INSTITUTO ECUATORIANO DE NORMALIZACIÓN. Quito - Ecuador NORMA TÉCNICA ECUATORIANA NTE INEN-ISO/IEC 27006:2012 EXTRACTO

Transcripción

1 INSTITUTO CUATORIANO D NORMALIZACIÓN Quito - cuador NORMA TÉCNICA CUATORIANA NT INN-ISO/IC 27006:2012 NÚMRO D RFRNCIA ISO/IC 27006:2007() TCNOLOGÍA D LA INFORMACIÓN TÉCNICAS D SGURIDAD RQUISITOS PARA ORGANIZACIONS QU PROVN AUDITORÍA Y CRTIFICACIÓN D SISTMAS D GSTIÓN D LA SGURIDAD D LA INFORMACIÓN. Primera dición XTRACTO INFORMATION TCHNOLOGY SCURITY TCHNIQUS RQUIRMNTS FOR BODIS PROVIDING AUDIT AND CRTIFICATION OF INFORMATION SCURITY MANAGMNT SYSTMS First dition DSCRIPTORS: Tecnología de la información, grupos de caracteres y códigos de información, técnicas de seguridad, sistema de gestión de la seguridad y de la información, requisitos para organizaciones que proveen auditorías y certificación. TI CDU: CIIU: 8329 ICS: 35040

2 Contenido Prólogo... Introducción... 1 Alcance Referencias normativas Términos y definiciones Principios Requisitos generales Materia legal y contractual 5.2 Administración de la imparcialidad Responsabilidad y financiamiento Requisitos estructurales structura organizacional y alta dirección Comité de salvaguardia de la imparcialidad Requisito de recursos Competencia de la Dirección y del personal Personal involucrado en actividades de certificación Uso de auditores externos y de expertos técnicos externos Registros de personal Subcontratación Requisitos de información Información accesible públicamente Documentos de certificación Directorio de clientes certificados Referencia a certificación y uso de marcas Confidencialidad Intercambio de información entre una organización de certificación y sus clientes... 7 Página 9 Requisitos de proceso Requisitos generales Auditoría inicial y certificación Actividades de vigilancia Recertificación Auditorías especiales Suspensión, retiro o reducción del alcance de la certificación Apelaciones Reclamos Registros de solicitantes y clientes XTRACTO 10 Requisitos del sistema de gestión para organizaciones de certificación Opciones Opción 1 Requisitos del sistema de gestión de acuerdo con la NT INN ISO Opción 2 Requisitos generales del sistema de gestión Anexo A (informativo) Análisis de la complejidad de una organización cliente y aspectos sectoriales específicos Anexo B (informativo) Áreas de ejemplo de competencia del auditor Anexo C (informativo) Tiempo de auditoría Anexo D (informativo) Guía para revisión de controles implementados del Anexo A de la NT INN-ISO/IC Apéndice Z. 40 iii iv -ii-

3 Prólogo ISO (la Organización Internacional de Normalización) e IC (la Comisión lectrotécnica Internacional) conforman el sistema especializado para la normalización a nivel mundial. Los organismos nacionales que son miembros de ISO o de IC participan en el desarrollo de Normas Internacionales a través de comités conformados por la respectiva organización para manejar los campos específicos de la actividad técnica. Los comités técnicos de ISO e IC colaboran en los campos de interés mutuo. Otras organizaciones internacionales, gubernamentales y no-gubernamentales, en coordinación con ISO e IC, también participan en el trabajo. n el campo de la tecnología de la información, ISO e IC han establecido un comité técnico conjunto, ISO/IC JTC 1. Las Normas Internacionales son emitidas de acuerdo con las regulaciones constantes en el Instructivo ISO/IC, Parte 2. La tarea principal del comité técnico conjunto es preparar las Normas Internacionales. l Borrador de las Normas Internacionales adoptadas por el comité técnico conjunto se lo circula entre los organismos nacionales para someterlo a votación. La publicación como Norma Internacional requiere de la aprobación de al menos el 75% de los organismos nacionales que emiten un voto. Se llama la atención a la posibilidad de que algunos de los elementos de este documento pueden estar sujetos a derechos de patente. ISO e IC no serán responsables por la identificación de alguno o todos aquellos derechos de patente. La Norma ISO/IC fue preparada por el Comité Técnico Conjunto de Tecnología de la Información, ISO/IC JTC 1, Subcomité SC 27, IT Security techniques NOTA DL INN: La NT INN-ISO/IC 27006:2011 es idéntica a la norma ISO/IC de XTRACTO -iii-

4 Introducción La NT INN- ISO/IC es una Norma que establece los criterios para las organizaciones que auditan y certifican sistemas de gestión de las organizaciones. Si dichas organizaciones van a ser acreditados como que cumplen con la Norma NT INN- ISO / IC 17021, con el objetivo de auditar y certificar Sistemas de Gestión de la Seguridad de la Información (SGSI) de acuerdo con la NT INN- ISO/IC, son necesarios algunos requisitos y guías adicionales a la NT INN-ISO/IC stos requisitos los proporciona esta Norma. l texto de esta Norma sigue la estructura de la NT INN- ISO/IC 17021, y los requisitos y guías adicionales específicos del SGSI, sobre la aplicación de la NT INN-ISO/IC para la certificación del SGSI, se identifican por las letras "SI". l término "deberá" se utiliza en toda esta Norma para indicar aquellas disposiciones que, reflejando los requisitos de la NT INN-ISO/IC e NT INN-ISO/IC 27001, son obligatorias. l término "debería" se utiliza para indicar que aquellas disposiciones que, a pesar de que constituyen una guía para la aplicación de los requisitos, se espera que sean adoptadas por una organización de certificación. Uno de los objetivos de esta Norma es permitir a las organizaciones de acreditación armonizar más efectivamente su aplicación de las normas que están obligadas a evaluar a las organizaciones de certificación. n este contexto, cualquier variación de la guía por parte de una organización de certificación es una excepción. Tales variaciones sólo se permitirán en base a cada caso, luego de que la organización de certificación haya demostrado a la organización de acreditación que la excepción cumple de algún modo equivalente los requisitos de la cláusula pertinente de las NT INN-ISO/IC 17021, NT INN-ISO/IC y la intención de esta Norma. NOTA A lo largo de esta Norma, los términos "sistema de gestión" y "sistema" se utilizan indistintamente. La definición de un sistema de gestión se puede encontrar en la NT INN-ISO l sistema de gestión tal como se utiliza en esta Norma no debe confundirse con otros tipos de sistemas, tales como los sistemas de TI. XTRACTO -iv-

5 Norma Técnica cuatoriana Voluntaria TCNOLOGÍA D LA INFORMACIÓN TÉCNICAS D SGURIDAD - RQUISITOS PARA ORGANIZACIONS QU PROVN AUDITORÍA Y CRTIFICACIÓN D SISTMAS D GSTIÓN D LA SGURIDAD D LA INFORMACIÓN NT INN- ISO/IC 27006: Instituto cuatoriano de Normalización, INN Casilla Baquerizo Moreno 8-29 y Almagro Quito-cuador Prohibida la reproducción 1 Objeto sta Norma especifica los requisitos y proporciona una guía para organizaciones que proveen auditoría y certificación de un Sistema de Gestión de la Seguridad de la Información (SGSI), además de los requisitos contenidos en las Normas ISO/IC e NT INN-ISO/IC stá destinada principalmente a respaldar la acreditación de organizaciones de certificación que brinden certificación del SGSI. Los requisitos contenidos en esta Norma necesitan demostrarse en términos de competencia y fiabilidad por cualquier organización que provea certificación del SGSI; y la guía contenida en esta Norma proporciona interpretación adicional de estos requisitos para cualquier organización que provea certificación del SGSI. NOTA sta Norma puede ser utilizada como un documento de criterios para la acreditación, la evaluación de pares u otros procesos de auditoría. 2 Referencias normativas Los siguientes documentos referidos son indispensables para la aplicación de este documento. Para las referencias fechadas, sólo aplica la edición citada. Para las referencias sin fecha, aplica la última edición del documento referido (incluida cualquier modificación). NT INN-ISO/IC 17021, valuación de la conformidad - Requisitos para organizaciones que proveen auditoría y certificación de sistemas de gestión NT INN-ISO/IC 27001, Tecnología de la Información - Técnicas de seguridad - Sistemas de de gestión de la seguridad de la información - Requisitos Norma ISO/IC 19011, Directrices para la calidad y/o auditoría de sistemas de gestión ambiental 3 Términos y definiciones Para fines de este documento, los términos y definiciones dadas en las NT INN- ISO/IC 17021, NT INN-ISO/IC y los siguientes aplican. XTRACTO 3.1 certificado certificado expedido por una organización de certificación de acuerdo con las condiciones de su acreditación y teniendo un símbolo o declaración de acreditación. 3.2 organización de certificación tercero que evalúa y certifica el SGSI de la organización cliente con respecto a las normas de SGSI publicadas y a cualquier documentación complementaria requerida por el sistema. 3.3 documento de certificación documento que indica que el SGSI de una organización cliente se ajusta a normas del especificadas y a cualquier documentación complementaria requerida por el sistema. SGSI 3.4 marca marca legalmente registrada o símbolo protegido que se expide acorde a las normas de una organización de acreditación o de certificación, que indica que la suficiente confianza en los sistemas operados por una organización ha sido demostrada o que los productos o personas pertinentes se ajustan a los requisitos de una norma especificada. (Continúa) DSCRIPTORS: Tecnología de la información, grupos de caracteres y códigos de información, técnicas de seguridad, sistema de gestión de la seguridad y de la información, requisitos para organizaciones que proveen auditorías y certificación. -1-

6 Documento: NT INN- ISO/IC ORIGINAL: Fecha de iniciación del estudio: INFORMACIÓN COMPLMNTARIA TÍTULO: TCNOLOGIA D LA INFORMACIÓN TCNICAS D SGURIDAD SISTMA D GSTIÓN D SGURIDAD D LA INFORMACIÓN DSCRIPCION GNRAL Y VOCABULARIO. RVISIÓN: Fecha de aprobación anterior del Directorio Oficialización con el Carácter de por Resolución No. de publicado en el Registro Oficial No. Fecha de iniciación del estudio: de Código: TI Fechas de consulta pública: de a Subcomité Técnico: Tecnologías de la información Fecha de iniciación: Integrantes del Subcomité Técnico: NOMBRS: Manuel Rodríguez (Presidente) Christian León Diego Ponce frén Cepeda Johan Garzón Paulina Carrera Reinaldo Vélez Ana Yépez Yandry Castro Héctor Gutiérrez Rodolfo spinosa Galo Garzón Bermeo Heriberto Soto Diana Martínez Julio Bustamante dison Romero Nubia Pazmiño Diego Melo Santiago Rojas Marco Javier Jara Mario Hernán Pazmiño Margarita Serrano Alex Anchaluisa Manuel Plasencia Gabriel Llumiquinga Andrea Ruiz Benhur scobar dgar Valenzuela V. (Secretario Técnico) Fecha de aprobación: INSTITUCIÓN RPRSNTADA: SUBSCRTARIA D INFORMATICA BANCO CUATORIANO D LA VIVINDA BANCO CUATORIANO D LA VIVINDA BLUHAT CONSULTORS CONATL CONSORCIO D CONSJOS PROVINCIALS DL CUADOR CONSORCIO D CONSJOS PROVINCIALS DL CUADOR CORPORACION NACIONAL D TLCOMUNICACIONS CORPORACION NACIONAL D TLCOMUNICACIONS CORROS DL CUADOR CUADOR TURISTICO XTRMO SOFTWAR INSTITUTO D ALTOS STUDIOS NACIONALS INSTITUTO CUATORIANO D CRDIT DUCATIVO Y BCAS INSTITUTO CUATORIANO D CRDIT DUCATIVO Y BCAS MINISTRIO D DFNSA MINISTRIO D FINANZAS MINISTRIO D SALUD PUBLICA MINISTRIO D SALUD PUBLICA MINISTRIO D TLCOMUNICACIONS MINISTRIO D TLCOMUNICACIONS MINISTRIO INDUSTRIAS Y PRODUCCION ORGANISMO D ACRDITACION CUATORIANO RGISTRO CIVIL SCRTARIA NACIONAL D PLANIFICACION Y DSARROLLO SUPRINTNDNCIA D TLCOMUNICACIONS SUPRINTNDNCIA D TLCOMUNICACIONS INSTITUTO CUATORIANO D NORMALIZACION XTRACTO Otros trámites: La Subsecretaría de la Calidad del Ministerio de Industrias y Productividad aprobó este proyecto de norma Oficializada como: Voluntaria Por Resolución No de Registro Oficial No. 654 de

7 XTRACTO Instituto cuatoriano de Normalización, INN - Baquerizo Moreno 8-29 y Av. 6 de Diciembre Casilla Telfs: (593 2) al Fax: (593 2) Dirección General: -Mail:direccion Área Técnica de Normalización: -Mail: Mail:normalizacion Área Técnica de Certificación: -Mail: Mail:certificacion Área Técnica de Verificación: -Mail: Mail:verificacion Área Técnica de Servicios Tecnológicos: -Mail: Mail:inenlaboratorios Regional Guayas: -Mail: Mail:inenguayas Regional Azuay: -Mail:inencuenca@inen.go Mail:inencuenca@inen.gob Regional Chimborazo: -Mail:inenriobamba@inen Mail:inenriobamba@inen.gob URL: