Source: http://docplayer.es/2839824-Guia-de-seguridad-ccn-stic-804-esquema-nacional-de-seguridad-guia-de-implantacion-borrador.html
Timestamp: 2017-01-22 01:57:05+00:00

Document:
⭐GUÍA DE SEGURIDAD (CCN-STIC-804) ESQUEMA NACIONAL DE SEGURIDAD GUÍA DE IMPLANTACIÓN (BORRADOR)
GUÍA DE SEGURIDAD (CCN-STIC-804) ESQUEMA NACIONAL DE SEGURIDAD GUÍA DE IMPLANTACIÓN (BORRADOR)
Download "GUÍA DE SEGURIDAD (CCN-STIC-804) ESQUEMA NACIONAL DE SEGURIDAD GUÍA DE IMPLANTACIÓN (BORRADOR)"
Juan Manuel Gómez Carrizo
1 GUÍA DE SEGURIDAD (CCN-STIC-804) ESQUEMA NACIONAL DE SEGURIDAD GUÍA DE IMPLANTACIÓN (BORRADOR) 26 OCTUBRE 20112 Edita: Editor y Centro Criptológico Nacional, 2011 NIPO: Tirada: 1000 ejemplares Fecha de Edición: octubre de 2011 El Ministerio de Política Territorial y Administración Pública ha financiado el desarrollo del presente documento y sus anexos. LIMITACIÓN DE RESPONSABILIDAD El presente documento se proporciona de acuerdo con los términos en él recogidos, rechazando expresamente cualquier tipo de garantía implícita que se pueda encontrar relacionada. En ningún caso, el Centro Criptológico Nacional puede ser considerado responsable del daño directo, indirecto, fortuito o extraordinario derivado de la utilización de la información y software que se indican incluso cuando se advierta de tal posibilidad. AVISO LEGAL Quedan rigurosamente prohibidas, sin la autorización escrita del Centro Criptológico Nacional, bajo las sanciones establecidas en las leyes, la reproducción parcial o total de este documento por cualquier medio o procedimiento, comprendidos la reprografía y el tratamiento informático, y la distribución de ejemplares del mismo mediante alquiler o préstamo públicos. Centro Criptológico Nacional i3 PRÓLOGO El uso masivo de las tecnologías de la información y las telecomunicaciones (TIC), en todos los ámbitos de la sociedad, ha creado un nuevo espacio, el ciberespacio, donde se producirán conflictos y agresiones, y donde existen ciberamenazas que atentarán contra la seguridad nacional, el estado de derecho, la prosperidad económica, el estado de bienestar y el normal funcionamiento de la sociedad y de las administraciones públicas. La Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia, encomienda al Centro Nacional de Inteligencia el ejercicio de las funciones relativas a la seguridad de las tecnologías de la información en su artículo 4.e), y de protección de la información clasificada en su artículo 4.f), a la vez que confiere a su Secretario de Estado Director la responsabilidad de dirigir el Centro Criptológico Nacional en su artículo 9.2.f). Partiendo del conocimiento y la experiencia del CNI sobre amenazas y vulnerabilidades en materia de riesgos emergentes, el Centro realiza, a través de su Centro Criptológico Nacional, regulado por el Real Decreto 421/2004, de 12 de marzo, diversas actividades directamente relacionadas con la seguridad de las TIC, orientadas a la formación de personal experto, a la aplicación de políticas y procedimientos de seguridad, y al empleo de tecnologías de seguridad adecuadas. Una de las funciones más destacables del Centro Criptológico Nacional es la de elaborar y difundir normas, instrucciones, guías y recomendaciones para garantizar la seguridad de los sistemas de las tecnologías de la información y las comunicaciones de la Administración, materializada en la existencia de la serie de documentos CCN-STIC. Disponer de un marco de referencia que establezca las condiciones necesarias de confianza en el uso de los medios electrónicos es, además, uno de los principios que establece la ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos, en su artículo 42.2 sobre el Esquema Nacional de Seguridad (ENS). Precisamente el Real Decreto 3/2010 de 8 de Enero de desarrollo del Esquema Nacional de Seguridad fija los principios básicos y requisitos mínimos así como las medidas de protección a implantar en los sistemas de la Administración, y promueve la elaboración y difusión de guías de seguridad de las tecnologías de la información y las comunicaciones por parte de CCN para facilitar un mejor cumplimiento de dichos requisitos mínimos. En definitiva, la serie de documentos CCN-STIC se elabora para dar cumplimiento a los cometidos del Centro Criptológico Nacional y a lo reflejado en el Esquema Nacional de Seguridad, conscientes de la importancia que tiene el establecimiento de un marco de referencia en esta materia que sirva de apoyo para que el personal de la Administración lleve a cabo su difícil, y en ocasiones, ingrata tarea de proporcionar seguridad a los sistemas de las TIC bajo su responsabilidad. Octubre de 2011 Félix Sanz Roldán Secretario de Estado Director del Centro Criptológico Nacional Centro Criptológico Nacional ii4 ÍNDICE 2.1. [ORG] MARCO ORGANIZATIVO [OP] MARCO OPERACIONAL [MP] MEDIDAS DE PROTECCIN Centro Criptológico Nacional iii5 USO DE CONTRASEAS USO DE TOKENS USO DE LA BIOMETRA [ORG] MARCO ORGANIZATIVO [OP] MARCO OPERACIONAL [MP] MEDIDAS DE PROTECCIN Centro Criptológico Nacional iv6 3.7. [ORG] MARCO ORGANIZATIVO [OP] MARCO OPERACIONAL [MP] MEDIDAS DE PROTECCIN [ORG] MARCO ORGANIZATIVO [OP] MARCO OPERACIONAL [MP] MEDIDAS DE PROTECCIN Centro Criptológico Nacional v7 1. INTRODUCCIÓN 1. Esta guía establece unas pautas de carácter general que son aplicables a entidades de distinta naturaleza, dimensión y sensibilidad sin entrar en casuísticas particulares. Se espera que cada organización las particularice para adaptarlas a su entorno singular. 2. El Esquema Nacional de Seguridad establece una serie de medidas de seguridad en su Anexo II que están condicionadas a la valoración del nivel de seguridad en cada dimensión, y a la categoría (artículo 43) del sistema de información de que se trate. A su vez, la categoría del sistema se calcula en función del nivel de seguridad en cada dimensión. 3. Estas medidas constituyen un mínimo que se debe implementar, o justificar los motivos por los cuales no se implementan o se sustituyen por otras medidas de seguridad que alcancen los mismos efectos protectores sobre la información y los servicios. 4. Esta guía busca ayudar a los responsables de los sistemas para que puedan implantar rápida y efectivamente las medidas requeridas, sin perjuicio de que empleen recursos propios o recurran a proveedores y productos externos. 5. Para cada medida se proporciona: una descripción más amplia que la proporcionada en el ENS, referencias externas que ayuden a su comprensión y realización, relación con medidas o controles en otros esquemas de seguridad, relación con los principios básicos recogidos en el ENS, relación con los requisitos mínimos recogidos en el ENS e indicaciones de lo que se considerará evidencia suficiente de cara a una evaluación de la seguridad 2. MEDIDAS DE SEGURIDAD 2.1. [ORG] MARCO ORGANIZATIVO 6. Toda Organización necesita organizarse para poder asegurar el alcance de sus objetivos, definiendo funciones y estableciendo responsabilidades y canales de coordinación. Esta estructura permite la gestión día a día de las actividades rutinarias y la resolución ordenada de los incidentes que puedan sobrevenir. 7. Toda estructura organizativa necesita una evaluación constante y un análisis de la respuesta a los incidentes de forma que se aprende de la experiencia, se corrigen defectos o debilidades y se busca la excelencia por medio de la mejora continua. 8. La organización en materia de seguridad no puede sino estar alineada y servir a la misión del organismo, ajustándose a las necesidades de los servicios que se prestan. 9. La carencia de una organización formal y efectiva se traduce en unas prestaciones inciertas, cuyo resultado depende de la fortuna y el buen tino de los miembros de la organización, sin poder asegurar que se vayan a alcanzar los objetivos propuestos, ni tan siquiera pueda decirse que la Organización está bajo control. 10. Referencias Guía CCN-STIC 801 Roles y funciones. Guía CCN-STIC 402 Organización y Gestión para la Seguridad de los Sistemas TIC Guía CCN-STIC 201 Organización y Gestión para la Seguridad de las STIC Centro Criptológico Nacional 68 ISO/IEC 27002:2005: o 6 Organización para la seguridad de la información 6.1 Organización interna NIST Special Publication o Chapter 3 Roles and Responsibilities [ORG.1] POLÍTICA DE SEGURIDAD 11. La guía CCN-STIC 805 trata esta sección en detalle. 12. Referencias: Guía CCN-STIC 805 Política de Seguridad ISO/IEC 27002:2005: o 5.1 Política de seguridad de la información o Asignación de responsabilidades relativas a la seguridad de la información o Identificación de legislación aplicable NIST Special Publication o Chapter 5 Computer Security Policy Criterios de Seguridad: o Capítulo 3 Política de seguridad o Capítulo 4 Organización y planificación de la seguridad RD 1720: artículos 89.1 y 95.1 Se considerará evidencia suficiente del cumplimiento de esta medida existe el documento, firmado por la Dirección el documento cubre los puntos arriba citados existe un procedimiento de revisión y firma regular [ORG.2] NORMATIVA DE SEGURIDAD 13. Conjunto de documentos que, sin entrar en detalles, establecen la forma de afrontar un cierto tema en materia de seguridad. Definen la posición del organismo en aspectos concretos y sirven para indicar cómo se debe actuar en caso de que una cierta circunstancia no esté recogida en un procedimiento explícito o que el procedimiento pueda ser impreciso o contradictorio en sus términos. 14. A veces se denominan policies (en inglés). 15. A veces se denominan standards (en inglés). 16. Las normas deben centrarse en los objetivos que se desean alcanzar, antes que en la forma de lograrlo. Los detalles los proporcionarán los procedimientos. Las normas ayudan a tomar la decisión correcta en caso de duda. 17. Las normas deben describir lo que se considera uso correcto, así como lo que se considera uso incorrecto. 18. La normativa tiene carácter de obligado cumplimiento. Esto debe destacarse, así como las consecuencias derivadas de su incumplimiento (medidas disciplinarias). 19. Cada norma debe indicar la forma de localizar los procedimientos que se han desarrollado en la materia tratada. Es difícil que la norma cubra todos los procedimientos desarrollados. Centro Criptológico Nacional 79 20. Las normas deben escribirlas personas expertas en la materia, conocedoras de la postura de la Dirección, de las posibilidades y limitaciones de la tecnología correspondiente y con experiencia en los incidentes o situaciones típicas que pueden encontrarse los usuarios. Las normas deben ser revisadas por el departamento de asesoría legal, tanto para evitar el incumplimiento de alguna norma de rango superior, como para introducir registros que puedan ser requeridos como pruebas fehacientes en caso de conflicto. 21. Las normas deben ser realistas y viables. Deben ser concisas (sin perder precisión) y sin ambigüedades. Deben estar motivadas, ser descriptivas y definir puntos de contacto para su interpretación correcta. 22. Normativa típica: control de acceso protección de los autenticadores (contraseñas, tarjetas, etc) puesto de trabajo despejado y equipos desatendidos protección frente a software malicioso: virus, spyware, adware, desarrollo de aplicaciones (software) instalación de aplicaciones (software) acceso remoto tele-trabajo uso de portátiles gestión de soportes de información removibles (tales como CD, llaves USB, etc) tratamiento de la información impresa: copias, almacenamiento y destrucción uso del correo electrónico uso de la web problemas de ingeniería social criterios de clasificación de la información copias de respaldo (backups) 23. Referencias: ISO/IEC 27002:2005: o Condiciones de uso de los activos o Directrices de clasificación de la información o Política de uso de los servicios de red o Política de uso de controles criptográficos NIST SP rev3: o todos los capítulos incluyen un apartado sobre este asunto NIST SP800-12: An Introduction to Computer Security: The NIST Handbook The SANS Security Policy Project Criterios de Seguridad: o Capítulo 3 Política de seguridad o Capítulo 17 Desarrollo y explotación de sistemas - punto 17.5 Centro Criptológico Nacional 810 24. Se considerará evidencia suficiente del cumplimiento de esta medida: existen documentos relativos a un alto porcentaje de los medios de trabajo y los servicios prestados existe un procedimiento de revisión regular Is it a Policy, a Standard or a Guideline? What's in a name? We frequently hear people use the names "policy", "standard", and "guideline" to refer to documents that fall within the policy infrastructure. So that those who participate in this consensus process can communicate effectively, we'll use the following definitions. A policy is typically a document that outlines specific requirements or rules that must be met. In the information/network security realm, policies are usually point-specific, covering a single area. For example, an "Acceptable Use" policy would cover the rules and regulations for appropriate use of the computing facilities. A standard is typically collections of system-specific or procedural-specific requirements that must be met by everyone. For example, you might have a standard that describes how to harden a Windows NT workstation for placement on an external (DMZ) network. People must follow this standard exactly if they wish to install a Windows NT workstation on an external network segment. A guideline is typically a collection of system specific or procedural specific "suggestions" for best practice. They are not requirements to be met, but are strongly recommended. Effective security policies make frequent references to standards and guidelines that exist within an organization [ORG.3] PROCEDIMIENTOS DE SEGURIDAD 25. Conjunto de documentos que describen paso a paso cómo realizar una cierta actividad. Facilitan las tareas rutinarias evitando que se olviden pasos importantes. Lo que nunca debe ocurrir es que una cierta actividad sólo sepa hacerla una determinada persona; debe estar escrito cómo se hace para que la persona pueda ser reemplazada. 26. A veces se denominan guías. 27. Cada procedimiento debe detallar: en qué condiciones debe aplicarse quién es el que debe llevarlo a cabo qué es lo que hay que hacer en cada momento, incluyendo el registro de la actividad realizada cómo identificar situaciones anómalas y cuál es mecanismo para escalar la situación cómo se reportan deficiencias en los procedimientos 28. El conjunto de procedimientos debe cubrir un alto porcentaje (al menos el 80%) de las actividades rutinarias, así como aquellas tareas que se realizan con poca frecuencia pero exigen seguir unos pasos determinados muy precisos. Centro Criptológico Nacional 911 29. Nunca se puede decir que hay demasiados procedimientos. Cuantos más, mejor. 30. No obstante, es mejor no tener un procedimiento que tener un procedimiento erróneo o anticuado. 31. Debe existir un mecanismo para que los usuarios accedan rápidamente a la una versión actualizada de los procedimientos que les afectan. El uso de la intranet como repositorio de documentos es muy eficaz, aunque hay que prever algunas copias en papel para aquellas actividades que hay que realizar cuando falla intranet. 32. Debe existir un proceso para que los usuarios puedan reportar errores, inexactitudes o carencias en los procedimientos y se proceda a la revisión y actualización del procedimiento. 33. Referencias: ISO/IEC 27002:2005: o Documentación de los procedimientos de operación NIST SP rev3 o todos los capítulos incluyen un apartado sobre este asunto Criterios de Seguridad: o Capítulo 3 Política de seguridad 34. Se considerará evidencia suficiente del cumplimiento de esta medida: existen procedimientos relativos a un alto porcentaje de las actividades realizadas por el personal existe un procedimiento para la revisión y aprobación regular de los procedimientos existe un procedimiento para la identificación y cobertura de nuevas necesidades existen medidas e indicadores de la eficacia y eficiencia de los procedimientos [sistemas de categoría ALTA] [ORG.4] PROCESO DE AUTORIZACIÓN 35. Ningún sistema de información con responsabilidades sobre la información que maneja o los servicios que presta debería admitir elementos no autorizados por cuanto la libre incorporación de elementos socavaría de raíz la confianza en el sistema. 36. El ENS singulariza una serie de elementos, sin perjuicio de que se aplique siempre la regla de se requiere autorización previa : a. Utilización de instalaciones, habituales y alternativas. b. Entrada de equipos en producción, en particular, equipos que involucren criptografía. c. Entrada de aplicaciones en producción. d. Establecimiento de enlaces de comunicaciones con otros sistemas. e. Utilización de medios de comunicación, habituales y alternativos. f. Utilización de soportes de información. g. Utilización de equipos móviles. Se entenderá por equipos móviles ordenadores portátiles, PDA, u otros de naturaleza análoga. 37. El proceso de autorización requiere: Centro Criptológico Nacional 1012 que esté definido en la normativa de seguridad la persona o punto de contacto para autorizar un determinado componente o actuación que exista un formulismo (o sea, un formulario) para solicitar la autorización, indicando lo que se desea y la motivación; esta solicitud deberá incorporar los siguientes elementos: o descripción precisa del elemento o actuación para el que se solicita autorización o descripción precisa de las actividades para las que se requiere el nuevo componente o justificación de que nuevo componente no afecta a otras funcionalidades del sistema o si el nuevo componente introduce posibles vulnerabilidades (es decir, si expone al sistema a nuevas o renovadas amenazas), deberá anexarse un análisis de riesgos y las medidas que se toman para gestionarlo; este análisis de riesgos tendrá la intensidad proporcionada a la categoría del sistema, como se establece en [op.pl.1] o justificación de que no se viola ninguna normativa de seguridad o información de los procedimientos de seguridad que son aplicables al caso o, si fuere necesario, la necesidad de desarrollar algún nuevo procedimiento específico que se requiera la aprobación formal de la petición (o sea, la firma del responsable) antes de la actuación 38. Si se requieren nuevos procedimientos, la autorización puede ser temporal con un plazo límite para desarrollar los nuevos procedimientos y formalizar la autorización definitiva. 39. La autorización sólo cubrirá la utilización de los nuevos recursos para los objetivos explícitamente aprobados. 40. Referencias: ISO/IEC 27002:2005: o Proceso de autorización de recursos para el tratamiento de la información NIST SP rev3:2010: o PM-10 Security Authorization Process 41. Se considerará evidencia suficiente del cumplimiento de esta medida: existe un procedimiento que incluya evidencias documentales de que todos y cada uno de los recursos del sistema han sido autorizados previamente a su entrada en explotación la autorización incluye las referencias pertinentes a la normativa aplicable Ver [org.2] 2.2. [OP] MARCO OPERACIONAL 42. Medidas a tomar para proteger la operación del sistema como conjunto integral de componentes para un fin [OP.PL] PLANIFICACIÓN 43. Actividades previas a la puesta en explotación. Centro Criptológico Nacional 1113 [OP.PL.1] ANÁLISIS DE RIESGOS 44. Referencias: Criterios de Seguridad: o Capítulo 3 Política de seguridad punto 3.3 o Capítulo 5 Análisis y gestión de riesgos o Capítulo 17 Desarrollo y explotación puntos 17.7 y 17.8 Guía CCN-STIC-470 Manual Herramienta de Análisis de Riesgos PILAR 4.1 ISO/IEC 27002:2005: o Evaluación de los riesgos de seguridad NIST SP rev3: o [RA] Risk Assessment Magerit v2 - Metodologa de Anlisis y Gestin de Riesgos de los Sistemas de Informacin; Ministerio de Administraciones Pblicas; Consejo Superior de Administracin Electrnica. PILAR Herramienta de Análisis y Gestión de Riesgos ISO/IEC 27005:[2008] UNE 71504:[2008] Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información; AENOR Agencia Española de Normalización NIST SP : Risk Management Guide for Information Technology Systems NIST SP : Managing Risk from Information Systems: An Organizational Perspective 45. Se considerará evidencia suficiente del cumplimiento de esta medida: existe un documento que detalla los riegos residuales principales dicho documento esté aprobado por la Dirección [categoría MEDIA o ALTA] existe un análisis de riesgos formal utilizando una metodología y una herramienta reconocidas existe un procedimiento para la revisión y aprobación regular de los puntos anteriores [OP.PL.2] ARQUITECTURA DE SEGURIDAD 46. Referencias: Criterios de Seguridad: ISO/IEC 27002:2005: o Tratamiento de la seguridad en las relaciones con clientes o Política de control de acceso o Aislamiento de sistemas críticos o 12.1 Requisitos de seguridad o 12.2 Garantías de procesamiento de información 47. Se considerará evidencia suficiente del cumplimiento de esta medida: existe un documento que detalla los puntos anteriormente citados existe un procedimiento que lo mantenga actualizado; o los procedimientos de gestión de cambios incluyen explícitamente la actualización de este documento [categoría MEDIA o ALTA] dicho documento está aprobado por la Dirección Centro Criptológico Nacional 1214 [OP.PL.3] ADQUISICIÓN DE NUEVOS COMPONENTES 48. Referencias: Criterios de Seguridad: o Capítulo 4 Organización y planificación de la seguridad ISO/IEC 27002:2005: o 10.3 Planificación y aceptación de sistemas o Análisis y especificación de requisitos NIST SP rev3: o [PL] Planning o [PL-1] Security Planning Policy and Procedures o [PL-2] System Security Plan o [PL-3] System Security Plan Update o [PL-6] Security-Related Activity Planning NIST SP rev1: Guide for Developing Security Plans for Federal Information Systems NIST SP : Integrating IT Security into the Capital Planning and Investment Control Process 49. Se considerará evidencia suficiente del cumplimiento de esta medida: existe documentación del proceso de planificación de la seguridad, contemplando los aspectos arriba citados existe documentación formal del plan de seguridad [sistemas de categoría MEDIA o superior] el plan de seguridad está aprobado por la Dirección[sistemas de categoría ALTA] [OP.PL.4] DIMENSIONAMIENTO / GESTIÓN DE CAPACIDADES 50. Referencias: Criterios de Seguridad: ISO/IEC 27002:2005: o Análisis y especificación de requisitos o Gestión de capacidades NIST SP rev3: o [SA-2] Allocation of Resources 51. Se considerará evidencia suficiente del cumplimiento de esta medida: existe un estudio previo a cada adquisición realizada o planificada que ofrece unas conclusiones respecto de la capacidad de los medios presentes o la necesidad de medios adicionales [sistemas de nivel MEDIO o superior] el estudio previo es un documento escrito [sistemas de nivel ALTO] el estudio previo está aprobado por Dirección [OP.PL.5] COMPONENTES CERTIFICADOS Centro Criptológico Nacional 1315 52. Referencias: Criterios de Seguridad: o Capítulo 9 Autenticación o Capítulo 10 Confidencialidad o Capítulo 11 Integridad o Capítulo 12 Disponibilidad o Capítulo 13 Control de acceso o Capítulo 14 Acceso a través de redes o Capítulo 15 Firma electrónica Guía CCN-STIC-103 Catálogo de Productos Certificados ISO/IEC 27002:2005: o Análisis y especificación de requisitos NIST SP rev3: NIST SP : Guidelines to Federal Organizations on Security Assurance and Acquisition/Use of Tested/Evaluated Products NIST SP :2003 Guide to Selecting Information Technology Security Products Esquema Nacional de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información Orden PRE/2740/2007 de 19 de septiembre, por la que se aprueba el Reglamento de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información. ISO/IEC :2005 Information technology - Security techniques - Evaluation criteria for IT security - Part 1: Introduction and general model ISO/IEC :2005 Information technology - Security techniques - Evaluation criteria for IT security - Part 2: Security functional requirements ISO/IEC :2005 Information technology - Security techniques - Evaluation criteria for IT security - Part 3: Security assurance requirements ISO/IEC 18045: Information technology -- Security techniques -- Methodology for IT security evaluation ISO/IEC TR 19791: Information technology -- Security techniques -- Security assessment of operational systems 53. Se considerará evidencia suficiente del cumplimiento de esta medida: [sistemas de nivel MEDIO] certificación funcional, cubriendo las siguientes garantías: Diseño, desarrollo, y pruebas estructurales del producto. Análisis de vulnerabilidades y pruebas de penetración para ataques de nivel de competencia técnica de dominio público para la tecnología existente en el campo. [sistemas de nivel ALTO] certificación funcional, cubriendo las siguientes garantías: Diseño, desarrollo, pruebas y revisión del producto con método. Análisis de vulnerabilidades para ataques de nivel de competencia técnica tan alto como permita la tecnología existente en el campo, o tan alto como permita la normativa de referencia utilizada. Máximo nivel de confianza que proporcione la normativa utilizada respecto a la prueba de la robustez de la seguridad del producto, cuando es utilizado de forma distinta a la especificada por su documentación de uso. Máximo nivel de confianza que proporcione la normativa utilizada respecto a la resistencia de las funciones de seguridad del producto, que se basen en mecanismos probabilísticos o permutacionales: resistencia a ataques directos que se ejecuten con Centro Criptológico Nacional 1416 información incorrecta pero sin manipular el normal funcionamiento del producto según su diseño. Garantizar, al menos documentalmente, que el fabricante del producto dispone de procedimientos definidos para el tratamiento de futuras vulnerabilidades que se detecten en el producto. [sistemas de nivel ALTO en los componentes de cifra y generación de firma electrónica] deberán ser certificados criptológicamente, en términos de su fortaleza algorítmica [OP.ACC] CONTROL DE ACCESO 54. El control de acceso cubre el conjunto de actividades preparativas y ejecutivas para que una determinada entidad pueda, o no, acceder a un recurso del sistema para realizar una determinada acción. 55. Con el cumplimiento de todas estas medidas se garantiza que nadie accederá a recursos sin autorización. Además debe quedar registrado el uso del sistema ([op.exp.8]) para poder detectar y reaccionar a cualquier fallo accidental o deliberado. 56. El control de acceso que se implanta en un sistema real es un punto de equilibrio entre la comodidad de uso y la protección de la información. En sistemas de categoría baja, se prima la comodidad, mientras que en sistemas de categoría alta se prima la protección. 57. Estas medidas suelen venir recogidas en la literatura de seguridad bajo los epígrafes I&A Identificación y Autenticación Control de Acceso [OP.ACC.1] IDENTIFICACIÓN 58. Condición de aplicabilidad: cuando la autenticidad o la trazabilidad sean relevantes: nivel BAJO o superior. 59. Se debe asignar un identificador singular para cada entidad (usuario o proceso) que accede al sistema. 60. De esta manera: se puede saber quién recibe qué derechos de acceso se puede saber quién ha hecho qué, para corregir o para perseguir 61. La identificación de usuarios suele ir asociada a una "cuenta de usuario". A menudo se habla de "derechos de una cuenta" para referirse a los derechos del titular de la cuenta. Se dice que los derechos de un usuario son los de su cuenta en el sistema. 62. Se deben gestionar las cuentas de usuario: 63. las cuentas deben ser inhabilitadas cuando el usuario deja la organización o cesa en la función para la cual se requería la cuenta de usuario o la persona que lo autorizó da orden en contra las cuentas deben ser retenidas durante el periodo necesario para atender a las necesidades de trazabilidad de los registros de actividad asociados a una cuenta (periodo de retención) no deben existir 2 cuentas con el mismo identificador, de forma que no se puedan confundir dos usuarios ni se puedan imputar actividades a usuarios diferentes Centro Criptológico Nacional 1517 64. Referencias: Criterios de Seguridad: o Capítulo 9 Autenticación puntos 9.1, 9.2 y 9.3 o Capítulo 13 Control de Acceso punto 13.1 ISO/IEC 27002:2005: o Registro de usuarios o Identificación de equipos en la red o Identificación y autorización de usuarios NIST SP rev3: o [IA-2] User Identification and Authentication o [IA-3] Device Identification and Authentication o [IA-4] Identifier Management o [AC-2] Account Management 65. Se considerará evidencia suficiente del cumplimiento de esta medida: todas las entidades que acceden al sistema disponen de una identificación singular [OP.ACC.2] REQUISITOS DE ACCESO 66. Referencias: Criterios de Seguridad: o Capítulo 9 Autenticación punto 9.4 o Capítulo 13 Control de acceso puntos 13.1 y 13.2 ISO/IEC 27002:2005: o Política de control de acceso o Gestión de privilegios o Uso de los recursos del sistema o Restricción del acceso a la información NIST SP rev3: o [AC-3] Access Enforcement o [AC-4] Information Flow Enforcement o [AC-14] Permitted Actions without Identification or Authentication o [SI-9] Information Input Restrictions 67. Se considerará evidencia suficiente del cumplimiento de esta medida: [OP.ACC.3] SEGREGACIÓN DE FUNCIONES Y TAREAS 68. Referencias: Criterios de Seguridad: o Capítulo 20 Auditoría punto 20.7 ISO/IEC 27002:2005: o Segregación de tareas o Separación de los recursos de desarrollo, prueba y operación o Controles de auditoría o Protección de las herramientas de auditoría NIST SP rev3: Centro Criptológico Nacional 1618 o [AC-5] Separation of Duties 69. Se considerará evidencia suficiente del cumplimiento de esta medida: existe un esquema de funciones y tareas en el que se contemplan las que son incompatibles en una misma persona el procedimiento de asignación de personas a funciones y tareas a personas verifica que no se viola el esquema anterior [OP.ACC.4] PROCESO DE GESTIÓN DE DERECHOS DE ACCESO 70. Referencias: Criterios de Seguridad: o Capítulo 6 Identificación y clasificación de activos a proteger o Capítulo 13 Control de acceso puntos 13.1, 13.3 y 13.4 ISO/IEC 27002:2005: o Cancelación de los derechos de acceso o Política de control de acceso o Registro de usuarios o Gestión de privilegios o Revisión de derechos de acceso NIST SP rev3: o [AC-6] Least Privilege 71. Se considerará evidencia suficiente del cumplimiento de esta medida: en la estructuración de los derechos de acceso se tiene en cuenta las necesidades de cada persona según su función en la organización y las tareas que tiene encomendadas [sistemas de nivel ALTO] la necesidad de acceso viene acreditada por escrito por parte del responsable de la información o proceso al que va a concedérsele acceso [sistemas de nivel MEDIO o superior] el reconocimiento de la necesidad de acceso debe ser reasegurado periódicamente, extinguiéndose cuando no se demuestre positivamente que la necesidad perdura en la estructuración de los derechos de acceso se tiene en cuenta las necesidades de cada persona según su función en la organización y las tareas que tiene encomendadas [sistemas de nivel ALTO] la necesidad de conocer vienen acreditada por escrito por parte del responsable de la información o proceso al que va a concedérsele acceso [sistemas de nivel MEDIO o superior] el reconocimiento de la necesidad de conocer debe ser reasegurado periódicamente, extinguiéndose cuando no se demuestre positivamente que la necesidad perdura [OP.ACC.5] MECANISMO DE AUTENTICACIÓN 72. Referencias: Criterios de Seguridad: o Capítulo 9 Autenticación puntos 9.5 y 9.6 Centro Criptológico Nacional 1719 o Capítulo 13 Control de acceso punto 13.1 ISO/IEC 27002:2005: o Gestión de contraseñas o Uso de contraseñas o Identificación y autorización de usuarios o Gestión de contraseñas NIST SP rev3: o [IA-4] Identifier Management o [IA-5] Authenticator management o [IA-7] Cryptographic Module 73. Se considerará evidencia suficiente del cumplimiento de esta medida: existe constancia de que los usuarios reciben los autenticadores y firman la recepción de acuerdo a los puntos arriba expuestos se cumple [op.exp.11] [OP.ACC.6] ACCESO LOCAL (LOCAL LOGON) 74. Referencias: Criterios de Seguridad: o Identificación y clasificación de activos a proteger punto 9.4 ISO/IEC 27002:2005: o Procedimientos de inicio de sesión (log-on) o Limitación del tiempo de conexión NIST SP rev3: o [IA-6] Authenticator Feedback o [AC-7] Unsuccessful Login Attempts o [AC-8] System Use Notification o [AC-9] Previous Login Notification o [SI-11] Error Handling 75. Se considerará evidencia suficiente del cumplimiento de esta medida: se aplican las consideraciones arriba expuestas [OP.ACC.7] ACCESO REMOTO (REMOTE LOGIN) 76. Referencias: Criterios de Seguridad: o Capítulo 13 Control de acceso puntos 13.6 y 13.8 o Capítulo 14 Acceso a través de redes punto 14.6 ISO/IEC 27002:2005: o Autenticación de usuarios en acceso remoto o Puertas de diagnóstico y configuración remota o Teletrabajo NIST SP rev3: o [AC-17] Remote Access o [AC-20] Use of External Information Systems o [MA-4] Remote Maintenance 77. Se considerará evidencia suficiente del cumplimiento de esta medida: Centro Criptológico Nacional 1820 existe un tratamiento específico que regula las actividades que pueden realizarse remotamente se cumple [op.acc.6] se cumple [mp.com.2] se cumple [mp.com.3] [OP.EXP] EXPLOTACIÓN [OP.EXP.1] INVENTARIO DE ACTIVOS 78. Referencias: Criterios de Seguridad: o Capítulo 6 Identificación y clasificación de activos puntos 6.1 y 6.2 ISO/IEC 27002:2005: o Inventario de activos o Propiedad de los activos NIST SP rev3: 79. Se considerará evidencia suficiente del cumplimiento de esta medida: existe el inventario arriba referenciado se retienen en el inventario de los componentes desmantelados [sistemas de nivel MEDIO o superior] existen de procedimientos formales de mantenimiento del inventario [sistemas de nivel MEDIO o superior] [OP.EXP.2] FORTIFICACIÓN O BASTIONADO 80. Referencias: Serie CCN-STIC-500 Guías para Entornos Windows Serie CCN-STIC-600 Guías para otros Entornos Criterios de Seguridad: ISO/IEC 27002:2005: NIST SP rev3: Guías STIC - https://www.ccn-cert.cni.es/ 81. Se considerará evidencia suficiente del cumplimiento de esta medida: existe un procedimiento de eliminación de cuentas o contraseñas estándar existen perfiles avalados por una autoridad reconocida existen procedimientos de configuración que garanticen la aplicación de dichos perfiles existe un procedimiento de revisión periódica de los perfiles existe un procedimiento de revisión de perfiles atendiendo a la publicación de vulnerabilidades de los sistemas Centro Criptológico Nacional 19 Mostrar más
GUÍA DE SEGURIDAD (CCN-STIC-804) ESQUEMA NACIONAL DE SEGURIDAD GUÍA DE IMPLANTACIÓN (BORRADOR) 26 OCTUBRE 2011 Edita: Editor y Centro Criptológico Nacional, 2011 NIPO: 076-11-053-3 Tirada: 1000 ejemplares Más detalles GUÍA DE SEGURIDAD (CCN-STIC 825) ESQUEMA NACIONAL DE SEGURIDAD CERTIFICACIONES 27001
GUÍA DE SEGURIDAD (CCN-STIC 825) ESQUEMA NACIONAL DE SEGURIDAD CERTIFICACIONES 27001 NOVIEMBRE 2013 Edita: Centro Criptológico Nacional, 2013 NIPO: 002-13-052-X Fecha de Edición: noviembre de 2013 José Más detalles Esquema Nacional de Seguridad (ENS). Anexo II
Ed. Francis Lefebvre ANEXOS 1 AN EXOS Esquema Nacional de Seguridad (ENS). Anexo II 3900 ANEXO II. MEDIDAS DE SEGURIDAD 1. Disposiciones generales 1. Para lograr el cumplimiento de los principios básicos Más detalles Norma Técnica Peruana:
Norma Técnica Peruana: NTP ISO/IEC 17799:2004 EDI. TECNOLOGIA DE LA INFORMACIÓN. CODIGO DE BUENAS PRACTICAS PARA LA GESTION DE LA SEGURIDAD DE LA INFORMACION. 1ª EDICIÓN ANTECEDENTES De conformidad con Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Y PLAN DE ADECUACIÓN AL ESQUEMA NACIONAL DE SEGURIDAD
POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Y PLAN DE ADECUACIÓN AL ESQUEMA NACIONAL DE SEGURIDAD El Pleno de la Corporación, en sesión ordinaria celebrada el día 17 de enero de 2014, adoptó, entre otros, Más detalles BOLETÍN OFICIAL DEL ESTADO
Núm. 264 Miércoles 4 de noviembre de 2015 Sec. I. Pág. 104246 I. DISPOSICIONES GENERALES MINISTERIO DE LA PRESIDENCIA 11881 Real Decreto 951/2015, de 23 de octubre, de modificación del Real Decreto 3/2010, Más detalles ISO/IEC 27001. Normativa de seguridad IT. Hechos. Numero 2013/02
05/01/2013 Ingelan 934 302 989 Numero 2013/02 ISO/IEC 27001 Normativa de seguridad IT ISO/IEC 27001 (Information technology Information Security Management Systems Requirements) es una normativa estándar Más detalles Implantación de un SGSI
Implantación de un SGSI con e-pulpo ÍNDICE 1 Introducción... 3 2 SGSI y normativas... 4 2.1 La serie 27000... 4 2.1 ISO/IEC 27001 (SGSI)... 5 2.2 ISO/IEC 27002... 6 2.3 Objetivos de control y controles... Más detalles Cómo hacer coexistir el ENS con otras normas ya
Cómo hacer coexistir el ENS con otras normas ya implantadas? Esquema Nacional de Seguridad Mª Elísabeth Iglesias Consultora / Auditora AUDEDATOS GESDATOS Software - GeConsulting Índice 1. Introducción Más detalles Guía: Controles de Seguridad y Privacidad de la Información
Guía: Controles de Seguridad y Privacidad de la Información Guía Técnica HISTORIA VERSIÓN FECHA CAMBIOS INTRODUCIDOS 1.0.0 15/12/2010 Versión inicial del documento 2.0.0 30/09/2011 Restructuración de forma Más detalles Técnico Profesional en Sistema de Gestión de Seguridad de la Información UNE-ISO/IEC 27001:2014
Resumen Norma ISO-27001. Introducción: generalidades e introducción al método PDCA. Objeto y campo de aplicación: se especifica el objetivo, la aplicación y el tratamiento de exclusiones. Normas para consulta: Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UAL
Aprobado por Consejo de Gobierno de la Universidad de Almería en fecha 17 de diciembre de 2012 POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UAL 1. INTRODUCCIÓN La Política de Seguridad de la Información Más detalles (17-11-2014) MINISTERIO DE HACIENDA Y ADMINISTRACIONES PÚBLICAS
MINISTERIO DE HACIENDA Y ADMINISTRACIONES PÚBLICAS (17-11-2014) REF.: REF.C.M.: PROYECTO DE REAL DECRETO /, de, MODIFICACIÓN DEL REAL DECRETO 3/2010 DE 8 DE ENERO POR EL QUE SE REGULA EL ESQUEMA NACIONAL Más detalles GUÍA DE SEGURIDAD (CCN-STIC 804) ESQUEMA NACIONAL DE SEGURIDAD GUÍA DE IMPLANTACIÓN
GUÍA DE SEGURIDAD (CCN-STIC 804) ESQUEMA NACIONAL DE SEGURIDAD GUÍA DE IMPLANTACIÓN MARZO 2013 Edita: Editor y Centro Criptológico Nacional, 2013 Fecha de Edición: marzo de 2013 El Sr. José Antonio Mañas Más detalles Lista de verificación norma ISO 17799 (Realizada con base en la lista de chequeo del instituto SANS, la cual fue elaborada por Val Thiagarajan)
Lista de verificación norma ISO 17799 (Realizada con base en la lista de chequeo del instituto SANS, la cual fue elaborada por Val Thiagarajan) 3. Política de seguridad 3.1. Política de seguridad de la Más detalles GUÍA DE SEGURIDAD (CCN-STIC-808) VERIFICACIÓN DEL CUMPLIMIENTO DE LAS MEDIDAS EN EL ENS
GUÍA DE SEGURIDAD (CCN-STIC-808) VERIFICACIÓN DEL CUMPLIMIENTO DE LAS MEDIDAS EN EL ENS SEPTIEMBRE 2011 CCN-STIC-808 v1.1 Edita: Editor y Centro Criptológico Nacional, 2011 NIPO: 075-11-053-3 Tirada: 1000 Más detalles Aspectos prácticos de implementación del Esquema Nacional de Seguridad
Aspectos prácticos de implementación del Esquema Nacional de Seguridad 1 Contenidos Recordatorio rápido de la estructura del ENS Sobre la auditoría de seguridad en el ENS Las guías 800 del Centro Criptológico Más detalles mope SEGURIDAD INFORMÁTICA
Política de Seguridad de la Información Índice 1 APROBACIÓN Y ENTRADA EN VIGOR... 3 2 OBJETIVOS Y MISIÓN DEL AYUNTAMIENTO... 3 3 OBJETIVOS Y MISIÓN DE LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN. 3 4 ALCANCE... Más detalles BOLETÍN OFICIAL DEL ESTADO
Núm. 55 Miércoles 5 de marzo de 2014 Sec. III. Pág. 21241 III. OTRAS DISPOSICIONES MINISTERIO DE SANIDAD, SERVICIOS SOCIALES E IGUALDAD 2378 Orden SSI/321/2014, de 26 de febrero, por la que se aprueba Más detalles RECOMENDACIÓN ESQUEMA NACIONAL DE SEGURIDAD PRIORIZACIÓN DE MEDIDAS DE SEGURIDAD
RECOMENDACIÓN ESQUEMA NACIONAL DE SEGURIDAD PRIORIZACIÓN DE MEDIDAS DE SEGURIDAD ÍNDICE 1. INTRODUCCIÓN... 3 2. PRIORIDADES DE UNA ENTIDAD... 4 2.1. DEFINIR Y NOMBRAR AL RESPONSABLE DE LA SEGURIDAD... Más detalles PROCEDIMIENTO DE GESTIÓN DE INCIDENCIAS DE SEGURIDAD ELABORADO POR: REVISADO POR: APROBADO POR:
DE GESTIÓN DE INCIDENCIAS DE SEGURIDAD ELABORADO POR: REVISADO POR: APROBADO POR: 19/10/2015 Audedatos Josema Gil Nº edición: 01 Nº revisión: 01 Página 2 de 14 Fecha Edición Revisión Cambios Realizados Más detalles ISO/IEC 27002 CoBIT v.4 Dominio Objetivo de Control Dominio Objetivo de Control
UEM - MUSTIC Módulo : Profesor: Seguridad de las personas Marcos Gómez Hidalgo Mapeo entre dimensiones y objetivos de control de ISO/IEC 700 y CoBIT versión 4. ISO/IEC 700 CoBIT v.4. Política de seguridad.1 Más detalles DECLARACIÓN DE APLICABILIDAD SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN
DECLARACIÓN DE APLICABILIDAD SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACION RESPONSABILIDAD Y AUTORIDAD REVISADO POR: LEIDA MARIA RAMIREZ GIL SUBGERENTE GENERAL FECHA 30/10/2014 APROBADO POR: GERARDO Más detalles CURSO DE ESQUEMA NACIONAL DE SEGURIDAD
CURSO DE ESQUEMA NACIONAL DE SEGURIDAD Objetivos Generales Al finalizar este curso el alumno será capaz de: Comprender los principios básicos recogidos en el Esquema Nacional de Seguridad (ENS). Conocer Más detalles Certificación del Sistema de Gestión de la Seguridad de los SI. Carlos Manuel Fdez. AENOR. CISA, CISM Marzo-2005
Certificación del Sistema de Gestión de la Seguridad de los SI. Carlos Manuel Fdez. AENOR CISA, CISM Marzo-2005 Indice Quién es AENOR. Por qué el Certificado SGSI? Una aproximación al Certificado SGSI. Más detalles Códigos de buenas prácticas de seguridad. UNE-ISO/IEC 17799. Antonio Villalón Huerta Grupo S2
Códigos de buenas prácticas de seguridad. UNE-ISO/IEC 17799 Antonio Villalón Huerta Grupo S2 Contenidos Introducción. Problemática de seguridad. Qué es ISO 17799? Historia Estructura de la norma. Dominios Más detalles GUÍA DE SEGURIDAD (CCN-STIC-800) ESQUEMA NACIONAL DE SEGURIDAD GLOSARIO DE TÉRMINOS Y ABREVIATURAS
GUÍA DE SEGURIDAD (CCN-STIC-800) ESQUEMA NACIONAL DE SEGURIDAD GLOSARIO DE TÉRMINOS Y ABREVIATURAS MARZO 2011 Edita: Editor y Centro Criptológico Nacional, 2011 NIPO: 076-11-053-3 Tirada: 1000 ejemplares Más detalles ANEXO A. (Normativo) OBJETIVOS DE CONTROL Y CONTROLES DE REFERENCIA. Tabla A.1. Objetivos de control y controles. Aplica. aplica
AUTORIDAD DE SUPERVIÓN DEL STEMA FINANCIERO DIRECCION DE SUPERVION DE VALORES CUESTIONARIO ÁREA TECLÓGICA ENTIDAD: 1. La entidad cuenta con un Plan Estratégico de Tecnologías de la Información (TI)? 2. Más detalles Norma NTC-ISO/IEC 27001 Sistema de Gestión de Seguridad de Información
Norma NTC-ISO/IEC 27001 Sistema de Gestión de Seguridad de Información AGENDA SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN CONCEPTOS BÁSICOS QUÉ ES LA NORMA ISO/IEC 27001:2005? ORIGEN NORMA ISO/IEC Más detalles Norma de seguridad de datos de la Industria de tarjetas de pago (PCI)
Norma de seguridad de datos de la Industria de tarjetas de pago (PCI) Resumen de los cambios de la a la 3.0 de las PCI DSS (Normas de seguridad de datos de la Industria de tarjetas de pago) Noviembre de Más detalles iso27002.es - El Anexo de ISO 27001 en español
ISO 27002 Site Home» ISO 27002 ISO 27002 Powered by: ISO 27002 05. Política de Seguridad 06. Organización de la Seguridad de Información 07. Gestión de Activos 08. Seguridad ligada a los Recursos Humanos Más detalles SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN ÍNDICE. PreparaTIC 6 junio 09. Ponente: Leonardo Ramírez Peña. Versión B
SISTEMA DE GESTIÓN DE LA 1 SEGURIDAD DE LA INFORMACIÓN PreparaTIC 6 junio 09 Ponente: Leonardo Ramírez Peña Versión B ÍNDICE!! Fundamentos de la Gestión de la Seguridad de la Información!! Análisis y Gestión Más detalles MANUAL DE BUEN USO DE LOS SISTEMAS DE INFORMACIÓN PARA EMPRESAS PROVEEDORAS -MSGUSIEX- Versión 1.1
MANUAL DE BUEN USO DE LOS SISTEMAS DE INFORMACIÓN PARA EMPRESAS PROVEEDORAS -MSGUSIEX- Versión 1.1 MANUAL DE BUEN USO DE LOS SISTEMAS DE INFORMACIÓN PARA EMPRESAS PROVEEDORAS ÍNDICE 1. ENTORNO 3 2. OBJETIVO Más detalles NORMATIVA DE SEGURIDAD DE LAS TECNOLOGÍAS DE INFORMACIÓN Y COMUNICACIONES. ACCIONES DE FORMACIÓN
NORMATIVA DE SEGURIDAD DE LAS TECNOLOGÍAS DE INFORMACIÓN Y COMUNICACIONES. ACCIONES DE FORMACIÓN Centro Criptológico Nacional 1 Palabras clave ITIL, ISO20000, Gestión de Capacidad, Pruebas de prestaciones Más detalles La seguridad según Batman
La seguridad según Batman Plans are nothing; planning is everything. Dwight D. Eisenhower NMX- I- 27001- NYCE:2009 ISO/IEC 27002:2005. Dominios (11), ObjeHvos de control (39) y Controles (133) 5. POLÍTICA Más detalles Informe de Amenazas CCN-CERT IA-02/14. Riesgos de uso de Windows XP tras el fin de soporte
Informe de Amenazas Riesgos de uso de Windows XP tras el fin de soporte 22 de enero de 2014 LIMITACIÓN DE RESPONSABILIDAD El presente documento se proporciona de acuerdo con los términos en él recogidos, Más detalles SEGURIDAD INFORMATICA GENERALIDADES DE LA SEGURIDAD INFORMATICA
SEGURIDAD INFORMATICA GENERALIDADES DE LA SEGURIDAD INFORMATICA Seguridad de la información? Vs Seguridad? ISO/IEC 17799 ISO/IEC 2700 -> SGSI Organización de Estándares Internacionales/Comisión Electrotécnica Más detalles POLÍTICA DE SEGURIDAD DE INFORMACIÓN EN EL IIAP
Biodiversidad Amazónica - BIOINFO 2013 POLÍTICA DE SEGURIDAD DE INFORMACIÓN EN EL IIAP (Aprobada en sesión Ordinaria de Directorio N 584 del 26 de Noviembre del 2013) Iquitos, Noviembre 2013 Programa de Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
Ref. ENS/01. Política de Seguridad UPCT Revisión: 3 POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN 1. ENTRADA EN VIGOR Texto aprobado el día 13 de abril de 2011 por el Consejo de Gobierno de la Universidad Politécnica Más detalles GUÍA DE SEGURIDAD (CCN-STIC-801) ESQUEMA NACIONAL DE SEGURIDAD RESPONSABILIDADES Y FUNCIONES
GUÍA DE SEGURIDAD (CCN-STIC-801) ESQUEMA NACIONAL DE SEGURIDAD RESPONSABILIDADES Y FUNCIONES FEBRERO 2011 Edita: Editor y Centro Criptológico Nacional, 2011 NIPO: 075-11-053-3 Tirada: 1000 ejemplares Fecha Más detalles ESQUEMA NACIONAL DE SEGURIDAD
ESQUEMA NACIONAL DE SEGURIDAD Cómo afecta el E.N.S. a los ISPs que prestan servicios a las Administraciones públicas? Estrategia Española de Ciberseguridad SIN CLASIFICAR Madrid, mayo de 2012 Entornos Más detalles ESCUELA POLITECNICA NACIONAL
1 de 19 Tecnologías de la Información Técnicas de seguridad Sistemas de Gestión de la Seguridad de la Información Requisitos Objetivo Revisar los aspectos importantes sobre la norma ISO/EIC 27001 para Más detalles DIA 21 Taller: Implantación ISO 27000 en el entorno empresarial PYME
DIA 21 Taller: Implantación ISO 27000 en el entorno empresarial PYME Ponencia: Gestión de incidentes de seguridad y planes de continuidad de negocio. Metodología y aspectos prácticos para implantación Más detalles Listado de Guías CCN-STIC
MARZO 2015 LIMITACIÓN DE RESPONSABILIDAD El presente documento se proporciona de acuerdo con los términos en él recogidos, rechazando expresamente cualquier tipo de garantía implícita que se pueda encontrar Más detalles Auditoría de Protección de Datos (LOPD 15/99)
Auditoría de Protección de Datos (LOPD 15/99) www.adhec.info Plan de actuaciones Metodología 3 Proceso de adaptación a la LOPD 5 Auditoría de adaptación a la LOPD 6 Auditoría UNE-ISO/IEC 17799:2002 y certificación Más detalles Qué tengo que hacer para cumplir con el Esquema Nacional de Seguridad? Qué puedo hacer si el plazo ya se ha pasado?
Qué tengo que hacer para cumplir con el Esquema Nacional de Seguridad? Qué puedo hacer si el plazo ya se ha pasado? 1 Introducción ENS 2 Introducción El objetivo de la presentación es explicar en qué consiste Más detalles 24 de junio de 2004. Madrid, junio de 2004 NIPO 326-04-044-9 Catálogo general de publicaciones oficiales http://publicaciones.administracion.
MINISTERIO DE ADMINISTRACIONES PÚBLICAS SECRETARÍA GENERAL PARA LA ADMINISTRACIÓN PÚBLICA CONSEJO SUPERIOR DE INFORMÁTICA Y PARA EL IMPULSO DE LA ADMINISTRACIÓN ELECTRÓNICA Aplicaciones utilizadas para Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UC
POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UC Exposición de motivos La Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos establece el marco de relación entre Más detalles Implantación de un Sistema de Gestión de Seguridad de la Información según la
Implantación de un Sistema de Gestión de Seguridad de la Información según la norma UNE 71502 Asesor Técnico - Seguridad Consejería de Educación - Junta de Andalucía Jefe de Sistemas de Información - Secretaría Más detalles GUÍA DE SEGURIDAD DE LAS TIC (CCN-STIC-850A) IMPLEMENTACIÓN DEL ESQUEMA NACIONAL DE SEGURIDAD EN WINDOWS 7 (CLIENTE MIEMBRO DE DOMINIO)
GUÍA DE SEGURIDAD DE LAS TIC (CCN-STIC-850A) IMPLEMENTACIÓN DEL ESQUEMA NACIONAL DE SEGURIDAD EN WINDOWS 7 (CLIENTE MIEMBRO DE DOMINIO) AGOSTO 2014 Edita: Centro Criptológico Nacional, 2014 NIPO: 002-14-039-9 Más detalles Gestión de Proyectos Software
Gestión de Proyectos Software Tema 5. Riesgos Riesgos de Seguridad - MAGERIT Carlos Blanco Universidad de Cantabria Objetivos Profundizar en la Ges0ón de Riesgos que afectan a la dimensión de Seguridad Más detalles Seguridad y Competencias Profesionales Tema 3: Legislación y Normas en Materia de Seguridad Informática
Seguridad y Competencias Profesionales Tema 3: Legislación y Normas en Materia de Seguridad Curso 2012 2013 Departamento de Ingeniería Universidad de Cádiz Cádiz, 15 de octubre de 2012 Índice 1 2 Sistema Más detalles NORMATIVA. Políticas de Seguridad de Información de PDVSA Normativa 20/09/06 USO GENERAL. v-1.0 S/S
Nom bre del Políticas de Seguridad de Información Normativa EMISIÓN CLASIFICACIÓN SERIAL Nº 20/09/06 USO GENERAL NORMATIVA S/S 1/39 INTRODUCCIÓN Las normas que integran las Políticas de Seguridad de Información Más detalles INFORME DE PERCEPCIÓN DE PROVEEDORES DE CLOUD COMPUTING. Características Técnicas y de Seguridad
INFORME DE PERCEPCIÓN DE PROVEEDORES DE CLOUD COMPUTING OCTOBER 13, 215 215 Índice Objetivo y metodología... 2 Resumen Ejecutivo... 2 Resultados (Seguridad)... 3 Nivel de Madurez (Seguridad)... 7 Resultados Más detalles CUALIFICACIÓN OPERACIÓN DE REDES DEPARTAMENTALES PROFESIONAL. Nivel 2. Versión 5 Situación RD 1201/2007 Actualización
Página 1 de 16 CUALIFICACIÓN OPERACIÓN DE REDES DEPARTAMENTALES PROFESIONAL Familia Profesional Informática y Comunicaciones Nivel 2 Código IFC299_2 Versión 5 Situación RD 1201/2007 Actualización Competencia Más detalles ISO 27001 Un sistema de gestión de la Seguridad de la Información
ISO 27001 Un sistema de gestión de la Seguridad de la Información Guión! Qué es la norma ISO 27001?! Necesito ISO 27001?! Por dónde debo empezar?! La visión oficial: cómo debo implantar la norma en mi Más detalles Decálogo de. ciberseguridad. El camino hacia la ciberseguridad en su empresa
Decálogo de ciberseguridad El camino hacia la ciberseguridad en su empresa 1234 5678 empieza por un solo paso Todo viaje, por largo que sea, Lao-Tsé Podríamos comenzar este decálogo con esa frase tan manida: Más detalles HERRAMIENTA PILAR ESQUEMA NACIONAL DE SEGURIDAD
HERRAMIENTA PILAR ESQUEMA NACIONAL DE SEGURIDAD Madrid, Abril de 2010 Presentación FORO: VIII Foro de seguridad de Red IRIS SESIÓN: CCN MAGERIT- Herramienta PILAR. Ejemplo aplicación ENS OBJETIVO: Presentación Más detalles Tecnología de la información. Técnicas de seguridad (ISO/IEC 27001:2005) LAS OBSERVACIONES A ESTE DOCUMENTO HAN DE DIRIGIRSE A:
norma española UNE-ISO/IEC 27001 Noviembre 2007 TÍTULO Tecnología de la información Técnicas de seguridad Sistemas de Gestión de la Seguridad de la Información (SGSI) Requisitos (ISO/IEC 27001:2005) Information Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN 1. ENTRADA EN VIGOR Esta Política de Seguridad de la Información entrará en vigor al día siguiente de su publicación en el BOUA, previa aprobación por el Consejo Más detalles GUÍA de Seguridad de Datos 1
GUÍA de Seguridad de Datos 1 Indice GUÍA MODELO DEL DOCUMENTO DE SEGURIDAD INTRODUCCIÓN MODELO DE DOCUMENTO DE SEGURIDAD 1. ÁMBITO DE APLICACIÓN DEL DOCUMENTO 2. MEDIDAS, NORMAS, PROCEDIMIENTOS, REGLAS Más detalles MEMORIA PLAN DE IMPLEMENTACIÓN DE LA ISO/IEC 27001: 2005 PRESENTADO POR: CAREM GYSSELL NIETO GARCÍA TUTOR ASIGNADO: ANTONIO JOSE SEGOVIA HENARES
MEMORIA PLAN DE IMPLEMENTACIÓN DE LA ISO/IEC 27001: 2005 PRESENTADO POR: CAREM GYSSELL NIETO GARCÍA TUTOR ASIGNADO: ANTONIO JOSE SEGOVIA HENARES UNIVERSIDAD OBERTA DE CATALUNYA MASTER INTERINSTITUCIONAL Más detalles Nomenclador de cargos
Nomenclador de cargos ROLES Áreas de I T Definición de módulos y roles Versión: 1.0 Pagina 1 Módulos interactuantes en un área de IT 1. Infraestructura Tecnológica 2. Producción de Software 3. Asistencia Más detalles DIPLOMADO EN SEGURIDAD INFORMÁTICA
INSTITUTO TECNOLÓGICO AUTÓNOMO DE MEXICO DIPLOMADO EN SEGURIDAD INFORMÁTICA Coordinador: M.en.C Uciel Fragoso Rodríguez Objetivo general: Entender la situación de un medio ambiente interconectado en el Más detalles CUALIFICACIÓN OPERACIÓN DE SISTEMAS INFORMÁTICOS PROFESIONAL. Nivel 2. Versión 5 Situación RD 1201/2007 Actualización
Estado: Aprobación Versión: 2.0 Fecha: 04/11/2009 Página 1 de 9 INDICE 1. DECLARACIÓN DE LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN... 3 2. POLÍTICA DE SEGURIDAD... 4 2.1. OBJETIVOS... 4 2.2. ALCANCE... Más detalles PROYECTO METODOLOGIA PARA LA ELABORACION DEL PLAN DE SEGURIDAD INFORMATICA
PROYECTO METODOLOGIA PARA LA ELABORACION DEL PLAN DE SEGURIDAD INFORMATICA Propósitos de este documento El objetivo del presente documento es establecer una metodología para la elaboración del Plan de Más detalles MODELO DOCUMENTO DE SEGURIDAD
MODELO DOCUMENTO DE SEGURIDAD Responsable del Fichero...... Nombre del Fichero...... Nº de Inscripción... Nº de la Versión... Fecha... ÍNDICE 1. Objeto del documento 2. Ámbito de aplicación 3. Recursos Más detalles ÁREA DE CALIDAD Página 1 de 28 MODELOS DE GESTIÓN DE SISTEMAS DE CALIDAD: ISO 9001:2008
Página 1 de 28 4.1 Conocimiento de la organización y de su contexto La organización debe determinar las cuestiones externas e internas que son pertinentes para su propósito y que afectan a su capacidad Más detalles SISTEMA DE GESTIÓN DEL SERVICIO (SGS) REQUISITOS GENERALES POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
SISTEMA DE GESTIÓN DEL SERVICIO (SGS) REQUISITOS GENERALES POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Vicerrectorado de TIC, Calidad e Innovación Centro de Informática y Comunicaciones Título Entregable Nombre Más detalles PROCEDIMIENTO DE GENERACIÓN DE COPIAS DE RESPALDO Y RECUPERACIÓN DE LA INFORMACIÓN PR30
ANEXO III. PROCEDIMIENTO DE GENERACIÓN DE COPIAS DE RESPALDO Y RECUPERACIÓN DE LA INFORMACIÓN PR30 Centro Criptológico Nacional 1 INDICE ANEXO III. PROCEDIMIENTO DE GENERACIÓN DE COPIAS DE RESPALDO Y RECUPERACIÓN Más detalles NTE INEN-ISO/IEC 27033-1 Primera edición
Quito Ecuador NORMA TÉCNICA ECUATORIANA NTE INEN-ISO/IEC 27033-1 Primera edición TECNOLOGÍAS DE LA INFORMACIÓN TÉCNICAS DE SEGURIDAD SEGURIDAD DE LA RED PARTE 1: DESCRIPCIÓN Y CONCEPTOS (ISO/IEC 27033-1:2009, Más detalles departamento de informática corporativa La pieza integradora CMDB: La pieza integradora
La pieza integradora 1 OBJETIVO Presentar la CMDB como elemento integrador para: Análisis de riesgos de los sistemas de información. Gestión de incidencias. Gestión de inventario. Monitorización de los Más detalles CUALIFICACIÓN SEGURIDAD INFORMÁTICA PROFESIONAL. Nivel 3. Versión 5 Situación RD 1087/2005 Actualización
Página 1 de 25 CUALIFICACIÓN SEGURIDAD INFORMÁTICA PROFESIONAL Familia Profesional Informática y Comunicaciones Nivel 3 Código IFC153_3 Versión 5 Situación RD 1087/2005 Actualización Competencia general Más detalles Hacia el Esquema Nacional de Seguridad
Hacia el Esquema Nacional de Seguridad "Plan Director de Seguridad en las Administraciones Públicas" Miguel Álvarez Rodríguez: miguel.alvarez@map.es Jefe de Área de Cooperación Ministerio de Administraciones Más detalles ISO 27000. Acceda directamente a las secciones de su interés o descargue en pdf el documento completo.
ISO 27000 La información es un activo vital para la continuidad y desarrollo de cualquier organización pero la implantación de controles y procedimientos de seguridad se realiza frecuentemente sin un criterio Más detalles POSTGRADO EN GESTIÓN Y AUDITORÍA DE SISTEMAS DE SEGURIDAD DE LA INFORMACIÓN ISO 27001
Modalidad: Distancia Duración: 77 Horas Objetivos: La adecuada implantación de un Sistema de Gestión de Seguridad de la Información (SGSI) permite asegurar la continuidad del negocio, minimizar el riesgo Más detalles ANEXO I. PROCEDIMIENTO DE GESTIÓN DE USUARIOS: ALTAS, BAJAS, IDENTIFICACIÓN, AUTENTICACIÓN Y CONTROL DE ACCESO LÓGICO PR10 SIN CLASIFICAR
ANEXO I. PROCEDIMIENTO DE GESTIÓN DE USUARIOS: ALTAS, BAJAS, IDENTIFICACIÓN, AUTENTICACIÓN Y CONTROL DE ACCESO LÓGICO PR10 Centro Criptológico Nacional 1 INDICE 1. OBJETO... 3 2. ÁMBITO DE APLICACIÓN... Más detalles Sistemas de Gestión de Seguridad de la Información. Ana Cecilia Vargas Alonso Castro Mattei
Sistemas de Gestión de Seguridad de la Información Ana Cecilia Vargas Alonso Castro Mattei Indice Conceptos básicos SGSI ISO/IEC 27000 Implementaciones de ISO/IEC 27000 La seguridad del lado del usuario. Más detalles Premios TIC Administración General del Estado 2015 Categoría Seguridad Informática
Categoría Seguridad Informática Securización de Base de Datos distribuidas de Gestión Procesal adscritas al Ministerio de Justicia (Memoria) Securización de Base de Datos distribuidas de Gestión Procesal Más detalles POLÍTICA DE DESARROLLO, MANTENCIÓN Y ADQUISICIÓN DE SISTEMAS DE INFORMACIÓN
PÁGINA Nº1 POLÍTICA DE DESARROLLO, MANTENCIÓN Y ADQUISICIÓN DE SISTEMAS DE INFORMACIÓN Versión 1.0 MINISTERIO DE OBRAS PÚBLICAS ELABORADO POR: Dirección General de Obras Públicas FECHA: 9/09/2012 REVISADO Más detalles ESQUEMA NACIONAL DE SEGURIDAD ENS. Estado de situación y retos próximos
ESQUEMA NACIONAL DE SEGURIDAD ENS. Estado de situación y retos próximos 6 de marzo de 2012 Miguel A. Amutio Gómez Jefe de Área de Planificación y Explotación Ministerio de Hacienda y Administraciones Públicas Más detalles MANUAL DE SEGURIDAD. Aplicaciones de Tramitación Telemática (Platea)
JUSTIZIA ETA HERRI ADMINISTRAZIO SAILA Informatika eta Telekomunikazio Zuzendaritza DEPARTAMENTO DE JUSTICIA Y ADMINISTRACIÓN PÚBLICA Dirección de Informática y Telecomunicaciones MANUAL DE SEGURIDAD Aplicaciones Más detalles Norma de Seguridad: Cláusulas LOPD con acceso a datos, de los que la Diputación Foral de Bizkaia es encargada de tratamiento
1. OBJETO 2. ALCANCE Cumplimiento del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, y el artículo 21 del Real Decreto 1720/2007 (LOPD). Todos Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
CORREO URUGUAYO Administración Nacional de Correos del Uruguay Unidad de Servicios Electrónicos POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Versión: 1.0 Marzo de 2013 Índice Mantenimiento y Aprobación de esta Más detalles TEMA XIV. Concepto de seguridad
TEMA XIV Concepto de seguridad Seguridad: Definiciones Sabemos que es hasta que alguien nos pide que lo definamos ( Descartes ) Qué entendemos por seguridad? Real Academia de la Lengua: SEGURIDAD: Cualidad Más detalles Perito Judicial en Análisis y Auditoría Pericial de los Sistemas de Seguridad de la Información ISO 27001-27002 (Online) (Titulación Oficial)
Perito Judicial en Análisis y Auditoría Pericial de los Sistemas de Seguridad de la Información ISO 27001-27002 (Online) (Titulación Oficial) Titulación certificada por EUROINNOVA BUSINESS SCHOOL Perito Más detalles POLÍTICAS Y HERRAMIENTAS DE SEGURIDAD EN LA ADMINISTRACIÓN GENERAL DEL ESTADO. Domingo Laborda Madrid, 15 de marzo, 2005
POLÍTICAS Y HERRAMIENTAS DE SEGURIDAD EN LA ADMINISTRACIÓN GENERAL DEL ESTADO Domingo Laborda Madrid, 15 de marzo, 2005 Índice Necesidad y Fundamentos de la seguridad * Introducción * Principio para una Más detalles CERTIFICACIÓN ELECTRÓNICA. De Uso Público
CERTIFICACIÓN ELECTRÓNICA 2014 Certificado Electrónico (CE) Es un documento electrónico emitido por un Proveedor de Servicios de Certificación (PSC), que vincula a un usuario (signatario) con su clave Más detalles PROCEDIMIENTO DE ADMINISTRACIÓN DE LA SEGURIDAD EN LA RED
1. OBJETIVO Establecer el procedimiento para la administración de la seguridad en la que asegure su protección efectiva contra ataques y permita cumplir los requisitos de confidencialidad, integridad y Más detalles TEMA 39 Código de buenas prácticas para la Gestión de la Seguridad de la Información. Norma UNE-ISO 17799.
TEMA 39 Código de buenas prácticas para la Gestión de la Seguridad de la Información. Norma UNE-ISO 17799. Índice 1 Introducción... 1 2 La Norma UNED-ISO 27002... 2 2.1 Estructura de la norma...3 2.1.1 Más detalles En el artículo del mes pasado,
144 UNE ISO/IEC 27001: 2005 & LOPD (II) EN ESTE NÚMERO PRESENTAMOS LA TABLA COMPLETA, EN LA CUAL SE RELACIONAN TODOS LOS S DE ESTE NUEVO REGLAMENTO Alejandro Corletti DIRECTOR DIVISIÓN SEGURIDAD INFORMÁTICA Más detalles BOLETÍN OFICIAL DEL ESTADO
Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág. 8089 I. DISPOSICIONES GENERALES MINISTERIO DE LA PRESIDENCIA 1330 Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad Más detalles GUÍA DE SEGURIDAD (CCN-STIC-819) (BORRADOR) ESQUEMA NACIONAL DE SEGURIDAD CONTRATACIÓN EN EL ENS
GUÍA DE SEGURIDAD (CCN-STIC-819) (BORRADOR) ESQUEMA NACIONAL DE SEGURIDAD CONTRATACIÓN EN EL ENS DICIEMBRE 2012 Edita: Editor y, 2012 NIPO: 002-12-063-2 Tirada: 1000 ejemplares Fecha de Edición: diciembre Más detalles GUÍA DE SEGURIDAD DE LAS TIC (CCN-STIC-851B)
GUÍA DE SEGURIDAD DE LAS TIC (CCN-STIC-851B) IMPLEMENTACIÓN DEL ESQUEMA NACIONAL DE SEGURIDAD EN WINDOWS SERVER 2008 R2 SERVIDOR INDEPENDIENTE (NO CORE, NO MIEMBRO DE DOMINIO) SEPTIEMBRE 2014 Edita: Centro Más detalles Avance en la Implementación de las Normas Técnicas Peruanas de Gestión de Tecnología de Información
Avance en la Implementación de las Normas Técnicas Peruanas de Gestión de Tecnología de Información Emigdio Alfaro ÉTICA Y GESTIÓN ealfaro@eticaygestion.com RESUMEN Sin la correspondiente asignación de Más detalles 2017 © DocPlayer.es Política de privacidad | Condiciones del servicio | Feedback

References: artículo 4
 artículo 4
 artículo 9
 Real Decreto 
 artículo 42
 Real Decreto 
 resolución 
 Real Decreto 
 Real Decreto 
 REAL DECRETO 
 REAL DECRETO 
 artículo 12
 artículo 21
 Real Decreto 
 Real Decreto