INSTITUTO ECUATORIANO DE NORMALIZACIÓN. Quito - Ecuador NORMA TÉCNICA ECUATORIANA NTE INEN-ISO/IEC 27000:2012 EXTRACTO

Transcripción

1 INSTITUTO CUATORIANO D NORMALIZACIÓN Quito - cuador NORMA TÉCNICA CUATORIANA NT INN-ISO/IC 27000:2012 NÚMRO D RFRNCIA ISO/IC 27000:2009 () TCNOLOGÍA D LA INFORMACIÓN TÉCNICAS D SGURIDAD SISTMA D GSTIÓN D SGURIDAD D LA INFORMACIÓN DSCRIPCIÓN GNRAL Y VOCABULARIO. Primera dición XTRACTO INFORMATION TCHNOLOGY SCURITY TCHNIQUS INFORMATION SCURITY MANAGMNT SYSTMS OVRVIW AND VOCABULARY. First dition DSCRIPTORS: Generalidades, terminología, normalización, documentación, vocabulario, tecnología de la información, técnicas de seguridad, sistema de gestión, descripción general y vocabulario. TI CDU: CIIU: 8329 ICS: ;35.040

2 Contenido Página Antecedente... ii 0 Introducción... iii 1 Ámbito de aplicación Términos y Definiciones Sistema de Gestión de la Seguridad de la Información SGSI Introducción Qué es un SGSI? nfoque del proceso Por qué un SGSI es importante stablecimiento, monitoreo, mantenimiento y mejoramiento de un SGSI Factores críticos de éxito del SGSI Beneficios de la familia de normas del SGSI Familia de normas SGSI Información General Normas con una visión general y terminología Normas que especifican requerimientos Normas que describen guías generales Normas que describen guías de sectores específicos Anexo A (informativo) Formas verbales para la expresión de disposiciones Anexo B (informativo) Términos clasificados..., Bibliografía Apéndice Z. 20 XTRACTO -i-

3 Antecedente ISO (la Organización Internacional de Normalización) e IC (la Comisión lectrotécnica Internacional) conforman el sistema especializado para la normalización a nivel mundial. Los organismos nacionales que son miembros de ISO o de IC participan en el desarrollo de Normas Internacionales a través de comités conformados por la respectiva organización para manejar los campos específicos de la actividad técnica. Los comités técnicos de ISO e IC colaboran en los campos de interés mutuo. Otras organizaciones internacionales, gubernamentales y no-gubernamentales, en coordinación con ISO e IC, también participan en el trabajo. n el campo de la tecnología de la información, ISO e IC han establecido un comité técnico conjunto, ISO/IC JTC 1. Las Normas Internacionales son emitidas de acuerdo con las regulaciones constantes en el Instructivo ISO/IC, Parte 2. La tarea principal del comité conjunto es preparar las Normas Internacionales. l Borrador de las Normas Internacionales adoptadas por el comité técnico conjunto se lo circula entre los organismos nacionales para someterlo a votación. La publicación como Norma Internacional requiere de la aprobación de al menos el 75% de los organismos nacionales que emiten un voto. Se llama la atención a la posibilidad de que algunos de los elementos de este documento pueden estar sujetos a derechos de patente. ISO e IC no serán responsables por la identificación de alguno o todos los derechos de patente. La Norma ISO/IC fue preparada por el Comité Técnico Conjunto de Tecnología de la Información, ISO/IC JTC 1, Subcomité SC 27, IT Security techniques NOTA DL INN: La NT INN-ISO/IC 27000:2012 es idéntica a la norma ISO/IC de XTRACTO -ii-

4 0 Introducción 0.1 Descripción general Las Normas Internacionales sobre sistemas de gestión proveen un modelo a seguir cuando se establece y se opera un sistema de gestión. ste modelo incorpora las características sobre las cuales los expertos en el campo han llegado a un consenso de que se trata tecnología de punta internacional. La norma ISO/IC JTC 1 SC 27 cuenta con un comité experto dedicado al desarrollo de normas sobre sistema de gestión para la seguridad de la información, también conocidas como familia de normas del Sistema de Gestión de la Seguridad de la Información (SGSI). Mediante el uso de la familia de normas SGSI, las organizaciones pueden desarrollar e implementar un marco de referencia para gestionar la seguridad de sus activos de la información y preparar una evaluación independiente de su SGSI, aplicada a la protección de la información tales como información financiera, propiedad intelectual y detalle de empleados o información confiada a ellos por clientes o por terceros. 0.2 Familia de normas SGSI La Familia de normas tienen el propósito de ayudar a las organizaciones de todos los tipos y tamaños a implementar y operar un SGSI. La Familia de normas SGSI consiste de las siguientes Normas Internacionales, bajo el título general Tecnología de la Información Técnicas de seguridad. - NT INN-ISO/IC 27000, Sistema de gestión de la seguridad de la información Descripción general y vocabulario - NT INN-ISO/IC 27001, Sistema de gestión de la seguridad de la información Requisitos - NT INN-ISO/IC 27002, Código de práctica para gestión de la seguridad de la información - NT INN-ISO/IC 27003, Guía de implementación del sistema de gestión de la seguridad de la información - NT INN-ISO/IC 27004, Gestión de la seguridad de la información - Medición - NT INN-ISO/IC 27005, Gestión del riesgo de la seguridad de la información - NT INN-ISO/IC 27006, Requisitos para organizaciones que proveen auditoría y certificación de los sistema de gestión de la seguridad de la información - ISO/IC 27007, Directrices para auditoría de los sistema de gestión de la seguridad de la información - ISO/IC 27011, Directrices para la gestión de la seguridad de la información para organizaciones de telecomunicaciones, basada en la NT INN ISO/IC NOTA: l título general Tecnología de la información Técnicas de seguridad indica que estas normas fueron preparadas por el Comité Técnico Conjunto ISO/IC JTC 1, Tecnología de la información, Subcomité SC 27, IT Tecnicas de Seguridad(Security techniques). Las Normas Internacionales que no se encuentran bajo el mismo título que son también parte de la familia de normas SGSI es la siguiente: - NT INN-ISO 27799, Informática para la salud Gestión de la seguridad de la información para la salud utilizando la NT INN ISO/IC ) Sistema de Gestión de la Seguridad de la Información SGSI, traducido del inglés Information Security Management System ISMS XTRACTO -iii-

5 0.3 Objeto de esta Norma sta Norma provee una visión general de los sistemas de gestión de la seguridad de la información, que conforman el objeto de la familia de normas de SGSI, y define los términos relacionados. NOTA: l Anexo A aclara como las formas verbales son usadas para expresar requisitos y/u orientación en el familia de normas de SGSI. La familia de normas de SGSI incluye normas que: a) definen los requisitos para un SGSI y para aquellos que certifican tales sistemas; b) proveen respaldo directo, orientación detallada y/o interpretación de todos los procesos y requisitos para Planificar-Hacer-Verificar-Actuar (PHVA); c) establecen guías específicas del sector para SGSI; y d) dirigen la evaluación de la conformidad para SGSI. Los términos y definiciones provistos en esta Norma: - cubren términos y definiciones utilizados comúnmente en la familia de normas de SGSI; - no cubrirán todos los términos y definiciones aplicados dentro de la familia de normas de SGSI; y - no limitan a la familia de normas de SGSI en la definición de términos para su propio uso. Las normas relacionadas únicamente con la implementación de controles, en oposición a dirigir todos los controles, de la NT INN ISO/IC están excluidas de la familia de normas del SGSI. Para reflejar el estado cambiante de la familia de normas de SGSI, se espera que esta Norma sea actualizada continuamente de manera más frecuente de lo que normalmente sería el caso para otras NT INN ISO/IC. XTRACTO -iv-

6 Norma Técnica cuatoriana Voluntaria 1 Objeto TCNOLOGÍA D LA INFORMACIÓN TÉCNICAS D SGURIDAD SISTMA D GSTIÓN D SGURIDAD D LA INFORMACIÓN DSCRIPCIÓN GNRAL Y VOCABULARIO NT INN- ISO/IC 27000: Instituto cuatoriano de Normalización, INN Casilla Baquerizo Moreno 8-29 y Almagro Quito-cuador Prohibida la reproducción sta Norma establece: a) una descripción general de la familia de normas del SGSI; b) una introducción al Sistema de Gestión de la Seguridad de la Información (SGSI); c) una breve descripción del proceso para Planificar-Hacer-Verificar-Actuar (PHVA); y d) términos y definiciones para uso en la familia de normas del SGSI. sta Norma es aplicable a todos los tipos de organizaciones (por ejemplo, empresas comerciales, agencias de gobierno, organizaciones sin fines de lucro). 2 Términos y definiciones Para los fines de este documento, los siguientes términos y definiciones aplican. NOTA: Un término en una definición o nota, que se define en otra parte de esta cláusula, se indica en negrillas seguido por su número de registro en paréntesis. Dicho término en negrillas puede ser reemplazado en la definición por su definición completa. Por ejemplo: ataque (2.4) se lo define como intento de destruir, exponer, alterar, desactivar, robar u obtener acceso no autorizado o hacer uso no autorizado de un activo (2.3) ; activo se define como cualquier cosa que tiene valor para la organización". Si el término activo es reemplazado por su definición: ataque entonces s e c onvierte en intento de destruir, exponer, alterar, desactivar, robar u obtener acceso no autorizado o hacer uso no autorizado de cualquier cosa que tiene valor para la organización. 2.1 control de acceso significa asegurar que el acceso a los activos (2.3) esté autorizado y restringido, basado en los requerimientos del negocio y de la seguridad 2.2 responsabilidad responsabilidad de una entidad por sus acciones y decisiones 2.3 activo cualquier cosa que tiene valor para la organización: NOTA: xisten muchos tipos de activos, incluyendo: a) información (2.18); b) software, tal como un programa de computador; c) físico, tal como un computador; XTRACTO d) servicios; e) personas y sus aptitudes, destrezas y experiencia, y f) intangibles, tales como reputación e imagen. (Continúa) DSCRIPTORS: Generalidades, terminología, normalización, documentación, vocabulario, tecnología de la información, técnicas de seguridad, sistema de gestión, descripción general y vocabulario. -1-

7 INFORMACIÓN COMPLMNTARIA Documento: NT INN- ISO/IC ORIGINAL: Fecha de iniciación del estudio: TÍTULO: TCNOLOGIA D LA INFORMACIÓN TCNICAS D SGURIDAD SISTMA D GSTIÓN D SGURIDAD D LA INFORMACIÓN DSCRIPCION GNRAL Y VOCABULARIO. RVISIÓN: Fecha de aprobación anterior del Directorio Oficialización con el Carácter de por Resolución No. de publicado en el Registro Oficial No. de Código: TI Fecha de iniciación del estudio: Fechas de consulta pública: de a Subcomité Técnico: Tecnología de la información Fecha de iniciación: Integrantes del Subcomité Técnico: NOMBRS: Manuel Rodríguez (Presidente) Christian León Diego Ponce Carlos Novoa Paulina Carrera Reinaldo Vélez Fernando Guerrero Rafael Melgarejo Pablo Maldonado Heriberto Soto Diana Martínez Julio Bustamante Vilma Zapata Nubia Pazmiño Christian Ordoñez Marco Javier Jara Mario Hernán Pazmiño Marco León Gabriel Llumiquinga José Luis Carrasco dgar Valenzuela V. (Secretario Técnico) Fecha de aprobación: INSTITUCIÓN RPRSNTADA: SUBSCRTARIA D INFORMATICA BANCO CUATORIANO D LA VIVINDA BANCO CUATORIANO D LA VIVINDA COMPUTR & NTWORKS CONSORCIO D CONSJOS PROVINCIALS DL CUADOR CONSORCIO D CONSJOS PROVINCIALS DL CUADOR CORPORACION LCTRICA DL CUADOR CORPORACION LCTRICA DL CUADOR HWLTT PACKARD INSTITUTO D ALTOS STUDIOS NACIONALS INSTITUTO CUATORIANO D CRDIT DUCATIVO Y BCAS INSTITUTO CUATORIANO D CRDIT DUCATIVO Y BCAS INSTITUTO NACIONAL D PRINVRSION MINISTRIO D FINANZAS MINISTRIO D RLACIONS XTRIORS MINISTRIO D TLCOMUNICACIONS MINISTRIO D TLCOMUNICACIONS SCRTARIA NACIONAL D DUCACION SUPRIOR, CINCIA TC SCRTARIA NACIONAL D PLANIFICACION Y DSARROLLO SRVICIO D RNTAS INTRNAS INSTITUTO CUATORIANO D NORMALIZACION XTRACTO Otros trámites: La Subsecretaría de la Calidad del Ministerio de Industrias y Productividad aprobó este proyecto de norma Oficializada como: Voluntaria Por Resolución No de Registro Oficial Suplemento No. 699 de

8 XTRACTO Instituto cuatoriano de Normalización, INN - Baquerizo Moreno 8-29 y Av. 6 de Diciembre Casilla Telfs: (593 2) al Fax: (593 2) Dirección General: -Mail:direccion Área Técnica de Normalización: -Mail: ail:normalizacion Área Técnica de Certificación: -Mail: Mail:certificacion Área Técnica de Verificación: -Mail: Mail:verificacion Área Técnica de Servicios Tecnológicos: -Mail: Mail:inenlaboratorios Regional Guayas: -Mail: Mail:inenguayas Regional Azuay: -Mail:inencuenca@inen.go Mail:inencuenca@inen.gob Regional Chimborazo: -Mail:inenriobamba@inen Mail:inenriobamba@inen.gob URL: