Source: https://es.scribd.com/doc/75695289/Metodologia-de-Seguridad
Timestamp: 2016-10-26 10:04:23+00:00

Document:
Metodologia de Seguridad
NavegarNavegarInteresesBiography & MemoirBusiness & LeadershipFiction & LiteraturePolitics & EconomyHealth & WellnessSociety & CultureHappiness & Self-HelpMystery, Thriller & CrimeHistoryYoung AdultNavegar porLibrosAudio librosCómicsPartiturasExplorar todoSubirIniciar sesiónRegistrarseLibrosAudio librosCómicsPartiturasESTUDIO DE UNA ESTRATEGIA PARA LA IMPLANTACIÓN DE LOS SISTEMAS DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓNCurso de Doctorado Plan 7440 Ingeniería en Automática y Electrónica Industrial, Ingeniería Informática y Sistemas Eléctricos Periodo de investigación Curso 2002/2003 Autor Manuel Fernández Barcell Universidad de Cádiz Dpto. de Lenguajes y Sistemas Informáticos manuel.barcell@uca.es
1 INTRODUCCIÓN .................................................................................................................................... 3 2 ESTRATEGIAS PARA LA SEGURIDAD DE LOS SISTEMAS DE INFORMACIÓN .................. 4 2.1 NIVEL 1º: SISTEMAS PARTICULARES ­ AUTOPROTECCIÓN ................................................................................ 5 2.2 NIVEL 2º: SISTEMAS PEQUEÑOS­ CUMPLIMIENTO DE LA LEGISLACIÓN ............................................................... 6 2.3 NIVEL 3º: SISTEMAS MEDIANOS Y GRANDES ­ GESTIÓN DE LA SEGURIDAD DE LOS SISTEMAS DE INFORMACIÓN ....... 11 2.4 NIVEL 4º: GESTIÓN GLOBAL DE RIESGOS DEL SISTEMA .................................................................................. 21 2.5 NIVEL 5º CERTIFICACIÓN ...................................................................................................................... 24 3 DISCUSIÓN ............................................................................................................................................ 29 4 ELECCIÓN DE UNA LÍNEA DE TRABAJO ..................................................................................... 32 5 CONCLUSIONES ................................................................................................................................... 33 6 REFERENCIAS: ..................................................................................................................................... 34 Índice de figuras
FIGURA 2­1 RELACIONES ENTRE ELEMENTOS DE SEGURIDAD. FUENTE: AENOR........16 FIGURA 2­2 LAS RELACIONES EN EL ANÁLISIS Y GESTIÓN DE RIESGOS FUENTE: AENOR.......................................................................................................................................................16 FIGURA 2­3 LA GESTIÓN DEL PROCESO DE SEGURIDAD DE TI.............................................17 FIGURA 2­4 PNE 71502...........................................................................................................................19 FIGURA 2­5 RELACIONES ENTRE ELEMENTOS...........................................................................23 FIGURA 2­6 EVOLUCIÓN DE LOS CRITERIOS COMUNES.........................................................25
Índice de tablas TABLA 1 CUADRO RESUMEN DE TIPOS DE DATOS....................................................................10 TABLA 2 GRUPOS DE TRABAJO DEL COMITÉ TÉCNICO JTC1/SC 27....................................33
Para el cumplimiento del plan de acción eEurope 2005, planteamos una estrategia incremental de cinco niveles (desde el nivel más básico al más completo), para la implantación de un sistema de gestión de la seguridad en los sistemas de información (SGSI). En cada nivel estudiamos las normas y estándares que consideramos más adecuados y sus debilidades. En el nivel 1 damos consejos básicos de seguridad. En el nivel 2, lo basamos en las obligaciones legales emanadas del estudio de la Ley Orgánica 15/1999 (LOPD) y en el Real Decreto 994/1999 “Reglamento de Medidas de Seguridad de los Ficheros Automatizados” que contengan datos personales. En el nivel 3 analizamos las normas y estándares internacionales y nacionales y concluimos en la adopción de la norma española UNE ISO/IEC 17799:2000. Esta norma española es espejo de la norma internacional ISO 17799, que a su vez parte de la norma británica BS 7799. La Norma UNE 71501 IN facilita la comprensión de la seguridad de las TI (es espejo de la norma ISO/IEC TR 13335 "Information Technology ­ Guidelines for the management of IT security" GMITS). En el nivel 4 contemplamos las metodologías de análisis de riesgos, la británica CRAMM, la norteamericana OCTAVE y la española MAGERIT. En el nivel 5 comentamos las normas de certificación. Finalizamos con propuestas de líneas de trabajo para subsanar las debilidades detectadas.
La necesidad de la seguridad en los actuales Sistemas de Información es una realidad no discutida pero no implementada. Estadísticas de la C.E. indican 10.000 M € de pérdidas asegurables declaradas. A estos datos habría que sumarles las pérdidas conocidas y no declaradas por cuestiones de imagen, las conocidas no asegurables por el tipo de activo y las desconocidas. Podemos comentar la preocupación de las autoridades Comunitarias por esta situación, consciente de la importancia estratégica que para la Comunidad Europea tiene que los sistemas de información de las empresas, gobiernos e instituciones miembros, sean seguro. A modo de ejemplo, vamos a comentar dos iniciativas. 1. La Comunicación de la Comisión al Consejo, al Parlamento Europeo, al Comité Económico y Social y al Comité de las Regiones sobre seguridad de las redes y de la información titulada “Propuesta para un enfoque político europeo”6 insta a los Estados miembros a fomentar el uso de mejores prácticas de seguridad, basadas en instrumentos existentes, tales como la norma UNE 17799 6 (norma equivalente a ISO/IEC IS 17799) “Código de buenas prácticas para la gestión de la seguridad de la información”, que constituye una referencia fundamental de los criterios y recomendaciones de seguridad. 2. El plan de acción “eEurope 2005: una sociedad de la información para todos”1 6. El objetivo de este plan es: “fomentar la seguridad de los servicios, aplicaciones y contenidos basados en una infraestructura de banda ancha ampliamente disponible”. Establece, entre otros objetivos, que para el 2005, Europa deberá contar con “Una infraestructura de información segura”. Para ello la Unión Europea ha puesto ya en marcha una estrategia global basada en las comunicaciones sobre seguridad de las redes2 y ciberdelincuencia3, y en la directiva 97/66/CE 4. sobre protección de datos en relación con las comunicaciones electrónicas. El enfoque fue aprobado y desarrollado por la Resolución del 1
Bruselas 28.5.2002 COM(2002) 263 final 2 Seguridad de las redes y de la información: Propuesta para un enfoque político europeo, COM(2001) 298 de 6.6.2001. 3 Creación de una sociedad de la información más segura mediante la mejora de la seguridad de las infraestructuras de información y la lucha contra los delitos informáticos, COM(2000) 890 de 22.1.2001. 4 Directiva 97/66/CE del Parlamento Europeo y del Consejo, de 15 de diciembre de 1997, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las telecomunicaciones, DO L 24 de 30.1.1998 3
Consejo de 28 de enero de 20025 y por la reciente propuesta de decisión marco del Consejo relativa a los ataques de los que son objeto los sistemas de información 6. Las acciones propuestas son: •Grupo operativo sobre ciberseguridad (CSTF).. Los Estados miembros y el sector privado deben respaldar las actividades del CSTF. Se pretende que se convierta en un centro de competencia en materia de seguridad, p. ej., para desarrollar con los Estados miembros un concepto de sistema europeo de alerta en caso de ataque informático, facilitar el debate entre los distintos pilares y mejorar la cooperación transfronteriza. •Cultura de la seguridad. Antes de finalizar 2005, debe construirse una “cultura de la seguridad” en el diseño e implementación de productos de información y comunicaciones. El sector privado debe elaborar buenas prácticas y normas y fomentar su aplicación sistemática. La Comisión tiene intención de apoyar estos proyectos y se esforzará por sensibilizar a todos los usuarios sobre los riesgos que pesan sobre la seguridad. 6 •Comunicaciones seguras entre servicios públicos. la Comisión y los Estados miembros examinarán la posibilidad de establecer un entorno de comunicaciones seguro para el intercambio de información de Estado clasificada. El sexto programa marco de investigación, propone continuar con líneas de investigación en materia de seguridad. Las prioridades de investigación en materia de seguridad las estableces en las infraestructuras de redes y de información confiables, haciendo hincapié en las tecnologías emergentes (p. ej., banda ancha, arquitecturas inalámbricas o entorno inteligente) y detección de los puntos vulnerables y de las interdependencias en las infraestructuras. Se pretende también apoyar la normalización con el fin de extender el uso de las normas abiertas y de los programas de fuente abierta. Las actividades de investigación deben tener en cuenta igualmente el “factor humano” en la seguridad, p. ej., normas básicas de seguridad o facilidad de uso de los sistemas. De las acciones y directivas comentadas en los párrafos anteriores, podemos establecer que para la Comunidad Europea, la seguridad de sus sistemas de información es una línea estratégica prioritaria. La estrategia deberá estar basada en: •normas y estándares (internacionales y nacionales) •el uso de programas de fuente abierto •la creación de una cultura de la seguridad inexistentes en la actualidad Podemos deducir por tanto, la necesidad de encontrar una estrategia de seguridad que permita facilitar a la pequeña y mediana empresa la consecución de los objetivos establecidos por la Comunidad Europea. Para lo cual debemos desarrollar tecnologías y metodologías propias , no dependientes de terceros. En el apartado siguiente proponemos una estrategia basada en el estudio de los distintos Sistema de Gestión de la Seguridad de la Información existentes (ISMS Information Security Management System). Como consecuencia del análisis de esta estrategias pretendemos encontrar puntos débiles en las metodologías, tecnología y normas actuales que nos permitan definir propuestas de líneas de trabajo que mejoren las carencias actuales de los SGSI.
Estrategias para la seguridad de los sistemas de información
Para el cumplimiento los objetivos de la Comunidad Europea en materia de seguridad, es necesario que las administraciones, profesionales y empresas puedan organizar su política de seguridad. Muchas organizaciones no abordan de modo serio una política de seguridad “formal” (según norma) por la complejidad de la misma. Las metodologías y normas existentes relacionadas con los SGSI no aclaran sus ámbitos de aplicación, resultando una amalgama de normas de compleja aplicación. Esto reduce su posible implantación a las grandes corporaciones. Un ejemplo de este caso sería la propuesta de ANEI 7con su primer programa sectorial sobre Gestión de la Seguridad de la Información 6. Pero si solo las grandes corporaciones pueden establecer políticas de seguridad adecuadas, no podremos contar con una infraestructura segura a nivel nacional y europeo.
http://register.consilium.eu.int/pdf/es/01/st15/15152es1.pdf. http://europa.eu.int/comm/dgs/justice_home/index_es.htm, COM(2002) 173 final de 19.4.2002 7 ANEI Asociación Nacional de Empresas de Internet http://www.a­nei.org/ 4
es organizar la política de seguridad de una forma “escalonada”.
. deben de ser asumidas completamente por los usuarios. para disminuir el rechazo inicial. Estos sistemas no están sujeto a normativas legales. Los informes de Asociación Española de Empresas de Tecnologías de la Información SEDISI 6. para afectar a todos los usuarios.Nuestra propuesta. está preparada para el siguiente paso de mejora.1 Nivel 1º: Sistemas particulares ­ Autoprotección
El primer nivel de seguridad correspondería a los sistemas personales que no tengan uso profesional. mediante una estrategia “incremental” 6. transciende el ámbito de el riesgo que personalmente quiera asumir el usuario. Estas acciones de concienciación sobre la importancia de la seguridad es clave en este nivel. Esta estrategia se basa en un avance progresivo de la política de seguridad de una empresa o institución. Las entidades deben mejorar su nivel de seguridad paso a paso. Hay una serie de medidas de salvaguarda que consideramos imprescindibles a este nivel. Los sistemas incorporan muchas salvaguardas no utilizadas. Proponemos 5 niveles: •Nivel 1. Para que las medidas de seguridad tengan éxito.D. Entendemos que es difícil pasar de la nada al estado perfecto. lo comentado para el nivel 3. Una vez que la organización asume las medidas técnicas y organizativas de este nivel. 994/1999 indica que “El régimen de protección de los datos de carácter personal no será de aplicación a los ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas” Los objetivos del plan de acción eEurope 2005 de “una infraestructura de información segura”. La cadena siempre se rompe por el eslabón más débil •Economía: el coste de las medidas de seguridad debe ser inferior al costo del bien a proteger. La falta de seguridad de los ordenadores de uso personal afectan de forma muy negativa a la seguridad total de la red. Las básicas las consideramos de implantación obligatoria. el riesgo de pérdida de información. nos indica que en España el nivel de implantación de medidas de seguridad es bajo o muy bajo.­ Sistemas particulares­ Autoprotección •Nivel 2. No Infravalorar los costes de los riesgos. No matar mosquitos a cañonazos •Centrarse en los puntos débiles. al ser utilizado el ordenador para ataque sobre servicios claves de la red. De forma que empezamos por el mínimo. Por tanto es necesario un sistemas de niveles “acumulativos”. Si el ordenador no está conectado a internet. se añade a lo comentado en los niveles inferiores. Es por tanto necesario garantizar la seguridad de los ordenadores de uso personal. Es decir. para uso personal. o de falta de confidencialidad es una decisión que solo afecta al ámbito personal. “Cultura de seguridad y normas básicas de seguridad”. Así hasta alcanzar el máximo nivel exigido por las normas internacionales que permitan incluso una certificación del nivel alcanzado. •Al final: todo problema de Seguridad termina con la instalación y uso de mecanismos de salvaguarda de varios tipos y complejidades. La situación cambia radicalmente si el ordenador está conectado a internet. Certificación
2.­ Sistemas pequeños­ Cumplimiento de la legislación •Nivel 3. Las clasificamos en “básica” y “avanzadas”. Los usuarios personales no suelen considerar necesario tomar medidas de protección sobre la información que guardan en su ordenador. El R. nos indican que son necesarias iniciativas de concienciación de los usuarios sobre la importancia de la seguridad de sus sistemas de información. Los principios de seguridad que consideramos adecuados para este nivel son: •La simplicidad: la primera salvaguarda es prestar atención para detectar el peligro y usar el sentido común para abortarlo •Adecuación: proporcionada al bien a proteger. La falta de protección a este nivel puede facilitar la expansión de virus.­ Sistemas medianos y grandes­ Gestión de la seguridad de los sistemas de información •Nivel 4: Gestión global de riesgos del sistema •Nivel 5. En este segundo caso. si exceptuamos las grandes corporaciones y algunos sectores muy concretos. Un ejemplo sería el ordenador de casa. ni supervalorar los costes de las salvaguardas •No inventar la rueda: parte del trabajo seguro que está hecho. Por ello proponemos ir avanzando en los niveles de seguridad hasta alcanzar los objetivos ya mencionados. o los ataques de denegación de servicio. Las avanzas serían de implantación deseadas.
En la educación obligatoria existen materias de informática. En el sitio de la Agencia de Protección de Datos8 en el apartado legislación. no previsualización. unificadora y de relaciones con el exterior.2 Nivel 2º: Sistemas pequeños­ Cumplimiento de la legislación
El siguiente nivel.993). Deben de incluirse en ésta formación básica. Faltan a este nivel. además de una guía básica de buenas costumbre de seguridad a nivel de ordenador personal. 428/1993 de 26 de marzo BOE 106 de 4 de mayo de 1. La colaboración de la Administración es fundamental para mejorar nuestro nivel de seguridad. SSH) •Normas de navegación segura (certificados. no HTML. Las herramientas a utilizar en este nivel son soluciones comerciales de bajo coste. reguladora. sancionadora. No es un problema de inversión. La falta de cultura de seguridad hace que no se incorporen al uso cotidiano.1Legislación sobre seguridad informática. En el apartado 2. podemos comprobar lo acertado de esta aseveración. Esto nos indica que no es la falta de herramientas de seguridad o su coste lo que hace que no se implemente una política de seguridad básica en los ordenadores de uso personal. inmovilizadora. les obligan a tener las leyes nacionales. entendemos que corresponde a los sistemas de información de empresas o de personas físicas (profesionales). En el caso de la seguridad de equipos conectados a internet. Entendemos que es la falta de concienciación de los riesgos (¿a quién le va interesar lo que tengo en mi ordenador?). las medidas de seguridad. ordenadora. firma electrónica.
2. SSL) •Actualizaciones de los parches de seguridad de las aplicaciones instaladas Avanzadas •Sistemas de encriptación y autentificación (GnuPGP) •Detector de vulnerabilidades (detectores de fallos de seguridad: network security scanner) Las herramientas a utilizar en este caso son mayoritariamente de bajo coste y otras se pueden obtener de forma gratuita de sitios de distribución de software en Internet (ver anexo D). Son funciones de la agencia: inspectora. herramientas autoconfigurables de dominio público.Básicas •Instalación de un sistema operativo seguro (control de acceso y permisos) •Programa de antivirus actualizado •Cortafuegos personales de libre distribución (seguridad perimetral) •Programa detector de programas espías •Programa de mantenimiento del registro de Windows (en el caso de utilizar este tipo de sistema operativo) •Copias de seguridad •Normas de uso del correo seguro (Políticas de adjuntos. Estas instalaciones deben cumplir las normas del nivel 1º y como mínimo. El organismo en España encargado de velar por el cumplimiento de las leyes de protección de datos personal es la Agencia de protección de datos.2. La seguridad es una necesidad muy reglamentada. También podemos encontrar “Guía práctica para ciudadanos” donde nos aclara los derechos básicos que tiene cualquier ciudadano en relación con la protección de sus datos personales. de publicidad. Por último señalar el apartado de “Recomendaciones e instrucciones” donde podremos encontrar recomendaciones sectoriales sobre el tema y las “Instrucciones” dictada por esta autoridad. la no valoración de la información que almacena el sistema o del tiempo necesario para la recuperación de la información. unida a una falta de formación básica para entender estas herramientas.D. las que por imperativo legal. podemos encontrar los textos de las principales normas legales. Regulada por el título VI de LOPDCP 15/1999 y Estatutos de APD (R.
https://www.agenciaprotecciondatos.org/ 6
. En este apartado vamos a revisar la legislación nacional y las recomendaciones europea que existen en relación con la seguridad de los sistemas informáticos de este nivel. hace falta el compromiso de colaboración de los proveedores de internet (ISP) para aportar herramientas y configuraciones seguras a sus clientes. iniciativas de formación básica y concienciación.
Estrategias europeas •Convenio 108 del Consejo de Europa. de 24 de octubre de 1995. Las campañas institucionales sobre seguridad en España han sido y siguen siendo meramente testimoniales. de 28 de enero de 1981.). TELECOMUNICACIONES •Directiva 97/66/CE. de 9 de julio.2. . Es necesaria la intervención gubernamental en todos los niveles de la Administración del Estado que fomenten. No ha habido campaña de concienciación que pueda recibir ese nombre. porque es una materia estratégica de primer orden para seguir perteneciendo al primer mundo. CC­SEC .
. el apoyo a la investigación y al desarrollo en materia de seguridad. el desarrollo de un sistema europeo de alerta e información. al Comité Económico y Social y al Comité de las regiones sobre “Seguridad de las redes y de la información: Propuesta para un enfoque político europeo” •Informe ‘Bangemann’(94). ITSEM (93). por la que se establecen los criterios generales de tramitación telemática de determinados procedimientos en materia de personal Decisiones europeas •ITSEC (91).E. En relación a estas estrategias. •Comunicación de la Comisión al Consejo... Cumbres (Corfú94. La Comisión prestará su apoyo a los Estados miembros en estos esfuerzos. modificativo de los Tratados Consultivos de la Unión Europea. Podemos comentar el nivel de cumplimiento en España de algunas propuestas concretas como: •Los Estados miembros deberán poner en marcha una campaña de información y de educación sobre seguridad informática •Los Estados miembros deberán fomentar el uso de mejores prácticas basadas en medidas existentes como ISO/IEC 17799 Esta medida debería estar especialmente dirigida a las PYME. •Los sistemas de educación de los Estados miembros deberán prestar mayor atención a los cursos sobre seguridad.. la cooperación internacional o la creación de una legislación en materia de ciberdelincuencia. De la tercera propuesta tampoco existen. el comercio electrónico en el mercado interior. cuando sea ratificado por los 15 estados de U. •Orden ECO/1758/2002.2. Del segundo apartado entiendo que ni testimoniales.. En este documento se expresan las medidas propuestas para paliar los problemas de seguridad de la red y de la información. No existen ayudas a las PYMES para mejorar la seguridad de sus sistemas de información. Entre las que se cuentan: la concienciación. relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. del Parlamento Europeo •Directiva 2000/31/CE. en particular. al Parlamento Europeo. podemos comentar el nivel de cumplimiento en España. introduciendo en los mismos la Carta de Derechos Fundamentales.) •eEurope 2005 Directivas europeas •Directiva 95/46/CE del Parlamento Europeo y del Consejo. para la protección de las personas en lo que respecta al tratamiento automatizado de los datos personales •Acuerdo de Schengen (14 junio de 1985) •Tratado de Niza. del Parlamento Europeo y Consejo sobre determinados aspectos jurídicos de la sociedad de la información. •Directiva 2002/58/CE. A modo de ejemplo el documento “Seguridad de las redes y de la información: Propuesta para un enfoque político europeo”6. faciliten y formen en temas de seguridad informática. (Entrada en vigor prevista para el año 2004. de 12 de julio de 2002 del Parlamento Europeo y Consejo relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas. de 26 de febrero de 2002.
sobre firma electrónica. Derogada por la Ley Orgánica 15/1999 •Real Decreto 1332/1994. rectificación y cancelación. •Instrucción 1/2000. de Regulación del tratamiento automatizado de los datos de carácter personal. 20 de junio. de 4 de mayo.6 6 •Ley Orgánica 5/1992. •Instrucción 1/1996. de 29 de octubre. TELECOMUNICACIONES •Ley 11/1998. de la Agencia de Protección de Datos. de 26 de marzo. de 11 de julio. de 1 de marzo. por el que se desarrollan determinados aspectos de la Ley Orgánica 5/1992. grados académicos. así como los datos publicados en forma de listas de personas pertenecientes a grupos profesionales que contengan únicamente los nombres. la autoridad pública. de la Agencia de Protección de Datos. dirección e indicación de su pertenencia al grupo. bases de datos públicas. de la Agencia de Protección de Datos.. de 1 de marzo. repertorios telefónicos o análogos. Estatuto de la Agencia de Protección de Datos. los títulos. de 29 de octubre. General de Telecomunicaciones. por el que se aprueba el Reglamento de Medidas de Seguridad de los Ficheros Automatizados que contengan datos personales. •Ley 34/2002. de 13 de diciembre. profesión. de Protección de Datos de Carácter Personal (LOPD). de 24 de abril. de 11 de junio. •Real Decreto­Ley 14/1999. por el que se aprueba el Reglamento de Medidas de Seguridad de los Ficheros Automatizados que contengan Datos Personales. sobre ficheros automatizados establecidos con la finalidad de controlar el acceso a los casinos y salas de bingo.6 6 •Real Decreto 994/1999. de Servicios de la sociedad de la información y de comercio electrónico.. •Real Decreto 994/1999. de Protección de Datos de Carácter Personal (LOPD). actividad. •Ley Orgánica 15/1999. de 19 de enero. de la Agencia de Protección de Datos. relativa al ejercicio de los derechos de acceso. Datos accesibles al público Los datos que figuren en censos. •Real Decreto 428/1993.2. Autoridad controladora del fichero Significa la persona física o jurídica.Legislación estatal (España)
•Constitución Española (diciembre 1978) Art. cuáles categorías de datos de carácter personal deberán registrarse y cuales operaciones se les aplicará (convenio 108 Consejo Europa). de 1 de marzo. sobre ficheros automatizados establecidos con la finalidad de controlar el acceso a los edificios. de 1 de diciembre.4 la ley limitará el uso de la informática para garantizar el honor. •Real Decreto­Ley 1736/98. podrá encontrar los términos para entender mejor estas leyes. sobre medidas que garantizan la intimidad de los datos personales recabados como consecuencia de la contratación de un seguro de vida de forma conjunta con la concesión de un préstamo hipotecario o personal. •Instrucción 2/1995. de 17 de septiembre. Datos de carácter personal
. de la Agencia de Protección de Datos. de 11 de junio. En el Anexo C de Definiciones de conceptos de la Ley Orgánica 15/1999 y del Real Decreto 1332/1994. en el que se aprueba el Reglamento del Título III de la Ley General de Telecomunicaciones. el servicio o cualquier otro organismo que sea competente con arreglo a la ley nacional para decidir cuál será la finalidad del fichero automatizado. •Instrucción 1/1995. de la Agencia de Protección de Datos. 18. relativa a las normas por las que se rigen los movimientos internacionales de datos. •Instrucción 1/1998. de 31 de julio. Comentarios sobre la legislación española De todas estas leyes vamos a estacar las que mayor repercusión tienen en los Sistema de Gestión de la Seguridad de la Información •Ley Orgánica 15/1999..2
Vamos a definir algunos términos utilizados en esta norma. •Instrucción 2/1996. de 13 de diciembre.
2. anuarios. relativa a prestación de servicios de información sobre solvencia patrimonial y crédito.
deberá adoptar las diferentes medidas de seguridad recogidas en el Reglamento. cancelación y oposición. sistemas. 3. acústica o de cualquier otro tipo. de su representante.000. b) Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. tratamiento o acceso no autorizado.Toda información numérica. programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen. de la finalidad de la recogida de éstos y de los destinatarios de la información.000 de pesetas.000 de pesetas. locales.O.000. 9 (2): 2 En relación con la seguridad física la norma indica que no se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento. deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración. ¡falta grave! •Artículo 45. jurídica de naturaleza pública o privada y órgano administrativo que decida sobre la finalidad y contenido y uso del tratamiento. Las infracciones muy graves serán sancionadas con multa de 50. registro. locales. sistemas y programas. •Nivel básico: todos los ficheros con datos personales •Nivel medio :datos relativos a solvencia patrimonial y crédito 9
. e) De la identidad y dirección del responsable del tratamiento o.000 a 100. Responsable de Seguridad Persona o personas de la organización a las que el responsable del fichero ha asignado formalmente la función de coordinar y controlar las medidas de seguridad aplicables en dicha organización. Responsable del fichero Persona física.3
Real Decreto 994/1999 Reglamento de seguridad
Destacar Real Decreto 994/1999. •Art. •Art. susceptible de recogida.
2. h) Mantener los ficheros.000. en su caso. Tipo de sanciones 1.000 de pesetas •Una obligación general para toda empresa o institución que solicita datos personales es que los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso. ya provengan de la acción humana o del medio físico o natural.3. fotográfica. y.2. Las infracciones graves serán sancionadas con multa de 10.000. c) De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. la naturaleza de los datos almacenados y los riesgos a que están expuestos.000 a 10. 9: 1. en su caso. rectificación. d) De la posibilidad de ejercitar los derechos de acceso. necesarias para garantizar la seguridad de los ficheros. de 11 de junio. gráfica.000 a 50. 2. Obligaciones de Seguridad de la L. pérdida. El reglamento indica que hay que proteger la información en: •Acceso en modo local •Acceso a través de redes de comunicaciones •Trabajos fuera del local de ubicación del fichero •Los Ficheros temporales El responsable del fichero elaborará e implantará la normativa de seguridad mediante un documento de obligado cumplimiento. El responsable del fichero. equipos. tratamiento o transmisión concerniente a una persona física identificada e identificable.000. Las infracciones leves serán sancionadas con multa de 100. equipos. alfabética. El objetivo del Reglamento es establecer las medidas obligatorias técnicas y organizativas. centros de tratamiento. programas y personas que intervengan en el tratamiento. 43. Atendiendo al tipo de datos contenidos en su ficheros. el encargado del tratamiento. por el que se aprueba el Reglamento de Medidas de Seguridad de los Ficheros Automatizados que contengan Datos Personales sujetos al régimen de la Ley Orgánica 15/1999. locales. preciso e inequívoco: a) De la existencia de un fichero o tratamiento de datos de carácter personal. habida cuenta del estado de la tecnología. 15/1999 •Art.
es decir. religión. no teniendo la obligación de ser presentado ante la Agencia. 8) Políticas y reglamentos •Funciones y obligaciones del personal (art. Funciones y obligaciones 4. normas. 25) Copia en lugar diferente a donde se encuentren los equipos. etnia. 16) •Auditoría (art. 3. 22) Está prohibido Medidas de seguridad de nivel alto •Distribución de soporte (art. •Telecomunicaciones (art. 15) •Responsable de seguridad (art. A los ficheros establecidos para la investigación del terrorismo y de formas graves de delincuencia organizada. 12) •Gestión de soporte (art. Impedir poder recuperar información borrada •Registro de incidencia (art. 18) •Limitar el número de intentos •Los controles periódicos que se deben realizar para verificar el cumplimiento de lo dispuesto •Control de acceso físico (art. El régimen de protección de los datos de carácter personal no será de aplicación: 1. en estos supuestos el responsable del fichero comunicará previamente la existencia del mismo. 20) La medidas que sea necesario adoptar cuando un soporte vaya a desechado o reutilizado. No obstante. 13) •Copia de respaldo y recuperación (art. A los ficheros sometidos a la normativa sobre protección de materias clasificadas. dos y uno. sexualidad El Documento de Medidas de Seguridad es de carácter interno. Las medidas comentadas son acumulativas. Procedimiento de notificación ante incidencias 6. Ámbito de aplicación 2. salud. reglas y estándares 3. sino tan solo tenerlo disponible por si éste fuera requerido. 2. Medidas. 26) Cifrado de la información. Medidas de seguridad de nivel básico que establece el reglamento son: •Documento de seguridad (art. 14) semanal El Documento de Seguridad indicado en el apartado uno debe contener al menos los siguientes apartados: 1. A los ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas. 11) •Control de acceso (art. 24) •Copias de respaldo (art. Los niveles medio y alto exigen Auditorías.•Nivel alto: datos de ideología. 10) •Identificación y autenticación (art. creencias. la información de tercer nivel debe implementar las medidas de nivel tres. Estructura de los ficheros y sistemas que los tratan 5. sus características generales y su finalidad a la Agencia de Protección de Datos. procedimientos. 17) cada dos años •Identificación y autenticación (art. Procedimientos de copias de seguridad y de recuperación de los datos Medidas de seguridad de nivel medio Las medidas de seguridad de nivel medio son las siguientes •Documento de seguridad (art. 23) Cifrado de los soportes •Registro de acceso (art. 21) •Pruebas con datos reales (art. Tabla 1 Cuadro resumen de tipos de datos
. 19) •Gestión de soportes (art. 9) •Registro de incidencias (art.
DATO DATOS DE NIVEL ALTO Ideología Religión y creencias Origen racial Salud Vida sexual Datos recabados para fines policiales sin el consentimiento de las personas afectadas DATOS DE NIVEL MEDIO Infracciones administrativas o penales Hacienda Pública Servicios Financieros
FICHEROS EN LOS QUE SE PUEDE ENCONTRAR Nómina Liquidación de renta Seguridad e higiene Salud del personal Clientes de productos eróticos
Clientes de abogados. y pymes de este país. aunque la norma no sea de muy reciente creación. A modo de ejemplo comentar que un pobre video­club de barrio requiere las medidas de seguridad de máximo nivel. sigue siendo desconocida para la inmensa mayoría de las micro­pyme. El reglamento. ¿Por qué. entonces. puede ser necesario adecuarse a una norma como el ISO/IEC 17799? La utilización de una norma de seguridad permite cerciorarse de que se cubren todos los aspectos de seguridad que debe abordar una organización.org/apdcm/ 11
. La Agencia de Protección de Datos está siendo. que debe de tenerse en todos los casos. Una forma de facilitar la gestión de la seguridad de sistemas de información es aplicar las normas internacionales existentes al respecto. por ahora. La obligación legal de su cumplimiento. desde la especificación de una política de seguridad a la definición de necesidades de seguridad física o de recuperación de desastres. 9 Esta referencia es muy valiosa porque no existe otros ejemplos de documentos “oficiales” 6. Sin embargo. es difícil de cumplir de forma exhaustiva. avocaría al cierre de muchos pequeños negocios. administraciones o profesionales. “generosa” y solo actúa en este tipo de empresas bajo demanda expresa. gestores etc Agencia Estatal Administración Tributaria Bancos de Solvencia patrimonial y ASNEF crédito Evaluación de personalidad DATOS DE NIVEL BÁSICOS Resto la Selección de personal Todos
Desde el pasado 26 de junio de 2002 la obligación de cumplir con las medidas expresadas en el reglamento. una organización puede abogar por definir su política de seguridad y realizar su implementación sin seguir 9
https://www. Algunas empresas podrán considerar importante la adecuación a una norma para obtener la certificación correspondiente porque su proceso de negocio (o clientes) lo demanden.madrid. Podemos encontrar un ejemplo de documento de seguridad de cada uno de los niveles en la Agencia de Protección de Datos de la Comunidad de Madrid. a nivel técnico. Tampoco es fácil deducir la información precisa que requieren los documentos requeridos. debido a la cuantías de las sanciones. La aplicación estricta de la norma. 2. Un ejemplo de ello es el denominado Documento de seguridad. aunque esto pueda ser el caso para otras normas ISO (como la ISO 9000) no lo es tanto para la norma ISO/IEC 17799. afecta a todas las empresas. Claramente.3 Nivel 3º: Sistemas medianos y grandes ­ Gestión de la seguridad de los sistemas de información
Para la Gestión de la seguridad de los sistemas de información hay que tener en cuenta cada vez más normas legales y técnicas .
Nivel del análisis de riesgo
En relación con el análisis de riesgo. El beneficio de utilizar una norma es el de acceder al conocimiento de expertos reflejado en una guía accesible a cualquier responsable de seguridad. •Principio 3: Respuesta − Los participantes deben actuar de manera oportuna y cooperativa para prevenir. En este y siguientes niveles nos vamos a basar.1
Principios en Seguridad de la OCDE
Podemos empezar analizando los nueve Principios en Seguridad del de la OCDE (PARIS 2002) 6 •Principio 1: Concienciación − Los participantes deben ser conscientes de la necesidad de contar con sistemas de información y redes seguros. El nivel mínimo sería adecuado para el nivel anterior. en el apartado 8 de UNE­71501­3 IN se establecen diversos niveles para su realización: mínimo.3. y qué es lo que pueden hacer para promover y fortalecer la seguridad. − Los participantes deben adoptar una visión integral de la administración de la seguridad.3.3. •Principio 4: Ética − Los participantes deben respetar los intereses legítimos de los otros.
2. informal. •Principio 6: Evaluación de riesgos − Los participantes deben llevar a cabo evaluaciones de riesgo. en los estándares y recomendaciones internacionales.ninguna norma. prácticas. •Principio 7: Diseño e implementación de seguridad. •Principio 8: Administración de la Seguridad.
2. •Principio 5: Democracia − La seguridad de los sistemas de información y redes debe ser compatible con los valores esenciales de una sociedad democrática. •Principio 9: Evaluación continua de la seguridad − Los participantes deben revisar y reevaluar la seguridad de sus sistemas de información y redes y hacer las modificaciones pertinentes a sus políticas. detectar y responder a incidentes que afecten la seguridad. − Los participantes deben incorporar la seguridad como un elemento esencial de los sistemas de información y redes.3
Instituciones de normalización
•Internacionales − ITU­T (recomendaciones ­series­) − ISO/IEC (normas) •Europeas − CEN/CENELEC − ETSI
. Entendemos que el análisis descrito como combinado es el adecuado para este nivel. detallado y combinado). medidas y procedimientos de seguridad. además de las normas legales. •Principio 2: Responsabilidad − Todos los participantes son responsables de la seguridad de los sistemas de información y redes.
prácticas.iso. En el campo normativo voluntario de la gestión de la seguridad de las TI existen actualmente. en la medida de lo posible. Paris 2002). define e implanta un Sistema propio para realizar de forma estructurada. •Norma ISO­OSI 7498­2: Arquitectura de Seguridad (Interconec.de/ni/sc27/doc7. •Guías de la OCDE para la seguridad de los sistemas de información y redes. en previsión para 2003.3.S. Aquellas organizaciones que quieran ser conformes a la norma BS­7799­2 deberán cumplir estrictamente los requisitos según se indican en su texto. que pueden ser políticas.html Disponibles en www. − Parte 2: Gestión y planificación para la Seguridad de las TI − Parte 3: Técnicas para la Gestión de la Seguridad de las TI •PNE 71502 (Proyecto de Norma Española) "Requisitos para la gestión de la seguridad de TI" Norma certificable actualmente en proyecto. . la versión española de esta norma multiparte es la UNE 71501 IN 2001. Hacia una cultura de seguridad. 2 y 3 − Parte 1: Conceptos y modelos para la Seguridad de las TI .es Otras normas ISO: listado completo en: http://www. las versión española de esta norma es la norma espejo UNE­ISO/IEC 17799:2000. procedimientos. estructuras organizativas y funciones software. Para algunas organizaciones puede ser orientativa la norma Británica BS­7799­2 6. implementar y mantener un sistema de gestión de la seguridad de los sistemas de información (ISMS: Information Systems Management System). Abiertos) •Norma IS 17799­2 en preparación. para evaluar y certificar los Sistemas de Gestión de Seguridad que cumplan la IS 17799­1. para algunas organizaciones la norma resulta meramente orientativa. sistemática y metódica la gestión de la seguridad de TI. •BS 7799:1 "Information Security Management­ Part 1: Code of practice for information security management" 6 •BS 7799­2 (British Standards Institution): buenas prácticas de gestión de seguridad.aenor. destacamos como fundamentales para este nivel las siguientes: •La norma ISO/IEC 17799:2000 6 que ofrece las recomendaciones para realizar la gestión de la seguridad de la información.6 Un cuadro­resumen de estas normas ordenadas separando las nacionales de las internacionales: Normativas de Seguridad de la Información en España 10 •UNE­ISO/IEC 17799:2002 "Código de buenas prácticas de la Gestión de la Seguridad de la Información" Traducción en castellano de la ISO/IEC 17799:2000 Equivale a la BS7799:1 •UNE 71501 IN "Guía para la Gestión de la Seguridad de TI" Equivale a ISO/TR 13335 parte 1.2. Dada la riqueza de variantes presentes en el mundo real. Generalmente cada Organización en base a los riesgos a que esté expuesta y los aspectos intrínsecos de su funcionamiento.ch 13
.6 •La norma multiparte ISO/IEC 133356 6 6 6 6 conocidas como las GMITS donde se recogen las etapas del ciclo de gestión de la seguridad proporcionando orientaciones organizativas y técnicas.4
Normas de Organismos internacionales
La implantación de la seguridad de la información. (Organisation For Economic Co­Operation And Development. Estas medidas de control sirven para asegurar que se cumplen los objetivos específicos de seguridad de la Organización.din. la cual fija requisitos para establecer. se consigue mediante un conjunto adecuado controles. como más relevantes. estará fundamente extraída de la BS7799­2:2002 •Metodologías: Magerit y Métrica V∙36 Normativas de Seguridad de la Información internacionales Normativas ISO desarrolladas por el comité JTC1/SC27 11 •ISO/IEC 17799:2000 "Information Technology­ Code of Practice for Information Security Management" •ISO/IEC TR 13335 "Information Technology ­ Guidelines for the management of IT security" (GMITS) ­ − Part 1: Concepts and models for IT security 10 11
Disponibles en AENOR : www.
•Proporcionar orientación general sobre la gestión de la seguridad de TI. •Como consecuencia del punto anterior. implantación.
2.3. especificación de las salvaguardas apropiadas (gestión de riesgos). pruebas.5
La Norma UNE 71501 IN
La Norma UNE 71501 IN se ha elaborado para facilitar la comprensión de la seguridad de las Tecnologías de la Información (TI). Sus contenidos van dirigidos a los responsables de la seguridad de TI y a quienes son responsables del plan global de seguridad de la organización. Las funciones de gestión de la seguridad de TI incluyen: •Determinación de los objetivos. diseño. desarrollo. dado que numerosas organizaciones están conectadas a redes de sistemas de TI interna y externamente. estrategias y políticas organizativas de la seguridad de TI. Los objetivos principales de esta norma son: •Definir y describir los conceptos relacionados con la gestión de la seguridad de TI •Identificar las relaciones entre la gestión de la seguridad de TI y la gestión de las TI en general •Presentar varios modelos Útiles para explicar la seguridad de TI. integridad y disponibilidad de su información y servicios puede tener para ellas un impacto negativo. es necesario proteger la información y gestionar la seguridad de los sistemas de TI dentro de las organizaciones. dependen crecientemente de la información para el desarrollo de sus actividades. y proporcionar orientación en relación con la selección de salvaguardas. •Identificación y análisis de amenazas a activos de la organización (análisis de riesgos). Así. En consecuencia. adquisición o explotación. la pérdida de autenticidad. Pueden ser: directivos de TI responsables del diseño. Este requisito de proteger la información es particularmente importante.bsi­global. La gestión de la seguridad de TI es el proceso para alcanzar y mantener niveles apropiados de autenticidad.
Disponibles en www. confidencialidad. adquisición o explotación de sistemas de TI. desarrollo. tanto del sector público como del sector privado. como planificación. confidencialidad. integridad y disponibilidad.com 14
. UNE 71501­1 IN Fundamento Las organizaciones. pruebas.− Part 2: Managing and planning IT security − Part 3: Techniques for the management of IT security − Part 4: Selection of safeguards − Part 5: Management guidance on network security Reino Unido 12 •BS7799:1 " Information Security Management­ Part 1: Code of practice for information security management" •BS7799­2:2002 "Information Security Management­ Part2: Specifications for an ISMS" revisión 2 / 5 septiembre de 2002 •Metodología: CRAMM Comentamos las normas que consideramos mas importantes para su aplicación en este nivel. y proporcionar orientación sobre los aspectos de su gestión. o directivos responsables de actividades que hacen un uso sustancial de los sistemas de TI. Va dirigida a los directivos con responsabilidades relacionadas con los sistemas de TI de la organización. La Norma UNE 7 150 1 IN está estructurada en varias partes: •UNE 71501­1 IN que proporciona una visión general de los conceptos fundamentales y de los modelos utilizados para describir la gestión de la seguridad de TI. •UNE 71501­2 IN que describe los aspectos de gestión y planificación de la seguridad de TI. •Determinación de los requisitos organizativos de la seguridad de TI. •UNE 71501­3 IN que describe técnicas de seguridad indicadas para quienes se encuentran implicados en actividades de gestión durante el ciclo de vida de un proyecto.
La información es un activo organizativo. ni la seguridad global de la organización.•Seguimiento de la implantación y operación de las salvaguardas necesarias para proteger la información y los servicios de la organización. en relación a la seguridad. para determinar la vulnerabilidad del sistema ante esas amenazas y para estimar el impacto o grado de perjuicio que una seguridad insuficiente puede tener para la organización. impedir. Puede existir en múltiples formas. basado en los resultados obtenidos en el análisis de riesgos. Debe ser protegida frente a impactos mediante la eliminación o minimización de los riesgos asociados. Se presentan los siguientes modelos: •Las relaciones entre elementos de seguridad •Las relaciones en el análisis y gestión de riesgos •La gestión del proceso de seguridad de TI
. En el análisis y gestión de riesgos se identifican dos procesos: •El análisis de riesgos es el proceso que permite la identificación de las amenazas que acechan a los distintos componentes pertenecientes o relacionados con el sistema de información (conocidos como "activos"). •La gestión de riesgos es el proceso que. Gestión de la configuración La gestión de la configuración es el proceso de seguimiento de los cambios en el sistema y puede hacerse formal o informalmente. prevenir. Gestión de cambios La gestión de cambios es el proceso que ayuda a identificar nuevos requisitos de seguridad cuando tienen lugar cambios en los sistemas de TI. Se protege mediante el establecimiento de salvaguardas o elementos de control. Está sometida a una amplia variedad de amenazas. cíclica y recurrente. es garantizar que los cambios en el sistema no reducen la efectividad de las salvaguardas. obteniendo cierto conocimiento del riesgo que se corre. reducir o controlar los riesgos identificados y así reducir al mínimo su potencialidad o sus posibles perjuicios. y •Detección y reacción ante incidentes. permite seleccionar e implantar las medidas o "salvaguardas" de seguridad adecuadas para conocer. Es vulnerable. MODELOS Si bien existen diversos modelos para la gestión de la seguridad en TI. •Desarrollo e implantación de un plan de concienciación en la seguridad. Vamos a comentar algunos de sus aspectos. los modelos presentados en esta parte 1 de la Norma UNE71501 IN proporcionan los conceptos necesarios para su comprensión. Aspectos de la gestión de la seguridad La gestión de la seguridad de TI es una acción permanente. El objetivo primordial de la gestión de la configuración. Análisis y gestión de riesgos Persigue el equilibrio entre la naturaleza de los riesgos a los que están sometidos los datos y los tratamientos y el coste de las salvaguardas.
figura 2­1 relaciones entre elementos de seguridad.
figura 2­2 Las relaciones en el análisis y gestión de riesgos Fuente: AENOR
. Fuente: AENOR El modelo representa: •Un entorno sometido a amenazas que cambian constantemente y que son parcialmente conocidas. •Los activos de una organización. •Las salvaguardas seleccionadas para proteger los activos y para reducir las consecuencias de la posible materialización de las amenazas. y •Los riesgos residuales aceptables para la organización. •Las vulnerabilidades de dichos activos. •Las salvaguardas que reducen los riesgos.
Se describe en detalle el enfoque combinado. Los apartados son los siguientes: 1 OBJETO Y CAMPO DE APLICACIÓN (SGSI Controles Buenas Prácticas 2 NORMAS PARA CONSULTA 3 TÉRMINOS Y DEFINICIONES •Un SGSI comprende la estructura organizativa. Persigue familiarizar a los gestores con los principales procesos y funciones en la gestión de la seguridad de TI.) •Proporciona mecanismos para la salvaguarda de los activos de información y de los sistemas que los procesan. 4 MARCO GENERAL DEL SGSI •Requisitos generales •Establecimiento del entorno de gestión (req. En particular. los procedimientos. autenticación. Es el apartado mas concreto con unos anexos con ejemplos precisos. La discusión en esta parte muestra las ventajas y desventajas de cuatro posibles estrategias para el análisis de riesgos. legales) •Selección de controles •Pasos para el establecimiento del entorno de gestión
2. Es equivalente a la norma Británica BS 7799­2:2002. los procesos y los recursos para implantar la gestión de la seguridad de la información. etc. Política de seguridad de TI Aspectos organizativos Análisis y gestión de riesgos Implantación de salvaguardas Seguimiento figura 2­3 La gestión del proceso de seguridad de TI UNE 71501­2 IN Trata sobre la gestión y las responsabilidades asociadas a un plan eficaz de seguridad de TI. En estos casos. y las diversas técnicas útiles para su implantación. asignación de responsabilidad. descritas. •El sistema es la herramienta de que dispone la Dirección de las organizaciones para llevar a cabo las políticas y los objetivos de seguridad (integridad. en concordancia con las políticas de seguridad y planes estratégicos de la organización. Estas técnicas están basadas en los conceptos y modelos aportados por la Norma UNE 71501­1 IN y en el proceso de gestión y responsabilidades tratados en la Norma UNE 71501­2 IN. La información proporcionada en esta parte puede no ser directamente aplicable a todas las organizaciones. es importante que los conceptos y funciones básicos sean adaptados de forma adecuada a la organización.6
PNE 71502 Especificaciones para los Sistemas de Gestión de la Seguridad de la Información (Proyecto de Norma Española)
No hay una norma ISO equivalente actualmente. confidencialidad y disponibilidad.3. UNE 71501­3 IN Examina diversas técnicas que son importantes para la gestión de la seguridad de TI. las organizaciones pequeñas probablemente no dispongan de todos los recursos para llevar a cabo por completo algunas de las funciones descritas.
•Documentación •Control documental •Registros •Responsabilidades de la Dirección (Compromiso y Política) Pasos para el establecimiento del entorno de gestión •FASE 1 Definición de la Política •FASE 2 Definición del alcance del SGSI •FASE 3 Desarrollo del Análisis de Riesgos •FASE 4 Gestión de Riesgos •FASE 5 Selección de controles a implantar y objetivos a cubrir •FASE 6 Preparar la relación de controles 5 IMPLANTACIÓN DEL SGSI •Implantación de los controles •Eficacia y calidad de los controles 6 EXPLOTACIÓN •Provisión de recursos materiales y humanos 7 REVISIÓN DEL SGSI •Auditorías y Revisión por Dirección 8 PROCESO DE MEJORA PROCESO DE CERTIFICACIÓN •Reglamento en preparación (similar a otros) •Auditores con formación específica (legislación y tecnologías de información) 18
Norma UNE­ISO/IEC 17799 Código de buenas prácticas para la gestión de la seguridad de la información Basada en los tres conceptos fundamentales de confidencialidad. integridad y disponibilidad de la información. Pretende proporcionar: •Una base para el desarrollo de normas de seguridad organizativas •Prácticas efectivas de gestión •Confianza en los acuerdos entre organizaciones. la ISO/IEC 17799 6define las mejores prácticas para manejar la seguridad de la información.figura 2­4 PNE 71502
2. Contiene10 secciones de salvaguardas 1. mantener y administrar la seguridad de la información. en términos de procesos. La ISO/IEC 17799 es una metodología estructurada. Política de seguridad
. La norma proporciona recomendaciones a los a los responsables la gestión de la seguridad de la información en las organizaciones. internacionalmente reconocida. ya sea escrita.3. no de tecnología. orientada a la seguridad de la información que reconoce un proceso para evaluar. implantar.. hablada o almacenada en un computador.
se debe considerar un ítem de entrenamiento para que los empleados de la empresa comprendan cómo se debe establecer la norma. amenazas. Seguridad ligada al personal 5. vulnerabilidades y posibilidades de impacto. salud y administración de proyectos. 2. pues proporciona un completo conjunto de controles de seguridad. También construyo la norma de seguridad BS 7799.. si se consideran apartados aislados. sistemas de administración ambiental. principalmente. que se basa en la norma BS 7799 debe ser utilizada como un documento de referencia. Actualmente cuenta con registro del 35% de la certificación de 13
Puedes consultarla en http://www.3. BSI ha llevado más de 35. Pero si la norma se contempla en su totalidad. se verá que sí tiene en cuenta los mencionados aspectos. Gestión de continuidad del negocio 10. La ISO/IEC 17799:2000 es un Código de Prácticas que no proporciona el necesario nivel de detalle para dar soporte a un esquema de certificación. identificando riesgos.2. como fundadora de la norma BS 7799 es la principal entidad certificadora en dicho estándar. También. ya que representa una oportunidad para identificar las debilidades. Seguridad física y del entorno 6. Obtener la certificación BS 7799 es claramente un beneficio para las organizaciones de hoy. Recientemente las compañías dedicadas a la seguridad han lanzado una iniciativa que precisamente está orientada a concienciar a los responsables de la seguridad sobre la importancia del factor humano y las políticas de seguridad dentro de una organización 13. para administrar mejor la seguridad de la información. Gestión de comunicaciones y operaciones 7.org/ y tiene un cuestionario que permite evaluar tu organización respecto de la iso17799 20
. base del estándar de buenas prácticas ISO/IEC 17799:2000. 127 controles detallados: La ISO/IEC 17799. Es importante señalar que el carácter de norma nacional idéntica a la Norma Internacional ISO/IEC 17799:2000. de acuerdo a su realidad. Los pasos que debe seguir una organización que desea implementar una normativa de este tipo son: primero. es miembro fundador de la Organización Internacional para la Estandarización (ISO). la BS 7799 especifica los requerimientos para establecer. Luego.8
La Norma BS 7799
BS 7799 permite definir y mantener un Sistema de Gestión de la Seguridad de la Información (ISMS). es clave definir un calendario de trabajo con tiempos determinados y el alcance de las políticas que se han de implementar. indicando el debido cumplimiento de la legislación aplicable en cada estado. En otros países se emplea la norma BS­7799­2. Aspectos organizativos para la seguridad 3. podríamos tener la visión que la norma incurre puntualmente en aspectos que pueden ser objeto de conflicto con la legislación aplicable en el marco español. BSI. Control de accesos 8.500 proceso de registro sobre 90 países. Desarrollo y mantenimiento de sistemas 9. permite al gerente general conocer y controlar la seguridad de la información de su compañía. BSI facilitó y publicó el primer estándar para sistemas de administración de calidad. y mejora la efectividad de la seguridad de la información Debe ser utilizada considerando el marco legal aplicable en cada país. establecer los requisitos de seguridad de la organización. Se trata del único estándar con aceptación mundial que satisface los requerimientos del mercado. es necesario establecer principios y políticas para lo que queremos proteger. Es una forma de reducir los costos de las primas de las pólizas de seguros. ISMS) y para que los controles de seguridad sean implementados de acuerdo a las necesidades particulares de cada organización.humanfirewall. implementar y documentar un Sistema de Gestión de Seguridad de Información (Information Security Management System. Clasificación y control de activos 4. Conformidad además de 36 objetivos. Además. además de una revisión permanente de la misma y de forma independiente del sistema de gestión de seguridad de la información que se tenga Acerca de BSI (British Standard) Fundada en 1901. Esta norma define los controles y las responsabilidades que más se adecuen a una organización. A diferencia de ella.
Esta metodología se aplica con la norma BS 7799.com/ FUENTE: WWW. 14 15
(www.0 Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información de las Administraciones Públicas
La versión 1. Software de análisis de riesgo 6 Vamos a comentar las tres primeras. con la ayuda de metodologías de análisis de riesgo.ISACA.bsi­global. La última versión es CRAMM Versión 5 de enero de 2003. que permite seleccionar e implantar las medidas o ‘salvaguardas’ de seguridad adecuadas para conocer.
2.seguridad BS7799­214. Existen muchas herramientas y metodologías disponibles para la medición de riesgos. •La gestión de los riesgos. Metodología de Análisis y Gestión de Riesgos de los sistemas de Información de las Administraciones Públicas.
2. •COBIT 16 (Control Objetives For It) •COBRA: Risk Consultant. obteniendo cierto conocimiento del riesgo que se corre.0 de MAGERIT 6 6 se presenta mediante un conjunto de guías: •Guía de Aproximación a la Seguridad de los Sistemas de Información. aspectos físicos de la seguridad de la tecnología de la información) y proporciona un método riguroso por etapas que permite programar adecuadamente las revisiones. Asset.netconsul. CRAMM es un método estructurado y coherente para la identificación y la evaluación de riesgos en redes y sistemas de información. MAGERIT.ORG 21
.infosecuregroup. •Guía para Responsables del Dominio Protegible. Guía de Técnicas. Abarca escenarios técnicos y no técnicos (por ejemplo.com) http://www. Es un método formal para investigar los riesgos que soportan los Sistemas de Información. Podemos enumerar •CRAMM 6 •MAGERIT •OCTAVE (Operationally Critical Threat. •Arquitectura de la Información y especificaciones de la interfaz para el intercambio de datos.2
MAGERIT. Versión 1.com/ 16 http://www. fue elaborado con un doble objetivo: Estudiar los riesgos y recomendar las medidas. para determinar la vulnerabilidad del sistema ante esas amenazas y para estimar el impacto o grado de perjuicio que una seguridad insuficiente puede tener para la organización. Por la proliferación de normativa legal en el ámbito nacional e internacional se hace necesario la elaboración de algún tipo de guía u orientación para poder aplicar prácticamente todas estas normas y recomendaciones. prevenir. basada en los resultados obtenidos en el análisis anterior.4 Nivel 4º: Gestión global de riesgos del sistema
Como ya hemos comentado en el apartado anterior. •Guía de Procedimientos.
2. •Referencia de Normas legales y técnicas. a este nivel le correspondería el análisis de riesgo detallado.4. Hay herramientas de software disponibles para CRAMM. de los niveles de riesgos establecidos el UNE 71501­3 IN.1
Es el método de análisis y control de riesgos del Gobierno Británico (CCTA Risk Analysis and Management Method). •Guía para Desarrolladores de Aplicaciones. and Vulnerability EvaluationSM) •InfoSecure 15 metodología y herramientas de análisis de riesgo. La estructura de MAGERIT permite realizar: •El análisis de los riesgos para identificar las amenazas que acechan a los distintos componentes pertenecientes o relacionados con el Sistema de Información (conocidos como ‘activos’).4.
Una función o servicio de salvaguarda es así una acción para reducir un riesgo de tipo actuación u omisión (es una acción fruto de una decisión. ligado al mecanismo (convierte la amenaza en agresión). Se definen como los “recursos del sistema de información o relacionados con éste. pues hay otras de tipo “decisión” humana. un nivel determinado con ayuda de la política de seguridad de la Organización. Definida como la “ocurrencia real o frecuencia de materialización de una amenaza sobre un activo”. el riesgo calculado se compara con el umbral de riesgo. y el dinámico. Se define como “daño producido a la organización por un posible incidente” y es el resultado de la agresión sobre el activo. Se ha definido como la “posibilidad de que se produzca un impacto dado en la organización”. las funcionalidades de la organización y otros activos como. acciones de tipo “evento”. necesarios para que la organización funcione correctamente y alcance los objetivos propuestos por su dirección”. análisis de riesgos. por ejemplo. capaz de reducir el riesgo”. La vulnerabilidad tiene así dos aspectos: el estático. o visto de manera más dinámica. la vulnerabilidad es una propiedad de la relación entre un activo y una amenaza. Las amenazas se pueden materializar y transformarse en agresiones. Amenazas. vulnerabilidades e impactos) queda velada por su apariencia como indicador resultante de la combinación de la vulnerabilidad y el impacto que procede de la amenaza actuante sobre el activo. Submodelos de MAGERIT El modelo normativo de MAGERIT se apoya en tres submodelos: •Submodelo de Elementos de Seguridad. daño de personas). Se define la función o servicio de salvaguarda como “reducción del riesgo”. y el mecanismo de salvaguarda como “dispositivo. Vulnerabilidad. Para dar soporte a dichas decisiones.
. impactos. de fondo de comercio. amenazas. Salvaguardas. MAGERIT distingue entre la llamada Función o Servicio de Salvaguarda y la llamada Mecanismo de Salvaguarda. con 3 tipos principales: Estático. implantación de salvaguardas. en el sistema de información. ligado a la función (forma parte del “estado de seguridad” del activo). Su importancia como resultado de todo el análisis organizado sobre los elementos anteriores (activos. Riesgo. con 4 etapas tipificadas: Planificación. en las fases y actividades de tipo estratégico (implicación de la dirección. amenazas. Impacto. acción diaria y mantenimiento). gestión de riesgos y selección de salvaguardas. su intimidad. Ejerce entre ambos una función de ‘mediación’ en el cambio del ‘estado de seguridad’ del activo. Influye. la credibilidad de una persona jurídica o física. El impacto puede ser cuantitativo (si representa pérdidas cuantitativas monitorizables directas o indirectas). “la diferencia en las estimaciones de los estados (de seguridad) obtenidas antes y después del evento”. con 6 entidades básicas: Activos. físico o lógico. Para reducir el riesgo se necesita la mejora de salvaguardas existentes o la incorporación de otras nuevas. no de tipo evento). y cualitativo con pérdidas funcionales (o de los subestados de seguridad). reducir o controlar los riesgos identificados y así reducir al mínimo su potencialidad o sus posibles perjuicios. sensibilización. vulnerabilidades. la propia información. dinámico organizativo y dinámico físico.impedir. Este riesgo calculado permite tomar decisiones racionales para cumplir el objetivo de seguridad de la organización. la imagen. Submodelo de Elementos Activos. Esa actuación se concreta en un mecanismo de salvaguarda que opera de dos formas: la salvaguarda preventiva ejerce como acción sobre la vulnerabilidad y la salvaguarda curativa actúa sobre el impacto. •Submodelo de Eventos de Seguridad. siendo también el mecanismo de paso desde la amenaza a la agresión materializada. Se definen como “los eventos que pueden desencadenar un incidente en la organización. Un riesgo calculado inferior al umbral queda como un riesgo residual que se considera asumible. produciendo daños materiales o pérdidas inmateriales en sus activos”. Se pueden estructurar en las siguientes categorías: En el entorno del Sistema de Información necesario para su funcionamiento. incluso. MAGERIT ve las amenazas como acciones capaces de modificar el “Estado de seguridad” del activo amenazado. Un riesgo calculado superior al umbral implica una decisión de reducción de riesgo. objetivos. políticas) y condiciona la profundidad de las fases y actividades de tipo logístico (planificación. cualitativo con pérdidas orgánicas (por ejemplo. organización. El Análisis y Gestión de Riesgos es el ‘corazón’ de toda actuación organizada de materia de seguridad. •Submodelo de Procesos de Seguridad. riesgos y salvaguardas.
se estudia la oportunidad de realizarlo. Se recopilan los documentos del AGR. 4. compuestas por actividades y éstas se desglosan en tareas (y en caso necesario en subtareas). Análisis de riesgos. seleccionando los que son aceptables en función de las salvaguardas existentes y las restricciones. obteniendo una evaluación del riesgo. Se prepara el plan de implantación de los mecanismos de salvaguarda elegidos y los procedimientos de seguimiento para la implantación. planificando los medios materiales y humanos para su realización e inicializando el propio lanzamiento del proyecto. Gestión de riesgos. tras simular diversas combinaciones. Se identifican y valoran las diversas entidades.
figura 2­5 Relaciones entre elementos Submodelo de Procesos El Submodelo de Procesos de MAGERIT está dividido en etapas.En resumen: •Activo: dominio de elementos afectables por el riesgo y la seguridad •Amenazas: Factores de Riesgo sobre los activos del dominio •Vulnerabilidad: probabilidad de que se materialice cada amenaza en cada activo •Impacto: consecuencia de que se materialice cada amenaza en cada activo •Riesgo: composición de Impactos en los activos y de vulnerabilidades a las amenazas •Salvaguardas: medidas técnicas y/u organizativas para reducir el riesgo bajo un umbral aceptable Submodelo de Eventos Refleja las relaciones generales entre las 6 entidades reseñadas en el Submodelo de Elementos. Se identifican las funciones y servicios de salvaguarda reductoras del riesgo. Como consideraciones iniciales para arrancar el proyecto de análisis y gestión de riesgos. Planificación del Proyecto de Riesgos. así como una estimación del umbral de riesgo deseable. 2. se definen los objetivos que ha de cumplir y el ámbito que abarcará. Selección de salvaguardas. para obtener los documentos finales del proyecto y realizar las presentaciones de resultados a 23
. 3. El Submodelo de Procesos de MAGERIT comprende 4 etapas: 1.
dirigido a pequeñas organizaciones.4. implantación y explotación de las aplicaciones que la Administración General del Estado utiliza para el ejercicio de sus potestades. y recomendaciones relativos a la implantación de las medidas de seguridad organizativas y técnicas para asegurar la autenticidad. como las hojas de cálculo de propósito general. incorporar defensas antes de completarlo (lo que es más barato y efectivo) y controlar su consistencia a lo largo de todo el ciclo de vida del Sistema.3 . Profesor de la Escuela Técnica Superior de Ingenieros de Telecomunicaciones de la Universidad Politécnica de Madrid. and Vulnerability EvaluationSM)
OCTAVE 6 es una metodología estadounidense desarrollada por el Centro de Coordinación CERT del Instituto de Ingeniería del Software de la Universidad Carnegie­Mellon. La entrada se escribe en XML y realiza un análisis de la posición de riesgo. conviene emplear otros instrumentos de mayor flexibilidad y potencia. criterios. instalaciones. La Guía para Desarrolladores de Aplicaciones. normalización y conservación” 6 recogen los requisitos. Productos y servicios complementarios “Los Criterios de seguridad. Un segundo método está en desarrollo el OCTAVE­S. o programas poseen certificaciones de seguridad. sin interferir en los procedimientos de Métrica. desarrollo. Nos encontramos con normas de diversos ámbitos: •Estadounidenses − TCSEC­Trusted Computer SECurity (libro naranja) •Europeos − ITSEC/ITSEM •Internacionales − ISO/IEC 15408­1 (CC v2. Los derechos de propiedad intelectual pertenecen al autor. pero utilizándolos para identificar y documentar los procedimientos y productos de aseguramiento.
2. Está diseñada para ser utilizada por los desarrolladores de aplicaciones. confidencialidad. •La herramienta CHINCHON versión 1. quien ha puesto la herramienta en el dominio público. disponibilidad y conservación de la información en el diseño. Entendemos que este es el nivel superior.5. Seguridad para el desarrollo de aplicaciones Para poder construir proyectos específicos de seguridad. CHINCHON es una herramienta que sigue la metodología MAGERIT.1) 24
. para certificación de componentes. y conservación aplicables a muchos entornos.5 NIVEL 5º Certificación
El siguiente nivel correspondería a la Certificaciones de productos. normas. Aconsejamos la consulta de este documento. MAGERIT permite añadir durante el desarrollo del Sistema la consideración de los requerimientos de seguridad. es únicamente recomendable a efectos de demostración o de aplicación a entornos o situaciones no muy complejas. y está íntimamente ligada con la Metodología de Planificación y Desarrollo de Sistemas de Información.1
Normas de evaluación y certificación
Son el conjunto de normas que sirven para evaluar o certificar que. MAGERIT posee interfaces de enlace con MÉTRICA V 3 6.
2. que data de 1998. seguridad. Herramientas: •Herramienta RIS2K Magerit. Podemos encontrar criterios de normalización.diversos niveles. José Antonio Mañas. Asset. lo que procede es Certificar que cumple con dicha norma. No está disponible todavía la norma para la certificación de la norma UNE 17799.
2. después de implantar un Sistema de Gestión de la Seguridad de la Información según una norma estándar. sirviendo de apoyo a su gestión. Para los demás usos. Comentamos en este apartado la norma ISO/IEC 15408 (Criterios Comunes). elaborada por D. Estos Criterios pueden ser complemento de MAGERIT y útiles para otras organizaciones que no pertenecen a las Administraciones Públicas. La utilización de esta herramienta RIS2K. integridad. Métrica. Estas interfaces tienen ventajas inmediatas: analizar la seguridad del Sistema antes de su desarrollo.3
OCTAVE (Operationally Critical Threat.
Libro Naranja EEUU TCSEC 1 985 Criterio Canadiense (CTCPEC) 1993 UK Confidence Levels 1989 Criterio Federal Borrador 1993 ITSEC 1991 Criterio Alemán Criterios Comunes v1. Alemania.0 como estándar. Estos 14 países signatarios de los acuerdos de Common Criteria. Tal escenario comienza a aclararse con la decisión de estandarizar internacionalmente estos criterios para uso general. •Definir métricas de evaluación y certificación.es/csi/pg3432.993 los criterios CTCPEC (Canadian Trusted Computer Product Evaluation) uniendo los criterios americanos y europeos. igualmente se desarrollaron en 1. varios países tomaron como base el TCSEC americano y evolucionaron las especificaciones para hacerlas mas flexibles y adaptables a la constante evolución de los sistemas de IT. A principios de los años 80.
(http://www.htm) 25
. Holanda y el Reino Unido. se desarrollaron en Estados Unidos los criterios de seguridad recogidos bajo el nombre de TCSEC (Trusted Computer System Evaluation Criteria) y editados en el famoso “libro naranja”. Esta tarea fue asignada al grupo de trabajo 3 (WG 3) del subcomité 27 (SC 27) del Comité Técnico ISO/IEC JTC 1 dedicado a Tecnologías de la Información. cuando ISO estableció el Common Criteria versión 2. estableciéndolo como ISO 15408 con el título de “Evaluation Criteria for Information Technology Security” (ISO­IEC 15408). llegaron a este arreglo porque permitiría establecer un único criterio con el que evaluar la seguridad de los productos de IT. Es el resultado de una laboriosa e intensa negociación entre países para obtener un acuerdo de reconocimiento mutuo de las certificaciones de seguridad de productos IT realizadas entre un grupo de 14 países entre los que figura España como firmante del acuerdo a través del Ministerio de Administraciones Publicas17.2
CRITERIOS EVALUACIÓN EEUU: TCSEC (Trusted Computer SECurity)
El propósitos de estos criterios de evaluación son: •Suministrar normas de seguridad a los fabricantes. •Establecer condiciones para la adquisición de sistemas. En Canada.0 1996 v2.0 1998 Criterio Francés ISO/IEC 15408 Junio 1999 figura 2­6 Evolución de los criterios comunes
La culminación del proceso ocurrió en Junio de 1999.Un poco de historia
Common Criteria es el resultado final de importantes esfuerzos en el desarrollo de criterios de evaluación unificados para la seguridad de los productos IT y ampliamente aceptado por la comunidad internacional. en el año 1.991 publicó el ITSEC (Information Technology Security Evaluation Criteria). En ese mismo año el Gobierno americano publico los Federal Criteria como una aproximación a unificar los criterios europeos y americanos. Vamos a ver con un poco de más detalles cada una de las normas anteriores.5. desarrollado conjuntamente por Francia. contribuyendo a aumentar la confianza de los usuarios en los mismos. De ahí la comisión europea. En las décadas posteriores.
2. y en esa labor ISO comienza a trabajar a principios de los años 90.map.
5. F­B1. también conocida como “Common Criteria” 6 establece unos criterios de evaluación y certificación de la seguridad en Tecnologías de la Información. E6).
Metodología ITSEM
Las partes implicadas que se reconocen en esta metodología son: •El patrocinador del producto que queremos certificar •El Productor •Las Instalaciones de evaluación •La Comisión nacional de certificación Funciones de la Comisión nacional de certificación •Las funciones de las comisiones nacionales de Certificación son las siguientes: •Acreditación de instalaciones •Supervisión de la evaluación •Revisión Informes Técnicos •Emisión de certificados •Publicación de certificados Acuerdo de reconocimiento mutuo de certificados (Nov. C2 protección discrecional •B1. E3. F­C1). Establece 7 niveles de garantía (Efectividad y Corrección: E0. Los aspectos de la evaluación se realizan sobre: •La funcionalidad. B2. C. Establece 10 niveles funcionales de F1­F10(Conjunto de funciones de seguridad: F­DX. Cada país tiene su autoridad de Evaluación y Certificación. F­IN. las Funciones de seguridad y los Mecanismos de seguridad sobre el Objeto a evaluar (TOE). E4.Los requisitos establecidos son: •Funciones a implementar •Adecuación de las implementaciones Las divisiones establecidas •D. •La confianza.4
ISO/IEC 15408 (Criterios Comunes18)
La Norma internacional ISO 15408. A Las clases establecidas son: •D protección mínima •C1. 1997) Organismos de certificación reconocidos: •Reino Unido •Francia •Alemania
2. E2. Quedan fuera de su marco de normalización los siguientes aspectos: •Medidas administrativas
ISO/IEC 15408 http://www. F­C2.commoncriteria. Una característica de esta norma Europea es la existencia de un esquema nacional de evaluación y certificación. E5. E1.5.3
ESTÁNDAR EUROPEO DE EVALUACIÓN Y CERTIFICACIÓN
En es estándar Europeo de Certificación y Evaluación podemos distinguir entre: •Los criterio de evaluación: ITSEC Information Technology SECurity •La metodología: ITSEM.
Criterios de Evaluación ITSEC (Information Technology SECurity)
Los Criterios de Evaluación ITSEC se fijan sobre los Objetivo de seguridad. F­B3. F­DC. B3 protección preceptiva •A1 protección verificada
2. B.org/ 26
. F­DI. F­B2. F­AV.
Se proporcionan unos medios y mecanismos objetivos que nos permitirán tomar decisiones en base algo más sólido que las meras percepciones. componentes software de propósito específico o plataformas hardware. Los usuarios pueden tener plena confianza en las evaluaciones de Common Criteria por no ser realizadas por el vendedor. La evaluación de Common Criteria es cada vez mas utilizada como condición necesaria para concurrir a concursos públicos. puede certificar lo que asegura. Los usuarios que pueden conocer el nivel de confianza y seguridad que los productos de tecnologías de la información y sistemas le ofrecen y puede explicar lo que quiere. Los fabricantes utilizarán este lenguaje para contar a sus clientes potenciales las características de sus productos evaluadas en Common Criteria. e igualmente habilita a los usuarios a identificar y comunicar adecuadamente sus necesidades de seguridad.
. el Departamento de Defensa Americano ha anunciado planes para utilizar exclusivamente productos certificados por Common Criteria. que juzgan y certifican en que medida se ajusta una especificación de un producto o sistema IT a los requisitos de seguridad deseados. sino por laboratorios independientes. Debido a que Common Criteria es un estándar Internacional. En definitiva. se crea un lenguaje común entre los fabricantes y los usuarios. que determinados aspectos de seguridad se encuentren delegados en funciones de seguridad de otros productos o sistemas de propósito general sobre los cuales ellos trabajan como pueden ser sistemas operativos. Los usuarios pueden comparar sus requerimientos específicos frente a los estándares de Common Criteria para determinar el nivel de seguridad que necesitan. la norma ISO/IEC 15408 proporciona una guía muy útil a diferentes perfiles relacionados con las tecnologías de la seguridad. Por tanto. 2. La norma ISO/IEC 15408 define un criterio estándar a usar como base para la evaluación de las propiedades y características de seguridad de determinado producto o sistema IT. proporcionando un conjunto de estándares en seguridad como los recogidos por Common Criteria. Diferentes partes del Estándar El ISO/IEC 15408 se presenta como un conjunto de tres partes diferentes pero relacionadas. Ello permite la equiparación entre los resultados de diferentes e independientes evaluaciones. Por ejemplo. Common Criteria exige a los fabricantes de los productos certificados publicar una documentación exhaustiva sobre la seguridad de los productos evaluados. las medidas de salvaguarda dependen del correcto diseño y funcionamiento de los servicios de seguridad que implementan otros sistemas o productos IT más genéricos. Los usuarios pueden determinar mas fácilmente cuando un producto cumple una serie de requisitos. Muchos clientes y consumidores de sistemas y productos IT carecen de los conocimientos necesarios o recursos suficientes para juzgar por ellos mismos si la confianza que depositan en estos sistemas o productos IT es adecuada y desearían no obtener esa certeza solamente en base a la información que proporcionan los fabricantes o las especificaciones de los desarrolladores. Los evaluadores de seguridad. Desarrolladores de productos o sistemas de tecnologías de la información (fabricantes). normalmente por razones económicas. 4.•Medidas físicas •Marco legal de la evaluación •Calidad intrínseca de los algoritmos de cifrado Justificación Muchos sistemas y productos de Tecnologías de la Información están diseñados para satisfacer y realizar tareas específicas y puede ocurrir.Pueden ajustar sus diseños y explicar lo que ofrecen. proporciona un conjunto común de estándares que los usuarios con operaciones internacionales pueden utilizar para escoger productos que se ajusten localmente a las necesidades de seguridad. Igualmente. que éstos estuvieran sometidos a evaluación para conocer en que medida nos ofrecen garantías y podemos depositar confianza en ellos. que ambos pueden entender. Sería deseable por tanto. describimos cada una de ellas: 27 1. A continuación. Por tanto. al proporcionar un marco común con el que determinar los niveles de seguridad y confianza que implementa un determinado producto en base al conjunto de requisitos de seguridad y garantía que satisface respecto a esta norma obteniendo de esa forma una certificación oficial de nivel de seguridad que satisface. 3. Es decir.
establece una clasificación jerárquica de los requisitos de seguridad.( la estructura y lenguaje comunes para expresar los requisitos de seguridad de productos o sistemas de TI).5. Requisitos Funcionales de Seguridad IS 15408­2: 1999(2002) Security functional requirements Este tipo de requisitos definen un comportamiento deseado en materia de seguridad de un determinado producto o sistema IT. IS 15408­1:1999(2002) Introduction and general model Define los principios y conceptos generales de la evaluación de la seguridad en tecnologías de la información y presenta el modelo general de evaluación. •Familia: un grupo de componentes que comparten objetivos de seguridad pero con diferente énfasis o rigor. Trata de evaluar que garantías proporciona el producto o sistema en base a los requisitos que se satisfacen a lo largo del ciclo de vida del producto o sistema. Evolución del estándar Las normas que se están elaborando para el futuro inmediato son: •IS 15292:2001(2005) Protection profile registration procedures •WD 18045 Methodology for IT security evaluation Niveles de garantía •Common Criteria o ISO/IEC 15408. •Componente: un pequeño grupo de requisitos muy específicos y detallados. Para ello.Parte 1. probado y verificado semi­formalmente •EAL7: diseñado. probado y revisado metódicamente •EAL5: diseño y pruebas semi­formales •EAL6: diseñado. Requisitos de Garantías de Seguridad IS 15408­3:1999(2002) Security assurance requirements Este tipo de requisitos establecen los niveles de confianza que ofrecen funciones de seguridad del producto o sistema. Se determinan diferentes tipos de agrupaciones de los requisitos siendo sus principales tipos los que vemos a continuación: •Clase: Conjunto de familias comparten un mismo objetivo de seguridad.5
Metodología abierta para la verificación de la seguridad (OSSTMM)
Existe una metodología de código abierto para la verificación de la seguridad de los sistemas. 28
. proporcionan también unos niveles de garantía (EAL) como resultado final de la evaluación. También establece cómo se pueden realizar especificaciones formales de sistemas o productos IT atendiendo a los aspectos de seguridad de la información y su tratamiento. Esta metodología es de ISECOM 6 (Institute for security and Open methodologies) La metodología se conoce por las siglas OSSTMM – (Open Source Security Testing Methodology Manual). •PP –protection profile –perfil de protección − lo que se quiere: requisitos para una categoría de productos •ST –security target –objetivo de seguridad − fabricante: lo que ofreceré: especificaciones de un producto •TOE –target of evaluation –objetivo de evaluación − una implementación de ST Parte 2.
2. Parte 3. probado y verificado formalmente Constituyen la base para el reconocimiento mutuo Organización de los requisitos de Seguridad Los CC establecen unos criterios de evaluación basados en un análisis riguroso del producto o sistema IT a evaluar y los requisitos que este satisface. Introducción y modelo general. Es el menor elemento seleccionable para incluir en los documentos de perfiles de protección (PP) y especificación de objetivos de seguridad (ST). EAL –Evaluated Assurance Level •EAL0: sin garantías •EAL1: probado funcionalmente •EAL2: probado estructuralmente •EAL3: probado y chequeado metódicamente •EAL4: diseñado.
podemos afirmar con rotundidad que el nivel de cumplimiento de plan de acción eEurope 2005 es muy bajo en España.
. Para subsanar esta carencia sería necesario aumentar la difusión de la existencia de este sitio y mejorar su contenido además de realizar una verdadera campaña de concienciación de la importancia de la seguridad en los sistemas de información a todos los niveles. que tiene como objetivo desarrollar conocimientos y herramientas relacionadas con la seguridad. La existencia de este sitio no es conocida. el documento incorpora los más recientes cambios y nuevos desarrollos relacionados con la seguridad informática.5. National Institute of Standards and Technology del departamento de comercio de los Estados Unidos) ha publicado su metodología para la verificación de la seguridad de los sistemas y de las políticas de seguridad 6. y no requiere mas que voluntad política para hacerlo.
2. la OSSTMM incluye los requerimientos establecidos tanto por la ley de protección de datos y la LSSICE. Gracias a este número de colaboradores. En el nivel 1º En relación con la creación de una cultura de seguridad. vamos a comentar las carencias detectadas para encontrar líneas de trabajo. en la última sección. una vez analizadas las distintas normas y estándares. Este documento está dividido en cuatro secciones: una introducción a la metodología. Es un proyecto interesante pero que no es adecuado para la elaboración de los planes de seguridad que por normativa legal hay que realizar. Son mas recomendable la norma ISO 17799 ayudada de la metodología Magerit. la descripción de los métodos de verificación y el conjunto de seguridad. sin ánimo de lucro. Esta orientada a realizar una auditoría de seguridad de los sistemas. El disponer de una metodología de trabajo estandarizada significa que permita garantizar el nivel de pruebas que se realizan en el momento de verificar la seguridad.
Como comentábamos en la introducción de este trabajo. OSSTMM es el estándar más completo existente en la actualidad con una metodología para la verificación de la seguridad de los sistemas y las redes que disponen de una conexión a Internet.6
Metodología del Computer Security Resource Center (CSRC­NIST)
El Computer Security Resource Center (organismo que depende del NIST. se encuentra en constante evolución y es fruto de la colaboración de más de 150 colaboradores de todo el mundo.Isecom es una organización internacional. tanto desde el exterior como el interior. Esta metodología. Así. en el caso concreto de España. nivel a nivel. desarrollado de una forma independiente y totalmente abierto. ofreciéndolas bajo una licencia de código abierto que permite su libre utilización. Esta línea de trabajo le corresponde a la Administración. No pretende especificar una lista de pruebas concretas a realizar. Podemos considerar que la única iniciativa nacional con cierta difusión es el Centro de alerta temprana de virus 6. No se ha realizado la suficiente difusión entre el gran público como para que tenga una incidencia positiva en la mejora de la seguridad en España. establecida en el plan de acción eEurope 2005. la definición de los métodos y objetivos de las pruebas de seguridad y. Se trata del principal proyecto existente en la actualidad para definir una metodología formal que permita verificar la seguridad informática de los equipos. Sus campañas se han limitado a los virus informáticos. que elementos deben tener prioridad cuando se realizan las verificaciones con unos recursos limitados. donde podemos encontrar además de información sobre virus. En general. podemos afirmar que no existen campañas institucionales para concienciar a los usuarios de la importancia de la seguridad de los sistemas personales. La OSSTMM es una metodología para la realización de las verificaciones de seguridad en Internet. sino los elementos que deben verificarse. La metodología OSSTMM esta orientada a evaluar la seguridad de un sistema. Otros proyectos en los que se está trabajado son la metodología para la programación segura y la "Hacker High School”. Un aspecto importante a señalar es que la OSSTMM ha sido diseñada para cubrir los aspectos técnicos establecidos por diversas legislaciones. alguna información sobre seguridad.
Algunos preceptos legales son técnicamente muy difícil de cumplir. Faltan herramientas que comprueben que las medidas contenidas en el documento de seguridad están realmente implementadas. gestorías. Podemos comentar la carencia de asignaturas específicas sobre seguridad en la mayoría de los planes de estudios de las Diplomaturas de Informática en España. Dada la existencia de una normativa legal de obligado cumplimiento.”. Sí existen herramientas de análisis de seguridad pero enfocadas a ataques sobre puertos. configuración segura de su sistema operativo.(antivirus. Hay algunos ejemplo no oficiales 6 6. Los colegios profesionales (médicos.. detector de intrusos. Cuando existen alguna asignatura de seguridad suelen tratar sobre criptografía.. Estas dos últimas consideraciones requieren una solución por parte de la Administración. serán necesario elementos probatorios cuando existan denuncias expresas. Es necesario que se requiera una titulación oficial informática de nivel universitario o acreditación certificada por organismo oficial para la realización de las auditorias. Pero son parciales y poco configurables.. El reglamento no está basado en estándares que permita certificaciones..) deben de realizar campañas entre sus asociados... El reglamento de seguridad no requiere estar calificado para realizar las preceptivas auditorias de seguridad. por definición.). Nivel 2º En este nivel. filtros de contenidos. Esto deja indefenso al técnico que haya realizado el documento de seguridad. médicos.se tomarán las adecuadas medidas técnicas que garantices. pequeño comercio. cortafuegos. limpiado y mantenimiento del registro de Windows. El reglamento de seguridad (Real decreto 994/1999) establece la obligación de elaborar un documento de seguridad. abogados. No se adaptan a las medidas del documento de seguridad. No hay criterios de actuaciones para la obtención de 30
.. Un camino puede ser exigir una certificación de formación mínima para la adquisición y utilización de los ordenadores si van a estar conectados a internet. Es necesario la modificación del Reglamento de Seguridad con la visión de los técnicos informáticos. Esta es una línea de trabajo. Un usuario no profesional o doméstico necesita utilizar una serie de programas amplio para garantizar la seguridad. Es claro que estas medidas se enfrentan a intereses comerciales y que son de implantación poco probable. Podemos poner como ejemplo de este caso nuestra propia Universidad. Las medidas de concienciación y formación son administrativas y no proporcionan líneas de trabajo. Otra posibilidad es el desarrollo de herramientas de seguridad de código abierto y gratuitos. así como los gremios y asociaciones empresariales para la difusión de la obligación de cumplimiento del reglamento de seguridad.De la falta de concienciación sobre la importancia de los sistemas de gestión de la seguridad no existe solo entre el gran público. Para un adecuado análisis de riesgos necesitamos también dispositivos que comprueben de modo automático las vulnerabilidades de un sistema concreto y las amenazas reales que son aplicables. Es necesario el desarrollo de estas herramientas con las características ya mencionadas. (puede elegir entre versiones gratuitas no totalmente operativas o de pago). con “inteligencia” para aprender del entorno y con capacidad de auto­configuración. el grado de facilidad de su cumplimiento. actualizaciones de los parches de seguridad de las aplicaciones. gestores administrativos. o que los ISP no proporcionaran conexión a un ordenador hasta comprobar (por medio de auditoria remota de seguridad) que el sistema cumple con unos mínimos. El reglamento no especifica las medidas concretas a nivel técnico que hay que tomar en cada caso. requieren actualmente unos conocimientos amplios de informática. Alcanza a capas de más alto nivel de formación y responsabilidad. hace falta más formación en materia de seguridad a todos los niveles. y la utilidad real en relación con la mejora de la seguridad de los sistemas de información. Si hay un ataque el técnico siempre es culpable. el principal objeto de discusión son las características técnicas del reglamento de seguridad. Por ejemplo indica en varios de sus apartados “.. Esto facilitaría muchísimo la realización de documentos de seguridad. No son objeto de investigación. imposible de exigir a todos los usuarios. El conjunto de herramientas abarcaría a las relacionadas como básicas en el nivel 1º. Son necesarios la elaboración de documentos de seguridad específicos para sectores concretos (abogados.). además de la falta de concienciación. pero no establece ningún modelo. Por tanto. Independientemente del costo.. Estas características son requeridas para evitar la necesidad de un nivel de formación alto y continuo de todos los usuarios de ordenadores. dejando cierta ambigüedad..
mediante la difusión y seguimiento de las buenas prácticas establecidas por la ISO/IEC 17799:2000. principalmente dedicadas a vulnerabilidades de redes. Se necesitan simuladores de ataques. Existen herramientas de análisis de vulnerabilidades como nessus. sino que también la mediana y pequeña han ido obteniendo certificaciones de calidad para mejorar su imagen ante sus clientes potenciales. No existen herramientas que analicen la seguridad de los sistemas en relación con las normas estándares de seguridad. Establecer la planificación de la seguridad a implantar. Además. Proponemos como línea a seguir la definición de metodologías de Análisis Forense y de diseños de dispositivos que permitan el desarrollo de Análisis Forense. La existencia de esa norma certificadora actuaría de aliciente para que muchas empresas que no consideran prioritario la implantación de dicha norma en la actualidad. 4. Determinar los objetivos y la estrategia de seguridad. Esta metodología es cíclica y continua. también lograremos determinar la relación de medidas de seguridad que a menor costo minimizan nuestros posibles daños. pero al ser una norma nacional Británica no tiene el mismo efecto. 5. no tienen actualmente norma internacional de certificación. Concienciar y entrenar al personal en el uso de las nuevas medidas 7. Análisis y gestión de riesgos. de acuerdo con las funciones de nuestra organización y los requisitos necesarios que sean necesarios garantizar. Monitorización y supervisión de los mecanismos de seguridad implantados y atender a los posibles eventos o incidentes 8. La norma ISO/IEC 17799 y su espejo nacional UNE 17799 de buenas prácticas de seguridad. Adecuar la organización a las nuevas responsabilidades y asignar tareas dentro del organigrama. Es necesaria la pronta publicación de la norma certificadora con el objetivo de mejorar la situación de seguridad de las empresas e instituciones. se lo plantearan aunque fuese solo por motivos de imagen ante el mercado. por tanto. siempre en constante revisión. Así conoceremos el contexto de nuestro problema. una solución válida al entorno de seguridad de cualquier organización permitiendo la adecuación e implementación de políticas de seguridad basadas en estándares internacionales. Otra carencia encontrada es la inexistencia de herramientas de “entrenamiento” de los usuarios en relación con las amenazas potenciales de un sistema. podemos resumir que el ciclo de vida para la gestión de la seguridad de un sistema de información responde a los siguientes pasos: 1. puesto que las amenazas a la seguridad son algo dinámico y las tecnologías de protección y prevención están en constante evolución. es importante destacar el hecho de que las medidas de seguridad puedan implementarse con software libre 6. El primero de los problemas es al que habitualmente se enfrentan las pequeñas empresas por el elevado coste del software asociado a la seguridad. nuestros activos. En cualquier caso. satan 6 o tripewire 6 . Implantar las medidas seleccionadas 6. Establecer la política de seguridad de la INFORMACIÓN. El software libre ofrece. Esto permite llevar a cabo implementaciones de la política de seguridad sin que sea necesario considerar el coste del software y sin que aparezcan problemas de escalabilidad. 3. Nivel 3º Analizadas las distintas normas sobre sistemas de gestión de seguridad. que permite certificaciones. Revisión y auditoria de la situación para ver si se siguen garantizando los requisitos de seguridad o es necesario un nuevo análisis de riesgos. nuestros puntos débiles y las medidas de seguridad de las que disponemos. Desde el punto de vista de una pequeña empresa aplicar las medidas técnicas para cumplir con la norma BS 7799­2 sería una tarea que cualquier administrador de seguridad podría llevar a cabo sin mayor dificultades. Es cierto que existe la BS 7799­2. La experiencia de las certificaciones de calidad demuestra que no solo las grandes empresas. Tampoco existe una norma UNE certificadora de estos sistemas. el segundo de los problemas es también común en empresas grandes debido al elevado número de sistemas a asegurar. 31
. Tampoco encontramos herramientas con capacidad de aprendizaje. En los casos de empresa medianas y grandes es fundamental el establecimiento formal de políticas de seguridad. 2. Analizamos la rentabilidad de las posibles soluciones a implantar.pruebas de delitos informáticos.
Son una buena guía para ver como establecer requisitos de seguridad respecto a atributos de la seguridad como la confidencialidad. propongan salvaguardas. pero que no están al alcance de la mediana empresa. pero para el análisis y la gestión de riesgos de la seguridad de los sistemas de información. Estas certificaciones tiene reconocimiento internacional. pero solo son accesible. Pero en si misma no mejora los sistemas de gestión de seguridad. es otra metodología. Existen soluciones llave en mano por parte de algunos proveedores. Esta norma. a las muy grandes corporaciones en las que la seguridad es fundamental (ej: banca). o su norma espejo UNE­ISO/IEC 17799­1. Permite certificar sistemas y certifica a profesionales para que puedan emitir certificaciones. pero ajenos a los organismos oficiales de certificación. Esta última es la característica más destacable. Contribuciones a esta metodología o desarrollos de metodologías similares pero en otras áreas de la seguridad de sistemas es una línea de futuro. está la necesidad de campañas de concienciación sobre la importancia de la seguridad informática así como de mayor formación a nivel de la enseñanza obligatoria como de las de nivel universitario. es necesario utilizar previamente MAGERIT y luego. En el nivel 1 hemos apuntado como línea de trabajo para cumplir con el plan de acción eEurope 2005 y demás directivas. La metodología OSSTMM esta orientada a evaluar la seguridad de un sistema y a realizar una auditoría de seguridad de los sistemas. Desde el punto de vista del usuario es interesante porque sabe hasta que nivel de seguridad puede pedirle al producto que compra y por tanto no incorporar eslabones ni más débiles ni más fuertes de lo necesario a su cadena de seguridad. para implantar un sistema se seguridad más integrales. es importante para que los fabricantes puedan certificar el nivel de seguridad que ofrecen sus productos. La Metodología CSRC­NIST es principalmente para evaluar la seguridad de redes. A día de hoy. están más orientados a la evaluación de software y hardware que a la evaluación de sistemas. no se utiliza para certificar instalaciones.
. Nivel 5º Los Common Criteria o ISO 15408. autenticación. y dado su elevado costo.parametrizables para comprobar la reacción del sistema de seguridad y sobre todo del cumplimiento de los usuarios de las políticas de seguridad. Las medidas de concienciación y formación son administrativas y no proporcionan líneas de trabajo. Existen herramientas para el análisis de riesgo como CHINCHON que suministrándoles la información que solicita puede facilitar el análisis de riesgos. es la de aplicaciones y dispositivos que de modo automático capten los datos necesarios del sistema. las implementen y vuelvan al punto de inicio. para elaborar el documento formal de seguridad que recoge los requisitos de protección. Resaltar que es un software libre. Esto implica que son más económicos y más independientes de intereses comerciales. La otra línea. es recomendable el estándar ISO 17799. que contengan todos los aspectos relacionados en las normas internacionales de seguridad para ese sector. para el establecimiento de la política de seguridad. por su elevado costo . Disponemos de acuerdos internacionales de reconocimientos de certificaciones nacionales según 6 “A R R E G L O sobre el Reconocimiento de los Certificados de Criterios Comunes” en el campo de la Seguridad de las Tecnologías de la Información. en la que no encontramos desarrollos. disponibilidad. con “inteligencia” para aprender del entorno y con capacidad de auto­ configuración. Si entendemos como línea de trabajo el desarrollo de herramientas de seguridad de código abierto y gratuitos. Proponemos aplicaciones con capacidad de aprendizaje y autoadaptable a cada entorno. Por la proliferación de normativa legal en el ámbito nacional e internacional se hace necesario la elaboración de algún tipo de guía u orientación para poder aplicar prácticamente todas estas normas y recomendaciones. como el documento de Criterios de seguridad normalización y conservación del MAP6. Nivel 4º MAGERIT. integridad. Es necesario el desarrollo de documentos de seguridad sectoriales. Por tanto.
Elección de una línea de trabajo
En este apartado queremos resumir las líneas de trabajo que podemos obtener del apartado anterior y concretar cuales entran dentro de nuestro enfoque de trabajo futuro y cuales descartamos.
activando alarmas en caso necesario a los responsables. Hay una carencia de dispositivos neutros que permitan el análisis forense de ordenadores. son un claro ejemplo de las posibilidades de este campo en investigación. No existe una metodología ni estándar para la realización del análisis forense. una estrategia de implantación progresiva de las medidas de seguridad facilita los sistemas de gestión de la seguridad de la información. En este trabajo hemos establecido una clasificación de los mismos atendiendo al nivel y tamaño de la organización. encontramos la necesidad de desarrollo de herramientas que compruebe de forma automática la correcta implantación de las medidas incluidas en el documento de seguridad. adaptado a este entorno. En el nivel 5 no encontramos líneas de trabajo. Se propone el diseños de dispositivos que permitan el desarrollo de Análisis Forense. (herramientas) que faciliten la implantación de Sistemas de Gestión de Seguridad de la Información según Norma Internacional ISO17799 y el cumplimiento del reglamento de seguridad. pero no se indican a que nivel o tamaño de empresa corresponde cada uno. Tabla 2 Grupos de trabajo del comité técnico JTC1/SC 27 Grupos de trabajo JTC 1/SC 27/WG 1 JTC 1/SC 27/WG 2 JTC 1/SC 27/WG 3 Título Requirements. En el nivel 4: desarrollar nuevos sistemas de análisis forense que permitan descubrir los riesgos sobre los activos de un sistema concreto. Normalmente las certificaciones están en manos de ciertos organismos que son los que tiene autoridad para certificar. parametrizables para comprobar la reacción del sistema de seguridad y sobre todo del cumplimiento de los usuarios de las políticas de seguridad. sino de dotarlas autoconfiguración. Del mismo modo encontramos que en términos de investigación. En el nivel 3: Otra carencia encontrada es la inexistencia de métodos de “entrenamiento” de los usuarios en relación con las amenazas potenciales de un sistema. mediante capacidades de aprendizaje.
. la inmensa mayoría corresponden al grupo 2 de mecanismos y técnicas. Por tanto. El comité está dividido en tres grupos de trabajo.
El Comité Técnico ISO que trata sobre seguridad en las tecnologías de la Información es el JTC 1 / SC 27. Podemos encontrar 6 del grupo 1 y 3 del tercero. security services and guidelines Security techniques and mechanisms Security evaluation criteria
De los 47 estándares publicados relacionados con temas de seguridad. Las relacionadas con la criptografía y las firmas digitales y autentificación son la mayoría de las normas. El número de estándares publicados son de 47. de software libre. Es necesario desarrollar “aplicaciones informáticas soporte”.
Existe normas y estándares relacionados con los sistemas de seguridad. No hay ninguna guía de procedimientos disponible para que las informaciones obtenidas por medio del análisis forense puedan tener carácter probatorio ante un tribunal.En el nivel 2 descartando las medidas de índole administrativas. La implantación de un estándar como UNE ISO/IEC 17799 no garantiza el completo cumplimiento de las obligaciones exigidas en el reglamento de seguridad. Las líneas de trabajo apuntadas en el apartado de discusión. Se necesitan “simuladores” de ataques. Por tanto podemos afirmar que proporcionalmente hay poca investigación en relación con las metodologías de los sistemas de gestión de seguridad. se repiten las proporciones en los apartados de seguridad. Tendríamos que crear un sistema nuevo de aprendizaje basado en las distintas tendencias actuales. Es necesario el desarrollo de un cuerpo metodológico normalizado (una metodología) de Análisis Forense del tipo de la metodología OSSTMM. No estamos hablando simplemente de desarrollar una aplicación que no existe.
sedisi.htm I. Del peso navarro. Part 2 Specification for information security management systems.com/ [3] BS 7799­1:1999 Information security management –Part 1: Code of practice for information security management. Ramos González. [5] UNE ISO/IEC IS 17799 – Tecnologías de la información – Código de buenas prácticas para la gestión de la seguridad de la información (Information technology – Code of practice for information security managment) [6] ISO/IEC 13335­1 IT­ Security techniques ­ Guidelines for the management of IT security ­ Part 1: Concepts and models for managing and planning IT security [7] ISO/IEC 13335­2 IT­ Security techniques ­ Guidelines for the management of IT security ­ Part 2: Managing and planning IT security [8] ISO/IEC 13335­3 IT­ Security techniques ­ Guidelines for the management of IT security ­ Part 3: Techniques for the management of IT security [9] ISO/IEC 13335­4 IT­ Security techniques ­ Guidelines for the management of IT security ­ Part 4: Selection of safeguards [10] ISO/IEC 13335­5 IT­ Security techniques ­ Guidelines for the management of IT security ­ Part 5: Management guidance on network security [11] UNE 71501­1 IN Parte 1: Conceptos y modelos para la seguridad de TI [12] UNE 71501­2 IN Parte 2: Gestión y planificación de la seguridad de TI [13] UNE 71501­3 IN Parte 3: Técnicas para la gestión de la seguridad de TI [14] INFORMATION TECHNOLOGY Baseline Protection Manual [consulta 4 junio de 2003] http://www.0 Metodología de análisis y gestión de riesgos de los sistemas. International Standard. Guía de aproximación a la seguridad de los sistemas de información II. Del Peso Navarro – M.pdf [21] REAL DECRETO 994/1999. British Standard. Arquitectura de la información y especificaciones de la interfaz para intercambio de datos VII. British Standard. Díaz de Santos. Code of Practice for Information Security Management. 1999 ISBN 84­7978­412­1 [18] LORTAD análisis de la ley. La nueva Lortad.org/docs/PDF/CCPART1V21. [consulta 6 de junio de 2003] http://www. E. [4] BS 7799­2:2002 Information Security Management. E.map. al Comité Económico y Social y al Comité de las Regiones sobre seguridad de las redes y de la información: Propuesta para un enfoque político europeo [consulta: 4 de junio de 2003]. Referencia de normas legales y técnicas CD­ROM [17] LORTAD Reglamento de seguridad.es/06_index. 1997 Ministerio de Administraciones Públicas Boletín Oficial del Estado ISBN 84­340­0960­9. y http://europa.1. A. de 11 de junio.htm .int/information_society/eeurope/news_library/pdf_files/netsec_es.htm [15] Guía de seguridad informática (SEDISI) [consulta: 11 junio de 2003] http://www. Diaz de Santos. al Parlamento Europeo. Del peso – M.es/csi/pg5m20. Ramos González. 2 y 3 [consulta 11junio de 2003] http://www. Guía para responsable del dominio protegible VI.bund.PDF [2] ISO/IEC 17799:2000 Information Security Management. 1998 ISBN 84­7978­343­5 2º edición. [19] Ley de protección de datos. Guía para desarrolladores de aplicaciones V.de/gshb/english/etc/inhalt. Díaz de Santos. [16] MAGERIT V.eu. A. E. Guía técnica IV.commoncriteria. Guía de procedimientos III. [consulta 11 junio de 2003] http://www. por el que se aprueba el Reglamento de medidas de 34
. 2000 ISBN 84­7978­446­6 [20] Comunicación de la Comisión al Consejo.iso17799software.bsi.6
[1] ISO/IEC 15408 (Criterios Comunes) parte 1.
map. (Paris 2002).pdf [38] REDI Revista Electrónica de Derecho Informático. dissemination of good practices and the improvement of network and information security (MODINIS). Madrid 22 de octubre del 2002.com/html/grupodoxa/pdf/estrategias.com/es/ppv/doctrina/fuente_29 [39] Guías de la OCDE para la seguridad de los sistemas de información y redes Hacia una cultura de seguridad.map.[consulta 4 de junio de 2003] http://www. (COM(2003) 63 final (Febrero 2003) (en inglés) [consulta 14 de junio de 2003] http://www.es/csi/pg3415.es/csi/pg3432.dit.[consulta 4 de junio de 2003] http://www. Julián Marcelo Cocho. Bruselas.es Dpto. 26.[ consulta 7 junio 2003]http://www. 28.vlex.pdf [34] Documentos de seguridad.es/ csi/pg3425. .[consulta 4 de junio de 2003] http://www. Brussels.map. [Consulta: 6 de junio de 2003] http://www. junio de 2002. [consulta: junio 2003] http://www.map. http://csrc.es/csi/pg3426.pdf [36] Certificación de la Seguridad.es/csi/pg3417.csi.upm.[consulta 11 junio de 2003] http://www. Universidad Carlos III Madrid.pdf [40] CRAMM del Gobierno Británico (CCTA Risk Analysis and Management Method).htm [27] PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL (Aprobación de Documentos de seguridad en aplicación del reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal.map.pdf [30] A R R E G L O sobre el Reconocimiento de los Certificados de Criterios Comunes en el campo de la Seguridad de las Tecnologías de la Información.es/csi/pdf/nisa_en.[consulta 4 de junio de 2003] http://www.org/apdcm/contenidos/documento_box00.seguridad de los ficheros automatizados que contengan datos de carácter personal [consulta 5 de junio de 2003] http://www.es/csi/pdf/modenis_en.htm [28] Evaluación y certificación de la seguridad de las tecnologías de la información.[consulta 4 de junio de 2003] http://www.pdf [31] Special Pub 800­12 ­­ An Introduction to Computer Security: The NIST Handbook .org/pdf/M00033000/M00033189. Arturo Ribagorda Garnacho.consecri. Universidad Politécnica de Valencia.htm [26] PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL (Otras disposiciones).agenciaprotecciondatos. I Consecri (Congreso Nacional de Seguridad en Sistemas Teleinformáticos y Criptografía).htm [29] Adopting a multi­annual programme (2003­2005) for the monitoring of eEurope.[consulta 4 de junio de 2003] http://www.2002 COM(2002) 425 final 2002/0187 (CNS).nist. por el que se establece el plazo para implantar las medidas de seguridad de los ficheros automatizados previstas en el Reglamento aprobado por el Real Decreto 994/1999.html [35] Estándares Internacionales de seguridad en sistemas de información.es/csi/pg3419.pdf [37] eEurope 2005: Propuesta de Reglamento de la Agencia de Seguridad de la Información y de las Redes Europeas presentada por la Comisión.map.csi.[consulta 7 35
.htm [22] Ley Orgánica 15/99 de 13 de Diciembre de Protección de Datos de Carácter Personal [consulta 5 de junio de 2003] https://www. [Consulta: 6 junio 2003] http://jungla.htm [24] Legislación sobre ficheros de tratamiento automatizado de datos de carácter personal. Mañas jmanas@dit. .es/~pepe/ec/2003/02­certificacion. .gov/publications/nistpubs/800­12/ [32] Estrategia para la Seguridad de los Sistemas de Información.org/datd1. José A.grupodoxa.07.[consulta 4 de junio de 2003] http://www. Catedrático de Universidad.com.guiafc. .[Consulta 6 junio de 2003] http://v2.htm [23] Real Decreto 195/2000.htm [25] Legislación sobre protección de datos de carácter personal (Disposiciones generales). MAP.csi.map.ar/pdf/Consecri%2025­09­01/Exposiciones/05%20­%20Est %E1ndares%20internacionales%20de%20seguridad%20en%20Sist%20Inf.map. Agencia de Protección de Datos de la Comunidad de Madrid [consulta: 6 de junio 2003] https://www.5. . .map.map.com/documentos/2002­ COM­263. .pdf [33] eEurope 2005: Una sociedad de la información para todos.madrid. de Ingeniería de Sistemas TelemáticosUniversidad Politécnica de Madrid.oecd.es/csi/pg3418.upm.[consulta 4 de junio de 2003] .es/csi/pdf/acuerdo. de 11 de febrero.2002 COM(2002) 263 final [consulta: 5 junio 2003] http://www. de 11 de junio. Organisation For Economic Co­Operation And Development.
opensource.ISBN 84­95996­05­7 [58] Las Tecnologías de la Sociedad de la Información en la Empresa Española.pdf [51] COBRA ISO 17799 COMPLIANCE & SECURITY RISK ANALYSIS [consulta 11 junio de 2003] http://www.pdf y en http://www. Profesor de la Escuela Técnica Superior de Ingenieros de Telecomunicaciones de la Universidad Politécnica de Madrid.es) David Martinez Moreno (david.es/cert/doc/docu_rediris/poliseg. [Consulta 9 junio de 2003] http://jungla.es) 15 de diciembre de 2000.iso17799software. [consulta 10 junio 2003] http://www.html [46] Criterios de seguridad. http://www.com/download. Chelo Malagon Poyato (chelo.es/~pepe/chinchon/README. Noviembre 2002. [consulta 8 junio 2003] www.htm [59] SSITAD – seguridad y legislación. [consulta: 11 junio de 2003] http://www.es/csi/metrica3/index.rediris. CSIAE.org/ [54] Metodología del Computer Security Resource Center (CSRC­NIST) [consulta 12 junio de 2003] http://csrc. 2002. and Vulnerability EvaluationSM) [consulta 12 junio de 2003] URL: http://www.wp29. 5019/02/es WP 46.es/cert/doc/docu_rediris/recomendaciones/recomendaciones. Desarrollo y Mantenimiento de sistemas de información.org. SEDISI.org onsulta 7 junio 2003] http://www.org. Derecho. [consulta 14 junio de 2003] http://www.dit.org/docs/recogida.1 [consulta 7 junio 2003] http://www. Martín Manent González.html [44] Gestión de la seguridad de la información.malagon@rediris.nist. Ministerio de Administraciones Públicas.0.rediris.org/documentos/PS17799.html [50] Cuarto informe anual situación de la protección de las personas en lo que respecta al tratamiento de datos personales y a la protección de la vida privada en la comunidad y en terceros países relativo al año 1999.monserrat@rediris.upm. Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información de las Administraciones Públicas.org/pub/Linux/docs/LuCaS/Presentaciones/200211hispalinux/jfs2/linux­ iso17799.htm 36
.htm [52] Alerta­antivirus centro de atención temprana de virus y seguridad informática.htm [56] OCTAVE (Operationally Critical Threat.pdf [45] Adecuándose a la norma ISO/IEC 1799 mediante software libre * José Fernando Carvajal Vión Grupo de Interés en Seguridad de ATI (ATI­GISI) carvaco@ati. Mario López de Ávila Muñoz.embnet.es Javier Fernández­Sanguino Peña Grupo de Interés en Seguridad de ATI (ATI­GISI) jfs@computer.cramm.cert.es/csi/pg5c10.org 28 de octubre de 2002 [consulta 9 junio de 2003] http://www.uk/ [41] Recomendaciones de seguridad.map.htm [49] MÉTRICA.internet. [consulta 11 junio 2003] http://www. Manual Práctico.map. D.a­nei. Madrid. [47] Magerit V1.es/csi/pg6000. Versi on 0.martinez@rediris.es/csi/pg5m20.com 2003 .[Consulta 9 de junio de 2003] http://www.junio de 2003] http://www.pdf [42] Documentación sobre seguridad en la Comunidad RedIRIS [consulta 7 junio 2003] http://www.rediris.es/cert/doc/docu_rediris/ [43] Definición de una política de seguridad José R.es.es/index.htm [48] CHINCHON ­ Análisis del Riesgo.es/csi/fr340001. Ministerio de Ciencia y Tecnología.map.mx/lucas/Presentaciones/200211hispalinux/jfs2/linux­iso17799. Valverde JRValverde@es. Ministerio de Administraciones Publicas 2002.isecom.html [53] ISECOM Institute for security and Open methodologies OSSTMM ­ Open Source Security Testing Methodology Manual [consulta 11 junio de 2003] http://www.es) Francisco Monserrat Coll (francisco.gov/ [55] El Comité técnico del Consejo Superior de Informática de Seguridad de los Sistemas de Información y Protección de Datos Personalizados Automatizados (CITAD) [consulta 12 junio de 2003] http://www.datos. José Antonio Mañas. Versión 3. Asset.crammusergroup. normalización y conservación de las aplicaciones utilizadas para el ejercicio de potestades.sedisi.csi. febrero de 2003.es/05_index.com/ y Para obtener más información.org/octave/ [57] Documento de seguridad.alertaantivirus. Ministerios de Administraciones Públicas.aece.map. consulte: http://www. Metodología de Planificación.htm.ibiblio.map. [Consulta 8 junio de 2003] http://www. Consejo Superior de Informática y para el impulso de la Administración electrónica [Consulta 9 de junio de 2003].
pdf [61] La protección de datos personales.es/csi/pdf/modenis_en.map. Héctor Sánchez Montenegro. D.trouble. info@tripwire. Solaris [64] Tripwire 2.com/spain/technet/seguridad/otros/libro_lopd.1­2 Tripwire.1 Dan Farmer and Wietse Venema [consulta 6 junio de 2003] http://www.microsoft. D. Mario López de Ávila Muñoz. Propuesta de Decisión del Consejo (COM(2002) 425 final) (Julio 2002) (en inglés) [consulta 14 de junio de 2003] http://www.tripwire.csi. la difusión de las mejores prácticas y la mejora de las redes y la seguridad de la información (MODINIS)". Iñigo Coello de Portugal Martínez del Peral.1.3. 2002 [consulta 6 junio de 2003.pdf [63] Satan 1.[60] Adopción de un programa plurianual (2003­2005) para el seguimiento del Plan eEurope. 2003 [consulta 12 junio 2003] http://www. Inc. Gonzalo Gallo Ruiz.org/ satan/ plataformas: Linux.org plataforma: Linux 37
.org/documentos/PS17799. Fernando Parrondo García.a­nei. D.asp [62] I Programa sectorial ANEI de gestión de la Seguridad de la Información. D.com [consulta 6 de junio de 2003] http://www. La solución en entornos Microsoft. http://www.
ch/ DESCRIPCIÖN NORMA Information technology ­­ Security techniques ­­ Check character systems ISO/IEC 7064:2003 ISO 8372:1987 Information processing ­­ Modes of operation for a 64­bit block cipher algorithm ISO/IEC 9796­2:2002 Information technology ­­ Security techniques ­­ Digital signature schemes giving message recovery ­­ Part 2: Integer factorization based mechanisms Information technology ­­ Security techniques ­­ Digital signature schemes giving message recovery ­­ Part 3: Discrete logarithm based mechanisms Information technology ­­ Security techniques ­­ Message Authentication Codes (MACs) ­­ Part 1: Mechanisms using a block cipher Information technology ­­ Security techniques ­­ Message Authentication Codes (MACs) ­­ Part 2: Mechanisms using a dedicated hash­function Information technology ­­ Security techniques ­­ Entity authentication ­­ Part 1: General Information technology ­­ Security techniques ­­ Entity authentication ­­ Part 2: Mechanisms using symmetric encipherment algorithms Information technology ­­ Security techniques ­­ Entity authentication ­­ Part 3: Mechanisms using digital signature techniques Information technology ­­ Security techniques ­­ Entity authentication ­­ Part 4: Mechanisms using a cryptographic check function Information technology ­­ Security techniques ­­ Entity authentication ­­ Part 5: Mechanisms using zero knowledge techniques Information technology ­­ Security techniques ­­ Procedures for the registration of cryptographic algorithms Information technology ­­ Security techniques ­­ Modes of operation for an n­bit block cipher Information technology ­­ Security techniques ­­ Hash­functions ­­ Part 1: General Information technology ­­ Security techniques ­­ Hash­functions ­­ Part 2: Hash­functions using an n­bit block cipher Information technology ­­ Security techniques ­­ Hash­functions ­­ Part 3: Dedicated hash­functions Information technology ­­ Security techniques ­­ Hash­functions ­­ Part ISO/IEC 9796­3:2000
ISO/IEC 9797­1:1999
ISO/IEC 9797­2:2002
ISO/IEC 9798­1:1997 ISO/IEC 9798­2:1999 ISO/IEC 9798­3:1998 ISO/IEC 9798­4:1999 ISO/IEC 9798­5:1999 ISO/IEC 9979:1999 ISO/IEC 10116:1997 ISO/IEC 10118­1:2000 ISO/IEC 10118­2:2000 ISO/IEC 10118­3:2003 ISO/IEC 10118­4:1998
. El número de estándares publicados son de 47.Anexo A: Estándares internaciones ISO
El Comité Técnico ISO que trata sobre seguridad en las tecnologías de la Información es el JTC 1 / SC 27.iso. security services and guidelines Security techniques and mechanisms Security evaluation criteria
Relación de estándares: Fuente: http://www. El comité está dividido en tres grupos de trabajo Grupos de trabajo JTC 1/SC 27/WG 1 JTC 1/SC 27/WG 2 JTC 1/SC 27/WG 3 Título Requirements.
NORMA ISO/IEC 7064:2003 ISO/IEC 11770­1:1996 ISO/IEC 11770­2:1996 ISO/IEC 11770­3:1999 ISO/IEC TR 13335­1:1996 ISO/IEC TR 13335­2:1997 ISO/IEC TR 13335­3:1998 ISO/IEC TR 13335­4:2000 ISO/IEC TR 13335­5:2001 ISO/IEC 13888­1:1997 ISO/IEC 13888­2:1998 ISO/IEC 13888­3:1997 ISO/IEC TR 14516:2002 ISO/IEC 14888­1:1998 ISO/IEC 14888­2:1999 ISO/IEC 14888­3:1998 ISO/IEC 14888­3:1998/Cor 1:2001 ISO/IEC 15292:2001 ISO/IEC 15408­1:1999 ISO/IEC 15408­2:1999 ISO/IEC 15408­3:1999 ISO/IEC 15816:2002 ISO/IEC 15945:2002 ISO/IEC 15946­1:2002
DESCRIPCIÖN Information technology ­­ Security techniques ­­ Check character systems
4: Hash­functions using modular arithmetic Information technology ­­ Security techniques ­­ Key management ­­ Part 1: Framework Information technology ­­ Security techniques ­­ Key management ­­ Part 2: Mechanisms using symmetric techniques Information technology ­­ Security techniques ­­ Key management ­­ Part 3: Mechanisms using asymmetric techniques Information technology ­­ Guidelines for the management of IT Security ­­ Part 1: Concepts and models for IT Security Information technology ­­ Guidelines for the management of IT Security ­­ Part 2: Managing and planning IT Security Information technology ­­ Guidelines for the management of IT Security ­­ Part 3: Techniques for the management of IT Security Information technology ­­ Guidelines for the management of IT Security ­­ Part 4: Selection of safeguards Information technology ­­ Guidelines for the management of IT Security ­­ Part 5: Management guidance on network security Information technology ­­ Security techniques ­­ Non­repudiation ­­ Part 1: General Information technology ­­ Security techniques ­­ Non­repudiation ­­ Part 2: Mechanisms using symmetric techniques Information technology ­­ Security techniques ­­ Non­repudiation ­­ Part 3: Mechanisms using asymmetric techniques Information technology ­­ Security techniques ­­ Guidelines for the use and management of Trusted Third Party services Information technology ­­ Security techniques ­­ Digital signatures with appendix ­­ Part 1: General Information technology ­­ Security techniques ­­ Digital signatures with appendix ­­ Part 2: Identity­based mechanisms Information technology ­­ Security techniques ­­ Digital signatures with appendix ­­ Part 3: Certificate­based mechanisms
Information technology ­ Security techniques ­ Protection Profile registration procedures Information technology ­­ Security techniques ­­ Evaluation criteria for IT security ­­ Part 1: Introduction and general model Information technology ­­ Security techniques ­­ Evaluation criteria for IT security ­­ Part 2: Security functional requirements Information technology ­­ Security techniques ­­ Evaluation criteria for IT security ­­ Part 3: Security assurance requirements Information technology ­­ Security techniques ­­ Security information objects for access control Information technology ­­ Security techniques ­­ Specification of TTP services to support the application of digital signatures Information technology ­­ Security techniques ­­ Cryptographic techniques based on elliptic curves ­­ Part 1: General
información) y/o actores (usuarios) y/o de la autorización por parte de los autorizadores. necesario para que la organización funcione correctamente y alcance los objetivos propuestos por su dirección. gestión de riesgos: Proceso basado en los resultados obtenidos en el análisis de riesgos. para determinar la vulnerabilidad del sistema ante esas amenazas y para estimar el impacto o grado de perjuicio que una seguridad insuficiente puede tener para la organización. La disponibilidad se asocia a la fiabilidad técnica (tasa de fallos) de los componentes del sistema de información. reglas y prácticas. entidades o procesos no autorizados. prevenir. Por ejemplo. Ley Orgánica de Protección de Datos 15/1999 controles básicos: Conjunto mínimo de salvaguardas establecidas para un sistema o una organización disponibilidad: Característica que previene contra la denegación no autorizada de acceso a los activos. análisis de riesgos: Proceso que permite la identificación de las amenazas que acechan a los distintos componentes pertenecientes o relacionados con el sistema de información (conocidos como "activos"). cuando esa información se refiere a personas físicas. Concierne sobre todo a activos de tipo información. obteniendo cierto conocimiento del riesgo que se corre. fiabilidad: Propiedad relativa a la consistencia en el comportamiento y en los resultados deseados. autenticidad: Característica que se refiere a la comprobación y confirmación de la identidad real de los activos (procesos. reducir o controlar los riesgos identificados reduciendo de esta manera al mínimo su potencialidad o sus posibles perjuicios. contemplada en la LOPD. produciendo daños o pérdidas materia­ les o inmateriales en sus activos. política de seguridad de TI: Conjunto de normas reguladoras. impedir. impacto: Consecuencia sobre un activo de la materialización de una amenaza. que permite seleccionar e implantar las medidas o "salvaguardas" de seguridad adecuadas para conocer.NORMA ISO/IEC 7064:2003 ISO/IEC 15946­2:2002 ISO/IEC 15946­3:2002 ISO/IEC TR 15947:2002 ISO/IEC 17799:2000 ISO/IEC 18014­1:2002 ISO/IEC 18014­2:2002 ISO/IEC 21827:2002
Information technology ­­ Security techniques ­­ Cryptographic techniques based on elliptic curves ­­ Part 2: Digital signatures Information technology ­­ Security techniques ­­ Cryptographic techniques based on elliptic curves ­­ Part 3: Key establishment Information technology ­­ Security techniques ­­ IT intrusion detection framework Information technology ­­ Code of practice for information security management Information technology ­­ Security techniques ­­ Time­stamping services ­­ Part 1: Framework Information technology ­­ Security techniques ­­ Time­stamping services ­­ Part 2: Mechanisms producing independent tokens Information technology ­­ Systems Security Engineering ­­ Capability Maturity Model (SSE­CMM®)
Anexo B: Glosario según la Norma UNE 71501 IN
activo: Recurso del sistema de información o relacionado con éste. confidencialidad: Característica que evita el acceso o la divulgación de activos del dominio (información) a individuos. que determinan el 40
. La integridad está vinculada a la fiabilidad funcional del sistema de información (o sea su eficacia para cumplir las funciones del sistema de organización soportado por aquél) y suele referirse (aunque no siempre) a activos de tipo información. sistemas. son típicos los problemas causados por la amenaza de un virus (llegado con un disquete externo o a través de la red) a la integridad de los datos almacenados en el disco duro de un ordenador personal. así como la verificación de estas tres cuestiones. amenaza: Evento que puede desencadenar un incidente en la Organización. integridad: Característica que previene contra la modificación o destrucción no autorizadas de activos del dominio. y a menudo se relaciona con la intimidad o "privacidad".
acústica o de cualquier otro tipo. confidencialidad. consultas. fisiológica. trate datos personales por cuenta del responsable del tratamiento. Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no. bloqueo y cancelación. interconexiones y transferencias. su interconexión con otros ficheros y la comunicación de datos realizada por una persona distinta de la afectada. fotográfica. sólo o conjuntamente con otros. tratamiento o transmisión concerniente a una persona física identificada o identificable. tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación. u órgano administrativo. vulnerabilidad: Debilidad de un activo que puede ser explotada por una amenaza para materializar una agresión sobre dicho activo.modo en que los activos. económica. que decida sobre la finalidad. Real Decreto 994/1999. Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento. procedimiento o dispositivo. grado académico. recogen en su articulado definiciones de conceptos que facilitan la comprensión de estas leyes. en un dominio (conjunto de activos) o en toda la organización. Fichero: todo conjunto organizado de datos de carácter personal. Responsable del fichero o tratamiento: persona física o jurídica. el censo promocional. actividad.
. de 11 de junio de Medidas de Seguridad. elaboración. son gestionados. el abono de una contraprestación. los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre. seguridad de TI: Conjunto de aspectos relacionados con la autenticidad. dirección e indicación de su pertenencia al grupo. en su caso. así como las cesiones de datos que resulten de comunicaciones. de naturaleza pública o privada. título. cualquiera que fuere la forma o modalidad de su creación. Consentimiento del interesado: toda manifestación de voluntad. almacenamiento. Transferencia de datos: el transporte de datos entre sistemas informáticos por cualquier medio de transmisión. inequívoca. Datos de carácter personal: toda información numérica. específica e informada. incluyendo la información considerada como sensible. grabación. responsabilidad: Propiedad de una entidad que garantiza que las acciones de ésta (como violaciones o intentos de violación de la seguridad) queden asociadas inequívocamente a ella. profesión. Asimismo. cultural o social de la persona física afectada. contenido y uso del tratamiento. alfabética. libre. Encargado del tratamiento: la persona física o jurídica. riesgo residual: Es el riesgo que se da tras la aplicación de salvaguardas dispuestas en un escenario de simulación o en el mundo real. registro. de 13 de diciembre. susceptible de recogida. así como el transporte de soportes de datos por correo o por cualquier otro medio convencional. conservación. protegidos y distribuidos dentro de una organización. no impedida por una norma limitativa o sin más exigencia que. físico o lógico que reduce el riesgo. gráfica. salvaguarda: Acción. Procedimiento de disociación: todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable. Identificación del afectado: cualquier elemento que permita determinar directa o indirectamente la identidad física. psíquica. Cesión de datos: toda obtención de datos resultante de la consulta de un fichero. organización y acceso. Tienen la consideración de fuentes de acceso público. servicio o cualquier otro organismo que. Fuentes accesibles al público: aquellos ficheros cuya consulta puede ser realizada. modificación. que permitan la recogida. mediante la que el interesado consienta el tratamiento de datos personales que le conciernen. riesgo: Es la posibilidad de que se produzca un impacto determinado en un activo. autoridad pública. integridad y disponibilidad. exclusivamente.
Anexo C: Definiciones de conceptos de la Ley Orgánica 15/1999 y del Real Decreto 994/1999
Tanto la Ley Orgánica 15/1999. por cualquier persona. de Protección de Datos de Carácter Personal y.
es/ICTnet/cv/comunidad. Identificación: procedimiento de reconocimiento de la identidad de un usuario.upc.bitdefender. bases de datos públicas. así como los datos publicados en forma de listas de personas pertenecientes a grupos profesionales que contengan únicamente los nombres. Contraseña: información confidencial. anuarios.es (products housecall) http://www. programas. soportes y equipos empleados para el almacenamiento y tratamiento de datos de carácter personal. archivos de prensa.com/scan/indexn.spychecker.Datos accesibles al público: datos que se encuentran a disposición del público en general.com/lannetscan/index. Sistemas de información: conjunto de ficheros automatizados.zonavirus.
Anexo D: sitios de seguridad
En estas direcciones hay antivirus el línea www.snort. Incidencia: cualquier anomalía que afecte o pudiera afectar a la seguridad de los datos. títulos.securityfocus.org/links. Control de acceso: mecanismo que en función de la identificación ya autenticada permite acceder a datos o recursos. que puede ser usada en la autenticación de un usuario.com/Antivirus_on_line. profesión. frecuentemente constituida por una cadena de caracteres.es Sitio con listas de distribución e información sobre la ISO 17799 http://www.es/csi/pg7060.php www.org/ http://www.htm NESSUS: http://www. Bloqueo de datos: la identificación y reserva de datos con el fin de impedir su tratamiento.com/ Excelente sitio de seguridad Centro de Alertas del MAP http://www.php SNORT http://www.com/enterprise/products/housecall.com/ http://www.trendmicro. grados académicos.gfi.ravantivirus.ictnet.com/prestealthscan.map. Accesos autorizados: autorizaciones concedidas a un usuario para la utilización de los diversos recursos. Copia del respaldo: copia de los datos de un fichero automatizado en un soporte que posibilite su recuperación.pandasoftware. dirección e indicación de su pertenencia al grupo.htm Servicio de seguridad IRIS­CERT http://www.org/hack/scaners. repertorios de jurisprudencia.hormiga.insecure.html Landguard: http://www.safety­lab. Responsable de seguridad: persona o personas a las que el responsable del fichero ha asignado formalmente la función de coordinar y controlar las medidas de seguridad aplicables.html http://www. repertorios telefónicos o análogos. no impedida por cualquier norma limitativa.htm Shadow Security Scanner: http://www. Recurso: cualquier parte componente de un sistema de información.rediris.php http://scan.insecure.es/cert Para detección de problemas de seguridad en centros de Red­IRIS y actuación coordinada para resolverlos Universidad Politécnica de Cataluña http://escert.trendmicro­europe.com http://www.sygatetech.org/nmap/ y http://www. Usuario: sujeto o proceso autorizado para acceder a datos o recursos.com/scan/licence.com/en/ RETINA: www.nessus. y están recogidos en medios tales como censos. Soporte: objeto físico susceptible de ser tratado en un sistema informático y sobre el cual se pueden grabar o recuperar datos.org/ NMAP: http://www.eeye.jsp?area=tecInf&cv=sgsi 42
.asp lista de antivirus on line http://www.es (panda active scan) http://es. Autenticación: procedimiento de comprobación de la identidad de un usuario. actividad.
org Contingency Planning World www.iso­17799.html 43
.org National Institute of Standards and Technology www.gov Disaster Recovery Journal www. SISTAD http://www.delitosinformaticos.isaca.ips.nist.globalcontinuity.com/ Anexo E: Direcciones de interés de Criterios Comunes
Common Criteria http://www.com www.www.org www.ipsca.map.org Contingency Planning Exchange Inc www.business­continuity­world.org/epl/index.microsoft.htm Perfiles de Protección Evaluados http://www.gov/cc­scheme/PPRegistry.com/spain/seguridad ISO 17799 Directory www.com http://www.com Information Systems Auditand Control Association www.ncsc.html http://niap.es/csi/pg6000.org Globalcontinuity www.thebci.org Consejo Superior de Informática.commoncriteria.drii.commoncriteria.com Disaster Recovery Institute International www.es www.criptonomicon.com Business Continuity Institute www.mil/tpep/library/protection_profiles/index.drj.radium.cpeworld.nist.html Productos Comerciales Evaluados http://www.com www.agenciaprotecciondatos.
Leer más sobre este usuarioAlfasa Ahorro Credito Gestion BancariaV2 Prese p Escritorio
Metodologia de Seguridad por Lexvarela37 visitaInsertarDescargaLeer en Scribd móvil: iPhone, iPad y Android.Copyright: Attribution Non-Commercial (BY-NC)Precio de lista: $0.00Download as PDF, TXT or read online from ScribdFlag for inappropriate contentMás informaciónMostrar menos
RelacionadoOtro Documento Maspor dragonkiller50820alsdfcnejsbfkuegfpor dragonkiller50820Concu Pythonpor dragonkiller50820Manual PHPpor dragonkiller50820Python Para Principiantespor dragonkiller50820Manual de Cardingpor dragonkiller50820Yo Contribuyendo a Scribdpor dragonkiller50820Manual de Cardingpor dragonkiller50820Backtrack 5 Manual Traducidopor dragonkiller50820191227113 Copia Trabajo de Estadisticapor dragonkiller50820Administracion Avanzada Del Sistema Operativo Linuxpor dragonkiller50820Teoria General de Sistemaspor dragonkiller50820Empezando en Unity3D - By Indexpor dragonkiller50820Universidad Catolicapor dragonkiller50820YoVilleBookpor dragonkiller50820Phppor dragonkiller50820More from dragonkiller50820Otro Documento MasalsdfcnejsbfkuegfConcu PythonManual PHPPython Para PrincipiantesManual de CardingYo Contribuyendo a ScribdManual de CardingBacktrack 5 Manual Traducido191227113 Copia Trabajo de EstadisticaAdministracion Avanzada Del Sistema Operativo LinuxTeoria General de SistemasEmpezando en Unity3D - By IndexUniversidad CatolicaYoVilleBookPhpPhpel método de combate de bruce lee técnicas avanzadas

References: Real Decreto 
 Resolución 
 Real Decreto 

Real Decreto 
 Real Decreto 
 REAL DECRETO 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto