Conceptos Clave en Seguridad de la Información y Gestión de Riesgos
Activo: Cualquier cosa que tenga valor para la organización.
Disponibilidad: Propiedad de ser accesible y utilizable bajo demanda por una entidad autorizada.
Confidencialidad: Propiedad que asegura que la información no esté disponible o no pueda ser descubierta por usuarios, entidades o procesos no autorizados.
Seguridad de la información: Preservación de la confidencialidad, integridad y disponibilidad de la información. Además, otras propiedades como la autenticación, la autorización, el registro de actividad, el no repudio y la confiabilidad también pueden ser consideradas.
Eventos de seguridad de la información: Ocurrencia de un evento identificado en un sistema, servicio o red, cuyo estado indica una posible brecha en la política de seguridad de la información o un fallo en el almacenamiento de la misma. También incluye cualquier situación previamente desconocida que pueda ser relevante desde el punto de vista de la seguridad.
Incidente de seguridad de la información: Uno o varios eventos de seguridad de la información, no deseados o inesperados, que tienen una cierta probabilidad de comprometer las operaciones de la empresa y amenazan la seguridad de la información.
Sistema de gestión de la seguridad de la información (SGSI): Parte de los sistemas de la empresa, basado en el análisis de riesgo de negocio, cuya finalidad es establecer, implementar, operar, monitorizar, revisar, mantener y mejorar la seguridad de la información.
Integridad: Propiedad de salvaguardar la precisión y la completitud de los activos.
Riesgo residual: El riesgo remanente después de una amenaza a la seguridad.
Aceptación de riesgo: Decisión de aceptar un riesgo.
Análisis de riesgo: Uso sistemático de la información para identificar fuentes de riesgo y estimar los riesgos.
Valoración del riesgo: Totalidad de los procesos de análisis y evaluación del riesgo.
Evaluación de riesgo: Proceso de comparar los riesgos estimados con los criterios de riesgo establecidos o dados, para determinar el grado de significatividad del riesgo.
Gestión del riesgo: Actividades coordinadas para dirigir y controlar las medidas necesarias para la gestión del riesgo dentro de la organización.
Tratamiento del riesgo: Proceso de selección e implementación de medidas para modificar el riesgo.
Declaración de aplicabilidad: Documento que describe los objetivos de control y los controles que son relevantes y aplicables al SGSI de la organización.
