¿Qué son los datos y la información?

Primero, veamos los conceptos básicos de la información. En sus términos más simples, los datos en bruto se llaman datos. La forma procesada de los datos es información. La expresión de datos o datos es un valor numérico y lógico.

Las principales características de la información que debe ser protegida son:

• Confidencialidad de la información: la confidencialidad de la información se denomina inaccesible e inexplicable por personas, organizaciones, entidades y procesos que no están autorizados.
• Integridad del conocimiento: se refiere a la preservación de la precisión, integridad y cualidades únicas del conocimiento.
• Accesibilidad de la información: es la característica de que solo personas autorizadas pueden acceder y utilizar la información en cualquier momento.

La información puede ser clasificada de varias maneras. Sin embargo, es básicamente posible clasificar de la siguiente manera:

• La información confidencial es crítica para los negocios. Solo los miembros del equipo directivo pueden acceder a esta información. El acceso, uso y uso compartido de dicha información por parte de personas no autorizadas es un inconveniente para la empresa. En resumen, es esencial mantener esta información confidencial.
• La información disponible dentro de la empresa es información privada que es accesible solo para los empleados involucrados. Información que otros empleados y terceros que no sean empleados de la unidad no deben acceder y ver. Es esencial mantener dicha información confidencial.
• La información personal es la información personal de los empleados. Solo se cubren los estudios personales relacionados con actividades empresariales. Mantener y almacenar información personal que no es relevante para el trabajo no es correcto. Es esencial que la información personal sea accesible.
• La información disponible para la empresa es solo para uso de los empleados. La integridad y la accesibilidad son esenciales para dicha información. La información compartida entre unidades cae en esta clase.

¿Qué es el Sistema de Gestión de Seguridad de la Información ISO / IEC 27001?

Para garantizar la seguridad de todo tipo de información, la Organización de Normas Internacionales (ISO) y la Comisión Electrotécnica Internacional (CEI) publicaron el estándar del Sistema de Gestión de Seguridad de la Información ISO / IEC 2005.

De hecho, la historia de este estándar constituye la primera parte del estándar BS 1995 publicado por el British Standards Institute en 7799 y la segunda parte publicada en 1998. Estas normas fueron revisadas juntas en 1999. Para el año 2000, se publicó el estándar ISO / IEC 17799. En 2002, se actualizó el estándar BS 7799-2 y, mediante 2005, la Organización de Normas Internacionales emitió los siguientes estándares:

• ISO 7799: 2 estándar en lugar de BS 27001-2005
• ISO 17799: estándar 2000 en lugar de ISO 27002: estándar 2005

Estos dos estándares fueron revisados ​​más recientemente en 2013.

Esta familia estándar ha sido publicada por el Instituto de Estándares de Turquía en nuestro país de la siguiente manera:

• Tecnología de la información - Técnicas de seguridad - Sistemas de gestión de seguridad de la información - Resumen y glosario
• TS EN ISO / IEC 27001 Tecnología de la información - Técnicas de seguridad - Sistemas de gestión de seguridad de la información - Requisitos
• TS EN ISO / IEC 27002 Tecnología de la información - Técnicas de seguridad - Principios de aplicación para controles de seguridad de la información
• TS ISO / IEC 27003 Tecnología de la información - Técnicas de seguridad - Guía de aplicación del sistema de administración de seguridad de la información
• ISO / CEI 27004 Tecnología de la información - Técnicas de seguridad - Gestión de la seguridad de la información - Medición
• TS ISO / IEC 27005 Tecnología de la información - Técnicas de seguridad - Gestión de riesgos de seguridad de la información
• TS ISO / IEC 27006 Tecnología de la información - Técnicas de seguridad - Requisitos para las organizaciones que realizan auditorías y certificaciones de sistemas de gestión de seguridad de la información
• TS ISO / IEC 27007 Tecnología de la información - Técnicas de seguridad - Guía para la auditoría de sistemas de gestión de seguridad de la información
• TSE ISO / IEC EN 27008 Tecnología de la información - Técnicas de seguridad - Guía de controles de seguridad de la información para auditores

¿Qué es el riesgo, la gestión del riesgo y la amenaza?

La frase de riesgo colocada en nuestro idioma del francés se define como el peligro de daño. El riesgo es la ocurrencia de un evento inesperado y ser afectado por él. Por lo tanto, el riesgo se considera una situación negativa, un peligro. De esta manera, para protegerse contra los efectos negativos de los riesgos y evitar cualquier daño, se toman medidas teniendo en cuenta varias posibilidades. El método que incluye estos estudios y actividades de planificación se denomina gestión de riesgos.

La gestión de riesgos es el proceso de identificar, medir, analizar y evaluar una serie de factores de riesgo y minimizar las posibles pérdidas para evitar la interrupción de la operatividad de una empresa y garantizar que las actividades no se vean afectadas negativamente. Sin embargo, no es posible eliminar completamente el riesgo en las actividades de gestión de riesgos.

Los principales elementos de un estudio de gestión de riesgos son:

• Determinación de los activos de la empresa con valor informativo.
• Identificación de riesgos internos y externos que amenazan el negocio.
• Detección de puntos débiles y abiertos que ponen en peligro el negocio.
• Determinación de la probabilidad de realización del riesgo.
• Determinación de los efectos de los riesgos en las actividades de la empresa y del sistema.

Por activo, nos referimos a todo lo que forma parte del sistema y tiene un valor para la empresa. Por lo tanto, los activos son valiosos para el negocio y necesitan ser protegidos.

En términos del sistema de tecnología de la información, los activos no se refieren únicamente al software y al hardware. Lo siguiente se incluye en el concepto de ser: todo tipo de información, computadoras personales, impresoras, servidores y todo hardware similar, sistemas operativos, aplicaciones desarrolladas, programas de oficina y todo software similar, teléfonos, cables, líneas de módems, dispositivos de conmutación y todos los demás dispositivos de comunicación Todos los documentos, servicios producidos y, por supuesto, la reputación y la imagen del negocio en el mercado.

Los riesgos están sujetos a una cierta clasificación en los estudios de gestión de riesgos. Por ejemplo, si el activo está dañado en el grupo de bajo riesgo, el sistema de información no se dañará mucho y el sistema continuará funcionando. Esta situación no daña la reputación de la empresa. El sistema de información se ve afectado si el activo se daña en el grupo de riesgo medio. Aunque el sistema sigue funcionando, el activo aún debe ponerse en marcha. Esta situación causa algún daño a la reputación de la empresa. El sistema de información se ve muy afectado si el activo se daña en el grupo de alto riesgo. Casi la mitad del sistema se vuelve inutilizable. Para que el sistema funcione, el activo debe ser reemplazado. Esta situación afecta significativamente la reputación de la empresa. En el grupo de muy alto riesgo, la presencia de información se ha visto gravemente dañada y, en este caso, la operabilidad del sistema se ha visto muy afectada. El sistema de información no está disponible. Esta situación afecta muy gravemente la reputación de la empresa en el mercado.

Una amenaza es el potencial de cualquier fuente de amenaza, ya sea intencionalmente o como resultado de un accidente, para explotar una vulnerabilidad en el sistema y dañar los activos. Las amenazas naturales incluyen terremotos, deslizamientos de tierra, inundaciones, rayos o tormentas. Las amenazas ambientales incluyen la contaminación del aire, los apagones prolongados y las fugas. Las amenazas causadas por los seres humanos son causadas por personas de manera consciente o inconsciente. Por ejemplo, ingresar datos erróneos en el sistema, ataques a la red externa, instalar software malicioso en el sistema, robar las credenciales de los usuarios o acceder a personas autorizadas al sistema.

La apertura a los sistemas de información es una debilidad, error o falla que se encuentra en los procedimientos de seguridad del sistema, en la práctica o en las auditorías internas, que violan la seguridad de la información. Estas aberturas por sí solas no son un peligro. Debe haber una amenaza para su realización.

¿Cuál es el alcance del sistema de gestión de seguridad de la información ISO 27001?

Las empresas producen cierta información dentro del alcance de sus actividades, independientemente del sector o tamaño en el que operan, y esta información es valiosa para cada empresa. Los esfuerzos para proteger la información serán diferentes de una empresa a otra, pero en general el sistema cubrirá los siguientes elementos principales:

• La alta dirección de la empresa debería haber definido y explicado una política a seguir en el campo de la seguridad de la información.
• Los activos de información en la empresa deben ser listados y ordenados de importancia.
• Se debe evitar la posibilidad de que los empleados cometan errores.
• El riesgo de mal uso de los activos de información en la empresa debe reducirse.
• Deben reducirse los ataques a las fuentes de información y el riesgo de corrupción o alteración de la información.
• Los sistemas informáticos operativos deben ser suficientes y confiables.
• Solo las personas autorizadas deben tener acceso a la información.
• En caso de cualquier violación de la seguridad, la respuesta rápida y oportuna debe ser posible de acuerdo con la forma del evento.
• Los ataques a la información no deben interrumpir las actividades principales de la empresa y deben poder regresar al entorno normal muy rápidamente. En otras palabras, la continuidad de las actividades debe ser asegurada.
• El Sistema de gestión de la seguridad de la información debe estar en un nivel suficiente para cumplir con las obligaciones de los reglamentos legales de una entidad.

Aunque el Sistema de gestión de seguridad de la información ISO 27001 se percibe solo como un proyecto de tecnología de la información en las empresas, en realidad es un proyecto de seguridad de la información que concierne a toda la empresa. Por lo tanto, la alta dirección es directamente responsable del establecimiento y funcionamiento de la norma ISO 27001. En la actualidad, el sistema de gestión de seguridad de la información ISO 27001 se administra como un conjunto que incluye todos los recursos humanos, la alta gerencia, los sistemas de información y los procesos de negocios en la empresa.

Los principales objetivos de la norma ISO 27001 son:

• Para identificar las vulnerabilidades de seguridad de la información, en su caso
• Identificar riesgos que amenacen los activos de información.
• Determinar los métodos de auditoría para garantizar la seguridad de los activos de información en riesgo.
• Asegurar que se realicen los controles necesarios y mantener los posibles riesgos a un nivel aceptable
• Asegurar la continuidad de los controles de seguridad de la información en la empresa.

¿Qué aporta el sistema de gestión de seguridad de la información ISO 27001?

La norma ISO 27001 permite el establecimiento de una metodología de evaluación de riesgos, la preparación de informes de evaluación de riesgos y la preparación de planes de procesamiento de riesgos.

Con el tiempo, la naturaleza de las amenazas y vulnerabilidades presentes en el sistema puede cambiar. O como resultado de los controles realizados con la norma ISO 27001 aplicada, los riesgos pueden reducirse o la gravedad puede reducirse. Por lo tanto, las actividades de monitoreo de riesgos de las empresas son importantes. Las empresas están obligadas a realizar estudios de evaluación de riesgos de acuerdo con la metodología aceptada dentro del período que hayan determinado.

La política de seguridad de la información según el estándar ISO 27001 debe incluir principalmente: seguridad física y ambiental, seguridad de equipos, sistemas operativos y seguridad del usuario final, seguridad de contraseña y seguridad del servidor y del sistema.

El tema de la seguridad física y ambiental se refiere a prevenir el acceso no autorizado al sistema y proteger los activos de información contra diversos riesgos. Hoy en día, la seguridad física y ambiental es cada vez más importante. La presencia de equipos de seguridad privada en la entrada del edificio de negocios, el almacenamiento de importantes entornos de información y el acceso a estos entornos con sistemas de seguridad encriptados son ejemplos de tales medidas. Para proteger los sistemas de información, es común instalar acceso controlado por tarjeta y sistemas de seguridad física similares. Dicha seguridad física en la frontera se establece en función de las necesidades de seguridad de los activos de información y los resultados de la evaluación de riesgos. Los entornos con información altamente riesgosa están bloqueados del acceso no autorizado mediante tarjetas de autenticación o protección de PIN. Además, se deben tomar y aplicar medidas de protección física contra los daños causados ​​por desastres como incendios, inundaciones, terremotos, explosiones o disturbios sociales.

Importancia del sistema de gestión de seguridad de la información ISO 27001

La seguridad de la información tiene como objetivo garantizar la continuidad del trabajo en las empresas, minimizar las pérdidas en caso de un peligro inevitable y proteger la confidencialidad, accesibilidad e integridad de los recursos en todos los casos. Hoy en día, no solo con sus empleados, sino también con socios comerciales, accionistas y clientes, el establecimiento de un entorno de confianza para la protección y la confidencialidad de la información es de importancia estratégica para la gestión empresarial.

Los problemas de seguridad experimentados de diversas maneras no solo interrumpen la continuidad de las actividades, sino que también causan pérdida de mercado, crean dificultades competitivas y causan pérdida de confianza contra socios comerciales, accionistas y clientes. El costo de los gastos para recuperar estos números es más costoso que el costo de las medidas para evitar perderlos.

La información para las empresas, al igual que otros activos comerciales, es un activo que tiene valor y, por lo tanto, necesita ser protegido. La información es de gran importancia para que la empresa continúe sus actividades. Por esta razón, es importante que los activos de información se mantengan confidenciales, su integridad se mantenga y esté disponible en todo momento; en resumen, se garantiza la seguridad de la información. El Sistema de Gestión de Seguridad de la Información ISO / IEC 27001 es el único sistema internacional y auditable que define las necesidades de las empresas en esta dirección.

La norma ISO 27001 es particularmente necesaria en los sectores donde el procesamiento y la protección de la información es de suma importancia, como los sectores público, financiero, de salud y de tecnología de la información. Este estándar también es importante para las empresas que administran información para otras personas y organizaciones. De esta manera, las empresas brindan a sus clientes la seguridad de que su información está protegida.

El Sistema de gestión de seguridad de la información ISO 27001 es un sistema de gestión establecido por empresas con el objetivo de brindar seguridad de la información, aplicar esta norma, monitorear, revisar, mantener y mejorar continuamente la aplicación. En este marco, se llevan a cabo estudios de análisis de riesgos para determinar los recursos de la empresa e identificar los posibles riesgos. Los estudios de evaluación de riesgo son la comparación del riesgo con los criterios de riesgo dados para determinar la importancia del riesgo.

ISO 27001 Planificación del sistema de gestión de la seguridad de la información

El establecimiento del estándar ISO 27001 en la empresa depende de varios pasos. Es como

• Primero, se debe recopilar información sobre la infraestructura de la empresa. Esta información está relacionada con los campos de actividad de la empresa, la naturaleza del trabajo realizado, la misión y la liquidación de la empresa.
• Luego, se deben determinar los nombres clave que servirán en el establecimiento del sistema. En esta etapa, deben determinarse los responsables de la gestión de riesgos y el propósito de establecer el sistema.
• Entonces, la situación de seguridad de la empresa debe determinarse en la situación actual.
• Luego se debe recopilar información, como ubicaciones, operaciones, funciones comerciales y tecnologías de la información, que determinarán el alcance del sistema.
• En esta etapa, el objetivo y el alcance del Sistema de Gestión de Seguridad de la Información ISO 27001 deben determinarse y debe establecerse un programa de trabajo.
• Finalmente, en la última etapa, se deben determinar los procesos necesarios para el establecimiento del sistema y la continuidad del mismo.

El ciclo, que tradicionalmente se aplica a todos los sistemas de gestión de calidad, es también el caso aquí:

• Plan (Establecimiento del Sistema de Gestión de Seguridad de la Información).
• Aplicar (Implementación y operación del Sistema de Gestión de Seguridad de la Información)
• Verificación (Monitoreo y revisión del Sistema de Gestión de Seguridad de la Información)
• Tomar precauciones (Mantenimiento y mejora del Sistema de Gestión de Seguridad de la Información).

Naturalmente, con el establecimiento de tal sistema, las empresas obtienen enormes beneficios. Por ejemplo,

• La entidad reconoce la existencia y la importancia de todos los activos de información.
• Protege los activos de información aplicándolos a los métodos de control y protección especificados.
• De esta manera, se asegura la continuidad del trabajo. Cuando se encuentra algún riesgo, se evita que las actividades se interrumpan.
• Con este sistema, la compañía gana la confianza de las partes relacionadas, ya que protegerá la información de las empresas proveedoras y los clientes.
• La protección de la información no se deja al azar.
• El negocio actúa de manera más sistemática que sus competidores cuando evalúa a sus clientes.
• La motivación de los empleados en el negocio aumenta.
• Como las regulaciones legales serán aseguradas, se evitarán posibles seguimientos legales.
• La reputación del negocio en el mercado aumenta y el negocio está un paso adelante en la lucha contra sus competidores.

El Sistema de Gestión de Seguridad de la Información ISO 27001 requiere que todos los activos de información en la empresa sean abordados y evaluados, y se realiza un análisis de riesgo teniendo en cuenta las debilidades y amenazas de estos activos. Para lograr esto, una empresa debe elegir un método de gestión de riesgos adecuado a su estructura y realizar la planificación de riesgos. El estándar incluye objetivos de control y métodos de control para el procesamiento de riesgos.

De acuerdo con la norma ISO 27001, las empresas deben realizar planes de gestión de riesgos y procesamiento de riesgos, identificar tareas y responsabilidades, preparar planes de continuidad de negocios, preparar procesos de gestión de emergencias y llevar un registro de ellos durante la implementación.

Las empresas también tienen que emitir una política de seguridad de la información que cubra todas estas actividades. Todos los directivos y empleados también deben conocer la seguridad de la información y las amenazas. En la implementación del Sistema de Gestión de Seguridad de la Información ISO 27001, los objetivos de control seleccionados deben medirse y la idoneidad y el rendimiento de los controles deben monitorearse continuamente. Este proceso debe ser un proceso vivo, la gestión de la seguridad de la información, el apoyo activo de la alta dirección y la participación de todos los empleados deben estar garantizados. Las empresas solicitantes pueden recibir asesoría y soporte experto en gestión de riesgos, formulación de políticas, documentación de procesos de seguridad, identificación e implementación de métodos de control apropiados.

En resumen, el estándar ISO 27001 es un sistema que define la seguridad de la información total y cómo garantizar la seguridad de la información como un proceso en vivo. Los pasos para configurar este sistema se pueden describir a continuación:

• Clasificación de los activos de información.
• Evaluación de activos de información según criterios de confidencialidad, integridad y accesibilidad.
• Analisis de riesgo
• Determinación de los métodos de control a aplicar según los resultados del análisis de riesgos.
• Finalización del trabajo de documentación.
• Aplicación de determinados métodos de control.
• Realización de estudios de auditoría interna.
• Mantener los registros requeridos por la norma.
• Realización de reuniones de revisión de gestión.
• Realización de estudios de certificación.

Amenazas y debilidades relacionadas con la comunicación electrónica

Dentro del marco de las regulaciones legales pertinentes, hay algunas cosas que las empresas deben hacer para garantizar la seguridad de la información:

• Mantener registros de los registros de IP utilizados por las computadoras
• Mantener registros de qué empleados tienen direcciones IP para el pasado
• Mantenga registros de los viajes de los empleados en Internet.
• Mantener registros de correo electrónico enviados por los empleados.
• Mantener registros de las páginas en Internet que los empleados han gastado y cuánto tiempo han pasado en el pasado.
• Proporcionar acceso limitado al acceso a Internet mediante el filtrado por contenido
• Asegurar la integridad de todos los registros obtenidos y probar que no han sido alterados.

En este marco, las principales amenazas a la comunicación electrónica de los empleados son:

• Empleados que ingresan a un área de seguridad sensible sin autorización o que exceden los límites de autorización existentes
• Los empleados intentan interrumpir la confidencialidad, integridad y continuidad de los datos sin autorización o al sobrepasar los límites de autorización existentes al eliminar, agregar, modificar, retrasar, guardar en otro medio o divulgar información
• Intentar evitar, en su totalidad o en parte, que los componentes de hardware y software cumplan con los requisitos establecidos de acuerdo con las normativas legales y las normas nacionales y extranjeras.
• Proporcionar la impresión de que la comunicación electrónica se está realizando con la parte correcta al inducir a error al usuario
• Seguimiento de la comunicación electrónica utilizando métodos ilegales.
• Reclamar que esta información se obtuvo de otra parte al generar información incorrecta o al enviar esta información incorrecta a otra parte
• Para hacer que la infraestructura de comunicación electrónica sea parcial o completamente inoperable o para consumir los recursos para esta infraestructura de una manera que impida la prestación de servicios.

Mientras tanto, algunos puntos débiles para la comunicación electrónica se pueden enumerar de la siguiente manera:

• Futuras amenazas imprevisibles.
• Errores en el diseño de un sistema o protocolo.
• Problemas al instalar un sistema o protocolo
• Errores causados ​​por desarrolladores de software.
• Errores de usuario
• Insuficiencias o no conformidades que surgen durante el uso del sistema

Estructura estándar del sistema de gestión de seguridad de la información ISO 27001

El estándar ISO 27001 se revisó recientemente en 2013. En esta versión, las cláusulas de la norma son las siguientes:

1. alcance
2. Normas y documentos citados.
3. Términos y recetas
4. El contexto de la organización.

• Entender la organización y su contexto.
• Entendiendo las necesidades y expectativas de los interesados.
• Determinación del alcance del sistema de gestión de seguridad de la información.
• Sistema de gestión de seguridad de la información.

1. liderazgo

• Liderazgo y compromiso.
• Politika
• Roles corporativos, responsabilidades y autoridades

1. Planlama

• Actividades relacionadas con riesgos y oportunidades.
• Objetivos de seguridad de la información y planificación para alcanzar estos objetivos.

1. Destek

• recursos
• calificaciones
• conciencia
• Comunicación
• Informacion escrita

1. operativo

• Planificación y control operacional.
• Evaluación de riesgos de seguridad de la información.
• Procesamiento de riesgos de seguridad de la información

1. Evaluación de desempeño

• Seguimiento, medición, análisis y evaluación.
• Auditoria interna
• Revisión de la gerencia

1. rehabilitación

• No conformidad y acción correctiva.
• Mejora continua

Certificación del sistema de gestión de seguridad de la información ISO 27001

Después de establecer el Sistema de gestión de seguridad de la información ISO 27001, las empresas querrán obtener el certificado ISO 27001 para demostrar esta situación a sus clientes, competidores y organizaciones oficiales y privadas relacionadas. Sin embargo, el propósito de la instalación de este sistema no debe ser solo tener este documento. De lo contrario, no se puede esperar que el sistema proporcione los beneficios descritos anteriormente.

De acuerdo con los métodos de control determinados durante el proceso de implementación, la protección de los activos de información, el control de los riesgos que amenazan los activos de información, la toma de medidas para eliminar o mitigar los riesgos, la evaluación de los nuevos riesgos que surgen con el tiempo y la evaluación de estos riesgos, y si existen riesgos aceptables. para estos, se requieren aprobaciones de la alta gerencia. Este proceso continuará mientras exista el negocio.

Las empresas que cumplen con los requisitos del estándar ISO 27001 e implementan el Sistema de gestión de seguridad de la información ahora pueden solicitar un certificado ISO 27001 mediante la solicitud a un organismo de certificación. En este punto, es extremadamente importante que el organismo de certificación esté acreditado por un organismo de acreditación local o extranjero. De lo contrario, los informes y documentos a ser emitidos no tendrán validez.

La primera etapa del trabajo de certificación se realiza a través del trabajo de documentación existente. En esta etapa, la política de seguridad de la información, los informes de evaluación de riesgos, los planes de acción de riesgos, la declaración de conformidad, los procedimientos de seguridad y las instrucciones de aplicación preparadas por la empresa se manejan individualmente. Si se detecta alguna no conformidad en estos documentos, se espera que se completen antes de pasar a la segunda etapa.

Después de completar la primera etapa, el organismo de certificación designa a uno o más auditores e inicia el trabajo de auditoría en el entorno de trabajo de la empresa. En estas auditorías in situ, se observa si los controles de seguridad de la información determinados por la entidad en función del campo de actividad cumplen con los requisitos de la norma ISO 27001. Después de que se completen las auditorías de la segunda etapa, los auditores preparan un informe y lo envían al organismo de certificación.

El organismo de certificación realiza estudios de evaluación basados ​​en este informe y prepara el Certificado del Sistema de Gestión de Seguridad de la Información ISO 27001 si lo considera apropiado y lo entrega a la empresa. El período de validez del certificado es de tres años. Sin embargo, después de la emisión de este documento, las auditorías provisionales se realizan una o dos veces al año de acuerdo con la solicitud de la empresa. Después de tres años, los estudios de certificación deben realizarse nuevamente.