GUÍA TÉCNICA GTC-ISO/IEC COLOMBIANA 27035

Transcripción

1 GUÍA TÉCNICA GTC-ISO/IEC COLOMBIANA TECNOLOGÍA DE LA INFORMACIÓN. TÉCNICAS DE SEGURIDAD. GESTIÓN DE INCIDENTES DE SEGURIDAD DE LA INFORMACIÓN E: INFORMATION TECHNOLOGY. SECURITY TECHNIQUES. INFORMATION SECURITY INCIDENT MANAGEMENT. CORRESPONDENCIA: DESCRIPTORES: esta guía es una adopción idéntica (IDT) de la norma ISO/IEC 27035: tecnología de la información; técnicas de seguridad; información; seguridad de la información; incidente; gestión de incidentes. I.C.S.: Editada por el Instituto Colombiano de Normas Técnicas y Certificación (ICONTEC) Apartado Bogotá, D.C. - Tel. (571) Fax (571) Prohibida su reproducción Editada

2 PRÓLOGO El Instituto Colombiano de Normas Técnicas y Certificación, ICONTEC, es el organismo nacional de normalización, según el Decreto 2269 de ICONTEC es una entidad de carácter privado, sin ánimo de lucro, cuya Misión es fundamental para brindar soporte y desarrollo al productor y protección al consumidor. Colabora con el sector gubernamental y apoya al sector privado del país, para lograr ventajas competitivas en los mercados interno y externo. La representación de todos los sectores involucrados en el proceso de Normalización Técnica está garantizada por los Comités Técnicos y el período de Consulta Pública, este último caracterizado por la participación del público en general. La guía GTC-ISO/IEC fue ratificada por el Consejo Directivo de Esta guía está sujeta a ser actualizada permanentemente con el objeto de que responda en todo momento a las necesidades y exigencias actuales. A continuación se relacionan las empresas que colaboraron en el estudio de esta guía a través de su participación en el Comité Técnico 181 Gestión de T.I.. ARCHIVO GENERAL DE LA NACIÓN AVIANCA BANCO AGRARIO DE COLOMBIA S.A. BANCO DE LA REPUBLICA CÁMARA COLOMBIANA DE INFORMÁTICA Y TELECOMUNICACIONES -CCIT- CAMARA DE COMERCIO DE MEDELLÍN CENET S.A. CROSS BORDER TECHNOLOGY S.A.S. FIDUCIARIA POPULAR INSTITUTO COLOMBIANO DE BIENESTAR FAMILIAR -ICBF- IQ INFORMATION QUALITY LIGHT SKY LTDA. MAREIGUA MINISTERIO DE TECNOLOGÍAS DE LA INFORMACIÓN Y LAS COMUNICACIONES NEWNET S.A. OUTSOURCING S.A. PROJECT ADVANCED MANAGEMENT SELTIKA SERVIENTREGA S.A. SOANSES LTDA. SUN GEMINI S.A. TELMEX S.A. TOP FACTORY S.A. UNIVERSIDAD AUTÓNOMA OCCIDENTE Además de las anteriores, en Consulta Pública el Proyecto se puso a consideración de las siguientes empresas: A TODA HORA S.A ATH ACH COLOMBIA S.A. ACTUALIZACIONES DE SISTEMAS LTDA. AEROVÍAS DEL CONTINENTE AMERICANO S.A. -AVIANCA S.A.- AGENDA DE CONECTIVIDAD ALFA COMPRESIÓN ALIANZA SINERTIC BANCO CAJA SOCIAL BANCO COMERCIAL AV VILLAS BANCO DAVIVIENDA S.A. BANCO DE BOGOTÁ BRANCH OF MICROSOFT COLOMBIA INC CAJA COLOMBIANA DE SUBSIDIO FAMILIAR COLSUBSIDIO CENTRO DE INVESTIGACIÓN Y DESARROLLO EN TECNOLOGÍAS DE LA INFORMACIÓN Y LAS COMUNICACIONES

3 CENTRO POLICLÍNICO DEL OLAYA C.P.O. S.A. CHOUCAIR TESTING S.A. CIBERCALL S.A. COLOMBIA TELECOMUNICACIONES S.A. E.S.P. COMERCIO ELECTRÓNICO EN INTERNET CENET S.A. COMPUREDES S.A. CONTRALORÍA DE CUNDINAMARCA COOPERATIVA DE PROFESIONALES DE LA SALUD -PROSALCO I.P.S.- CREDIBANCO DAKYA LTDA. ECOPETROL S.A. ENLACE OPERATIVO S.A. ETB S.A. E.S.P. FLUIDSIGNAL GROUP S.A. FONDO DE EMPLEADOS DEL DEPARTAMENTO DE ANTIOQUIA FUNDACIÓN PARQUE TECNOLÓGICO DEL SOFTWARE DE CALI -PARQUESOFT- FUNDACIÓN UNIVERSITARIA INPAHU GESTIÓN & ESTRATEGIA S.A.S. GETRONICS COLOMBIA LTDA. GIT LTDA. HERRAMIENTAS PARA EL MEJORAMIENTO DEL TRABAJO LTDA. HOSPITAL SAN VICENTE ESE DE MONTENEGRO INFOCOMUNICACIONES S.A.S. INFOTRACK S.A. INSTITUTO DE ORTOPEDIA INFANTIL ROOSEVELT IPX LTDA. IQ CONSULTORES IT SERVICE LTDA. JAIME TORRES C. Y CÍA. S.A. JIMMY EXENOVER ESPINOSA LÓPEZ KEXTAS LTDA. LOGIN LEE LTDA. MAKRO SUPERMAYORISTA S.A. MAREIGUA LTDA. MEGABANCO MICROCOM COMUNICACIÓN Y SEGURIDAD LTDA. NEGOTEC NEGOCIOS Y TECNOLOGÍA LTDA. NEXIA NEXOS SOFTWARE S.A.S. PARQUES Y FUNERARIAS S.A. JARDINES DEL RECUERDO PIRAMIDE ADMINISTRACIÓN DE INFORMACIÓN LTDA. POLITÉCNICO MAYOR AGENCIA CRISTIANA DE SERVICIO Y EDUCACIÓN LTDA. PONTIFICIA UNIVERSIDAD JAVERIANA QUALITY SYSTEMS LTDA. SENA SISTEMAS Y FORMACIÓN S.A.S. SOCIEDAD COLOMBIANA DE ARCHIVISTAS SYNAPSIS COLOMBIA LTDA. TEAM FOODS COLOMBIA S.A. TECNOLOGÍAS DE INFORMACIÓN Y COMUNICACIONES DE COLOMBIA LTDA. TELMEX COLOMBIA S.A. TIQAL S.A.S. TOMÁS MORENO CRUZ Y CÍA. LTDA. TRANSFIRIENDO S.A. TRANSPORTADORA DE VALORES ATLAS LTDA. TUS COMPETENCIAS LTDA. UNIVERSIDAD DISTRITAL FRANCISCO JOSÉ DE CALDAS UNIVERSIDAD JAVERIANA UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA UNIVERSIDAD NACIONAL DE COLOMBIA UNIVERSIDAD SANTIAGO DE CALI ICONTEC cuenta con un Centro de Información que pone a disposición de los interesados normas internacionales, regionales y nacionales y otros documentos relacionados. DIRECCIÓN DE NORMALIZACIÓN

4 PRÓLOGO ISO (la Organización Internacional para la Normalización) e IEC (Comisión Electrotécnica Internacional) forman el sistema especializado de normalización mundial. Los organismos nacionales que son miembros de ISO o de IEC participan en el desarrollo de normas internacionales a través de los comités establecidos por la respectiva organización para tratar los campos particulares de la actividad técnica. Los comités técnicos de ISO e IEC colaboran en los campos de interés mutuo. Otras organizaciones internacionales, gubernamentales y no gubernamentales, en unión con ISO e IEC, también toman parte en el trabajo. En el campo de la tecnología de la información, ISO e IEC han establecido un comité técnico conjunto, el comité ISO/IEC JTC 1. Las normas internacionales se redactan de acuerdo con las reglas establecidas en la Parte 2 de las directivas de ISO/IEC. La principal labor del comité técnico conjunto es preparar normas internacionales. Las versiones preliminares de las normas internacionales adoptadas por el comité técnico conjunto se dan a conocer a todos los organismos nacionales para su votación. La publicación como una Norma Internacional requiere la aprobación de mínimo el 75 % de los organismos miembro que votan. Se llama la atención sobre la posibilidad de que algunos de los elementos de este documento puedan estar sujetos a derechos de patente. ISO e IEC no asumen responsabilidad por la identificación de cualquiera o todos los derechos de patente. La norma ISO/IEC fue elaborada por el comité técnico conjunto ISO/IEC JTC 1, Tecnología de la información, subcomité SC 27, Técnicas de seguridad de IT. Esta primera edición reemplaza a la GTC 169 (ISO/IEC TR 18044:2004), la cual se ha sometido a revisión técnica.

5 CONTENIDO Página INTRODUCCIÓN OBJETO Y CAMPO DE APLICACIÓN REFERENCIAS NORMATIVAS TÉRMINOS Y DEFINICIONES VISIÓN GENERAL CONCEPTOS BÁSICOS OBJETIVOS BENEFICIOS DE UN ENFOQUE ESTRUCTURADO ADAPTABILIDAD FASES EJEMPLOS DE INCIDENTES DE SEGURIDAD DE LA INFORMACIÓN FASE DE PLANIFICACIÓN Y PREPARACIÓN VISIÓN GENERAL DE LAS ACTIVIDADES CLAVE POLÍTICA DE GESTIÓN DE INCIDENTES DE SEGURIDAD DE LA INFORMACIÓN INTEGRACIÓN DE LA GESTIÓN DE INCIDENTES DE SEGURIDAD DE LA INFORMACIÓN EN OTRAS POLÍTICAS ESQUEMA DE GESTIÓN DE INCIDENTES DE SEGURIDAD DE LA INFORMACIÓN ESTABLECIMIENTO DEL ISIRT... 24

6 Página 5.6 SOPORTE TÉCNICO Y OTRO (INCLUIDO EL SOPORTE OPERATIVO) TOMA DE CONCIENCIA Y FORMACIÓN PRUEBA DEL ESQUEMA DE ATENCIÓN DE INCIDENTES FASE DE DETECCIÓN Y REPORTE VISIÓN GENERAL SOBRE LAS ACTIVIDADES CLAVE DETECCIÓN DE EVENTOS REPORTE DE EVENTOS FASE DE EVALUACIÓN Y DECISIÓN VISIÓN GENERAL DE LAS ACTIVIDADES CLAVE EVALUACIÓN Y DECISIÓN INICIAL POR EL PoC (PUNTO DE CONTACTO) EVALUACIÓN Y CONFIRMACIÓN DEL INCIDENTE POR EL ISIRT FASE DE RESPUESTAS VISIÓN GENERAL DE LAS ACTIVIDADES CLAVE RESPUESTAS FASE DE LECCIONES APRENDIDAS VISIÓN GENERAL DE LAS ACTIVIDADES CLAVE ANÁLISIS FORENSE DE SEGURIDAD DE LA INFORMACIÓN ADICIONALES IDENTIFICACIÓN DE LAS LECCIONES APRENDIDAS IDENTIFICACIÓN Y MEJORAS EN LA IMPLEMENTACIÓN DE CONTROLES DE SEGURIDAD DE LA INFORMACIÓN... 55

7 Página 9.5 IDENTIFICACIÓN Y MEJORAS A LOS RESULTADOS DE LA REVISIÓN POR LA DIRECCIÓN Y DE LA EVALUACIÓN DE RIESGOS DE SEGURIDAD DE LA INFORMACIÓN IDENTIFICACIÓN Y MEJORAS EN EL ESQUEMA DE GESTIÓN DE INCIDENTES DE SEGURIDAD DE LA INFORMACIÓN OTRAS MEJORAS BIBLIOGRAFÍA DOCUMENTO DE REFERENCIA ANEXO A (Informativo) TABLA DE REFERENCIAS CRUZADAS ENTRE LA NTC-ISO/IEC Y LA GTC-ISO/IEC ANEXO B (Informativo) EJEMPLOS DE INCIDENTES DE SEGURIDAD DE LA INFORMACIÓN Y SUS CAUSAS ANEXO C (Informativo) EJEMPLO DE ENFOQUES PARA LA CATEGORIZACIÓN Y CLASIFICACIÓN DE EVENTOS E INCIDENTES DE SEGURIDAD DE LA INFORMACIÓN ANEXO D (Informativo) REPORTES Y FORMULARIOS DE EVENTOS, INCIDENTES Y VULNERABILIDADES DE SEGURIDAD DE LA INFORMACIÓN ANEXO E (Informativo) ASPECTOS LEGALES Y REGLAMENTARIOS FIGURAS Figura 1. Relación entre los objetos en una cadena de incidentes de seguridad de la información... 4 Figura 2. Fases de la gestión de incidentes de seguridad de la información... 9 Figura 3. Diagrama de flujo de eventos e incidentes de seguridad de la información... 30

8 TECNOLOGÍA DE LA INFORMACIÓN. TÉCNICAS DE SEGURIDAD. GESTIÓN DE INCIDENTES DE SEGURIDAD DE LA INFORMACIÓN INTRODUCCIÓN En general, las políticas o controles de seguridad de la información por sí solas no garantizan la protección total de la información, de los sistemas de información, o de los servicios o redes. Después de que los controles se han implementado, es posible que queden vulnerabilidades residuales que pueden hacer ineficaz la seguridad de la información y, en consecuencia, hacer posibles incidentes de seguridad de la información. Potencialmente, esto puede tener impactos adversos directos e indirectos sobre las operaciones de los negocios de una organización, que pueden conducir inevitablemente a que ocurran nuevos casos de amenazas no identificadas previamente. Una preparación insuficiente de una organización para abordar este tipo de incidentes hará que cualquier respuesta sea menos eficaz, y que se incremente el grado de impacto adverso potencial en el negocio. Por tanto, es esencial que cualquier organización con interés auténtico en la seguridad de la información, tenga un enfoque estructurado y planificado para: - detectar, reportar y evaluar incidentes de seguridad de la información; - responder a incidentes de seguridad de la información, incluida la activación de controles adecuados para la prevención y la reducción de impactos, y la recuperación de ellos (por ejemplo, en el soporte para las área de gestión de crisis); - reportar las vulnerabilidades de seguridad de la información que aún no han sido aprovechadas para causar eventos de seguridad de la información y posiblemente incidentes de seguridad de la información, evaluarlas y tratarlas adecuadamente; - aprender de los incidentes y vulnerabilidades de seguridad de la información, implementar controles preventivos y hacer mejoras al enfoque global para la gestión de incidentes de seguridad de la información. La presente guía brinda orientación sobre la gestión de incidentes de seguridad de la información, del numeral 4 al 9. Estos numerales constan de varios subnumerales que incluyen una descripción detallada de cada fase. La expresión "gestión de incidentes de seguridad de la información se usa en la presente guía para abarcar no sólo la gestión de incidentes de seguridad de la información, sino también las vulnerabilidades de la seguridad de la información. 1 de 96

9 1. OBJETO Y CAMPO DE APLICACIÓN La presente guía brinda un enfoque estructurado y planificado para: a) detectar, reportar y evaluar incidentes de seguridad de la información; b) responder a incidentes de seguridad de la información y hacer su gestión; c) detectar, evaluar y gestionar las vulnerabilidades de seguridad de la información, y d) mejorar continuamente la seguridad de la información y la gestión de incidentes como resultado de la gestión de los incidentes y vulnerabilidades de seguridad de la información. La presente guía brinda orientación sobre la gestión de incidentes de seguridad de la información para empresas grandes y medianas. Las organizaciones más pequeñas pueden usar un conjunto básico de documentos, procesos y rutinas descritos en la presente guía, de acuerdo con su tamaño y tipo de negocio, en relación con la situación de riesgo de seguridad de la información. También brinda orientación para organizaciones externas que prestan servicios de gestión de incidentes de seguridad de la información. 2. REFERENCIAS NORMATIVAS El siguiente documento referenciado es indispensable para la aplicación de este documento. Para referencias fechadas sólo se aplica la edición citada. Para referencias no fechadas se aplica la última edición del documento referenciado (incluida cualquier enmienda). ISO/IEC 27000, Information Technology. Security Techniques. Information Security Management Systems. Overview and Vocabulary. 3. TÉRMINOS Y DEFINICIONES Para los propósitos de esta guía se aplican los términos y definiciones presentados en la ISO/IEC y los siguientes: 3.1 Investigación forense de seguridad de la información (Information Security Forensics). Aplicación de técnicas de investigación y análisis para recolectar, registrar y analizar información de incidentes de seguridad de la información. 3.2 Equipo de respuesta a incidentes de seguridad de la información, ISIRT (por sus siglas en inglés Information Security Incident Response Team). Equipo conformado por miembros confiables de la organización, que cuentan con las habilidades y competencias para tratar los incidentes de seguridad de la información, durante el ciclo de vida de éstos. NOTA como se describe en esta guía el ISIRT, es una función organizacional que abarca el proceso para atender incidentes de seguridad de la información y se enfoca principalmente en incidentes relacionados con TI. Otras funciones comunes (con abreviaturas similares) dentro del manejo de incidentes pueden tener un alcance y propósito ligeramente diferentes. Las siguientes siglas de uso común tienen un significado similar al del ISIRT, aunque no exactamente igual. CERT (por sus siglas en inglés Computer Emergency Response Team), Equipo de respuesta ante emergencias de tecnología de información; se enfoca principalmente en incidentes de tecnología de información y comunicaciones. Puede haber otras definiciones nacionales específicas para el CERT. 2

10 CSIRT (por sus siglas en inglés Computer Security Incident Response Team), Equipo de respuesta a incidentes de seguridad de tecnología de la información; es una organización de servicio responsable de recibir, examinar y responder a reportes y actividades de incidentes de seguridad de tecnología de la información. Estos servicios se llevan a cabo usualmente para un grupo definido, que puede ser una entidad matriz tal como una corporación, organización gubernamental u organización educativa, una región o país, una red de investigación, o un cliente que paga por estos servicios. 3.3 Evento de seguridad de la información. Presencia identificada de una condición de un sistema, servicio o red, que indica una posible violación de la política de seguridad de la información o la falla de las salvaguardas, o una situación desconocida previamente que puede ser pertinente a la seguridad. [ISO/IEC 27000:2009] 3.4 Incidente de seguridad de la información. Evento o serie de eventos de seguridad de la información no deseados o inesperados, que tienen probabilidad significativa comprometer las operaciones del negocio y amenazar la seguridad de la información. [ISO/IEC 27000:2009] 3

11 BIBLIOGRAFÍA ISO/IEC 18043, Information Technology. Security Techniques. Selection, Deployment and Operations of Intrusion Detection Systems. ISO/IEC (All Parts), Information Technology. Service Management. ISO/PAS 22399, Societal Security. Guidelines for Incident Preparedness and Operational Continuity Management. ISO/IEC 27001, Information Technology. Security Techniques. Information Security Management Systems. Requirements. ISO/IEC 27002, Information Technology. Security Techniques. Code of Practice for Information Security Management. ISO/IEC 27003, Information Technology. Security Techniques. Information Security Management System Implementation Guidance. ISO/IEC 27004, Information Technology. Security Techniques. Information Security Management. Measurement. ISO/IEC 27005, Information Technology. Security Techniques. Information Security Risk Management. ISO/IEC 27031, Information Technology. Security Techniques. Guidelines for Information and Communication Technology Readiness for Business Continuity. ISO/IEC , Information Technology. Security Techniques. Network Security. Part 1: Overview and Concepts ISO/IEC , Information Technology. Security Techniques. Network Security. Part 2: Guidelines for the Design and Implementation of Network Security. ISO/IEC , Information Technology. Security Techniques. Network Security. Part 3: Reference Networking Scenarios. Threats, Design Techniques and Control Issues. Internet Engineering Task Force (IETF) Site Security Handbook, Internet Engineering Task Force (IETF) RFC 2350, Expectations for Computer Security Incident Response, NIST Special Publication , Computer Security Incident Handling Guide (2004), TERENA's Incident Object Description Exchange Format Data Model and XML Implementation (IODEF) (Produced by IETF), RFC 5070 Internet Engineering Task Force (IETF) RFC 3227, Guidelines for Evidence Collection and Archiving 4

12 CESG GOVCERTUK, Incident Response Guidelines (2008), ISO/IEC 27035:2011(E) ISO/IEC All Rights Reserved 77 5

13 IMPORTANTE Este resumen no contiene toda la información necesaria para la aplicación del documento normativo original al que se refiere la portada. ICONTEC lo creo para orientar a su cliente sobre el alcance de cada uno de sus documentos y facilitar su consulta. Este resumen es de libre distribución y su uso es de total responsabilidad del usuario final. El documento completo al que se refiere este resumen puede consultarse en los centros de información de ICONTEC en Bogotá, Medellín, Barranquilla, Cali o Bucaramanga, también puede adquirirse a través de nuestra página web o en nuestra red de oficinas (véase El logo de ICONTEC y el documento normativo al que hace referencia este resumen están cubiertos por las leyes de derechos reservados de autor. Información de servicios aplicables al documento aquí referenciado la encuentra en: o por medio del contacto cliente@icontec.org. ICONTEC INTERNACIONAL 6