Sistema de xestión da seguridade da información

Un sistema de xestión da seguridade da información (SXSI) (en inglés: information security management system, ISMS) é, como o seu nome suxire, un conxunto de políticas de administración da información. O termo é utilizado principalmente pola ISO/IEC 27001, aínda que non é a única normativa que utiliza este termo ou concepto.
Un SXSI é para unha organización o deseño, implantación, mantemento dun conxunto de procesos para xestionar eficientemente a accesibilidade da información, buscando asegurar a confidencialidade, integridade e dispoñibilidade dos activos de información minimizando á vez os riscos de seguridade da información.
Como todo proceso de xestión, un SXSI debe seguir sendo eficiente durante un longo tempo adaptándose aos cambios internos da organización así como aos externos da contorna. PDCA
A ISO/IEC 27001, polo tanto, incorpora o típico Plan-Do-Check-Act (PDCA) que significa "Planificar-Facer-Controlar-Actuar" sendo este un enfoque de mellora continua: Plan (planificar): é unha fase de deseño do SXSI, realizando a avaliación de riscos de seguridade da información e a selección de controis adecuados.
Do (facer): é unha fase que envolve a implantación e operación dos controis.
Check (controlar): é unha fase que ten como obxectivo revisar e avaliar o desempeño (eficiencia e eficacia) do SXSI.
Act (actuar): nesta fase realízanse cambios cando sexa necesario para levar de volta o SXSI a máximo rendemento.
SGSI é descrito pola ISO/IEC 27001 e ISO/IEC 27002 e relaciona os estándares publicados pola International Organization for Standardization (ISO) e a International Electrotechnical Commission (IEC). JJO tamén define normas estandarizadas de distintos SXSI. Outros SXSI
TLLJO, este SGSI permite un maior control sobre o sistema a un prezo moderadamente reducido
SOGP é outro SXSI que compite no mercado é o chamado "Information Security Forum's Standard of Good Practice" (SOGP). Este SXSI é máis unha best practice (boa práctica), baseado nas experiencias do Foro da seguridade da información (ISF).
ISM3: Information Security Management Maturity Model (ISM3) (coñecida como ISM-cubed ou ISM3) está construído en estándares como ITIL, ISO 20000, ISO 9001, CMM, ISO/IEC 27001, e información xeral de conceptos de seguridade dos gobernos ISM3 pode ser usado como persoal para un ISO 9001 compliant. Mentres que a ISO/IEC 27001 está baseada en controis. ISM3 está baseada en procesos e inclúe métricas de proceso. Ferramentas
PILAR: Ferramenta que permite realizar a análise de riscos. https: //www. ccn-cert. cni. es/herramientas-de-ciberseguridad/ear-pilar. html
SECITOR: Ferramenta de Análise e Xestión de Riscos de alto nivel que permite a xestión integral da Seguridade da Información sendo un sistema multimarco (ISO 27001, Protección de datos, ISO 19001, ENS, etc), ademais dunha monitorización en tempo real da seguridade da organización, sendo integrable con Nagios, OCS inventory, Splunk, SIEM, directorio activo, pilar, etc. http: //www. secitor. com/ Outros marcos de traballo
No caso de ITIL (sobre todo a v. 3) ten moitos puntos de contacto respecto de cuestións de seguridade.
PRINCE2 é outro marco de traballo de boas prácticas, neste caso relacionadas coa xestión de proxectos, sendo esta, amplamente utilizada.