MODELOS ISO 27001 SEARS CAMILO LOZANO JAIME ANDRES

MODELOS ISO 27001 - SEARS CAMILO LOZANO JAIME ANDRES PUERTA Auditoria en Sistemas EAFIT 2009

TEMAS • • • NORMAS • ISO 2700 • BS 7799 • SEARS ANTECENDENTES APLICACIONES MODELOS CONCLUSIONES BIBLIOGRAFIA

INTRODUCCIÓN § ¿Por qué se necesita seguridad en la información? § ¿Cómo establecer los requerimientos de seguridad? § Evaluando los riesgos de seguridad § Selección de controles § Factores críticos de éxito

ISO 27001

ISO 27001 • ISO es una organización internacional no gubernamental que produce normas internacionales industriales y comerciales. • El propósito es facilitar el comercio, intercambio de información y contribuir con estándares comunes para el desarrollo y transferencia de tecnologías.

ISO 27001 • Desde 1946 la normatividad ISO fue una de las primeras con pretensiones de estandarizar normas, reglamentos y formas de trabajo en las organizaciones a nivel internacional. • En 1987 aparece, por primera vez, un estándar que en vez de certificar productos asegura procesos. • ISO/IEC 27000 es un conjunto de estándares desarrollados -o en fase de desarrollo- por ISO (International Organization for Standardization) e IEC (International Electrotechnical Commission), que proporcionan un marco de gestión de la seguridad de la información utilizable por cualquier tipo de organización, pública o privada, grande o pequeña.

ISO 27001 ANTECEDENTES: • La serie 27000 de estándares ISO es un conjunto de documentos globalmente aceptado para administrar la seguridad de la información • La serie incluye documentos específicos para definir un sistema de gestión de seguridad de la información, buenas prácticas de control, métricas de seguridad y gestión de riesgo. • Es consistente con las mejores prácticas descritas en ISO/IEC 17799 (actualmente ISO/IEC 27002) y tiene su origen en la revisión de la norma británica British Standard BS 7799 -2.

ISO 27001 HISTORIA: Desde 1901 BSI es responsable de la publicación de importantes normas como la BS 7799 (1995), con objeto de preparar las empresas en la certificación de la Gestión de la Seguridad de su Información por medio de una auditoría realizada por un auditor acreditado y externo. La norma BS 7799 se divide en dos partes: ü ü BS 7799 -1. BS 7799 -2.

ISO 27001 • Tras la revisión de las dos partes de la norma BS 7799 en 1999, la primera parte se adopta por la Organización Internacional para la Estandarización ISO, sin cambios sustanciales, como ISO 17799 en el año 2000. • En 2005, y con más de 1700 empresas certificadas en BS 7799 -2, el esquema SGSI de la norma se publica por ISO bajo la norma 27001, junto a la primera revisión formal realizada en ese mismo año de ISO 17799. • En Marzo de 2006, posteriormente a la publicación de la ISO 27001: 2005, BSI publicó la BS 7799 -3: 2006, centrada en la gestión del riesgo de los sistemas de información.

ISO 27001 MODELO: ACT (Actuar) CHECK (Revisar) • Pasado un periodo de tiempo Modificar los procesos según las PLAN (Planificar) DO (Hacer) conclusiones del paso anterior previsto de antemano, volver a para alcanzar los objetivos con las recopilar datos de control y Ejecutar los procesos definidos en el • especificaciones iniciales, si fuese Identificar el proceso que se quiere analizarlos, comparándolos con paso anterior necesario mejorar los objetivos y especificaciones Documentar las acciones realizadas Aplicar nuevas mejoras, si se han • • iniciales, para evaluar si se ha Recopilar datos para profundizar en detectado errores en el paso el conocimiento del proceso producido la mejora esperada • anterior Análisis e interpretación de los Documentar las conclusiones • Documentar el proceso datos • Establecer los objetivos de mejora • Detallar las especificaciones de los resultados esperados • Definir los procesos necesarios para conseguir estos objetivos, verificando las especificaciones

ISO 27001 OBJETIVO: • Brindar recomendaciones a los responsables de planear, implantar o mantener controles para garantizar la Seguridad de la Información. Provee una base común para el desarrollo de estándares de seguridad aplicables a una empresa en particular tomando como referencia un conjunto de prácticas que han probado su efectividad.

ISO 27001 BENEFICIOS: • Establecimiento de una metodología de gestión de la seguridad clara y estructurada. • Reducción del riesgo de pérdida, robo o corrupción de información. • Los clientes tienen acceso a la información a través medidas de seguridad.

ISO 27001 • Las auditorías externas ayudan cíclicamente a identificar las debilidades del sistema y las áreas a mejorar. • Posibilidad de integrarse con otros sistemas de gestión (ISO 9001, ISO 14001, OHSAS 18001 L). • Garantiza la confidencialidad, integridad y disponibilidad de la información con base en la mejora de los procesos de TI. • Reducción de costes y mejora de los procesos y servicio.

IMPLEMENTACIÓN ISO 27001

5 - Documento sobre política de seguridad de la información el cual debe ser aprobado por la administración y publicado y comunicado a todos los empleados y las organizaciones externas 6 – Coordinación de la seguridad de la información: Las relevantes. actividades de seguridad de la información deben ser coordinadas por representantes de diferentes partes de la organización con 7 – Inventario de activos: Todos los activos deben ser plenamente roles y funciones relevantes. identificados y se deben ubicar todos los activos importantes en un inventario el cual debe ser mantenido. 8 – Proceso disciplinario: Habrá proceso formal disciplinario para 9 10 – Controles – Respaldo físicos de de información: entrada: Las áreas copias seguras de respaldo deben ser de 14 – Pruebas y mantenimiento de planes de continuidad de los empleados que generen brechas de seguridad. protegidas información y software serán realizadas y probadas regularmente controles de ingreso apropiados para asegurar negocio: Los planes de continuidad de negocio deben ser que solo el personal autorizado pueda ingresar. de acuerdo con la política de respaldo aprobada. 11 12 – Control de acceso a código fuente de aplicaciones: El acceso – de cumplimiento usuario para técnico: conexiones Se probados y actualizados regularmente para asegurar que están 15 – Autenticación Verificación de Los externas: sistemas de deben usar métodos de autenticación apropiados para controlar el a código fuente de aplicaciones debe estar restringido. listos para ser ejecutados cuando se necesiten. información se deben verificar regularmente para chequear su acceso de usuarios remotos. cumplimiento con los estándares de implementación de seguridad. 13 – Reporte de debilidades de seguridad: Todos los empleados, contratistas, y usuarios de outsourcing que utilicen los sistemas o servicios de información deben notificar y reportar cualquier debilidad observada o que se sospeche de dichos sistemas.

ISO 27001 IMPACTO EN LA INDUSTRIA: • La información es un activo vital para la continuidad y desarrollo de cualquier organización pero la implantación de controles y procedimientos de seguridad se realiza frecuentemente sin un criterio común establecido, en torno a la compra de productos técnicos y sin considerar toda la información esencial que se debe proteger. • La Organización Internacional de Estandarización (ISO), a través de las normas recogidas en ISO/IEC 27000, establece una implementación efectiva de la seguridad de la información empresarial.

IMPACTO EN LA INDUSTRIA Número de Entidad Certificadora Estándar BS 77992: 2002 o ISO/IEC 27001: 2005 Organización País Com. Banc S. A. Colombia IS 531192 BSI ISO/IEC 27001: 2005 Etek International Holding Corp. Colombia IS 84320 BSI ISO/IEC 27001: 2005 Ricoh Colombia, S. A. Colombia IS 85241 BSI ISO/IEC 27001: 2005 UNISYS Global Outsourcing & Infrastructure Services (GOIS)/Maintenance Support Services (MSS) Colombia IS 97104 BSI ISO/IEC 27001: 2005 Fluid. Signal Group Colombia - ICONTEC ISO/IEC 27001: 2005

SEARS

SEARS ANTECEDENTES: • La Super. Intendencia Bancaria de Colombia a través de la Circular Externa 007 de 1996 exige a las entidades aseguradoras el cumplimiento de un Margen de Solvencia y un Patrimonio Técnico para poder operar. • La Super. Intendencia Bancaria de Colombia (hoy en día Super. Financiera) a través de la circular externa 011 de 2002, define los parámetros generales que debe tener todo establecimiento de crédito para gestionar el riesgo crediticio. • La Circular 31 de 2002 exige la definición de un Sistema de Administración de Riesgos (SAR). • En la Circular Externa 052 de 2002 se le exige a las empresas de seguros la implementación de un Sistema Especial de Administración de Riesgos de Seguros (SEARS), por medio del cual pueda identificar, medir, evaluar y controlar los riesgos inherentes a su actividad.

SEARS Las entidades aseguradoras se encuentran expuestas, además de los riesgos generales a que se expone toda entidad financiera, a riesgos particulares de la actividad aseguradora como serían los riesgos de suscripción y de insuficiencia de reservas técnicas. Por lo tanto es vital que las entidades aseguradoras adopten, como parte integral de su Sistema general de Administración de Riesgos (SAR), sistemas especiales de identificación, medición, evaluación y control de aquellos riesgos particulares a su actividad que operen coordinadamente con los presupuestos generales de administración de riesgos.

SEARS El SEARS está concebido como las políticas, metodologías y procesos de control que la respectiva entidad adopta con el propósito de identificar, administrar y gestionar los riesgos propios de su actividad. Toda entidad aseguradora debe diseñar y adoptar su propio Sistema Especial de Administración de Riesgos de Seguros (SEARS) que le permita realizar una adecuada gestión de los riesgos propios de su actividad.

SEARS El SEARS debe contar con los siguientes elementos que en función de las características, tamaño y complejidad de las operaciones realizadas por cada entidad, pueden adoptarse independientemente o formar parte del sistema general: • Políticas sobre asunción de riesgos • Procesos de Control de Riesgos

SEARS • Infraestructura adecuada para la gestión de los riesgos de seguros • Metodologías especiales para la medición de los riesgos de seguros • Mecanismos de control de los procesos.

SEARS Este modelo no se aplica solamente a entidades aseguradoras. Las empresas de diferentes sectores que han optado por adoptar este modelo de control de riesgo. Se aplica en todo tipo de empresa. Desde la pyme hasta la gran empresa.

SEARS CARACTERISTICAS DEL SEARS: • • • Cuantificación del riesgo Cubrimiento del riesgo Control de riesgos

Diseño, adopción y aplicación de la metodología de cuantificación de riesgos Diseño y adopción de la estructura general del SEARS Políticas de administración de riesgos Metodología, base teórica y parámetros empleados Infraestructura técnica y humana para la gestión de riesgos Instrumentos para capacitar a los encargados de la gestión de riesgo 2ª Fase 1ª Fase Estructura de mecanismos de identificación de riesgo Pruebas de desempeño para verificar la calidad de resultados Valores en riesgo estimados y observados Procesos de control de riesgos Mecanismos para evaluar los procesos Información detallada de los encargados del control de riesgos

Crédito Estratégico Mercado Reputacional Liquidez Operacional Suscripción RIESGO Insuficiencia de reservas técnicas Tarifación Descuento sobre primas Legal Diferencias en condiciones Concentración

SEARS REGLAS ESPECIALES DE LA ESTRUCTURA Y OPERACIÓN DEL SEARS: • • • Infraestructura Características de las metodologías de cuantificación de los riesgos de seguros Procesos de control y de monitoreo de riesgos Periodicidad de la evaluación y reporte a la SBC Facultad de objeción del SEARS por parte de la SBC

CONCLUSIONES • Ni la adopción ni la certificación de cualquiera de la normas en especial la ISO 27001: 2005 garantizan la inmunidad de la organización frente a problemas de seguridad. • Constantemente se deben de realizar análisis periódico de los riesgos. • La responsabilidad en el manejo de la información no solo depende del departamento encargado de TI. • La certificación implica realizar un cambio cultural al interior de la empresa respecto al cuidado del activo más importante de una organización: LA INFORMACIÓN

BIBLIOGRAFIA • Información detallada de la norma ISO/IEC 27001. http: //www. xunlay. com/iso / (18 Enero. 2009) : // • El portal de ISO 27000 en http: //www. iso 27000. es/ (18 Enero. 2009) • Enjuto, Joseba. Diferencia entre ISO 27001 e ISO 27002. http: //secugest. blogspot. com/2007/09/diferencias-entre-iso -27001 -e-iso-27002. html (18 Enero. 2009) • ICONTEC Internacional, Certificación ISO 27001. http: //www. icontec. org/Banco. Conocimiento/C/certificacion _iso_27001/certificacion_iso_27001. asp? Cod. Idioma=ESP (20 Enero. 2009) Español.

BIBLIOGRAFIA • INTECO S. A, Normativa – ISO 27002. https: //sgsi. inteco. es/index. php/es/conceptos-de-unsgsi/normativa? start=2 (19 Enero. 2009) • La Flecha, tu diario de ciencia y tecnología. http: //www. laflecha. net/canales/seguridad/articulos/metod ologia-de-implantacion-y-certificacion-de-iso 27001/ (18 Enero. 2009) • Superintendencia Bancaria, Doctrinas y conceptos financieros. http: //www. superfinanciera. gov. co/Normativa/doctrinas 200 3/adminriesgos 004. htm (20 Enero de 2009)

PREGUNTAS…

GRACIAS…