Interpretación del ISO 27031

Interpretación del ISO 27031 (IRBC - Information and Communication Technology Readiness for Business Continuity)

Maricarmen García, CBPC, LA BS25999 e ISO27001Director General Secure Information Technologies

Interpretación del ISO 27031 (IRBC - Information and Communication Technology Readiness for Business Continuity) 2

Sobre el Expositor

Maricarmen es Director General de Secure Information Technologies, instructor, catedrático y especialista en temas de Seguridad de la Información, Continuidad del Negocio, Gestión de Riesgos y Gestión de Servicios de Tecnología de Información, Gobierno Corporativo, y Auditoría de TI. Es Asesor para instituciones privadas y gubernamentales en México y Latinoamérica. Instructor del BSI para las normas ISO22301, ISO27001, ISO31000, ISO27031, ISO27005 e ISO20000. Miembro de ISACA, ISC2, ALAPSI y ALAS y miembro del consejo editorial de la revista DRJ en español

Correo electrónico: [email protected]ágina web: www.secureit.com.mx

Maricarmen Garcia, CBCP, LA BS25999 e ISO27001

Director GeneralSecure IT

(México)

mailto:[email protected]

http://secureit.com.mx/index.htm


Agenda

1. Introducción a ISO 270312. La serie ISO 27000 y el ISO 270313. Identificar e Integrar el IRBC y BCMS4. Factores críticos de éxito para la implementación de la IRBC5. Resumen y Conclusiones


1. Introducción a ISO 27031

Guías para la preparación de las tecnologías de información y comunicaciones para la continuidad del negocio.

Sustituye al estándar británico BS25777

Norma publicada en marzo de 2011.

5


Interpretación del ISO 27031 (IRBC - Information and Communication Technology Readiness for Business Continuity)

IRBC = ICT Readiness for Business Continuity(ICT – Information and Comunication Technology)

Capacidad de una organización para soportar sus operaciones a través de la prevención, detección y respuesta a la interrupción y

recuperación de servicios de ICT.

ISO 27031:2011


Aplica a cualquier organización

De cualquier tamaño

Eventos e incidentes de TIC que afecten la continuidad de las funciones críticas del negocio

Permite la medición del desempeño

Vinculada con:– Sistema de Gestión de Seguridad de la Información (ISO 27001:2005)– Sistema de Gestión de Servicios de TI (ISO 20000:2011)– Sistema de Gestión de Continuidad del Negocio (ISO 22301:2012)

6


Principios de IRBC

Prevención de incidentes

Detección de Incidentes

RespuestaRecuperación

Mejora


Personas

Instalaciones

Tecno-

logía

• Hardware• Redes• Software

ProcesosProveedores

Datos

Elementos de IRBC


1. ISO 27031Principios de IRBC en un Plan de Recuperación de desastres de TIC


2. La serie 27000 y el ISO 27031

La Familia ISO 27000 se especializa en el Sistema de Gestión de Seguridad de la Información (SGSI).

ISO 27001 mediante un SGSI, requiere garantizar la continuidad de los procesos que se protegerán conforme al valor que aportan en la empresa, por lo que es importante identificar el método de continuidad que se requiere conforme a dichos procesos.



Estándares relacionados:– ISO/IEC 27000 — Information security management systems — Overview and

vocabulary [1]– ISO/IEC 27001 — Information security management systems — Requirements– ISO/IEC 27002 — Code of practice for information security management– ISO/IEC 27003 — Information security management system implementation guidance– ISO/IEC 27004 — Information security management — Measurement– ISO/IEC 27005 — Information security risk management– ISO/IEC 27006 — Requirements for bodies providing audit and certification of information

security management systems– ISO/IEC 27011 — Information security management guidelines for telecommunications

organizations based on ISO/IEC 27002– ISO/IEC 27031 — Guidelines for information and communications technology readiness for

business continuity– ISO/IEC 27033-1 — Network security overview and concepts– ISO/IEC 27035 — Security incident management– ISO 27799 — Information security management in health using ISO/IEC 27002


Estructura de ISO 27001 (clausulas de control)

Administración

Operación

Desarrollo y Mantenimiento

de SistemasGestión de

Comunicaciones y Operaciones

Gestión de Continuidad de

Negocio

Seguridad de RH

Cumplimiento

Gestión de Activos

Organización de la Seguridad de Información

Control de Acceso

Política de Seguridad

Gestión de Incidentes de Seguridad

Seguridad Física y Ambiental


27001 - Anexo A.14.1 Continuidad del negocio

A.14.1.1. Incluir a la Seguridad de la Información en el proceso de administración de Continuidad del NegocioA.14.1.2. Continuidad del Negocio y Análisis de RiesgosA.14.1.3. Desarrollo e implementación de Planes de Continuidad incluyendo la Seguridad de la InformaciónA.14.1.4. Marco de trabajo de la planeación de la Continuidad del NegocioA.14.1.5. Pruebas, mantenimiento y reevaluación de los Planes de Continuidad del Negocio

2. La serie 27000 y el ISO 2703127031 - IRBC


3. Identificar e Integrar el IRBC y BCMS


4. Factores críticos de éxito para la implementación de la IRBC

Asegurar el apoyo de la alta direcciónSe requieren la provisión de recursos permanentes ( $)Roles y responsabilidades claramente establecidos para el personal de TIC en las organizacionesPrograma de concientización adecuadoDocumentación de planes suficientemente detalladaIndicadores de desempeñoManejar incidentes de seguridad de información y de gestión, planificación y disponibilidad de servicios TICPrograma de ejercicios y pruebasPromover la participación de toda la organizaciónProcedimiento de control de cambios efectivoAuditoría, revisión de la gerencia y mejora continua


Resumen y Conclusiones

Proporciona los elementos clave para lograr una adecuada preparación para la continuidad de la Tecnología de Información y Comunicaciones (TIC).

Identifica criterios de rendimiento, diseño y detalles de implementación, para mejorar la preparación de las TICs dentro de los Sistemas de Gestión de Seguridad de la Información en las organizaciones.

Asegura la continuidad del negocio sin descuidar la Seguridad de la Información.

Aseguran que los servicios de las TIC son resistentes y adecuados de tal forma que pueden recuperarse a niveles predeterminados en los plazos requeridos y acordados por la organización.


¿Preguntas?

Interpretación del ISO 27031

Technology

Transcript of Interpretación del ISO 27031