Quito Ecuador EXTRACTO

Transcripción

1 Quito Ecuador NORMA TÉCNICA ECUATORIANA NTE INEN-ISO/IEC Primera edición TECNOLOGÍAS DE LA INFORMACIÓN TÉCNICAS DE SEGURIDAD DIRECTRICES PARA LA ADECUACIÓN DE TECNOLOGÍAS DE LA INFORMACIÓN Y COMUNICACIÓN PARA LA CONTINUIDAD DEL NEGOCIO (ISO/IEC 27031:2011, IDT) INFORMATION TECHNOLOGY SECURITY TECHNIQUES GUIDELINES FOR INFORMATION AND COMMUNICATION TECHNOLOGY READINESS FOR BUSINESS CONTINUITY (ISO/IEC 27031:2011, IDT) Correspondencia: Esta Norma Técnica Ecuatoriana es una traducción idéntica de la Norma Internacional ISO/IEC 27031:2011. DESCRIPTORES: Tecnología de la información, técnicas, seguridad, directrices, adecuación, comunicación, continuidad, negocio ICS: Páginas

2 Prólogo nacional Esta Norma Técnica Ecuatoriana NTE INEN-ISO/IEC 27031, es una traducción idéntica de la Norma Internacional ISO/IEC 27031:2011, Information technology Security techniques Guidelines for information and communication technology readiness for business continuity, El Ministerio de Telecomunicaciones y Sociedad de la información, MINTEL, es el responsable de la traducción de esta Norma Técnica Ecuatoriana, y de su adopción es el Comité Técnico de Normalización del INEN. Para el propósito de esta Norma Técnica Ecuatoriana se ha hecho el siguiente cambio editorial: a) Las palabras esta Norma Internacional ha sido reemplazadas por esta norma nacional. Para el propósito de esta Norma Técnica Ecuatoriana se enlistan los documentos normativos internacionales que se referencian en la Norma Internacional ISO/IEC 27031:2011 y los documentos normativos nacionales correspondientes: Documento Normativo Internacional ISO/IEC TR 18044:2004, Information technology Security techniques Information security incident management ISO/IEC 27000, Information technology Security techniques Sistemas de gestión de seguridad de información Information security management systems Overview and vocabulary ISO/IEC 27001, Information technology Security techniques Information security management systems Requirements ISO/IEC 27002, Information technology Security techniques Code of practice for information security management ISO/IEC 27005, Information technology Security techniques Information security risk management Documento Normativo Nacional No existe documento nacional normativo correspondiente. NTE INEN ISO/IEC 27000:2012, Tecnología de la información Técnicas de seguridad Sistema de gestión de seguridad de la información Descripción general y vocabulario NTE INEN-ISO/IEC 27001:2011, Tecnología de la información Técnicas de seguridad. Sistema de gestión de la seguridad de la información (SGSI) Requisitos NTE INEN-ISO/IEC 27002:2009, Tecnología de la información Técnicas de la seguridad Código de práctica para la gestión de la seguridad de la información. NTE INEN ISO/IEC 27005:2012, Tecnología de la información Técnicas de seguridad Gestión del riesgo en la seguridad de información i

3 Índice Prólogo... iv Introducción... v 1 Objeto y campo de aplicación Referencias normativas Términos y definiciones Abreviaturas Descripción El papel de ATCN en la gestión de continuidad del negocio Los principios de la ATCN Los elementos de la ATCN Resultados y beneficios de la ATCN Establecimiento de la ATCN Uso de planificar-hacer-verificar-actuar para establecer la ATCN Responsabilidad de la dirección Liderazgo y compromiso de la dirección Política de la ATCN Planificación de la ATCN General Recursos Generalidades La competencia del personal de la ATCN Definición de los requisitos Generalidades Comprensión de los servicios críticos de TIC Identifición de las brechas entre las capacidades de la adecuación de TIC y los requisitos de continuidad del negocio Determinación de opciones de estrategia de la ATCN Generalidades Las opciones de la estrategia de la ATCN Firma Mejoramiento de la capacidad de la ATCN Mejoramiento de la resistencia Criterios de desempeño de la adecuación de TIC Identificación de los criterios de desempeño Implementos y operaciones Generalidades Implementación de los elementos de las estrategias ATCN Conciencia, habilidades y conocimiento Instalaciones Tecnología Datos Procesos Proveedores Respuesta a incidentes Documentos del plan de la ATCN Generalidades Contenido de los documentos del plan Documentación del plan de respuesta y recuperación de TIC ii Pág.

4 7.5 Programa de concienciación, competencia y capacitación Control de documentos Control de registros de ATCN Control de la documentación de ATCN Monitoreo y revisión Mantenimiento de la ATCN Generalidades Monitoreo, detección y análisis de amenazas Prueba y ejercicios Auditoría interna de la ATCN Revisión de la gestión Generalidades Revisión de entraadas Revisión de salidas Medición de los criterios de desempeño de la adecuación de TIC Monitoreo y medición de la adecuación de TIC Criterios cuantitativos y cualitativos de desempeño Mejoramiento de la ATCN Mejoramiento continuo Acción correctiva Acción preventiva Anexo A (informativo) La ATCN y los hitos durante une interrupción Anexo B (informativo) Sistemas integrados de alta disponibilidad Anexo C (informativo) Evaluación de los escenarios de falla Anexo D (informativo) El desarrollo de los criterios de desempeño Bibliografía iii

5 Prólogo ISO (Organización Internacional de Normalización) e IEC (Comisión Electrotécnica Internacional) forman el sistema especializado de normalización mundial. Los organismos nacionales que son miembros de ISO o IEC participan en el desarrollo de Normas Internacionales a través de comités técnicos establecidos por la organización respectiva para tratar los campos de actividad técnica. Los comités técnicos de ISO e IEC colaboran en campos de interés mutuo. Otras organizaciones internacionales, públicas y privadas, en colaboración con ISO, también participan en el trabajo. En el campo de tecnología de la información, ISO e IEC han establecido un comité técnico común ISO/IEC JTC 1. Las Normas Internacionales son redactadas de acuerdo con las reglas dadas en las Directivas de ISO/IEC, Parte 2. La principal tarea del comité técnico conjunto es preparar Normas Internacionales. Los Proyectos de las Normas Internacionales adoptados por el comité técnico conjunto son distribuidos a los organismos nacionales para su votación. Su publicación como una Norma Internacional requiere la aprobación de por lo menos un 75 % de los organismos nacionales con derecho a voto. Se llama la atención sobre la posibilidad de que algunos elementos de este documento pueden ser sujetos de derechos de patente. ISO e IEC no deben ser considerados responsables de identificar cualquiera o todos derechos de patente. ISO/IEC TR fue preparado por el Comité Técnico Conjunto ISO/IEC JTC 1, Tecnologías de información, Subcomité SC 27, Técnicas de seguridad de IT iv

6 Introducción Con los años, las tecnologías de la información y comunicación (TIC) se han convertido en una parte integral de muchas de las actividades que son elementos de infraestructuras críticas en todos sectores organizacionales, sean públicos, privados o voluntarios. La proliferación del internet y de otros servicios de redes electrónicas, y las capacidades de sistemas y aplicaciones de hoy, también ha significado que las organizaciones se hayan vuelto cada vez más dependientes de infraestructuras de TIC confiables, seguras y protegidas. Mientras tanto, la necesidad de la gestión de continuidad de negocio (GCN), que incluye la preparación para incidentes, la planificación de recuperación de desastres y la respuesta y la gestión de emergencia, han sido reconocidas y apoyadas con áreas específicas del conocimiento, pericia, y normas desarrolladas y promulgadas en los últimos años, incluyendo la Norma Internacional de GCN, desarrollada por ISO/TC 223. NOTA ISO/TC 223 está en el proceso de desarrollar una Norma pertinente Internacional de gestión de continuidad de negocio (ISO 22301). Las fallas de los servicios de TIC, que incluye la aparición de problemas de seguridad como las intrusiones en el sistema e infecciones de malware, tendrán un impacto en la continuidad de operaciones del negocio. Por tanto, la gestión de TIC y su continuidad relacionada así como otros aspectos de seguridad es una parte clave de los requerimientos de continuidad del negocio. Además, en la mayoría de los casos, las funciones críticas de negocio que requieren la continuidad de negocio son en general dependientes de las TIC. Esta dependencia significa que interrupciones en TIC pueden constituir riesgos estratégicos en la reputación de la organización y en su capacidad de operar. Preparar las TIC para muchas organizaciones es un componente esencial en la implementación de la gestión de continuidad de negocio y de la gestión de seguridad de información. Como parte de la implementación y la operación de un sistema de gestión de seguridad de información SGSI, especificado en ISO/IEC y, de un sistema de gestión de continuidad de negocio, SGCN respectivamente, es crítico de desarrollar e implementar un plan de adecuación para los servicios de TIC para ayudar a asegurar la continuidad de negocio. En consecuencia, la GCN eficaz es con frecuencia dependiente de la adecuación eficaz de TIC para asegurar que los objetivos de la organización pueden seguir siendo cumplidos en momentos de interrupciones. Eso es particularmente importante ya que las consecuencias de las interrupciones de TIC tienen, a menudo, la complicación añadida de ser invisibles o difíciles de detectar. Para que una organización alcance la Adecuación de TIC para la Continuidad de Negocio (ATCN), esta necesita implementar un proceso sistemático para prevenir, predecir y administrar las interrupciones e incidentes de TIC que tienen el potencial para interrumpir servicios de TIC. La mejor manera para lograr eso, es mediante la aplicación de los pasos cíclicos de Planificar-Hacer-Verificar- Actuar (PDVA), como parte de un sistema de gestión de ATCN (Adecuación de TIC para la Continuidad del Negocio). De este modo, la ATCN apoya al GCN, asegurando que los servicios de TIC son tan resistentes como apropiados y se pueden recuperar para predeterminar los niveles dentro de escalas de tiempo, requeridas y acordadas por la organización. Tabla 1 Ciclo de planificar-hacer-verificar-actuar en ATCN Planificar Establecer política, objetivos, metas, procesos y procedimientos pertinentes de ATCN para gestionar el riesgo y mejorar la adecuación de TIC para entregar resultados de acuerdo con las políticas generales de continuidad de negocio y los objetivos de una organización. Hacer Verificar Actuar Implementar y operar las políticas, los controles, los procesos y los procedimientos de la ATCN. Evaluar, y donde sea aplicable, medir el rendimiento de procesos frente a las políticas, los objetivos y las experiencias prácticas de la ATCN y reportar los resultados a la dirección para la revisión. Tomar acciones correctivas y preventivas basadas en los resultados de la revisión de gestión, para lograr la mejora continua de la ATCN v

7 Si una organización utiliza la ISO/IEC para establecer un SGSI o utiliza normas pertinentes para establecer un SGCN, preferiblemente el establecimiento de una ATCN debería tener en cuenta procesos existentes o previstos, enlazados a estas normas. Este enlace puede apoyar al establecimiento de una ATCN y también se puede evitar cualquier proceso dual para la organización. La Figura 1 resume la interacción de una ATCN y un SGCN. En la planificación y la implementación de la ATCN, una organización se puede referir a ISO/IEC 24762:2008 en su planificación y su entrega de servicios de recuperación de desastres de TIC, independientemente de si esos servicios son proporcionados por un proveedor subcontratado, o interno a la organización, o no. Figura 1 Integración de ATCN y SGCN vi

8 Tecnologías de la información Técnicas de seguridad Directrices para la adecuación de tecnologías de la información y comunicación para la continuidad del negocio 1 Objeto y campo de aplicación Esta norma nacional describe los conceptos y principios de la adecuación de tecnología de información y comunicación (TIC) para la continuidad de negocio y proporciona un marco de referencia de métodos y procesos para identificar y especificar todos los aspectos (tales como los criterios de rendimiento, diseño, e implementación) para mejorar la adecuación de TIC en una organización, garantizando la continuidad del negocio. Se aplica a cualquier organización (privada, gubernamental y no gubernamental, independientemente de su tamaño) que desarrolle su adecuación de TIC para el programa de continuidad de negocio (ATCN), y requiera que sus servicios/infraestructuras de TIC estén listos para apoyar a las operaciones de negocio en el caso de eventos emergentes e incidentes, y perturbaciones e interrupciones relacionadas, que podrían afectar la continuidad (incluyendo la seguridad) de funciones críticas del negocio. También permite a una organización medir los parámetros de rendimiento que se relacionan con su ATCN de una manera sólida y reconocida. El objeto y campo de aplicación de esta norma nacional abarca todos los eventos e incidentes (incluyen aquellos que están relacionados con la seguridad) que podrían tener un impacto en la infraestructura y en los sistemas de TIC. Este incluye y amplía las prácticas de manejo y de gestión de incidentes de seguridad de la información y la planificación y los servicios de adecuación de TIC. 2 Referencias normativas Los siguientes documentos de referencia son indispensables para la aplicación de este documento. Para las referencias fechadas, solamente la edición citada se aplica. Para las referencias sin fecha, la última edición del documento de referencia (incluyendo cualquier enmienda) se aplica. ISO/IEC TR 18044:2004 1), Tecnología de información Técnicas de seguridad Gestión de incidentes de seguridad de información ISO/IEC 27000, Tecnología de información Técnicas de seguridad Sistemas de gestión de seguridad de información Descripción y vocabulario ISO/IEC 27001, Tecnología de información Técnicas de seguridad Sistemas de gestión de seguridad de información Requisitos ISO/IEC 27002, Tecnología de información Técnicas de seguridad Código de prácticas para la gestión de seguridad de información ISO/IEC 27005, Tecnología de información Técnicas de seguridad Gestión de riesgos de seguridad de información 3 Términos y definiciones Para propósitos de este documento, se aplican los términos y las definiciones, dados en ISO/IEC TR 18044, ISO/IEC 27000, ISO/IEC 27001, ISO/IEC 27002, ISO/IEC y los siguientes. 1) ISO/IEC TR 18044:2004 se debe revisar y re-numerar como ISO/IEC de 37

9 Documento: NTE INEN- ISO/IEC ORIGINAL: Fecha de iniciación del estudio: INFORMACIÓN COMPLEMENTARIA TÍTULO: TECNOLOGÍAS DE LA INFORMACIÓN TÉCNICAS DE SEGURIDAD DIRECTRICES PARA LA ADECUACIÓN DE TECNOLOGÍAS DE LA INFORMACIÓN Y COMUNICACIÓN PARA LA CONTINUIDAD DEL NEGOCIO (ISO/IEC 27031:2011, IDT) Código ICS: REVISIÓN: La Subsecretaría de la Calidad del Ministerio de Industrias y Productividad aprobó este proyecto de norma Oficialización con el Carácter de por Resolución No. publicado en el Registro Oficial No. Fecha de iniciación del estudio: Fechas de consulta pública: hasta Comité Técnico de: Técnicas de Seguridad Gestión del negocio Fecha de iniciación: Fecha de aprobación: Integrantes del Comité: NOMBRES: Ing. Esteban Hidalgo (Presidente) Ing. Wilson Puente Ing. Norma Zambrano Ing. David Mayorga Ing. Augusto Montoya Ing. Patricio Raza Ing. Giovanni Salazar Ing. Carlos Castro Quinde Ing. Andrea Santana (Secretaria técnica) INSTITUCIÓN REPRESENTADA: MINTEL MINTEL CFN SRI SUPERINTENDENCIA DE BANCOS SAE ISSFA SIN INEN DIRECCIÓN DE NORMALIZACIÓN Otros trámites: La Subsecretaría de la Calidad del Ministerio de Industrias y Productividad aprobó este proyecto de norma Oficializada como: Voluntaria Por Resolución No de Registro Oficial No. 607 de