Upload
nyce
View
730
Download
1
Embed Size (px)
DESCRIPTION
En esta presentación podrás encontrar una descripción detallada del proceso de certificación de la norma NMX -270001-NYCE / ISO IEC 27001"Sistema de Gestión de Seguridad de la Información" la cual apoya al cumplimiento de la Ley de Protección de Datos Personales en Protección de Particulares.
Citation preview
Certificación de Sistema de Gestión de Seguridad de la información
ISO/IEC 27001
▲ NYCE es el único organismo de certificación
de sistemas de gestión de seguridad de la
información bajo la norma NMX-270001-
NYCE / ISO IEC 27001 acreditado por la
Entidad Mexicana de Acreditación (ema)
Número de acreditación 02/11.
▲ Forma parte de la lista internacional de
organismo de certificación para ISO/IEC 27001
del International Register of ISMS
Certificates. Lo que refuerza el carácter
internacional del certificado que emitimos.
Certificación en Sistemas de Gestión
http://www.iso27001certificates.com
Reconocimiento Internacional
China Italia
Japón
España Francia
Dinamarca
Brazil
EU
Reino Unido
México
Alemania
SCC.
Canadá
Sistemas de gestión de Seguridad de la información
Garantizar la confidencialidad, integridad y disponibilidad de la información que es pieza clave de las operaciones de negocio
Disminuye la posibilidad de que existan vulneraciones que
comprometan la información mediante la implementación de controles que den tratamiento a
lo riesgos.
Sistema de Gestión de
Seguridad de la Información
ISO/IEC 27001I
Importancia
Apoya al cumplimento de la Ley de Protección de Datos Personales en Posesión de
Particulares
▲ Documentación Gestión
► Alcance
► Política
► Provisión de Recursos
► Concientización y capacitación
► Implementación del SGS (basado en la metodología PHVA )
► Control de documentos y registros
► Auditorías internas (procedimiento )
► Revisión por la dirección (procedimiento)
► Acciones correctivas y preventivas (Procedimiento)
Estructura de la norma ISO/IEC 27001
▲ Documentación especifica de Seguridad de la
información
► Metodología para el análisis de riesgos
► Análisis, valoración y evaluación de riesgos
► Plan para el tratamiento de riesgos
► SOA - Declaración de aplicabilidad de controles
► Documentación e implementación de controles
Estructura de la norma ISO/IEC 27001
La norma establece 133 controles de seguridad referentes a:
▲ La Política de Seguridad
▲ Los Aspectos organizativos de la seguridad de la información
▲ La Gestión de activos
▲ La Seguridad ligada a los recursos humanos
▲ La Seguridad física y ambiental
▲ La Gestión de comunicaciones y operaciones
▲ El Control de acceso
▲ La Adquisición, desarrollo y mantenimiento de los sistemas de información
▲ La Gestión de incidentes de seguridad de la información
▲ La Gestión de la continuidad del negocio
▲ El Cumplimiento regulatorio
Controles (Anexo A de la norma ISO/IEC 27001)
En el SOA se indica la justificación de la implementación o
exclusión de los controles
Beneficios
▲ Establecimiento de una metodología de gestión de la seguridad clara
y estructurada.
▲ Reducción del riesgo de pérdida, robo o corrupción de información.
▲ Los clientes tienen acceso a la información a través medidas de
seguridad.
▲ Los riesgos y sus controles son continuamente revisados.
▲ Confianza de clientes y socios estratégicos por la garantía de
calidad y confidencialidad comercial.
▲ Las auditorías externas ayudan cíclicamente a identificar las
debilidades del sistema y las áreas a mejorar.
▲ Posibilidad de integrarse con otros sistemas de gestión (ISO 9001,
ISO 14001, 20000, OHSAS 18001…).
Proceso de Certificación
CERTIFICADO
(VIGENCIA DE 3 AÑOS)
SOLICITUD DE CERTIFICACIÓN
ACCIONES
CORRECTIVAS
SON
ADECUADAS?
EVALUACIÓN, ACUERDOS Y DECISIÓN
SOBRE LA CERTIFICACIÓN
ANÁLISIS DE LOS RESULTADOS DE LA AUDITORÍA
COMISIÓN TÉCNICA DE CERTIFICACIÓN
ETAPA 2
REVISIÓN
DOCUMENTAL
NO
NO SI
RENOVACIÓN DE LA
CERTIFICACIÓN
AUDITORIAS DE VIGILANCIA
ETAPA 1
INFORME
AUDITORIA DE CERTIFICACIÓN
NO
CONFORMIDADES
SI
INFORME
INFORME
▲ Entrega de solicitud y documentación legal de la organización
Para iniciar el proceso de certificación se debe llenar y firmar la solicitud de servicio ) y enviar la
documentación descrita abajo:
► Acta constitutiva
► RFC
► Alta ante hacienda
► Comprobante de domicilio
► Identificación oficial del representante legal
▲ Revisión documental
La primera es una revisión documental, que no forzosamente tener que ser el sitio, donde revisamos que
existan todos los documentos que requiere el sistema de gestión (pueden revisar esa lista de documentos en
el cuestionario y /o solicitud de servicio correspondiente la cual está marca con un asterisco (*), es necesario
enviarlos para realizar esta revisión), al finalizar se entrega un informe donde se indica si la empresa es
candidata a la certificación, de lo contrario se indican los elementos faltantes. Que básicamente es el: Manual
o plan de gestión , procesos y/o procedimientos, políticas y planes. De registros es necesario presentar la
última revisión por la dirección y la última auditoría interna. Al finalizar se entrega un informe de revisión
documental . Es necesario aprobar esta etapa para realizar la auditoría de certificación.
Descripción del proceso de certificación
▲ Auditoría de Certificación Etapa 1
Después se lleva a cabo una visita en sitio con el fin de confirmar la existencia del sistema
de gestión y las responsabilidades. Al término de esta primera etapa se entrega un informe
de auditoría y el cliente tiene hasta 30 días para cerrar cualquier hallazgo que se haya
asentado como una no conformidad en el informe.
▲ Auditoría Certificación Etapa 2
Una vez cerradas las no conformidades de la etapa 1 se puede proceder a la etapa 2, que
tiene como objetivo evaluar la operación y seguimiento de la gestión de sistema, esta etapa
también se realiza en sitio y en ella se revisan los planes, registros, auditorías internas y
acciones de mejora existentes para los diferentes requisitos y procesos de la norma. De
igual manera que en la etapa 1, se entrega un informe al finalizar la etapa y en caso de
existir no conformidades se contará con 30 días para su cierre.
▲ Dictamen
Una vez atendidas las no conformidades el auditor líder elabora un informe final donde se
indica que las no conformidades fueron cerradas, y envía el expediente de la organización
al Comité Técnico de Certificación (grupo independiente al grupo auditor) quién a través de
un dictamen toma la decisión sobre la certificación.
Descripción del proceso de certificación
Pre auditorías
• ISO/IEC 20000
• ISO/IEC 27001
Análisis de brecha
• MAAGTIC
• ISO/IEC 20000
• ISO/IEC 27001
Análisis de Riesgos
• Pruebas de penetración
• Análisis de aplicaciones
• Análisis de vulnerabilidades
Otras certificaciones y dictaminaciones
• ISO 22301 Sistema de Gestión de Continuidad del Negocio
• ISO/IEC 38500 Gobernabilidad Corporativa de TI
•Certificaciones y auditorías de sistemas de Gestión Integrales.
Otros servicios
Análisis de Brecha:
▲ Consiste en realizar un análisis comparativo del “estado de la situación actual” y el
“estado esperado o ideal” con el objetivo de identificar las diferencias (brechas) que
se desean eliminar para logra el estado deseado.
▲ Plazo: El análisis de brecha se lleva a cabo en un plazo de 5 días hábiles.
Análisis de Riesgos:
▲ Se realizan pruebas de penetración y analizan las aplicaciones donde se almacena y
gestiona la información crítica de la organización para identificar las vulnerabilidades,
amenazas y riesgos a los que está expuesta la información . Este análisis se realiza
con base a la norma ISO/IEC 27005:2008 “Gestión de riesgos de Seguridad de la
información.
▲ Plazo: El análisis de riesgos se lleva a cabo en un plazo de 5 días hábiles
Descripción de Otros Servicios
Pre auditoría:
▲ Brinda a la organización una idea general de cómo está preparado su sistema de
gestión, es importante hacer énfasis que esta actividad tiene el único objetivo de
detectar áreas de oportunidad que pudiesen ser impactantes en la auditoria de
certificación.
▲ Su propósito es evaluar los requerimientos clave dentro del sistema de gestión, en
donde se realiza un muestreo sobre los procesos, documentos y registros a ser
evaluados.
▲ El resultado de una Pre Auditoria, no tiene impacto, ni consecuencias dentro de las
actividades de auditoria de certificación, de la misma manera no es necesario
presentar un plan de acciones correctivas sobre los hallazgos encontrados.
Plazo: La pre auditoría se realiza en un plazo de 12 días hábiles, preferentemente 3
meses antes de llevar a cabo la auditoria de certificación.
Descripción de Otros Servicios