Hernández | 3º HND in Computing

SERWEB

SOLUTIONS

ESTÁNDAR INTERNACIONAL ISO/IEC 17799

TÉCNICAS DE SEGURIDAD – CÓDIGO PARA LA PRÁCTICA DE

LA GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN.

2

Contenido 1.- INTRODUCCIÓN. ....................................................................................................................... 3

1.1.- Glosario: ............................................................................................................................ 3

1.2.- Problemática de seguridad y orígenes de ISO 17799. ...................................................... 3

Los orígenes de ISO 17799: ....................................................................................................... 4

1.3.- Definición de ISO 17799. ................................................................................................... 4

2.- ESTRUCTURA DE LA NORMA: ................................................................................................... 5

2.1.- Dominios de control y objetivos. ...................................................................................... 5

1.- Política de seguridad. ....................................................................................................... 6

2.- Aspectos organizativos para la seguridad. ....................................................................... 6

3.- Clasificación y control de activos. .................................................................................... 6

4.- Seguridad ligada al personal. ........................................................................................... 7

5.- Seguridad física y del entorno. ......................................................................................... 7

6.- Gestión de comunicaciones y operaciones. ..................................................................... 7

7.- Control de accesos. .......................................................................................................... 7

8.- Desarrollo y mantenimiento de sistemas. ....................................................................... 8

9.- Gestión de continuidad del negocio. ............................................................................... 8

10.- Conformidad con la legislación. ..................................................................................... 8

3.- APLICACIÓN DE LA NORMA ISO 17799. ................................................................................... 9

3.1- Auditoría. ........................................................................................................................... 9

3.2.- Consultoría. ....................................................................................................................... 9

3.3.- Implantación. .................................................................................................................... 9

Ejemplo de implantación: ....................................................................................................... 10

4.- VENTAJAS. .............................................................................................................................. 10

5.- SGSI EN ESPAÑA: UNE 71502:2004. ....................................................................................... 10

Marco general del SGSI: .......................................................................................................... 11

Implantación del SGSI: ............................................................................................................ 12

Explotación del SGSI: ............................................................................................................... 12

Revisión del SGSI: .................................................................................................................... 12

Proceso de mejora: ................................................................................................................. 13

6.- CONCLUSIONES. ..................................................................................................................... 13

BIBLIOGRAFÍA: ............................................................................................................................. 13

3

1.- INTRODUCCIÓN.

1.1.- Glosario: Activo: Recurso del sistema de información o relacionado con éste, necesario para que la

organización funcione correctamente y alcance los objetivos propuestos por su dirección.

Amenaza: Evento que puede desencadenar un incidente en la organización, produciendo daños o

pérdidas materiales o inmateriales en sus activos.

Riesgo: Posibilidad de que una amenaza se materialice.

Impacto: Consecuencia sobre un activo de la materialización de una amenaza.

Control: Práctica, procedimiento o mecanismo que reduce el nivel de riesgo.

BSI: Instituto Británico de Normas Técnicas

ISO: Organización de Regulación Internacional de Normas Técnicas.

AENOR: Asociación Española de Normalización y Certificación. Organismo certificador

español.

1.2.- Problemática de seguridad y orígenes de ISO 17799. La problemática de la seguridad en los sistemas de información surge del acelerado desarrollo

e implantación de este tipo de tecnologías, denominadas comúnmente TICs. La rápida

implantación que ha tenido Internet en nuestras vidas ha conllevado que cantidades enormes

de información (en muchos casos confidencial) estén a disposición de cualquiera.

Esta escasa seguridad que hubo en los orígenes del boom de Internet hizo saltar la alarma, de

tal forma que la seguridad de la información empezó a tomarse en serio, tanto en el ámbito

empresarial, como comercial y por supuesto jurídico-legal.

Pero esta seguridad no afecta sólo al tráfico que circula por la red. Debe entenderse la

seguridad como algo integral. Debe abordar problemas desde tráfico en red, hasta seguridad

física de servidores y bases de datos de información.

Los gerentes de seguridad de la información han esperado mucho tiempo a que alguien

tomara el liderazgo para producir un conjunto de normas de seguridad de la información que

estuviera sujeto a auditoría y fuera reconocido globalmente. Se cree que un código de normas

de la seguridad apoyaría los esfuerzos de los gerentes de tecnología de la información en el

sentido que facilitaría la toma de decisión de compra, incrementaría la cooperación entre los

múltiples departamentos por ser la seguridad el interés común y ayudaría a consolidar la

seguridad como prioridad empresarial.

Desde su publicación por parte de la Organización Internacional de Normas en diciembre de

2000, ISO 17799 surge como la norma técnica de seguridad de la información reconocida a

nivel mundial. ISO 17799 se define como "un completo conjunto de controles que incluye las

prácticas exitosas de seguridad de la información".

4

Los orígenes de ISO 17799: Durante más de un siglo, el Instituto Británico de Normas Técnicas (BSI) y la Organización

Internacional de Normas Técnicas (ISO) han brindado parámetros globales a las normas

técnicas de operación, fabricación y desempeño. Solo faltaba que BSI e ISO propusieran una

norma técnica para la seguridad de la información.

Finalmente en 1995, el BSI publicó la primera norma técnica de seguridad, BS 7799, la cual fue

redactada con el fin de abarcar los asuntos de seguridad relacionados con el ecommerce.

Tras 1995, problemas como el Y2K (año 2000 o efecto 2000 )y la Unidad Monetaria Europea

(EMU por su sigla en inglés) prevalecieron sobre otros. Para empeorar las cosas, la norma BS

7799 se consideraba inflexible y no tuvo gran acogida. No se presentó la norma técnica en un

momento oportuno y los problemas de seguridad no despertaron mucho interés en ese

entonces. La escasa implantación de accesos a Internet entre la población tampoco mejoraba

esta situación.

Cuatro años después en mayo de 1999, el BSI intentó de nuevo publicar su segunda versión de

la norma BS 7799, la que fue una revisión más amplia de la primera publicación.

Esta edición sufrió muchas mejoras y perfeccionamientos desde la versión de 1995. En este

momento la ISO se percató de estos cambios y comenzó a trabajar en la revisión de la norma

técnica BS 7799.

En diciembre de 2000, la Organización Internacional de Normas Técnicas (ISO) adoptó y

publicó la primera parte de su norma BS 7799 bajo el nombre de ISO 17799.

Alrededor de la misma época, se adoptó un medio formal de acreditación y certificación para

cumplir con la norma técnica. Los problemas Y2K y EMU y otros similares se habían

solucionado o reducido en 2000 y la calidad total de la norma técnica había mejorado

considerablemente. La adopción por parte de ISO de los criterios de la norma técnica BS 7799

recibió gran aceptación por parte del sector internacional y fue en este momento en el que el

grupo de normas técnicas de seguridad tuvo amplio reconocimiento.

1.3.- Definición de ISO 17799. ISO 17799 es una norma internacional que ofrece recomendaciones para realizar la gestión de

la seguridad de la información dirigidas a los responsables de iniciar, implantar o mantener la

seguridad de una organización.

ISO 17799 define la información como un activo que posee valor para la organización

y requiere por tanto de una protección adecuada. El objetivo de la seguridad de la información

es proteger adecuadamente este activo para asegurar la continuidad del negocio, minimizar

los daños a la organización y maximizar el retorno de las inversiones y las oportunidades de

negocio.

La seguridad de la información se define como la preservación de:

5

– Confidencialidad: Aseguramiento de que la información es accesible sólo para aquellos

autorizados a tener acceso.

– Integridad: Garantía de la exactitud y completitud de la información y de los métodos de su

procesamiento.

– Disponibilidad: Aseguramiento de que los usuarios autorizados tienen acceso cuando lo

requieran a la información y sus activos asociados.

El objetivo de la norma ISO 17799 es proporcionar una base común para desarrollar normas de

seguridad dentro de las organizaciones y ser una práctica eficaz de la gestión de la seguridad.

La adaptación española de la norma se denomina UNE 71502, que será explicada

posteriormente.

La norma ISO 17799 no incluye la segunda parte de BS 7799, que se refiere a la

implementación. ISO 17799 hoy en día es una compilación de recomendaciones para las

prácticas exitosas de seguridad que toda organización puede aplicar independientemente de

su tamaño o sector. La norma técnica fue redactada intencionalmente para que fuera flexible y

nunca indujo a las personas que la cumplían para que prefirieran una solución de seguridad

específica. Las recomendaciones de la norma técnica ISO 17799 son neutrales en cuanto a la

tecnología y no ayudan a evaluar y entender las medidas de seguridad existentes. Así, la norma

discute la necesidad de contar con cortafuegos, pero no profundiza sobre los tres tipos de

cortafuegos y cómo se utilizan, lo que conlleva a que algunos detractores de la norma digan

que ISO 17799 es muy general y que tiene una estructura muy imprecisa y sin valor real.

La flexibilidad e imprecisión de ISO 17799 es intencional por cuanto es difícil contar con una

norma que funcione en una variedad de entornos de tecnología de la información y que sea

capaz de desarrollarse con el cambiante mundo de la tecnología. ISO 17799 simplemente

ofrece un conjunto de reglas a un sector donde no existían.

2.- ESTRUCTURA DE LA NORMA:

2.1.- Dominios de control y objetivos. La norma UNE-ISO/IEC 17799 establece diez dominios de control que cubren por completo la

Gestión de la Seguridad de la Información:

1. Política de seguridad.

2. Aspectos organizativos para la seguridad.

3. Clasificación y control de activos.

4. Seguridad ligada al personal.

5. Seguridad física y del entorno.

6. Gestión de comunicaciones y operaciones.

7. Control de accesos.

8. Desarrollo y mantenimiento de sistemas.

9. Gestión de continuidad del negocio.

10. Conformidad con la legislación.

6

De estos diez dominios se derivan 36 objetivos de control (resultados que se esperan alcanzar

mediante la implementación de controles) y 127 controles (prácticas, procedimientos o

mecanismos que reducen el nivel de riesgo).

A continuación se comentan los detalles de cada dominio de control:

1.- Política de seguridad.

Su objetivo principal es dirigir y dar soporte a la gestión de la seguridad de la información. La

alta dirección debe definir una política que refleje las líneas directrices de la organización en

materia de seguridad, aprobarla y publicitarla de la forma adecuada a todo el personal

implicado en la seguridad de la información.

La política se constituye en la base de todo el sistema de seguridad de la información.

La alta dirección debe apoyar visiblemente la seguridad de la información en la compañía.

2.- Aspectos organizativos para la seguridad.

Gestionan la seguridad de la información dentro de la organización. Mantienen la seguridad de

los recursos de tratamiento de la información y de los activos de información de la

organización que son accedidos por terceros. Mantienen también la seguridad de la

información cuando la responsabilidad de su tratamiento se ha externalizado a otra

organización.

Debe diseñarse una estructura organizativa dentro de la compañía que defina las

responsabilidades que en materia de seguridad tiene cada usuario o área de trabajo

relacionada con los sistemas de información de cualquier forma. Dicha estructura debe poseer

un enfoque multidisciplinar: los problemas de seguridad no son exclusivamente técnicos.

3.- Clasificación y control de activos.

Mantener una protección adecuada sobre los activos de la organización. Asegurar un nivel de

protección adecuado a los activos de información. Debe definirse una clasificación de los

7

activos relacionados con los sistemas de información, manteniendo un inventario actualizado

que registre estos datos, y proporcionando a cada activo el nivel de protección adecuado a su

criticidad en la organización.

4.- Seguridad ligada al personal.

Reducir los riesgos de errores humanos, robos, fraudes o mal uso de las instalaciones y los

servicios. Asegurar que los usuarios son conscientes de las amenazas y riesgos en el ámbito de

la seguridad de la información, y que están preparados para sostener la política de seguridad

de la organización en el curso normal de su trabajo. Minimizar los daños provocados por

incidencias de seguridad y por el mal funcionamiento, controlándolos y aprendiendo de ellos.

Las implicaciones del factor humano en la seguridad de la información son muy elevadas.

Todo el personal, tanto interno como externo a la organización, debe conocer tanto las líneas

generales de la política de seguridad corporativa como las implicaciones de su trabajo en el

mantenimiento de la seguridad global.

Debe haber diferentes relaciones con los sistemas de información: operador, administrador,

guardia de seguridad, personal de servicios, etc, y procesos de notificación de incidencias

claros, ágiles y conocidos por todos.

5.- Seguridad física y del entorno.

Evitar accesos no autorizados, daños e interferencias contra los locales y la información de la

organización. Evitar pérdidas, daños o comprometer los activos así como la interrupción de las

actividades de la organización. Prevenir las exposiciones a riesgo o robos de información y de

recursos de tratamiento de información.

Las áreas de trabajo de la organización y sus activos deben ser clasificadas y protegidas en

función de su criticidad, siempre de una forma adecuada y frente a cualquier riesgo factible

de índole física (robo, inundación, incendio...).

6.- Gestión de comunicaciones y operaciones.

Asegurar la operación correcta y segura de los recursos de tratamiento de información.

Minimizar el riesgo de fallos en los sistemas. Proteger la integridad del software y de la

información. Mantener la integridad y la disponibilidad de los servicios de tratamiento de

información y comunicación. Asegurar la salvaguarda de la información en las redes y la

protección de su infraestructura de apoyo. Evitar daños a los activos e interrupciones de

actividades de la organización. Prevenir la pérdida, modificación o mal uso de la información

intercambiada entre organizaciones.

Se debe garantizar la seguridad de las comunicaciones y de la operación de los sistemas

críticos para el negocio.

7.- Control de accesos.

Controlar los accesos a la información, evitar accesos no autorizados a los sistemas de

información, evitar el acceso de usuarios no autorizados, proteger los servicios en red. Evitar

accesos no autorizados a ordenadores, el acceso no autorizado a la información contenida en

8

los sistemas. Detectar actividades no autorizadas. Garantizar la seguridad de la información

cuando se usan dispositivos de informática móvil y tele-trabajo.

Se deben establecer los controles de acceso adecuados para proteger los sistemas de

información críticos para el negocio, a diferentes niveles: sistema operativo, aplicaciones,

redes, etc.

8.- Desarrollo y mantenimiento de sistemas.

Asegurar que la seguridad está incluida dentro de los sistemas de información.

Evitar pérdidas, modificaciones o mal uso de los datos de usuario en las aplicaciones.

Proteger la confidencialidad, autenticidad e integridad de la información. Asegurar que los

proyectos de Tecnología de la Información y las actividades complementarias son llevadas a

cabo de una forma segura. Mantener la seguridad del software y la información de la

aplicación del sistema.

Debe contemplarse la seguridad de la información en todas las etapas del ciclo de vida del

software en una organización: especificación de requisitos, desarrollo, explotación,

mantenimiento...

9.- Gestión de continuidad del negocio.

Reaccionar a la interrupción de actividades del negocio y proteger sus procesos críticos frente

grandes fallos o desastres. Todas las situaciones que puedan provocar la interrupción de las

actividades del negocio deben ser prevenidas y contrarrestadas mediante los planes de

contingencia adecuados.

Los planes de contingencia deben ser probados y revisados periódicamente.

Se deben definir equipos de recuperación ante contingencias, en los que se identifiquen

claramente las funciones y responsabilidades de cada miembro en caso de desastre.

10.- Conformidad con la legislación.

Evitar el incumplimiento de cualquier ley, estatuto, regulación u obligación contractual y de

cualquier requerimiento de seguridad. Garantizar la alineación de los sistemas con la política

de seguridad de la organización y con la normativa derivada de la misma. Maximizar la

efectividad y minimizar la interferencia de o desde el proceso de auditoría de sistemas.

Se debe identificar convenientemente la legislación aplicable a los sistemas de información

corporativos (en nuestro caso, LOPD, LPI, LSSI...), integrándola en el sistema de seguridad de la

información de la compañía y garantizando su cumplimiento.

Se debe definir un plan de auditoría interna y ser ejecutado convenientemente, para

garantizar la detección de desviaciones con respecto a la política de seguridad de la

información.

Niveles de seguridad:

Lógica: Confidencialidad, integridad y disponibilidad del software y datos de un SGI.

Organizativa: Relativa a la prevención, detección y corrección de riesgos.

9

Física: Protección de elementos físicos de las instalaciones: servidores, PCs…

Legal: Cumplimiento de la legislación vigente. En España: LOPD (Ley Orgánica de

Protección de Datos).

3.- APLICACIÓN DE LA NORMA ISO 17799.

3.1- Auditoría. Un trabajo de auditoría ISO 17799 consiste en la valoración del nivel de adecuación,

implantación y gestión de cada control de la norma en la organización. Valora la seguridad

desde 4 puntos de vista:

– Seguridad lógica.

– Seguridad física.

– Seguridad organizativa.

– Seguridad legal.

Se trata de una referencia de la seguridad de la información estándar y aceptada

internacionalmente. Una vez conocemos el estado actual de la seguridad de la información en

la organización, podemos planificar correctamente su mejora o su mantenimiento. Una

auditoría ISO 17799 proporciona información precisa acerca del nivel de cumplimiento de la

norma a diferentes niveles: global, por dominios, por objetivos y por controles.

3.2.- Consultoría. Conociendo el nivel de cumplimiento actual, es posible determinar el nivel mínimo aceptable y

el nivel objetivo en la organización:

– Nivel mínimo aceptable. Estado con

las mínimas garantías de seguridad

necesarias para trabajar con la

información corporativa.

– Nivel objetivo. Estado de seguridad

de referencia para la organización, con

un alto grado de cumplimiento ISO

17799.

– A partir del nivel mínimo aceptable y

el nivel objetivo, podemos definir un

plan de trabajo para alcanzar ambos a

partir del estado actual.

– Nivel mínimo aceptable. Implantación de los controles técnicos más urgentes, a muy

corto plazo.

– Nivel objetivo. Se desarrolla en el tiempo dentro del Plan Director de

– Seguridad corporativo, y es el paso previo a la certificación UNE 71502.

3.3.- Implantación. ISO 17799 no es una norma tecnológica.

10

– Ha sido redactada de forma flexible e independiente de cualquier solución de

seguridad específica.

– Proporciona buenas prácticas neutrales con respecto a la tecnología y a las soluciones

disponibles en el mercado.

Estas características posibilitan su implantación en todo tipo de organizaciones, sin importar su

tamaño o sector de negocio, pero al mismo tiempo son un argumento para los detractores de

la norma. ¿Cómo traducir especificaciones de alto nivel a soluciones concretas, para poder

implantar ISO 17799? Con un trabajo de consultoría, interna o externa.

Ejemplo de implantación: En este ejemplo se muestra un sencillo caso concreto de implantación de la norma, para

implantarse en una determinada empresa u organización.

– Dominio de control: Gestión de comunicaciones y operaciones

o Objetivo de control: proteger la integridad del software y de la información.

– Control: Controles contra software malicioso.

“Se deberían implantar controles para detectar el software malicioso y prevenirse

contra él, junto a procedimientos adecuados para concienciar a los usuarios”.

Tras un trabajo de consultoría se establecerían las siguientes conclusiones:

– Normativa de uso de software: definición y publicitación en la Intranet.

– Filtrado de contenidos: X - Content Filtering v3.4.

– Antivirus de correo: Y – Antivirus v2.0.

– Antivirus personal: Z - Antivirus v4.5.

4.- VENTAJAS. La adopción de la norma ISO 17799 proporciona diferentes ventajas a cualquier organización:

– Aumento de la seguridad efectiva de los sistemas de información.

– Correcta planificación y gestión de la seguridad.

– Garantías de continuidad del negocio.

– Alianzas comerciales y e-commerce más seguras.

– Mejora contínua a través del proceso de auditoría interna.

– Incremento de los niveles de confianza de nuestros clientes y partners.

– Aumento del valor comercial y mejora de la imagen de la organización.

– Auditorías de seguridad más precisas y fiables.

– Menor Responsabilidad Civil.

5.- SGSI EN ESPAÑA: UNE 71502:2004. Marco general del SGSI:

11

La organización debe establecer y mantener un SGSI documentado. Este debe identificar los

activos a proteger, el enfoque de la gestión de riesgo adoptado por la organización, los objetivos

y controles, así como el grado de protección requerido.

Proceso de certificación:

El proceso de certificación del SGSI conforme a la Norma UNE 71502:2004 se basa en la

implantación de los controles descritos en la Norma UNE-ISO/IEC 17799. El organismo

certificador español que debe expedir el certificado es AENOR.

Para los procesos de certificación en las empresas de mayor tamaño, la Norma recomienda

emplear una metodología como MAGERIT, Metodología de Análisis y Gestión de Riesgos de

los Sistemas de Información de las Administraciones Públicas.

El proceso de certificación consta de las siguientes fases:

• Solicitud de la certificación: cumplimentar cuestionario (Empresa).

• Análisis de la documentación: Informe de deficiencias de la documentación AENOR).

• Visita previa para analizar el SGSI: Informe de la visita previa (AENOR).

• Auditoría del SGSI:

Informe de disconformidades (AENOR).

Plan de acciones correctivas (Empresa).

Evaluación y decisión: Auditoría extraordinaria, en caso de no cumplimiento de los

requisitos de certificación (Empresa).

• Emisión del certificado.

• Auditorías de seguimiento anuales.

• Auditoría de renovación al tercer año.

Marco general del SGSI: Un SGSI debe identificar fundamentalmente los activos a proteger, el enfoque de la gestión del

riesgo adoptado por la Organización, los objetivos, los controles y el grado de protección

requerido. El marco general del SGSI parte de la fase de planificación y diseño, consistente en

la identificación y documentación del alcance y objetivos del SGSI, para lo cual se deben

abordar los siguientes aspectos:

– Definir la política de seguridad.

– Definir el alcance del SGSI en función de las características de la Organización.

– Realizar un análisis de riesgos adecuado a los activos de la Organización utilizando para

ello una metodología (la Norma recomienda MAGERIT o la incluida en la anterior

Norma UNE 71501).

– Seleccionar de la Norma UNE-ISO/IEC 17799 los controles adecuados, así como otros

específicos para cada Organización, necesarios los objetivos a cubrir y documentarlos.

La siguiente fase consiste en la selección de controles a implantar, utilizando para ello la

relación incluida en la Norma UNE ISO/IEC 17799, excluyendo aquéllos que no sean de

aplicación por las características de la organización. Finalmente, el SGSI se debe documentar

incluyendo las acciones realizadas para la planificación y diseño del sistema, un resumen

ejecutivo conteniendo la política de seguridad, los objetivos a cubrir y los controles

implantados, los procedimientos adoptados para implantar los controles, los procedimientos de

gestión y operación del SGSI y el documento de selección de controles.

12

Toda esta documentación debe estar convenientemente controlada mediante los procedimientos

necesarios para garantizar que esté disponible, sea comprensible y pueda ser revisada cuando se

necesite. Asimismo, ha de ser mantenida bajo control de versiones y retirada cuando quede

obsoleta. Asimismo, la Organización debe disponer de procedimientos para identificar,

mantener, conservar y destruir los registros que evidencien el cumplimiento del SGSI

implantado con la Norma UNE 71502.

La responsabilidad de la Dirección resulta fundamental en el proceso y se basa en su

compromiso con la implantación del SGSI y con la política de seguridad de la Organización.

La Norma UNE 71502 adopta el modelo de mejora continua “Plan-Do-Check-Act” (PDCA),

permitiendo a cada Organización utilizar los instrumentos que considere oportunos.

Modelo PDCA:

Implantación del SGSI: La correcta implantación del SGSI se basa en la implantación efectiva en la Organización de

aquellos controles que resulten eficaces para la misma. Para ello, es preciso controlar la

función que realizan, seleccionando, en la fase de diseño, indicadores de la eficacia de cada

control, una vez implantado.

Con ello se determinará el grado de implantación de los controles seleccionados, valorando su

eficacia frente a los riesgos detectados en la fase de análisis.

Explotación del SGSI: Para una correcta explotación del SGSI, la Organización debe proporcionar los recursos

necesarios, a lo largo de todo el proceso, desde su implantación y aplicación, hasta su

mantenimiento, revisión y mejora. En concreto, los recursos humanos asignados deben asumir

las responsabilidades definidas en el SGSI, para lo cual han de estar capacitados y deben recibir

la adecuada formación.

Revisión del SGSI: La Dirección debe revisar de forma planificada el SGSI, para asegurarse de su conveniencia,

adecuación y eficacia. Debe asimismo identificar las oportunidades de mejora y los cambios

necesarios en el SGSI, incluyendo la revisión de la política y los objetivos de la seguridad.

13

Para ello, el SGSI debe contener procedimientos documentados para identificar

vulnerabilidades no contempladas en el análisis de riesgos, herramientas para mejorar la

eficacia del SGSI y cambios en la Organización que afecten al SGSI, manteniendo registros de

las revisiones efectuadas por la Dirección. Dichos procedimientos han de ser modificados para

adaptarlos al SGSI cuando cambien factores internos o externos, como son los requisitos y

procesos de negocio, el entorno legislativo o los niveles de riesgo aceptables.

La Dirección debe asimismo asegurarse de que se realizan auditorías periódicas del SGSI para

determinar si el sistema cumple la política y requisitos de seguridad definidos por la

Organización y las especificaciones de la presente Norma, y si se ha implantado, se ejecuta y se

mantiene eficazmente.

Proceso de mejora: La Dirección debe asegurar que se emprenden acciones para detectar las inconformidades y

sus posibles causas, verificando y auditando dichas acciones.

El proceso de mejora continua de la eficacia del SGSI debe realizarse mediante el uso de la

política de seguridad, la revisión de los objetivos de seguridad, el uso de los indicadores de

eficacia de los procesos que intervienen en el SGSI, el análisis de los resultados de las

auditorías, la aplicación de las acciones correctivas y preventivas y la revisión continua de la

Dirección.

Las acciones correctivas y preventivas son fundamentales para eliminar las causas de las

inconformidades en la aplicación y explotación del SGSI y evitar que sucedan de nuevo.

Para ello, se debe establecer un procedimiento que facilite identificar las inconformidades al

SGSI y determinar sus causas, evaluar la aplicación de las acciones necesarias e implantarlas,

registrar los resultados obtenidos y revisarlos, usando el proceso de mejora continúa.

6.- CONCLUSIONES. - ISO 17799 es una norma internacional que ofrece recomendaciones para realizar la

gestión de la seguridad de la información, adoptada en España como norma UNE-

ISO/IEC 17799 (UNE 71502).

- La norma se estructura en diez dominios de control que cubren por completo todos

los aspectos relativos a la seguridad de la información.

- Implantar ISO 17799 requiere de un trabajo de consultoría que adapte los

requerimientos de la norma a las necesidades de cada organización concreta.

- La adopción de ISO 17799 presenta diferentes ventajas para la organización, entre

ellas el primer paso para la certificación según UNE 71502.

- La seguridad TOTAL no existe.

BIBLIOGRAFÍA: - Norma UNE 71502: 2004 (AENOR)

- http://www.symantec.com/region/mx/enterprisesecurity/