INSTITUTO ECUATORIANO DE NORMALIZACIÓN. Quito - Ecuador NORMA TÉCNICA ECUATORIANA NTE INEN-ISO/IEC 27005:2012 EXTRACTO

Transcripción

1 INSTITUTO CUATORIANO D NORMALIZACIÓN Quito - cuador NORMA TÉCNICA CUATORIANA NT INN-ISO/IC 27005:2012 NÚMRO D RFRNCIA ISO/IC 27005:2008 () TCNOLOGÍA D LA INFORMACIÓN - TÉCNICAS D SGURIDAD - GSTIÓN DL RISGO N LA SGURIDAD D LA INFORMACIÓN. Primera dición XTRACTO INFORMATION TCHNOLOGY. SCURITY TCHNIQUS. INFORMATION SCURITY RISK MANAGMNT. First dition DSCRIPTORS: Tecnología de la información, grupos de caracteres y códigos de información, técnicas de seguridad, gestión de riesgo en la seguridad de la información. TI CDU: CIIU: 8329 ICS:

2 Contenido Página Antecedentes Introducción.. iv v 1. Alcance Referencias Normativas Términos y definiciones structura de esta norma Información general Visión general del proceso de gestión del riesgo de la seguridad de la información stablecimiento del contexto Consideraciones generales Criterios básicos l alcance y los límites Organización para la gestión del riesgo de la seguridad de la información Valoración del riesgo de la seguridad de la información Descripción general de la valoración del riesgo en la seguridad de la información Análisis del riesgo Identificación del riesgo stimación del riesgo valuación del riesgo Tratamiento del riesgo de la seguridad de la información Descripción general del tratamiento del riesgo Reducción del riesgo Retención del riesgo vitación del riesgo Transferencia del riesgo XTRACTO 10. Aceptación del riesgo de la seguridad de la información Comunicación de los riesgos de la seguridad de la información Monitoreo y revisión del riesgo de la seguridad de la información Monitoreo y revisión de los factores de riesgo Monitoreo, revisión y mejora de la gestión del riesgo Anexo A (Informativo) Definición del alcance y los límites del proceso de gestión del riesgo de la seguridad de la información A.1 studio de la organización.. 27 A.2 Listado de las restricciones que afectan a la organización.. 28 A.3 Listado de las referencias legislativas y reglamentarias que se aplican a la organización A.4 Listado de las restricciones que afectan al alcance ii-

3 Anexo B (Informativo) Identificación y valoración de los activos y valoración del impacto B.1 jemplos de identificación de los activos 32 B.1.1 Identificación de los activos primarios. 32 B.1.2 Listado y descripción de los activos de soporte.. 33 B.2 Valoración de los activos 37 B.3 Valoración del impacto. 40 Anexo C (Informativo) jemplos de amenazas comunes Anexo D (Informativo) Vulnerabilidades y métodos para la valoración de la vulnerabilidad 44 D.1 jemplos de vulnerabilidades 44 D.2 Métodos para la valoración de las vulnerabilidades técnicas 47 Anexo (Informativo) nfoques para la valoración de riesgos en la seguridad de la información Valoración de alto nivel de riesgos en la seguridad de la información Valoración detallada de los riesgos en la seguridad de la información jemplo 1 Matriz con valores predefinidos jemplo 2 Clasificación de las amenazas mediante las medidas del riesgo jemplo 3 Determinación del valor para la probabilidad y las consecuencias Posibles de los riesgos.. 53 Anexo F (Informativo) Restricciones para la reducción de riesgos 55 Bibliografía Apéndice Z. 58 XTRACTO -iii-

4 Antecedente ISO (la Organización Internacional de Normalización) e IC (la Comisión lectrotécnica Internacional) conforman el sistema especializado para la normalización a nivel mundial. Los organismos nacionales que son miembros de ISO o de IC participan en el desarrollo de Normas Internacionales a través de comités conformados por la respectiva organización para manejar los campos específicos de la actividad técnica. Los comités técnicos de ISO e IC colaboran en los campos de interés mutuo. Otras organizaciones internacionales, gubernamentales y no-gubernamentales, en coordinación con ISO e IC, también participan en el trabajo. n el campo de la tecnología de la información, ISO e IC han establecido un comité técnico conjunto, ISO/IC JTC 1. Las Normas Internacionales son emitidas de acuerdo con las regulaciones constantes en el Instructivo ISO/IC, Parte 2. La tarea principal del comité conjunto es preparar las Normas Internacionales. l Borrador de las Normas Internacionales adoptadas por el comité técnico conjunto se lo circula entre los organismos nacionales para someterlo a votación. La publicación como Norma Internacional requiere de la aprobación de al menos el 75% de los organismos nacionales que emiten un voto. Se llama la atención a la posibilidad de que algunos de los elementos de este documento pueden estar sujetos a derechos de patente. ISO e IC no serán responsables por la identificación de alguno o todos los derechos de patente. La Norma ISO/IC fue preparada por el Comité Técnico Conjunto de Tecnología de la Información, ISO/IC JTC 1, Subcomité SC 27, IT Security techniques NOTA DL INN: La NT INN-ISO/IC 27005:2012 es idéntica a la norma ISO/IC de XTRACTO -iv-

5 Introducción sta norma proporciona directrices para la gestión del riesgo de la seguridad de la información en una organización, dando soporte particular a los requisitos de un sistema de gestión de seguridad de la información (SGSI) de acuerdo con la NT INN-ISO/IC Sin embargo, esta norma no brinda ninguna metodología específica para la gestión del riesgo de la seguridad de la información. Corresponde a la organización definir su enfoque para la gestión del riesgo, dependiendo por ejemplo del alcance de su SGSI, del contexto de la gestión del riesgo o del sector industrial. Se puede utilizar una variedad de metodologías existentes bajo la estructura descrita en esta norma para implementar los requisitos de un sistema de gestión de seguridad de la información. sta norma es pertinente para los directores y el personal involucrado en la gestión del riesgo de la seguridad de la información dentro de una organización y, cuando corresponda, para las partes externas que dan soporte a dichas actividades. XTRACTO -v-

6 Norma Técnica cuatoriana Voluntaria 1 Objeto TCNOLOGÍA D LA INFORMACIÓN - TÉCNICAS D SGURIDAD - GSTIÓN DL RISGO D LA SGURIDAD D LA INFORMACIÓN NT INN- ISO/IC 27005: Instituto cuatoriano de Normalización, INN Casilla Baquerizo Moreno 8-29 y Almagro Quito-cuador Prohibida la reproducción sta norma suministra directrices para la gestión del riesgo de la seguridad de la información. sta norma brinda soporte a los conceptos generales que se especifican en la NT INN- ISO/IC y está diseñada para facilitar la implementación satisfactoria de la seguridad de la información con base en el enfoque de gestión del riesgo. l conocimiento de los conceptos, modelos, procesos y terminologías que se describen en la NT INN-ISO/IC y en la NT INN-ISO/IC es importante para la total comprensión de esta norma. sta norma se aplica a todos los tipos de organizaciones (por ejemplo empresas comerciales, entidades del gobierno, organizaciones sin fines de lucro) que pretenden gestionar los riesgos que podrían comprometer la seguridad de la información de la organización. 2 Referencias normativas Los siguientes documentos normativos referenciados son indispensables para la aplicación de este documento normativo. Para referencias fechadas, se aplica únicamente la edición citada. Para referencias no fechadas, se aplica la última edición del documento normativo referenciado (incluida cualquier corrección). NT INN-ISO/IC 27001, Tecnología de la información. Técnicas de seguridad. Sistemas de gestión de la seguridad de la información (SGSI). Requisitos. NT INN-ISO/IC 27002, Tecnología de la información. Técnicas de seguridad. Código de práctica para la gestión de la seguridad de la información. 3 Términos y definiciones Para los propósitos de este documento, se aplican los términos y definiciones de la NT INN- ISO/IC y la NT INN-ISO/IC y las siguientes: XTRACTO 3.1 impacto cambio adverso en el nivel de los objetivos del negocio logrados. 3.2 riesgo de la seguridad de la información potencial de que una amenaza determinada explote las vulnerabilidades de los activos o grupos de activos causando así daño a la organización. NOTA Se mide en términos de una combinación de la probabilidad de que suceda un evento y sus consecuencias. 3.3 evitar del riesgo decisión de no involucrarse en una situación de riesgo o tomar acción para retirarse de dicha situación. (Continúa) DSCRIPTORS: Tecnología de la información, grupos de caracteres y códigos de información, técnicas de seguridad, gestión de riesgo en la seguridad de la información. -1-

7 Documento: NT INN- ISO/IC ORIGINAL: Fecha de iniciación del estudio: INFORMACIÓN COMPLMNTARIA TÍTULO: TCNOLOGIA D LA INFORMACIÓN TCNICAS D SGURIDAD GSTIÓN D RISGO N LA SGURIDAD D LA INFORMACIÓN. RVISIÓN: Fecha de aprobación anterior del Directorio Oficialización con el Carácter de por Resolución No. de publicado en el Registro Oficial No. Fecha de iniciación del estudio: de Código: TI Fechas de consulta pública: de a Subcomité Técnico: Tecnologías de la información Fecha de iniciación: Integrantes del Subcomité Técnico: NOMBRS: Manuel Rodríguez (Presidente) Christian León Diego Ponce frén Cepeda Ramiro Pulgar Johan Garzón Karen Alvarado Paulina Carrera Reinaldo Vélez Fernando Guerrero Rafael Melgarejo Tania Guevara Ana Yépez Yandry Castro Fabián Báez Rodolfo spinosa Galo Garzón Bermeo Pablo Maldonado Heriberto Soto Diana Martínez Julio Bustamante Vilma Zapata Nubia Pazmino Christian Ordoñez Marco Javier Jara Mario Hernán Pazmiño Alex Anchaluisa Marcelo Brugos Jaime Saenz Marco León Gabriel Llumiquinga José Luis Carrasco Andrea Ruiz Benhur scobar Wilson Largo dgar Valenzuela V. (Secretario Técnico) Fecha de aprobación: INSTITUCIÓN RPRSNTADA: SUBSCRTARIA D INFORMATICA BANCO CUATORIANO D LA VIVINDA BANCO CUATORIANO D LA VIVINDA BLUHAT CONSULTORS BLUHAT CONSULTORS CONATL CONATL CONSORCIO D CONSJOS PROVINCIALS DL CUADOR CONSORCIO D CONSJOS PROVINCIALS DL CUADOR CORPORACION LCTRICA DL CUADOR CORPORACION LCTRICA DL CUADOR CORPORACION FINANCIRA NACIONAL CORPORACION NACIONAL D TLCOMUNICACIONS CORPORACION NACIONAL D TLCOMUNICACIONS CORROS DL CUADOR CUADOR TURISTICO XTRMO SOFTWAR HWLTT PACKARD INSTITUTO D ALTOS STUDIOS NACIONALS INSTITUTO CUATORIANO D CRDIT DUCATIVO Y BCAS INSTITUTO CUATORIANO D CRDIT DUCATIVO Y BCAS INSTITUTO NACIONAL D PRINVRSION MINISTRIO D FINANZAS MINISTRIO D RLACIONS XTRIORS MINISTRIO D TLCOMUNICACIONS MINISTRIO D TLCOMUNICACIONS ORGANISMO D ACRDITACION CUATORIANO ORGANISMO D ACRDITACION CUATORIANO RGISTRO CIVIL SCRTARIA NACIONAL D DUCACION SUPRIOR, CINCIA TC SCRTARIA NACIONAL D PLANIFICACION Y DSARROLLO SRVICIO D RNTAS INTRNAS SUPRINTNDNCIA D TLCOMUNICACIONS SUPRINTNDNCIA D TLCOMUNICACIONS UNIVRSIDAD TCNOLOGICA INSTITUTO CUATORIANO D NORMALIZACION XTRACTO Otros trámites: La Subsecretaría de la Calidad del Ministerio de Industrias y Productividad aprobó este proyecto de norma Oficializada como: Voluntaria Por Resolución No de Registro Oficial Suplemento No. 699 de

8 XTRACTO Instituto cuatoriano de Normalización, INN - Baquerizo Moreno 8-29 y Av. 6 de Diciembre Casilla Telfs: (593 2) al Fax: (593 2) Dirección General: -Mail:direccion Área Técnica de Normalización: -Mail: Mail:normalizacion Área Técnica de Certificación: -Mail: Mail:certificacion Área Técnica de Verificación: -Mail: Mail:verificacion Área Técnica de Servicios Tecnológicos: -Mail: Mail:inenlaboratorios Regional Guayas: -Mail: Mail:inenguayas Regional Azuay: -Mail:inencuenca@inen.go Mail:inencuenca@inen.gob Regional Chimborazo: -Mail:inenriobamba@inen Mail:inenriobamba@inen.gob URL: