Gobierno de la Seguridad de TI, Metodología MAGERIT y Normativa ISO 27000
Gobierno de la Seguridad de las Tecnologías de la Información (TI)
¿Qué debería proporcionar el gobierno de la seguridad de las TI?
El gobierno de la seguridad de TI debe proporcionar:
- Alineamiento estratégico: Garantizar que la seguridad de TI esté alineada con los objetivos de la organización.
- Proporcionar valor: Mediante un conjunto de prácticas de seguridad estándar.
- Distribución adecuada de los esfuerzos: Enfocándose en áreas de mayor impacto.
- Soluciones adecuadas e integrales.
- Medición del rendimiento:
- Establecimiento de un conjunto definido de métricas.
- Procesos de cuantificación retroalimentados con los progresos realizados.
- Garantías de independencia.
Metodología MAGERIT: Estructura en Bloques
¿En qué tres bloques se presenta MAGERIT?
- Método: Describe la metodología a utilizar, incluyendo los pasos y tareas para realizar un proyecto de análisis y gestión de riesgos.
-
Catálogo de Elementos: Ofrece un catálogo que abarca:
- Tipos de activos.
- Dimensiones de valoración de los activos.
- Criterios de valoración de los activos.
- Amenazas típicas sobre los sistemas de información.
- Guía de Técnicas: Proporciona orientación adicional y guías sobre técnicas comunes empleadas en proyectos de análisis y gestión de riesgos. Sirve como una guía de consulta.
MAGERIT v2.1: Definición y Propósito
¿Qué es y en qué consiste MAGERIT v2.1?
MAGERIT es la Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información, promovida por el Ministerio de Administraciones Públicas de España (ahora Ministerio de Política Territorial y Función Pública). Su objetivo principal es ofrecer un enfoque metódico que evite la improvisación y la arbitrariedad del analista.
Legislación sobre Administración Electrónica en España
Comentarios sobre la legislación de Administración Electrónica
La legislación establece garantías generales para el uso seguro de soportes, medios y aplicaciones informáticas. Obliga a adoptar medidas técnicas y organizativas que aseguren la autenticidad, confidencialidad, integridad, disponibilidad y conservación de la información.
Normas ISO 27000: Descripción General
Descripción de las normas ISO 27000
La serie ISO 27000 comprende un conjunto de estándares internacionales relacionados con la seguridad de la información:
- ISO 27000: Términos y definiciones.
- ISO 27001: Norma principal que contiene los requisitos del Sistema de Gestión de Seguridad de la Información (SGSI).
- ISO 27002: Objetivos de control y controles (Código de buenas prácticas).
- ISO 27003: Guía de implantación de un SGSI.
- ISO 27004: Métricas y técnicas de medida de la efectividad de un SGSI.
- ISO 27005: Guía para la gestión del riesgo de seguridad de la información.
- ISO 27006: Proceso de acreditación de entidades de certificación y el registro de SGSIs.
Reglamento de Evaluación y Certificación de la Seguridad de las TI
¿Qué establece, en líneas generales, el Reglamento de Evaluación y Certificación de la Seguridad de las TI?
Este reglamento regula dos aspectos fundamentales:
- Establece los requisitos que deben cumplir los laboratorios de evaluación y los procedimientos para su acreditación.
- Regula los procedimientos para la certificación de productos y sistemas, así como los criterios y metodologías para la evaluación de la seguridad.