Source: http://docplayer.es/1463051-Guia-de-seguridad-ccn-stic-804-esquema-nacional-de-seguridad-guia-de-implantacion.html
Timestamp: 2017-04-30 11:21:18
Document Index: 86572645

Matched Legal Cases: ['artículo 4', 'artículo 4', 'artículo 9', 'artículo 42', 'artículo 43', 'Artículo 5', 'Artículo 9', 'Artículo 7', 'Artículo 9', 'Artículo 9', 'Artículo 9', 'Artículo 5', 'Artículo 6', 'Artículo 7', 'Artículo 8', 'Artículo 9', 'artículo 9', 'artículo 9']

GUÍA DE SEGURIDAD (CCN-STIC 804) ESQUEMA NACIONAL DE SEGURIDAD GUÍA DE IMPLANTACIÓN - PDF
Download "GUÍA DE SEGURIDAD (CCN-STIC 804) ESQUEMA NACIONAL DE SEGURIDAD GUÍA DE IMPLANTACIÓN"
Catalina Vera Cuenca
1 GUÍA DE SEGURIDAD (CCN-STIC 804) ESQUEMA NACIONAL DE SEGURIDAD GUÍA DE IMPLANTACIÓN MARZO 20132 Edita: Editor y Centro Criptológico Nacional, 2013 Fecha de Edición: marzo de 2013 El Sr. José Antonio Mañas ha elaborado el presente documento y sus anexos. El Ministerio de Hacienda y Administraciones Públicas ha financiado el desarrollo del presente documento y sus anexos. LIMITACIÓN DE RESPONSABILIDAD El presente documento se proporciona de acuerdo con los términos en él recogidos, rechazando expresamente cualquier tipo de garantía implícita que se pueda encontrar relacionada. En ningún caso, el Centro Criptológico Nacional puede ser considerado responsable del daño directo, indirecto, fortuito o extraordinario derivado de la utilización de la información y software que se indican incluso cuando se advierta de tal posibilidad. AVISO LEGAL Quedan rigurosamente prohibidas, sin la autorización escrita del Centro Criptológico Nacional, bajo las sanciones establecidas en las leyes, la reproducción parcial o total de este documento por cualquier medio o procedimiento, comprendidos la reprografía y el tratamiento informático, y la distribución de ejemplares del mismo mediante alquiler o préstamo públicos. Centro Criptológico Nacional i3 PRÓLOGO El uso masivo de las tecnologías de la información y las telecomunicaciones (TIC), en todos los ámbitos de la sociedad, ha creado un nuevo espacio, el ciberespacio, donde se producirán conflictos y agresiones, y donde existen ciberamenazas que atentarán contra la seguridad nacional, el estado de derecho, la prosperidad económica, el estado de bienestar y el normal funcionamiento de la sociedad y de las administraciones públicas. La Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia, encomienda al Centro Nacional de Inteligencia el ejercicio de las funciones relativas a la seguridad de las tecnologías de la información en su artículo 4.e), y de protección de la información clasificada en su artículo 4.f), a la vez que confiere a su Secretario de Estado Director la responsabilidad de dirigir el Centro Criptológico Nacional en su artículo 9.2.f). Partiendo del conocimiento y la experiencia del CNI sobre amenazas y vulnerabilidades en materia de riesgos emergentes, el Centro realiza, a través de su Centro Criptológico Nacional, regulado por el Real Decreto 421/2004, de 12 de marzo, diversas actividades directamente relacionadas con la seguridad de las TIC, orientadas a la formación de personal experto, a la aplicación de políticas y procedimientos de seguridad, y al empleo de tecnologías de seguridad adecuadas. Una de las funciones más destacables del Centro Criptológico Nacional es la de elaborar y difundir normas, instrucciones, guías y recomendaciones para garantizar la seguridad de los sistemas de las tecnologías de la información y las comunicaciones de la Administración, materializada en la existencia de la serie de documentos CCN-STIC. Disponer de un marco de referencia que establezca las condiciones necesarias de confianza en el uso de los medios electrónicos es, además, uno de los principios que establece la ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos, en su artículo 42.2 sobre el Esquema Nacional de Seguridad (ENS). Precisamente el Real Decreto 3/2010 de 8 de Enero de desarrollo del Esquema Nacional de Seguridad fija los principios básicos y requisitos mínimos así como las medidas de protección a implantar en los sistemas de la Administración, y promueve la elaboración y difusión de guías de seguridad de las tecnologías de la información y las comunicaciones por parte de CCN para facilitar un mejor cumplimiento de dichos requisitos mínimos. En definitiva, la serie de documentos CCN-STIC se elabora para dar cumplimiento a los cometidos del Centro Criptológico Nacional y a lo reflejado en el Esquema Nacional de Seguridad, conscientes de la importancia que tiene el establecimiento de un marco de referencia en esta materia que sirva de apoyo para que el personal de la Administración lleve a cabo su difícil, y en ocasiones, ingrata tarea de proporcionar seguridad a los sistemas de las TIC bajo su responsabilidad. Marzo de 2013 Félix Sanz Roldán Secretario de Estado Director del Centro Criptológico Nacional Centro Criptológico Nacional ii4 ÍNDICE 1. INTRODUCCIÓN NIVELES DE MADUREZ [ORG] MARCO ORGANIZATIVO [ORG.1] POLÍTICA DE SEGURIDAD [ORG.2] NORMATIVA DE SEGURIDAD [ORG.3] PROCEDIMIENTOS OPERATIVOS DE SEGURIDAD [ORG.4] PROCESO DE AUTORIZACIÓN [OP] MARCO OPERACIONAL [OP.PL] PLANIFICACIÓN [op.pl.1] Análisis de riesgos [op.pl.2] Arquitectura de seguridad [op.pl.3] Adquisición de nuevos componentes [op.pl.4] Dimensionamiento / Gestión de capacidades [op.pl.5] Componentes certificados [OP.ACC] CONTROL DE ACCESO [op.acc.1] Identificación [op.acc.2] Requisitos de acceso [op.acc.3] Segregación de funciones y tareas [op.acc.4] Proceso de gestión de derechos de acceso [op.acc.5] Mecanismo de autenticación Contraseñas (secretos compartidos en general) Claves concertadas Llaves o tarjetas Biometría [op.acc.6] Acceso local (local logon) [op.acc.7] Acceso remoto (remote login) [OP.EXP] EXPLOTACIÓN [op.exp.1] Inventario de activos [op.exp.2] Configuración de seguridad [op.exp.3] Gestión de la configuración [op.exp.4] Mantenimiento [op.exp.5] Gestión de cambios [op.exp.6] Protección frente a código dañino [op.exp.7] Gestión de incidencias [op.exp.8] Registro de la actividad de los usuarios [op.exp.9] Registro de la gestión de incidencias [op.exp.10] Protección de los registros [op.exp.11] Protección de las claves criptográficas [OP.EXT] SERVICIOS EXTERNOS [op.ext.1] Contratación y acuerdos de nivel de servicio [op.ext.2] Gestión diaria [op.ext.9] Medios alternativos [OP.CONT] CONTINUIDAD DEL SERVICIO [op.cont.1] Análisis de impacto [op.cont.2] Plan de continuidad [op.cont.3] Pruebas periódicas [OP.MON] MONITORIZACIÓN DEL SISTEMA [op.mon.1] Detección de intrusión [op.mon.2] Sistema de métricas Centro Criptológico Nacional iii5 5. [MP] MEDIDAS DE PROTECCIÓN [MP.IF] PROTECCIÓN DE LAS INSTALACIONES E INFRAESTRUCTURAS [mp.if.1] Áreas separadas y con control de acceso [mp.if.2] Identificación de las personas [mp.if.3] Acondicionamiento de los locales [mp.if.4] Energía eléctrica [mp.if.5] Protección frente a incendios [mp.if.6] Protección frente a inundaciones [mp.if.7] Registro de entrada y salida de equipamiento [mp.if.9] Instalaciones alternativas [MP.PER] GESTIÓN DEL PERSONAL [mp.per.1] Caracterización del puesto de trabajo [mp.per.2] Deberes y obligaciones [mp.per.3] Concienciación [mp.per.4] Formación [mp.per.9] Personal alternativo [MP.EQ] PROTECCIÓN DE LOS EQUIPOS [mp.eq.1] Puesto de trabajo despejado [mp.eq.2] Bloqueo de puesto de trabajo [mp.eq.3] Protección de equipos portátiles [mp.eq.9] Medios alternativos [MP.COM] PROTECCIÓN DE LAS COMUNICACIONES [mp.com.1] Perímetro seguro [mp.com.2] Protección de la confidencialidad [mp.com.3] Protección de la autenticidad y de la integridad [mp.com.4] Segregación de redes [mp.com.9] Medios alternativos [MP.SI] PROTECCIÓN DE LOS SOPORTES DE INFORMACIÓN [mp.si.1] Etiquetado [mp.si.2] Criptografía [mp.si.3] Custodia [mp.si.4] Transporte [mp.si.5] Borrado y destrucción [MP.SW] PROTECCIÓN DE LAS APLICACIONES INFORMÁTICAS [mp.sw.1] Desarrollo [mp.sw.2] Aceptación y puesta en servicio [MP.INFO] PROTECCIÓN DE LA INFORMACIÓN [mp.info.1] Datos de carácter personal [mp.info.2] Clasificación de la información [mp.info.3] Cifrado [mp.info.4] Firma electrónica Política de firma electrónica Uso de claves concertadas para firmar Código seguro de verificación [mp.info.5] Sellos de tiempo [mp.info.6] Limpieza de documentos [mp.info.9] Copias de seguridad (backup) [MP.S] PROTECCIÓN DE LOS SERVICIOS [mp.s.1] Protección del correo electrónico ( ) [mp.s.2] Protección de servicios y aplicaciones web [mp.s.8] Protección frente a la denegación de servicio [mp.s.9] Medios alternativos CORRESPONDENCIA CON OTRAS NORMAS DE SEGURIDAD [ORG] MARCO ORGANIZATIVO Centro Criptológico Nacional iv6 6.2. [OP.PL] PLANIFICACIÓN [OP.ACC] CONTROL DE ACCESO [OP.EXP] EXPLOTACIÓN [OP.EXT] SERVICIOS EXTERNOS [OP.CONT] CONTINUIDAD DEL SERVICIO [OP.MON] MONITORIZACIÓN DEL SISTEMA [MP.IF] PROTECCIÓN DE LAS INSTALACIONES E INFRAESTRUCTURAS [MP.PER] GESTIÓN DEL PERSONAL [MP.EQ] PROTECCIÓN DE LOS EQUIPOS [MP.COM] PROTECCIÓN DE LAS COMUNICACIONES [MP.SI] PROTECCIÓN DE LOS SOPORTES DE INFORMACIÓN [MP.SW] PROTECCIÓN DE LAS APLICACIONES INFORMÁTICAS [MP.INFO] PROTECCIÓN DE LA INFORMACIÓN [MP.S] PROTECCIÓN DE LOS SERVICIOS ANEXO A. GLOSARIO Y ABREVIATURAS ANEXO B. REFERENCIAS ANEXO C. SECURITY ENGINEERING PRINCIPLES Centro Criptológico Nacional v7 1. INTRODUCCIÓN 1. Esta guía establece unas pautas de carácter general que son aplicables a entidades de distinta naturaleza, dimensión y sensibilidad sin entrar en casuísticas particulares. Se espera que cada organización las particularice para adaptarlas a su entorno singular. 2. El Esquema Nacional de Seguridad establece una serie de medidas de seguridad en su Anexo II que están condicionadas a la valoración (Anexo III) del nivel de seguridad en cada dimensión, y a la categoría (artículo 43) del sistema de información de que se trate. A su vez, la categoría del sistema se calcula en función del nivel de seguridad en cada dimensión. 3. Estas medidas constituyen un mínimo que se debe implementar, o justificar los motivos por los cuales no se implementan o se sustituyen por otras medidas de seguridad que alcancen los mismos efectos protectores sobre la información y los servicios. 4. Esta guía busca ayudar a los responsables de los sistemas para que puedan implantar rápida y efectivamente las medidas requeridas, sin perjuicio de que empleen recursos propios o recurran a proveedores y productos externos. 5. Para cada medida se proporciona: una descripción más amplia que la proporcionada en el ENS, referencias externas que ayuden a su comprensión y realización, relación con medidas o controles en otros esquemas de seguridad, relación con los principios básicos recogidos en el ENS, indicaciones de lo que se considerará evidencia suficiente de cara a una evaluación de la seguridad 2. NIVELES DE MADUREZ 6. Es habitual el empleo de niveles de madurez para caracterizar la implementación de un proceso. El modelo de madurez1 permite describir las características que hacen un proceso efectivo, midiendo el grado o nivel de profesionalización de la actividad. 7. Los niveles identificados son los siguientes: nivel L0 L1 L2 descripción Inexistente. Esta medida no está siendo aplicada en este momento. Inicial / ad hoc. Cuando la organización no proporciona un entorno estable. El éxito o fracaso del proceso depende de la competencia y buena voluntad de las personas. Pese a un naturaleza caótica, es más que no tener nada; pero es difícil prever la reacción ante una situación de emergencia. Repetible, pero intuitivo. Cuando existe un mínimo de planificación que, acompañada de la buena voluntad de las personas proporciona una pauta a seguir cuando se repiten las mismas circunstancias. Es impredecible el resultado si se dan circunstancias nuevas. 1 CMM - Capability Maturity Model, Carnegie Mellon University, CMU. Centro Criptológico Nacional 68 L3 L4 L5 Proceso definido. Se dispone un catálogo de procesos que se mantiene actualizado. Estos procesos garantizan la consistencia de las actuaciones entre las diferentes partes de la organización, que adaptan sus procesos particulares al proceso general. Una diferencia importante entre el nivel 2 y el nivel 3 es la coordinación entre departamentos y proyectos, coordinación que no existe en el nivel 2, y que se gestiona en el nivel 3. Gestionado y medible. Cuando se dispone de un sistema de medidas y métricas para conocer el desempeño (eficacia y eficiencia) de los procesos. La Dirección es capaz de establecer objetivos cualitativos a alcanzar y dispone de medios para valorar si se han alcanzado los objetivos y en qué medida. Optimizado. En este nivel la organización es capaz de mejorar el desempeño de los sistemas a base de una mejora continua de los procesos basada en los resultados de las medidas e indicadores. 8. Como regla general, se exigirá un nivel de madurez en las medidas en proporción al nivel de las dimensiones afectadas o de la categoría del sistema: nivel categoría nivel de madurez mínimo BAJO BÁSICA L2 - Repetible, pero intuitivo MEDIO MEDIA L3 - Proceso definido ALTO ALTA L4 - Gestionado y medible 3. [ORG] MARCO ORGANIZATIVO 9. Toda Organización necesita organizarse para poder asegurar el alcance de sus objetivos, definiendo funciones y estableciendo responsabilidades y canales de coordinación. Esta estructura permite la gestión día a día de las actividades rutinarias y la resolución ordenada de los incidentes que puedan sobrevenir. 10. Toda estructura organizativa necesita una evaluación constante y un análisis de la respuesta a los incidentes de forma que se aprende de la experiencia, se corrigen defectos o debilidades y se busca la excelencia por medio de la mejora continua. 11. La organización en materia de seguridad no puede sino estar alineada y servir a la misión del organismo, ajustándose a las necesidades de los servicios que se prestan. 12. La carencia de una organización formal y efectiva se traduce en unas prestaciones inciertas, cuyo resultado depende de la fortuna y el buen tino de los miembros de la organización, sin poder asegurar que se vayan a alcanzar los objetivos propuestos, ni tan siquiera pueda decirse que la Organización está bajo control. 13. Referencias Guía CCN-STIC 801 Roles y funciones. Guía CCN-STIC 402 Organización y Gestión para la Seguridad de los Sistemas TIC Centro Criptológico Nacional 79 Guía CCN-STIC 201 Organización y Gestión para la Seguridad de las STIC NIST SP Guide for Applying the Risk Management Framework to Federal Information Systems: A Security Life Cycle Approach NIST SP Managing Information Security Risk: Organization, Mission, and Information System View o PM-2 - Senior Information Security Officer NIST SP An Introduction to Computer Security: The NIST Handbook o Chapter 3 Roles and Responsibilities o 6 Organización para la seguridad de la información o 6.1 Organización interna ISO/IEC ISMS Implementation Guidance o Annex B Roles and responsibilities for Information Security 3.1. [ORG.1] POLÍTICA DE SEGURIDAD 14. La guía CCN-STIC 805 trata esta sección en detalle. 15. Son de especial relevancia los siguientes principios básicos: Artículo 5. La seguridad como un proceso integral. Artículo 9. Revaluación periódica. 16. También son dignos de mención los siguientes principios recogidos de la guía NIST SP (Rev. A): Principle 1. Establish a sound security policy as the foundation for design. Principle 24. Strive for simplicity. 17. Referencias: Guía CCN-STIC 805 Política de Seguridad NIST SP An Introduction to Computer Security: The NIST Handbook o Chapter 5 Computer Security Policy o [PM-2] Senior Information Security Officer o [PM-11] Mission / business Process Definition o 5.1 Política de seguridad de la información o Compromiso de la Dirección con la seguridad de la información o Asignación de responsabilidades relativas a la seguridad de la información o Identificación de legislación aplicable Centro Criptológico Nacional 810 3.2. [ORG.2] NORMATIVA DE SEGURIDAD 18. Conjunto de documentos que, sin entrar en detalles, establecen la forma de afrontar un cierto tema en materia de seguridad. Definen la posición del organismo en aspectos concretos y sirven para indicar cómo se debe actuar en caso de que una cierta circunstancia no esté recogida en un procedimiento explícito o que el procedimiento pueda ser impreciso o contradictorio en sus términos. 19. A veces se denominan policies (en inglés). 20. A veces se denominan standards (en inglés). 21. Las normas deben centrarse en los objetivos que se desean alcanzar, antes que en la forma de lograrlo. Los detalles los proporcionarán los procedimientos. Las normas ayudan a tomar la decisión correcta en caso de duda. 22. Las normas deben describir lo que se considera uso correcto, así como lo que se considera uso incorrecto. 23. La normativa tiene carácter de obligado cumplimiento. Esto debe destacarse, así como las consecuencias derivadas de su incumplimiento (medidas disciplinarias). 24. Cada norma debe indicar la forma de localizar los procedimientos que se han desarrollado en la materia tratada. Es difícil que la norma cubra todos los procedimientos desarrollados. 25. Las normas deben escribirlas personas expertas en la materia, conocedoras de la postura de la Dirección, de las posibilidades y limitaciones de la tecnología correspondiente y con experiencia en los incidentes o situaciones típicas que pueden encontrarse los usuarios. Las normas deben ser revisadas por el departamento de asesoría legal, tanto para evitar el incumplimiento de alguna norma de rango superior, como para introducir registros que puedan ser requeridos como pruebas fehacientes en caso de conflicto. 26. Las normas deben ser realistas y viables. Deben ser concisas (sin perder precisión) y sin ambigüedades. Deben estar motivadas, ser descriptivas y definir puntos de contacto para su interpretación correcta. 27. Normativa típica: control de acceso protección de los autenticadores (contraseñas, tarjetas, etc) puesto de trabajo despejado y equipos desatendidos protección frente a software malicioso: virus, spyware, adware, desarrollo de aplicaciones (software) instalación de aplicaciones (software) acceso remoto tele-trabajo uso de portátiles gestión de soportes de información removibles (tales como CD, llaves USB, etc) tratamiento de la información impresa: copias, almacenamiento y destrucción uso del correo electrónico uso de la web problemas de ingeniería social criterios de clasificación de la información copias de respaldo (backups) relaciones con terceros (proveedores externos) Centro Criptológico Nacional 911 o acuerdos de confidencialidad o cooperación preventiva o resolución de incidencias 28. Son de especial relevancia los siguientes principios básicos: Artículo 7. Prevención, reacción y recuperación. Artículo 9. Revaluación periódica. 29. También son dignos de mención los siguientes principios recogidos de la guía NIST SP (Rev. A): Principle 13. Use common language in developing security requirements. Principle 24. Strive for simplicity. 30. Referencias: Guía CCN-STIC 821 Normas de Seguridad The SANS Security Policy Project o todos los capítulos incluyen un apartado sobre este asunto o [PL-4] Rules of Behavior o [SA-8] Security Engineering Principles NIST SP An Introduction to Computer Security: The NIST Handbook o Condiciones de uso de los activos o Política de uso de los servicios de red o Teletrabajo o Política de uso de controles criptográficos o Derechos de propiedad intelectual (IPR) ISO/IEC ISMS Implementation Guidance o Annex D Structure of documentation Centro Criptológico Nacional 1012 Is it a Policy, a Standard or a Guideline? What's in a name? We frequently hear people use the names "policy", "standard", and "guideline" to refer to documents that fall within the policy infrastructure. So that those who participate in this consensus process can communicate effectively, we'll use the following definitions. A policy is typically a document that outlines specific requirements or rules that must be met. In the information/network security realm, policies are usually point-specific, covering a single area. For example, an "Acceptable Use" policy would cover the rules and regulations for appropriate use of the computing facilities. A standard is typically collections of system-specific or procedural-specific requirements that must be met by everyone. For example, you might have a standard that describes how to harden a Windows NT workstation for placement on an external (DMZ) network. People must follow this standard exactly if they wish to install a Windows NT workstation on an external network segment. A guideline is typically a collection of system specific or procedural specific "suggestions" for best practice. They are not requirements to be met, but are strongly recommended. Effective security policies make frequent references to standards and guidelines that exist within an organization [ORG.3] PROCEDIMIENTOS OPERATIVOS DE SEGURIDAD 31. Conjunto de documentos que describen paso a paso cómo realizar una cierta actividad. Facilitan las tareas rutinarias evitando que se olviden pasos importantes. Lo que nunca debe ocurrir es que una cierta actividad sólo sepa hacerla una determinada persona; debe estar escrito cómo se hace para que la persona pueda ser remplazada. 32. A veces se denominan guías. 33. Cada procedimiento debe detallar: en qué condiciones debe aplicarse quién es el que debe llevarlo a cabo qué es lo que hay que hacer en cada momento, incluyendo el registro de la actividad realizada cómo identificar situaciones anómalas y cuál es mecanismo para escalar la situación cómo se reportan deficiencias en los procedimientos 34. El conjunto de procedimientos debe cubrir un alto porcentaje (al menos el 80%) de las actividades rutinarias, así como aquellas tareas que se realizan con poca frecuencia pero exigen seguir unos pasos determinados muy precisos. 35. Nunca se puede decir que hay demasiados procedimientos. Cuantos más, mejor. 36. No obstante, es mejor no tener un procedimiento que tener un procedimiento erróneo o anticuado. 37. Debe existir un mecanismo para que los usuarios accedan rápidamente a la una versión actualizada de los procedimientos que les afectan. El uso de la intranet como repositorio de documentos es muy eficaz, aunque hay que prever algunas copias en papel para aquellas actividades que hay que realizar cuando falla intranet. Centro Criptológico Nacional 1113 38. Debe existir un proceso para que los usuarios puedan reportar errores, inexactitudes o carencias en los procedimientos y se proceda a la revisión y actualización del procedimiento. 39. Son de especial relevancia los siguientes principios básicos: Artículo 9. Revaluación periódica. 40. También son dignos de mención los siguientes principios recogidos de la guía NIST SP (Rev. A): Principle 11. Protect against all likely classes of attacks. Principle 15. Strive for operational ease of use. Principle 18. Provide assurance that the system is, and continues to be, resilient in the face of expected threats. Principle 23. Develop and exercise contingency or disaster recovery procedures to ensure appropriate availability. Principle 28. Ensure proper security in the shutdown or disposal of a system. 41. Referencias: Guía CCN-STIC 822 Procedimientos Operativos de Seguridad NIST SP rev3 o todos los capítulos incluyen un apartado sobre este asunto o Documentación de los procedimientos de operación 3.4. [ORG.4] PROCESO DE AUTORIZACIÓN 42. Ningún sistema de información con responsabilidades sobre la información que maneja o los servicios que presta debería admitir elementos no autorizados por cuanto la libre incorporación de elementos socavaría de raíz la confianza en el sistema. 43. El ENS singulariza una serie de elementos, sin perjuicio de que se aplique siempre la regla de se requiere autorización previa : a. Utilización de instalaciones, habituales y alternativas. b. Entrada de equipos en producción, en particular, equipos que involucren criptografía. c. Entrada de aplicaciones en producción. d. Establecimiento de enlaces de comunicaciones con otros sistemas. e. Utilización de medios de comunicación, habituales y alternativos. f. Utilización de soportes de información. g. Utilización de equipos móviles. Se entenderá por equipos móviles ordenadores portátiles, PDA, u otros de naturaleza análoga. h. Utilización de equipos propiedad del usuario (BYOD Bring Your Own Device) 44. El proceso de autorización requiere: Centro Criptológico Nacional 1214 que esté definido en la normativa de seguridad la persona o punto de contacto para autorizar un determinado componente o actuación que exista un formulismo (o sea, un formulario) para solicitar la autorización, indicando lo que se desea y la motivación; esta solicitud deberá incorporar los siguientes elementos: o descripción precisa del elemento o actuación para el que se solicita autorización o descripción precisa de las actividades para las que se requiere el nuevo componente o justificación de que nuevo componente no afecta a otras funcionalidades del sistema o si el nuevo componente introduce posibles vulnerabilidades (es decir, si expone al sistema a nuevas o renovadas amenazas), deberá anexarse un análisis de riesgos y las medidas que se toman para gestionarlo; este análisis de riesgos tendrá la intensidad proporcionada a la categoría del sistema, como se establece en [op.pl.1] o justificación de que no se viola ninguna normativa de seguridad o información de los procedimientos de seguridad que son aplicables al caso o, si fuere necesario, la necesidad de desarrollar algún nuevo procedimiento específico que se requiera la aprobación formal de la petición (o sea, la firma del responsable) antes de la actuación 45. Si se requieren nuevos procedimientos, la autorización puede ser temporal con un plazo límite para desarrollar los nuevos procedimientos y formalizar la autorización definitiva. 46. La autorización sólo cubrirá la utilización de los nuevos recursos para los objetivos explícitamente aprobados. 47. Son de especial relevancia los siguientes principios básicos: Artículo 9. Revaluación periódica. 48. También son dignos de mención los siguientes principios recogidos de la guía NIST SP (Rev. A): Principle 7. Identify potential trade-offs between reducing risk and increased costs and decrease in other aspects of operational effectiveness Principle 15. Strive for operational ease of use. 49. Referencias: NIST SP rev3 o [PM-10] Security Authorization Process o [CA-3] Information System Connections o [CA-6] Security Authorization o Proceso de autorización de recursos para el tratamiento de la información o Control de conexión a la red o Control del software en explotación Manageable Network Plan o Milestone 7: Manage Your Network, Part II (Baseline Management) Centro Criptológico Nacional 1315 4. [OP] MARCO OPERACIONAL 50. Medidas a tomar para proteger la operación del sistema como conjunto integral de componentes para un fin [OP.PL] PLANIFICACIÓN 51. Actividades previas a la puesta en explotación. 52. Son de especial relevancia los siguientes principios básicos: Artículo 5. La seguridad como un proceso integral. Artículo 6. Gestión de la seguridad basada en los riesgos. 53. También son dignos de mención los siguientes principios recogidos de la guía NIST SP (Rev. A): Principle 1. Establish a sound security policy as the foundation for design. Principle 2. Treat security as an integral part of the overall system design. Principle 5. Reduce risk to an acceptable level. Principle 7. Identify potential trade-offs between reducing risk and increased costs and decrease in other aspects of operational effectiveness Principle 8. Implement tailored system security measures to meet organizational security goals 54. Referencias o [CA-5] Plan of Action and Milestones [OP.PL.1] ANÁLISIS DE RIESGOS 55. El análisis de riesgos permite 1. validar el conjunto de medidas de seguridad implantado, 2. detectar la necesidad de medidas adicionales y 3. justificar el uso de medidas de protección alternativas. 56. Todo análisis de riesgos debe identificar y priorizar los riesgos más significativos a fin de conocer los riesgos a los que estamos sometidos y tomar las medidas oportunas, técnicas o de otro tipo 57. El análisis de riesgos debe ser una actividad recurrente; es decir, se debe mantener actualizado. 58. El aspecto formal exige que el análisis esté documentado y aprobado. La documentación debe incluir los criterios utilizados para seleccionar y valorar activos, amenazas y salvaguardas. 59. Un análisis de riesgos debe ser realizado: durante la especificación de un nuevo sistema, para determinar los requisitos de seguridad que deben incorporarse a la solución durante el desarrollo de un nuevo sistema, para analizar opciones Centro Criptológico Nacional 1416 durante la operación del sistema, para ajustar a nuevos activos, nuevas amenazas, nuevas vulnerabilidades y nuevas salvaguardas 60. Todo sistema opera bajo una situación de cierto riesgo residual. El riesgo residual debe estar documentado y aprobado por el responsable de la información y del servicio correspondiente(s). Categoría BÁSICA 61. El análisis de riesgos puede ser informal; es decir, un documento que describa la valoración del sistema (Anexo I), las principales amenazas que cabe esperar y las medidas que se han tomado para enfrentarlas. Por último se hará una estimación del riesgo residual. Categoría MEDIA 62. El análisis de riesgos debe ser semiformal, introduciendo tablas para analizar las amenazas que cabe esperar, las salvaguardas implantadas y el riesgo residual. Categoría ALTA 63. El análisis debe ser formal, valorando activos, amenazas y salvaguardas para deducir el nivel de riesgo residual en el que se opera. El formalismo debe plasmarse en un modelo matemático que esté reconocido internacionalmente. Es conveniente emplear alguna herramienta de soporte para afrontar la actualización regular de los cálculos ante nuevas amenazas o cambios en el sistema- 64. Referencias: Magerit v3: Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información; Ministerio de Administraciones Públicas; Consejo Superior de Administración Electrónica. administracionelectronica.gob.es/ PILAR Herramienta de Análisis y Gestión de Riesgos https://www.ccn-cert.cni.es/ Guía CCN-STIC 470 Manual Herramienta de Análisis de Riesgos PILAR 4.1 https://www.ccn-cert.cni.es/ UNE Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información; AENOR Agencia Española de Normalización o [RA-3] Risk Assessment o [PM-9] Risk Management Strategy NIST SP Risk Management Guide for Information Technology Systems NIST SP Guide for Applying the Risk Management Framework to Federal Information Systems: A Security Life Cycle Approach NIST SP Managing Risk from Information Systems: An Organizational Perspective o cláusula 4. Evaluación y tratamiento de los riesgos o Análisis y especificación de los requisitos de seguridad Centro Criptológico Nacional 1517 ISO/IEC Information security risk management [OP.PL.2] ARQUITECTURA DE SEGURIDAD 65. Esta medida es básicamente documental y descriptiva de cómo es el sistema de información y el sistema de gestión del mismo. 66. La arquitectura de seguridad es elaborada bajo la dirección del Responsable del Sistema, y es aprobada por el Responsable de Seguridad. 67. Son de especial relevancia los siguientes principios básicos: Artículo 7. Prevención, reacción y recuperación. Artículo 8. Líneas de defensa. 68. También son dignos de mención los siguientes principios recogidos de la guía NIST SP (Rev. A): Principle 3. Clearly delineate the physical and logical security boundaries governed by associated security policies. Principle 6. Assume that external systems are insecure. Principle 9. Protect information while being processed, in transit, and in storage. Principle 11. Protect against all likely classes of attacks. Principle 15. Strive for operational ease of use. Principle 16. Implement layered security (Ensure no single point of vulnerability). Principle 20. Isolate public access systems from mission critical resources (e.g., data, processes, etc.). Principle 21. Use boundary mechanisms to separate computing systems and network infrastructures. Principle 22. Design and implement audit mechanisms to detect unauthorized use and to support incident investigations. Principle 24. Strive for simplicity. Principle 25. Minimize the system elements to be trusted. Principle 30. Implement security through a combination of measures distributed physically and logically. Principle 31 (formerly 15). Formulate security measures to address multiple overlapping information domains. Principle 32. Authenticate users and processes to ensure appropriate access control decisions both within and across domains. 69. Referencias: o [CA-3] Information System Connections o [PM-3] Information Security Resources o [PM-7] Enterprise Architecture o [PM-8] Critical Infrastructure Plan o [SA-5] Information System Documentation o [SA-9] External Information System Services o [CM-8] Information System Component Inventory o [SI-10] Information Input Validation o [SI-11] Error Handling Centro Criptológico Nacional 1618 o Tratamiento de la seguridad en las relaciones con los clientes o Seguridad en la documentación del sistema o Política de control de acceso o 12.1 Requisitos de seguridad ISO/IEC Requisitos de un sistema de gestión de la información. Manageable Network Plan o Milestone 1: Prepare to Document o Milestone 2: Map Your Network o Milestone 3: Protect Your Network (Network Architecture) o Milestone 4: Reach Your Network (Device Accessibility) o Milestone 8: Document Your Network [OP.PL.3] ADQUISICIÓN DE NUEVOS COMPONENTES 70. La adquisición de nuevos componentes debe tener en cuenta el análisis de riesgos [op.pl.1] ajustarse a la arquitectura de seguridad [op.pl.2] prever los recursos necesarios, esfuerzo y medios económicos para o la implantación inicial o el mantenimiento a lo largo de su vida útil o atender a la evolución de la tecnología en todo momento se atenderá tanto a las necesidades técnicas como a la necesaria concienciación y formación de las personas que van a trabajar con los componentes 71. Son de especial relevancia los siguientes principios básicos: Artículo 9. Reevaluación periódica. 72. También son dignos de mención los siguientes principios recogidos de la guía NIST SP (Rev. A): Principle 10. Consider custom products to achieve adequate security. Principle 12. Where possible, base security on open standards for portability and interoperability. Principle 13. Use common language in developing security requirements. Principle 14. Design security to allow for regular adoption of new technology, including a secure and logical technology upgrade process. Principle 15. Strive for operational ease of use. Principle 16. Implement layered security (Ensure no single point of vulnerability). Principle 22. Design and implement audit mechanisms to detect unauthorized use and to support incident investigations. Principle 24. Strive for simplicity. Principle 25. Minimize the system elements to be trusted. 73. Referencias: o [PL-1] Security Planning Policy and Procedures o [PL-2] System Security Plan o [PL-3] System Security Plan Update (withdrawn) o [PL-6] Security-Related Activity Planning o [SA-1] System and Services Acquisition Policy and Procedures Centro Criptológico Nacional 1719 o [SA-2] Allocation of Resources o [SA-3] Life Cycle Support o [SA-4] Acquisitions o [SA-8] Security Engineering Principles NIST SP Guide for Developing Security Plans for Federal Information Systems NIST SP Integrating IT Security into the Capital Planning and Investment Control Process o Aceptación del sistema o Análisis y especificación de requisitos [OP.PL.4] DIMENSIONAMIENTO / GESTIÓN DE CAPACIDADES Disponibilidad: nivel MEDIO 74. Se considerará evidencia suficiente del cumplimiento de esta medida: existe un estudio previo a cada adquisición realizada o planificada que ofrece unas conclusiones respecto de la capacidad de los medios presentes o la necesidad de medios adicionales el estudio previo es un documento escrito [nivel ALTO] el estudio previo está aprobado por Dirección 75. Referencias: o [SA-2] Allocation of Resources o Gestión de capacidades o Análisis y especificación de los requisitos de seguridad [OP.PL.5] COMPONENTES CERTIFICADOS Categoría ALTA 76. Todas las palabras se quedan cortas para insistir en la conveniencia de recurrir a componentes probados, evaluados y, a ser posible, certificados. Desarrollar los propios componentes exige un apreciable nivel de formación, un considerable esfuerzo y una capacidad de mantenimiento de la seguridad frente a vulnerabilidades, defectos y nuevas amenazas. Todo esto se simplifica notablemente recurriendo a componentes de terceras partes siempre y cuando dichos componentes estén asegurados para protegernos de acuerdo a nuestras necesidades y frente a nuestras amenazas. Esto quiere decir que antes de adquirir un producto, por muy acreditado que esté, hay que cerciorarse de que cubre nuestras necesidades específicas. 77. El empleo de componentes certificados requiere un esfuerzo preliminar de validación: idoneidad para el caso un esfuerzo de implantación: adquisición y formación y un esfuerzo continuo de actualizaciones para no perder las garantías iniciales Centro Criptológico Nacional 1820 78. Referencias: Guía CCN-STIC 813 Componentes Certificados en el ENS Guía CCN-STIC 103 Catálogo de Productos Certificados o [SA-13] Trustworthiness NIST SP Guidelines to Federal Organizations on Security Assurance and Acquisition/Use of Tested/Evaluated Products NIST SP Guide to Selecting Information Technology Security Products o Análisis y especificación de los requisitos de seguridad Esquema Nacional de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información Orden PRE/2740/2007 de 19 de septiembre, por la que se aprueba el Reglamento de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información. ISO/IEC :2005 Information technology - Security techniques - Evaluation criteria for IT security - Part 1: Introduction and general model ISO/IEC :2005 Information technology - Security techniques - Evaluation criteria for IT security - Part 2: Security functional requirements ISO/IEC :2005 Information technology - Security techniques - Evaluation criteria for IT security - Part 3: Security assurance requirements ISO/IEC 18045: Information technology Security techniques Methodology for IT security evaluation ISO/IEC TR 19791: Information technology Security techniques Security assessment of operational systems 4.2. [OP.ACC] CONTROL DE ACCESO 79. El control de acceso cubre el conjunto de actividades preparativas y ejecutivas para que una determinada entidad pueda, o no, acceder a un recurso del sistema para realizar una determinada acción. 80. Con el cumplimiento de todas estas medidas se garantiza que nadie accederá a recursos sin autorización. Además debe quedar registrado el uso del sistema ([op.exp.8]) para poder detectar y reaccionar a cualquier fallo accidental o deliberado. 81. El control de acceso que se implanta en un sistema real es un punto de equilibrio entre la comodidad de uso y la protección de la información. En sistemas de categoría básica, se prima la comodidad, mientras que en sistemas de categoría alta se prima la protección. 82. Estas medidas suelen venir recogidas en la literatura de seguridad bajo los epígrafes I&A Identificación y Autenticación Control de Acceso Centro Criptológico Nacional 19 Mostrar más
GUÍA DE SEGURIDAD (CCN-STIC 825) ESQUEMA NACIONAL DE SEGURIDAD CERTIFICACIONES 27001 NOVIEMBRE 2013 Edita: Centro Criptológico Nacional, 2013 NIPO: 002-13-052-X Fecha de Edición: noviembre de 2013 José Más detalles GUÍA DE SEGURIDAD (CCN-STIC-804) ESQUEMA NACIONAL DE SEGURIDAD GUÍA DE IMPLANTACIÓN (BORRADOR)
GUÍA DE SEGURIDAD (CCN-STIC-804) ESQUEMA NACIONAL DE SEGURIDAD GUÍA DE IMPLANTACIÓN (BORRADOR) 26 OCTUBRE 2011 Edita: Editor y Centro Criptológico Nacional, 2011 NIPO: 076-11-053-3 Tirada: 1000 ejemplares Más detalles Esquema Nacional de Seguridad (ENS). Anexo II
Ed. Francis Lefebvre ANEXOS 1 AN EXOS Esquema Nacional de Seguridad (ENS). Anexo II 3900 ANEXO II. MEDIDAS DE SEGURIDAD 1. Disposiciones generales 1. Para lograr el cumplimiento de los principios básicos Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Y PLAN DE ADECUACIÓN AL ESQUEMA NACIONAL DE SEGURIDAD
Núm. 264 Miércoles 4 de noviembre de 2015 Sec. I. Pág. 104246 I. DISPOSICIONES GENERALES MINISTERIO DE LA PRESIDENCIA 11881 Real Decreto 951/2015, de 23 de octubre, de modificación del Real Decreto 3/2010, Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UAL
Aprobado por Consejo de Gobierno de la Universidad de Almería en fecha 17 de diciembre de 2012 POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UAL 1. INTRODUCCIÓN La Política de Seguridad de la Información Más detalles Cómo hacer coexistir el ENS con otras normas ya
Cómo hacer coexistir el ENS con otras normas ya implantadas? Esquema Nacional de Seguridad Mª Elísabeth Iglesias Consultora / Auditora AUDEDATOS GESDATOS Software - GeConsulting Índice 1. Introducción Más detalles (17-11-2014) MINISTERIO DE HACIENDA Y ADMINISTRACIONES PÚBLICAS
MINISTERIO DE HACIENDA Y ADMINISTRACIONES PÚBLICAS (17-11-2014) REF.: REF.C.M.: PROYECTO DE REAL DECRETO /, de, MODIFICACIÓN DEL REAL DECRETO 3/2010 DE 8 DE ENERO POR EL QUE SE REGULA EL ESQUEMA NACIONAL Más detalles Implantación de un SGSI
Implantación de un SGSI con e-pulpo ÍNDICE 1 Introducción... 3 2 SGSI y normativas... 4 2.1 La serie 27000... 4 2.1 ISO/IEC 27001 (SGSI)... 5 2.2 ISO/IEC 27002... 6 2.3 Objetivos de control y controles... Más detalles ISO/IEC 27001. Normativa de seguridad IT. Hechos. Numero 2013/02
Norma Técnica Peruana: NTP ISO/IEC 17799:2004 EDI. TECNOLOGIA DE LA INFORMACIÓN. CODIGO DE BUENAS PRACTICAS PARA LA GESTION DE LA SEGURIDAD DE LA INFORMACION. 1ª EDICIÓN ANTECEDENTES De conformidad con Más detalles Aspectos prácticos de implementación del Esquema Nacional de Seguridad
Aspectos prácticos de implementación del Esquema Nacional de Seguridad 1 Contenidos Recordatorio rápido de la estructura del ENS Sobre la auditoría de seguridad en el ENS Las guías 800 del Centro Criptológico Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
Ref. ENS/01. Política de Seguridad UPCT Revisión: 3 POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN 1. ENTRADA EN VIGOR Texto aprobado el día 13 de abril de 2011 por el Consejo de Gobierno de la Universidad Politécnica Más detalles SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN ÍNDICE. PreparaTIC 6 junio 09. Ponente: Leonardo Ramírez Peña. Versión B
SISTEMA DE GESTIÓN DE LA 1 SEGURIDAD DE LA INFORMACIÓN PreparaTIC 6 junio 09 Ponente: Leonardo Ramírez Peña Versión B ÍNDICE!! Fundamentos de la Gestión de la Seguridad de la Información!! Análisis y Gestión Más detalles Política de Seguridad de la Información
Guía: Controles de Seguridad y Privacidad de la Información Guía Técnica HISTORIA VERSIÓN FECHA CAMBIOS INTRODUCIDOS 1.0.0 15/12/2010 Versión inicial del documento 2.0.0 30/09/2011 Restructuración de forma Más detalles AUTORIDAD DE SUPERVISIÓN DEL SISTEMA FINANCIERO DIRECCION DE SUPERVISION DE VALORES CUESTIONARIO ÁREA TECNOLÓGICA
Lista de verificación norma ISO 17799 (Realizada con base en la lista de chequeo del instituto SANS, la cual fue elaborada por Val Thiagarajan) 3. Política de seguridad 3.1. Política de seguridad de la Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
DENOMINACIÓN: Código: IFCT0109 Familia Profesional: Informática y Comunicaciones Área profesional: Sistemas y telemática Nivel de cualificación profesional: 3 Cualificación profesional de referencia: IFC153_3 Más detalles Hacia el Esquema Nacional de Seguridad
Hacia el Esquema Nacional de Seguridad "Plan Director de Seguridad en las Administraciones Públicas" Miguel Álvarez Rodríguez: miguel.alvarez@map.es Jefe de Área de Cooperación Ministerio de Administraciones Más detalles GUÍA DE SEGURIDAD (CCN-STIC-808) VERIFICACIÓN DEL CUMPLIMIENTO DE LAS MEDIDAS EN EL ENS
GUÍA DE SEGURIDAD (CCN-STIC-808) VERIFICACIÓN DEL CUMPLIMIENTO DE LAS MEDIDAS EN EL ENS SEPTIEMBRE 2011 CCN-STIC-808 v1.1 Edita: Editor y Centro Criptológico Nacional, 2011 NIPO: 075-11-053-3 Tirada: 1000 Más detalles SEGURIDAD INFORMATICA GENERALIDADES DE LA SEGURIDAD INFORMATICA
SEGURIDAD INFORMATICA GENERALIDADES DE LA SEGURIDAD INFORMATICA Seguridad de la información? Vs Seguridad? ISO/IEC 17799 ISO/IEC 2700 -> SGSI Organización de Estándares Internacionales/Comisión Electrotécnica Más detalles Códigos de buenas prácticas de seguridad. UNE-ISO/IEC 17799. Antonio Villalón Huerta Grupo S2
Códigos de buenas prácticas de seguridad. UNE-ISO/IEC 17799 Antonio Villalón Huerta Grupo S2 Contenidos Introducción. Problemática de seguridad. Qué es ISO 17799? Historia Estructura de la norma. Dominios Más detalles XII JICS 25 y 26 de noviembre de 2010
Sistema de Gestión Integrado según las normas ISO 9001, ISO/IEC 20000 e ISO/IEC 27001TI Antoni Lluís Mesquida, Antònia Mas, Esperança Amengual, Ignacio Cabestrero XII Jornadas de Innovación y Calidad del Más detalles RECOMENDACIÓN ESQUEMA NACIONAL DE SEGURIDAD PRIORIZACIÓN DE MEDIDAS DE SEGURIDAD
RECOMENDACIÓN ESQUEMA NACIONAL DE SEGURIDAD PRIORIZACIÓN DE MEDIDAS DE SEGURIDAD ÍNDICE 1. INTRODUCCIÓN... 3 2. PRIORIDADES DE UNA ENTIDAD... 4 2.1. DEFINIR Y NOMBRAR AL RESPONSABLE DE LA SEGURIDAD... Más detalles POLÍTICA DE DESARROLLO, MANTENCIÓN Y ADQUISICIÓN DE SISTEMAS DE INFORMACIÓN
PÁGINA Nº1 POLÍTICA DE DESARROLLO, MANTENCIÓN Y ADQUISICIÓN DE SISTEMAS DE INFORMACIÓN Versión 1.0 MINISTERIO DE OBRAS PÚBLICAS ELABORADO POR: Dirección General de Obras Públicas FECHA: 9/09/2012 REVISADO Más detalles Sistema de Gestión n de la Seguridad de la Información
Sistema de Gestión n de la Seguridad de la Información SGSI Ing: Rodrigo Ferrer V. CISSP, CISA, ABCP, COBIT f.c, CSSA, CST. Agenda Introducción al SGSI Evaluación de Riesgo. Implementación del SGSI Conclusiones Más detalles Implantación de un sistema de gestión de la seguridad de la información y certificación ISO 27001 en la Administración Pública
Implantación de un sistema de gestión de la seguridad de la información y certificación ISO 27001 en la Administración Pública TECNIMAP 2010 Manuel Cabrera Silva José María Vinagre Bachiller Paul Jabbour Más detalles Técnico Profesional en Sistema de Gestión de Seguridad de la Información UNE-ISO/IEC 27001:2014
Técnico Profesional en Sistema de Gestión de Seguridad de la Información UNE-ISO/IEC Titulación certificada por EUROINNOVA BUSINESS SCHOOL Técnico Profesional en Sistema de Gestión de Seguridad de la Información Más detalles SEGURIDAD: Multiservicio, Multisistema, Multiprocesos y Multiproyectos. "El Reto de las metodologías para la gestión de la seguridad" Septiembre 2010
GOBIERNO DE ESPAÑA MINISTERIO DE LA PRESIDENCIA SEGURIDAD: Multiservicio, Multisistema, Multiprocesos y Multiproyectos. "El Reto de las metodologías para la gestión de la seguridad" Septiembre 2010 1 Índice Más detalles ANEXO A. (Normativo) OBJETIVOS DE CONTROL Y CONTROLES DE REFERENCIA. Tabla A.1. Objetivos de control y controles. Aplica. aplica
ANEO A (rmativo) OBJETIVOS DE CONTROL Y CONTROLES DE REFERENCIA Tabla A.1. Objetivos de control y controles A.5 POLÍTICAS DE LA SEGURIDAD DE LA INFORMACIÓN A.5.1 Orientación de la dirección para la gestión Más detalles Resumen Norma ISO-27001.
Resumen Norma ISO-27001. Introducción: generalidades e introducción al método PDCA. Objeto y campo de aplicación: se especifica el objetivo, la aplicación y el tratamiento de exclusiones. Normas para consulta: Más detalles ISO 27000. Acceda directamente a las secciones de su interés o descargue en pdf el documento completo.
ISO 27000 La información es un activo vital para la continuidad y desarrollo de cualquier organización pero la implantación de controles y procedimientos de seguridad se realiza frecuentemente sin un criterio Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN 1. ENTRADA EN VIGOR Esta Política de Seguridad de la Información entrará en vigor al día siguiente de su publicación en el BOUA, previa aprobación por el Consejo Más detalles Estado: Aprobación Versión: 2.0 Fecha: 04/11/2009 Página 1 de 9 Documento: A5_Politica_Seguridad_V2
Estado: Aprobación Versión: 2.0 Fecha: 04/11/2009 Página 1 de 9 INDICE 1. DECLARACIÓN DE LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN... 3 2. POLÍTICA DE SEGURIDAD... 4 2.1. OBJETIVOS... 4 2.2. ALCANCE... Más detalles MODELOS DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN MADRID, 27 DE MAYO DE 2013
1 MODELOS DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN MADRID, 27 DE MAYO DE 2013 Qué es la Seguridad de la 2 Información? La información es un activo que, como otros activos importantes del negocio, tiene Más detalles Tenemos que tener en cuenta que los principales objetivos del ENS son:
Plan de Adecuación al Esquema Nacional de Seguridad en el Servicio de Modernización Administrativa y Nuevas Tecnologías de la Información de la La Ley 11/2007, de 22 de junio, de acceso electrónico de Más detalles ESQUEMA NACIONAL DE SEGURIDAD ENS. Estado de situación y retos próximos
ESQUEMA NACIONAL DE SEGURIDAD ENS. Estado de situación y retos próximos 6 de marzo de 2012 Miguel A. Amutio Gómez Jefe de Área de Planificación y Explotación Ministerio de Hacienda y Administraciones Públicas Más detalles ESCUELA POLITECNICA NACIONAL
1 de 19 Tecnologías de la Información Técnicas de seguridad Sistemas de Gestión de la Seguridad de la Información Requisitos Objetivo Revisar los aspectos importantes sobre la norma ISO/EIC 27001 para Más detalles Seguridad Informática.
Seguridad Informática. ISO/IEC 27001:2005 Barcelona, febrero de 2008 Auditoría.Fiscal y Legal.Consultoría.Asesoramiento Financiero. 1 2007 Deloitte Contenido Introducción Motivaciones para certificarse Más detalles GUÍA DE SEGURIDAD (CCN-STIC-800) ESQUEMA NACIONAL DE SEGURIDAD GLOSARIO DE TÉRMINOS Y ABREVIATURAS
GUÍA DE SEGURIDAD (CCN-STIC-800) ESQUEMA NACIONAL DE SEGURIDAD GLOSARIO DE TÉRMINOS Y ABREVIATURAS MARZO 2011 Edita: Editor y Centro Criptológico Nacional, 2011 NIPO: 076-11-053-3 Tirada: 1000 ejemplares Más detalles Sistema de Gestión de la Seguridad de la Información
Sistema de Gestión de la Seguridad de la Información 1 Contenidos 1. Qué es un SGSI? 2. Para qué sirve un SGSI? 3. Qué incluye un SGSI? 4. Cómo se implementa un SGSI? 5. Qué tareas tiene la Gerencia en Más detalles DECLARACIÓN DE APLICABILIDAD SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN
DECLARACIÓN DE APLICABILIDAD SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACION RESPONSABILIDAD Y AUTORIDAD REVISADO POR: LEIDA MARIA RAMIREZ GIL SUBGERENTE GENERAL FECHA 30/10/2014 APROBADO POR: GERARDO Más detalles SISTEMA DE GESTIÓN DEL SERVICIO (SGS) REQUISITOS GENERALES POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
SISTEMA DE GESTIÓN DEL SERVICIO (SGS) REQUISITOS GENERALES POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Vicerrectorado de TIC, Calidad e Innovación Centro de Informática y Comunicaciones Título Entregable Nombre Más detalles ESQUEMA NACIONAL DE SEGURIDAD
ESQUEMA NACIONAL DE SEGURIDAD Cómo afecta el E.N.S. a los ISPs que prestan servicios a las Administraciones públicas? Estrategia Española de Ciberseguridad SIN CLASIFICAR Madrid, mayo de 2012 Entornos Más detalles Módulo 9: Gestión y tratamiento de los riesgos. Selección de los controles
Módulo 9: Gestión y tratamiento de los riesgos. Selección de los controles Este apartado describirá en qué consiste la gestión de riesgos, cómo se deben escoger los controles, se darán recomendaciones Más detalles TEMA 39 Código de buenas prácticas para la Gestión de la Seguridad de la Información. Norma UNE-ISO 17799.
TEMA 39 Código de buenas prácticas para la Gestión de la Seguridad de la Información. Norma UNE-ISO 17799. Índice 1 Introducción... 1 2 La Norma UNED-ISO 27002... 2 2.1 Estructura de la norma...3 2.1.1 Más detalles Certificación del Sistema de Gestión de la Seguridad de los SI. Carlos Manuel Fdez. AENOR. CISA, CISM Marzo-2005
Certificación del Sistema de Gestión de la Seguridad de los SI. Carlos Manuel Fdez. AENOR CISA, CISM Marzo-2005 Indice Quién es AENOR. Por qué el Certificado SGSI? Una aproximación al Certificado SGSI. Más detalles PROGRAMA DEL CURSO. SEGURIDAD EN EQUIPOS INFORMATICOS MF0486_3 90 horas MEDIO-AVANZADO DURACION:
PROGRAMA DEL CURSO ACCION: DURACION: NIVEL: SEGURIDAD EN EQUIPOS INFORMATICOS MF0486_3 90 horas MEDIO-AVANZADO OBJETIVOS: CE1.1 Identificar la estructura de un plan de implantación, explicando los contenidos Más detalles CI Politécnico Estella
SÍNTESIS PROGRAMACIÓN DEL MÓDULO/ DEPARTAMENTO:INFORMÁTICA GRUPO/CURSO: 2º MR 2014-15 MÓDULO / : SEGU PROFESOR: SARA SANZ LUMBIER 3.- CONTENIDOS: 3.1.- Enumera las Unidades Didácticas o Temas: (precedidos Más detalles Introducción. ISO /IEC 27001: Gestión de la seguridad. Actualización ISO/IEC27001 2005 -> 2013
Introducción ISO /IEC 27001: Gestión de la seguridad Desde la publicación inicial de norma internacional ISO/IEC 27001 en el año 2005 el número de implantaciones de los Sistemas para la Gestión de la Seguridad Más detalles DIA 21 Taller: Implantación ISO 27000 en el entorno empresarial PYME
DIA 21 Taller: Implantación ISO 27000 en el entorno empresarial PYME Ponencia: Gestión de incidentes de seguridad y planes de continuidad de negocio. Metodología y aspectos prácticos para implantación Más detalles COBIT - Control Objectives for Information and related Technology (Objetivos de Control para la Información y la Tecnología relacionada) Mayo de 2012
- Control Objectives for Information and related Technology (Objetivos de Control para la Información y la Tecnología relacionada) Mayo de 2012 Antecedentes Ante la necesidad de crear y fortalecer el ambiente Más detalles ISO/IEC 27002 CoBIT v.4 Dominio Objetivo de Control Dominio Objetivo de Control
UEM - MUSTIC Módulo : Profesor: Seguridad de las personas Marcos Gómez Hidalgo Mapeo entre dimensiones y objetivos de control de ISO/IEC 700 y CoBIT versión 4. ISO/IEC 700 CoBIT v.4. Política de seguridad.1 Más detalles Política de Seguridad de la Información de la Universidad de Sevilla
Política de Seguridad de la Información de la Universidad de Sevilla 0. Aprobación y entrada en vigor Texto aprobado por Acuerdo del Consejo de Gobierno de fecha 26 de febrero de 2014. Esta Política de Más detalles RECOMENDACIONES PARA LAS ÁREAS DE INFORMÁTICA PARA UTILIZAR LA FIRMA ELECTRÓNICA DE CORREOS EN LOS SERVICIOS UNIVERSITARIOS:
RECOMENDACIONES PARA LAS ÁREAS DE INFORMÁTICA PARA UTILIZAR LA FIRMA ELECTRÓNICA DE CORREOS EN LOS SERVICIOS UNIVERSITARIOS: Introducción: En el marco de una nueva propuesta para la Gestión Presupuestal Más detalles Informe de Amenazas CCN-CERT IA-02/14. Riesgos de uso de Windows XP tras el fin de soporte
Informe de Amenazas Riesgos de uso de Windows XP tras el fin de soporte 22 de enero de 2014 LIMITACIÓN DE RESPONSABILIDAD El presente documento se proporciona de acuerdo con los términos en él recogidos, Más detalles Normativa de seguridad y uso de los recursos informáticos en la UPCT
Normativa de seguridad y uso de los recursos informáticos en la UPCT Aprobada por: Consejo de Gobierno de la UPCT. Fecha: 7 de Noviembre de 2011. Resumen: La Política de Seguridad de la UPCT se aprobó Más detalles ANEXO CRITERIOS DE IMPLANTACIÓN, ORGANIZACIÓN Y USO DE LA FIRMA ELECTRÓNICA EN EL AYUNTAMIENTO DE MADRID
ANEXO CRITERIOS DE IMPLANTACIÓN, ORGANIZACIÓN Y USO DE LA FIRMA ELECTRÓNICA EN EL AYUNTAMIENTO DE MADRID 1 - Cuestiones generales: la firma electrónica en el Ayuntamiento de Madrid. 1.1 - Certificados Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UC
POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UC Exposición de motivos La Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos establece el marco de relación entre Más detalles INFORME DE PERCEPCIÓN DE PROVEEDORES DE CLOUD COMPUTING. Características Técnicas y de Seguridad
INFORME DE PERCEPCIÓN DE PROVEEDORES DE CLOUD COMPUTING OCTOBER 13, 215 215 Índice Objetivo y metodología... 2 Resumen Ejecutivo... 2 Resultados (Seguridad)... 3 Nivel de Madurez (Seguridad)... 7 Resultados Más detalles Sistema de Gestión de la Seguridad de la Información, UNE-ISO/IEC 27001
Sistema de Gestión de la Seguridad de la Información, UNE-ISO/IEC 27001 Aníbal Díaz Gines Auditor de SGSI Certificación de Sistemas Applus+ Sistema de Gestión de la Seguridad de la Información, UNE-ISO/IEC Más detalles NORMA TÉCNICA NTC- ISO COLOMBIANA 9001
NORMA TÉCNICA NTC- ISO COLOMBIANA 9001 2008-11-14 SISTEMA DE GESTIÓN DE LA CALIDAD. REQUISITOS E: QUALITY MANAGEMENT SYSTEMS. REQUIREMENTS CORRESPONDENCIA: esta norma es idéntica (IDT) a la norma ISO 9001:2008 Más detalles NORMA ISO/IEC 27001:2005
NORMA ISO/IEC 27001:2005 Modelo Para Establecer, Implementar Operar, Monitorear, Revisar, Mantener y Mejorar un ISMS (Information Security Management System) Ing. Jorge Ceballos (jceballos@iram.org.ar) Más detalles Norma de seguridad de datos de la Industria de tarjetas de pago (PCI)
Norma de seguridad de datos de la Industria de tarjetas de pago (PCI) Resumen de los cambios de la a la 3.0 de las PCI DSS (Normas de seguridad de datos de la Industria de tarjetas de pago) Noviembre de Más detalles NTE INEN-ISO/IEC 27033-1 Primera edición
Quito Ecuador NORMA TÉCNICA ECUATORIANA NTE INEN-ISO/IEC 27033-1 Primera edición TECNOLOGÍAS DE LA INFORMACIÓN TÉCNICAS DE SEGURIDAD SEGURIDAD DE LA RED PARTE 1: DESCRIPCIÓN Y CONCEPTOS (ISO/IEC 27033-1:2009, Más detalles MANUAL DE SEGURIDAD DE LA INFORMACIÓN
MANUAL DE SEGURIDAD DE LA INFORMACIÓN MINISTERIO DE AMBIENTE Y DESARROLLO SOSTENIBLE Bogotá D.C. Página 1 de 19 Contenido 1. INTRODUCCIÓN... 4 1. OBJETIVO... 4 2. ALCANCE DEL SISTEMA DE GESTIÓN DE SEGURIDAD Más detalles Qué tengo que hacer para cumplir con el Esquema Nacional de Seguridad? Qué puedo hacer si el plazo ya se ha pasado?
Qué tengo que hacer para cumplir con el Esquema Nacional de Seguridad? Qué puedo hacer si el plazo ya se ha pasado? 1 Introducción ENS 2 Introducción El objetivo de la presentación es explicar en qué consiste Más detalles Norma Técnica Sobre Seguridad y Confidencialidad del Documento Electrónico Decreto Supremo N 83
Norma Técnica Sobre Seguridad y Confidencialidad del Documento Electrónico Decreto Supremo N 83 1 Ámbito de Aplicación El Decreto Supremo N 83 establece las características mínimas obligatorias de seguridad Más detalles POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN EN CORPAC S.A.
CORPORACIÓN PERUANA DE AEROPUERTOS Y AVIACIÓN COMERCIAL SA POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN EN Elaborado y Visado Comité de Gestión de Seguridad de la Información Revisado Gerencia de Tecnología Más detalles GUÍA DE SEGURIDAD DE LAS TIC (CCN-STIC-850A) IMPLEMENTACIÓN DEL ESQUEMA NACIONAL DE SEGURIDAD EN WINDOWS 7 (CLIENTE MIEMBRO DE DOMINIO)
GUÍA DE SEGURIDAD DE LAS TIC (CCN-STIC-850A) IMPLEMENTACIÓN DEL ESQUEMA NACIONAL DE SEGURIDAD EN WINDOWS 7 (CLIENTE MIEMBRO DE DOMINIO) AGOSTO 2014 Edita: Centro Criptológico Nacional, 2014 NIPO: 002-14-039-9 Más detalles Seguridad de la Información: un reto para la empresa Seguridad TIC para la PYME
Seguridad de la Información: un reto para la empresa Seguridad TIC para la PYME INTECO CERT Área de e Confianza de INTECO Índice de la Jornada 1. El Instituto Nacional de las Tecnologías de la Comunicación, Más detalles ANEXO I. PROCEDIMIENTO DE GESTIÓN DE USUARIOS: ALTAS, BAJAS, IDENTIFICACIÓN, AUTENTICACIÓN Y CONTROL DE ACCESO LÓGICO PR10 SIN CLASIFICAR
ANEXO I. PROCEDIMIENTO DE GESTIÓN DE USUARIOS: ALTAS, BAJAS, IDENTIFICACIÓN, AUTENTICACIÓN Y CONTROL DE ACCESO LÓGICO PR10 Centro Criptológico Nacional 1 INDICE 1. OBJETO... 3 2. ÁMBITO DE APLICACIÓN... Más detalles AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS MODELO DE DOCUMENTO DE SEGURIDAD
AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS MODELO DE DOCUMENTO DE SEGURIDAD Versión 1.0 Abril 2005 INTRODUCCIÓN El artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Más detalles 4.1 ISO/IEC 27001:2013, Information Technology - Security techniques Information security management systems Requirements.
4.1 ISO/IEC 27001:2013, Information Technology - Security techniques Information security management systems Requirements. Introducción. El estándar proporciona los requerimientos para establecer, controlar, Más detalles MANUAL DE ORGANIZACIÓN Y FUNCIONES GERENCIA DE INFORMÁTICA
MANUAL DE ORGANIZACIÓN Y FUNCIONES GERENCIA DE INFORMÁTICA Aprobando mediante Resolución de Gerencia General N 052-2015 de fecha 26 Junio 2015 ELABORADO POR: APROBADO POR: 1 de 82 ÍNDICE 1 INTRODUCCIÓN... Más detalles AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS MODELO DE DOCUMENTO DE SEGURIDAD
AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS MODELO DE DOCUMENTO DE SEGURIDAD Versión 1.0 Abril 2005 INTRODUCCIÓN El artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Más detalles NORMA ISO 9001:2008 Sistemas de Gestión de la Calidad - ÍNDICE. 1 Objeto y campo de aplicación 3 1.1 Generalidades 3 1.2 Aplicación.
TEMA ÍNDICE PÁGINA 1 Objeto y campo de aplicación 3 1.1 Generalidades 3 1.2 Aplicación. 3 2 Referencias normativas. 3 3 Términos y definiciones.. 3 4 Sistema de gestión de la calidad. 4 4.1 Requisitos Más detalles Cumplimiento de la LOPD
Cumplimiento de la LOPD con e-pulpo ÍNDICE 1 Introducción... 3 2 La Ley Orgánica 15/1999 (LOPD)... 4 3 El Real Decreto 1720/2007... 6 4 Implantación... 8 4.1 Porqué implantar la LOPD?... 8 4.2 Cómo evitar Más detalles Políticas de Seguridad de la información
Página 1 de 28 4.1 Conocimiento de la organización y de su contexto La organización debe determinar las cuestiones externas e internas que son pertinentes para su propósito y que afectan a su capacidad Más detalles PROCEDIMIENTO DE GESTIÓN DE INCIDENCIAS DE SEGURIDAD ELABORADO POR: REVISADO POR: APROBADO POR:
DE GESTIÓN DE INCIDENCIAS DE SEGURIDAD ELABORADO POR: REVISADO POR: APROBADO POR: 19/10/2015 Audedatos Josema Gil Nº edición: 01 Nº revisión: 01 Página 2 de 14 Fecha Edición Revisión Cambios Realizados Más detalles Auditoría y Seguridad Informática
Auditoría y Seguridad Informática 1 Indice Control interno y auditoría informáticos: campos análogos Sistema de control interno informático Implantación de un sistema de controles internos informáticos Más detalles ISO 27001 Juan David Gutiérrez Giovanni Zuccardi 1
ISO-27001:2005 Giovanni Zuccardi Juan David Gutiérrez Septiembre de 2006 CONTENIDO Evolución del estándar Familia 2700x En que consiste 27001 ISO 27001 Juan David Gutiérrez Giovanni Zuccardi 1 ISO-27001:2005 Más detalles Sistemas de Gestión n de la Calidad - Requisitos UNE - EN ISO 9001:2008
Sistemas de Gestión n de la Calidad - Requisitos UNE - EN ISO 9001:2008 ISO 9001 CUATRO CAPÍTULOS BÁSICOS RESPONSABILIDADES DE LA DIRECCIÓN P D GESTIÓN DE RECURSOS REALIZACIÓN DEL PRODUCTO A C MEDICIÓN Más detalles CUALIFICACIÓN OPERACIÓN DE SISTEMAS INFORMÁTICOS PROFESIONAL. Nivel 2. Versión 5 Situación RD 1201/2007 Actualización
Página 1 de 23 CUALIFICACIÓN OPERACIÓN DE SISTEMAS INFORMÁTICOS PROFESIONAL Familia Profesional Informática y Comunicaciones Nivel 2 Código IFC300_2 Versión 5 Situación RD 1201/2007 Actualización Competencia Más detalles cumple y hay evidencias objetivas
Lista de Verificación ISO :2008 LISTA DE VERIFICACIÓN ISO :2008 Sistemas de Gestión de la Calidad Pliego Objeto y campo de aplicación Esta lista de verificación tiene como objetivo conocer con mayor detalle Más detalles I. Disposiciones generales
27918 I. Disposiciones generales Consejería de Turismo, Cultura y Deportes 4688 ORDEN de 20 de octubre de 2015, por la que se crea y regula la sede electrónica y registro electrónico del Departamento. Más detalles Implantación de un Sistema de Gestión de Seguridad de la Información según la
Implantación de un Sistema de Gestión de Seguridad de la Información según la norma UNE 71502 Asesor Técnico - Seguridad Consejería de Educación - Junta de Andalucía Jefe de Sistemas de Información - Secretaría Más detalles CURSO DE ESQUEMA NACIONAL DE SEGURIDAD
CURSO DE ESQUEMA NACIONAL DE SEGURIDAD Objetivos Generales Al finalizar este curso el alumno será capaz de: Comprender los principios básicos recogidos en el Esquema Nacional de Seguridad (ENS). Conocer Más detalles Sistemas de Gestión Ambiental según la Norma UNE en ISO 14001 GUÍA DEL TALLER
Sistemas de Gestión Ambiental según la Norma UNE en ISO 14001 GUÍA DEL TALLER Ihobe, Noviembre 2008, Sociedad Pública del Departamento de Medio Ambiente y Ordenación del Território del Gobierno Vasco EDITA: Más detalles HERRAMIENTA PILAR ESQUEMA NACIONAL DE SEGURIDAD
HERRAMIENTA PILAR ESQUEMA NACIONAL DE SEGURIDAD Madrid, Abril de 2010 Presentación FORO: VIII Foro de seguridad de Red IRIS SESIÓN: CCN MAGERIT- Herramienta PILAR. Ejemplo aplicación ENS OBJETIVO: Presentación Más detalles PROCEDIMIENTO DE REGISTRO ENTRADA Y SALIDA DE EQUIPAMIENTO Y SOPORTES ELABORADO POR: REVISADO POR: APROBADO POR:
DE REGISTRO ENTRADA Y SALIDA DE EQUIPAMIENTO Y ELABORADO POR: REVISADO POR: APROBADO POR: Nº edición: 01 Nº revisión: 01 Página 2 de 19 Fecha Edición Revisión Cambios Realizados 20-01-2014 1 1 Versión Más detalles Cómo afrontar con éxito la Certif icación ISO 27001:2005. Valencia, octubre 2010. Juan Carlos Serrano Antón
Cómo afrontar con éxito la Certif icación ISO 27001:2005 Juan Carlos Serrano Antón Responsable Técnico de Esquema Lead Auditor ISO 27001, ISO 20000, ISO 9001 Valencia, octubre 2010 Conceptos y Definiciones Más detalles NORMATIVA. Políticas de Seguridad de Información de PDVSA Normativa 20/09/06 USO GENERAL. v-1.0 S/S