ISO 27007 Guia para auditar un SGSI

Para continuar proporcionándonos los productos y servicios que esperamos, las empresas manejarán cantidades cada vez mayores de datos. La seguridad de esta información es una preocupación importante para los consumidores y las empresas, las cuales pueden ser victimas de ataques cibernéticos de alto perfil.

Los estragos causados ​​por tales ataques van desde celebridades avergonzadas por fotos descuidadas, hasta la pérdida de registros médicos, ó amenazas de rescate que ascienden a millones que han afectado incluso a las corporaciones más poderosas.

Cuando dichos datos contienen información personal, financiera o médica, las empresas tienen la obligación moral y legal de mantenerlos a salvo de los ciberdelincuentes. Ahí es donde entran en juego los estándares internacionales como la familia ISO / IEC 27000, que ayudan a las organizaciones a administrar la seguridad de los activos, como información financiera, propiedad intelectual, detalles de los empleados o información que les confían terceros.

ISO / IEC 27001 es el estándar más conocido en la familia que proporciona requisitos para un sistema de gestión de seguridad de la información (SGSI). Es un estándar internacional para el cual una organización puede ser certificada, aunque la certificación es opcional.

Para la persona encargada de auditar una empresa en particular, puede ser un proceso complejo. Del mismo modo, prepararse para una auditoría sin problemas requiere preparación y atención al detalle. Es precisamente por eso que se creo la  ISO / IEC 27007 Tecnología de la información —Técnicas de seguridad— Guía de auditoría de sistemas de gestión de seguridad de la información. Ayuda a ambas partes a prepararse a fondo proporcionando una orientación clara. Publicado por primera vez en 2011, ISO / IEC 27007 ahora se ha actualizado para alinearlo con ISO / IEC 27001: 2013.

Proporciona orientación sobre la gestión de un programa de auditoría del sistema de gestión de seguridad de la información (SGSI), la realización de auditorías internas y externas del SGSI de acuerdo con ISO / IEC 27001, y la competencia y evaluación de los auditores del SGSI. Además, proporciona una guía extensa para auditar todos los requisitos establecidos en ISO / IEC 27001. Está norma tiene como objetivo ser usada en conjunto con la guía contenida en ISO 19011: 2011, y sigue la misma estructura que esa Norma Internacional.

ISO / IEC 27007 brinda beneficios a cualquier tipo de negocio y está diseñado para ser aplicable a todos los usuarios, incluyendo organizaciones de cualquier tamaño.

Tomado de https://www.iso.org/news/ref2232.html

Experiencia personal: dificultades en la implementación de un SGSI

Voy a comentar con Ustedes cuales fueron las dificultades que encontré en una de las implementaciones de un SGSI en las cuales participe, las cuales probablemente podrían Ustedes tener igualmente que enfrentar.

1. Desconocimiento total sobre seguridad de información como tal: Siendo totalmente honestos, el tema de seguridad de la información es manejado solamente por las personas que estan íntimamente relacionadas con el tema, y en Colombia hay pocos segmentos que lo hacen: las empresas consultoras en SGSI, los consultores propiamente dichos, y algunas personas del sector financiero debido a la circular 052 que obliga a toda entidad financiera a implementar un SGSI. Aquí podríamos agregar unas pocas personas que trabajen en ICONTEC y a aquellas que conocen el tema de manera superficial por algún conocido, referencias, etc. Este es sin duda la dificultad mas grande e inclemente de todas: se firman contratos con fechas limite de implementación incoherentes (2 meses para que haya un plan de implementación) y de ahí en adelante todo se convierte en una carrera contra el tiempo y obvio, las malas decisiones.
   
2. Al ser una Norma ISO, erróneamente se asocia de inmediato con calidad. Si ya existe un Coordinador de Calidad, que el asuma la responsabilidad de implementar el SGSI. Esto es valido siempre y cuando el Coordinador de Calidad domine temas como políticas de seguridad, análisis de riesgos, seguridad física, planes de continuidad, gestión de incidentes, y un larguísimo etcetera de actividades ligadas ala seguridad de la información. Si hablamos de un equipo ideal de SGSI, seria un Ingeniero de sistemas que maneja la parte netamente técnica y soporte la parte documental, y un Ingeniero Industrial que tenga experiencia en gestión de calidad. Si ya existe un SGC al que se pueda ir añadiendo la documentación del SGSI, perfecto, así con el tiempo se tendra un Sistema de Gestión Integrado que agrupe calidad y seguridad de la información en un solo ente.
   
3. Al implementar un SGSI, se deben definir "Áreas Seguras", que son en síntesis zonas en las que se conserva la información confidencial de la Organización y a las que solo pueden acceder aquellas personas que esten autorizadas para ello. Esta "zonas seguras" son quizás la parte mas difícil de controlar por que los empleados quieren acceso a todos los lugares, algunos Jefes se sienten maltratados por que ya no pueden entrar a todas las oficinas, se genera un mal ambiente, etc. y es en esta parte donde empezamos a hablar del cambio cultural en la Organización.
   
4. Gestión del Cambio: En toda organización, la resistencia mas grande que pueden presentar todos los empleados es al cambio, y al implementar un SGSI hay muchisimos cambios!!! Por ejemplo, de manera ideal todo empleado debe registrar SIEMPRE sus entradas o salidas de las instalaciones, solo puede ingresar a su puesto de trabajo en horarios permitidos, debe firmar una clausula de confidencialidad que lo responsabiliza por la información a la que tenga acceso, y todo esto solo se logra con una campaña de sensibilización muy fuerte y que se transversal a toda la empresa: desde el cargo mas alto hasta las personas que hacen el aseo, quienes también pueden tener contacto con información confidencial. Hay que involucrar a todo el personal en el SGSI, informarles que cualquier riesgo que involucre la confidencialidad, la integridad y la disponibilidad de la información en su poder no solo los puede afectar a ellos sino a toda la organización y dejar mucha gente sin empleo.
   
5. Backups del Personal: En Proyectos críticos que conozco, inclusive hasta el gerente adolece de un adecuado backup que pueda tomar rápidamente su lugar en caso de una enfermedad, o mas drástico aun, una renuncia. Todo cargo que maneje o posea información relevante para la Organización debe primero que nada tener todas sus funciones y responsabilidades documentadas, y segundo pero no menos importante, contar con un backup para que la Organización siga prestando sus servicios de manera ininterrumpida. Por favor asegúrense a la hora de implementar un SGSI de que en su Empresa los cargos críticos tengan un adecuado backup, o como mínimo que haya una muy buena segregación de responsabilidades.
6. Entregas de cargo: ya que estamos hablando de Gestión de Personal, este tema también es muy delicado: cuando hay rotaciones, renuncias o despidos, las entregas de cargo son muy deficientes, o inexistentes. Debe contarse con un formato que incluya cuales son las responsabilidades a cargo; que archivos, folders, y carpetas se reciben; usuarios y contraseñas (que deben ser cambiados tan pronto se reciba el cargo); que informes se entregan y en que fechas, que tareas hay pendientes, etc. logrando asi que el cambio de una persona sea lo menos traumatica para una Organización.
   
7. Seguridad del personal: Un tema que causa escozor en la Alta Dirección, pues de inmediato se habla de costos, el Estudio de Seguridad para cada uno de los empleados que laboren en la organización. Este estudio es realizado por empresas dedicadas a este servicio, quienes hacen una visita domiciliaria, una entrevista al futuro empleado, contactan a los vecinos, a los Jefes anteriores y brinda un panorama completo del ambiente en el que se desenvuelve una persona, dando asi (en teoría) una base solida para que una empresa contrate sin preocupaciones (de nuevo, en teoría) al o los empleados que necesite para su correcto funcionamiento. Aquí vale la pena mencionar que en algunos casos, hay empresas que exigen además del estudio de seguridad, pruebas de polígrafo para ingresar, o en cualquier momento durante el tiempo de duración del contrato, cuya realización es completamente a discreción de la empresa, y obvio, la asistencia esta a discreción del trabajador
   
8. Responsabilidad por un SGSI: Como mencione previamente en el Numeral 4), el SGSI no puede ser responsabilidad de una sola persona, pues si asi lo fuera ey exagerando un poco, estaríamos hablando prácticamente de una empresa unipersonal. Todos y cada uno de los empleados en una Organización deben ser informados por medio de una clausula de confidencialidad que deben firmar (puede ser parte del contrato de trabajo o un documento independiente) de cuales son sus responsabilidades con la información que manejen y cuales serian las consecuencias en caso de incumplirlas, debe haber una permanente campaña de sensibilización, los empleados deben reportar todos los incidentes de seguridad, la alta dirección debe estar enterada de los resultados de tales reportes, en fin, el tema es de todo el personal de la Organización, la seguridad de la información es responsabilidad de todos!!
9. Documentación: todos los documentos que hagan parte del SGSI deben ser administrados por una sola persona, asi esta no los llegue a utilizar en sus labores diarias. He visto casos en los que por ejemplo el Grupo de Sistemas de una Organización tiene su "propia" versión de un documento que el administrador del SGSI desconoce por completo, lo cual se constituye en un riesgo de seguridad de la información y si llegase a ser detectado por una auditoría las consecuencias van a ser funestas. hay que asegurarse de que todo el personal participe en la documentación, pero también de que esten enterados de que todo documento oficial del SGSI debe salir de las manos del administrador del SGSI.
10. Para terminar hablemos de dinero. No se puede hablar de dinero sin haber hecho previamente una adecuada evaluación de riesgos la cual nos indique a que amenazas esta expuesta la Organización, y allí si determinar cuales serian los controles a implementar sabiendo obviamente cuales costos van a representar. Este tema si va en un solo sentido: no se puede hablar primero de dinero y luego de controles.
    

Espero que les haya gustado esta entrada, y ojala en el futuro pueda compartir con Uds. mas experiencias semejantes y mejor aun, como solucionarlas.

Curso Gratuito de Seguridad de Información

Que mejor para empezar un blog de seguridad de la información que un completisimo curso al respecto? INTECO - Instituto Nacional de Tecnologías de la Comunicación de España, ha publicado un curso introductorio a los Sistemas de Gestión de Seguridad de la Información (SGSI) o Information Security Management System (ISMS) de acuerdo a la Norma ISO 27001.

El curso es una muy buena introducción al usuario en la gestión de seguridad de la información, conceptos básicos, implementación, definición de políticas, Gestión de Riesgos, Continuidad del Negocio, Proceso de Certificación, y como si fuera poco, entregan una guia practica de implementación en empresas, en fin, un curso completisimo y lo mejor de todo: GRATIS. Para terminar, les informo que este curso tiene una duracion de 20 horas!!!

Ahora si, lo anunciado: Curso SGSI por INTECO