Sistemas de Calidad para Tecnologas de la Informacin.-TICs -Carlos Manuel Fdez. CISA, CISMProduct Manager Certificacin TICs Septiembre-07

AENOR

La Asociacin Espaola de Normalizacin y Certificacin (AENOR), creada en 1986, es una entidad espaola, privada, independiente, sin nimo de lucro, reconocida en los mbitos nacional, comunitario e internacional, que contribuye, mediante el desarrollo de las actividades normalizacin y certificacin, a mejorar la calidad en las empresas, sus productos y servicios, as como proteger el medio ambiente y, con ello, el bienestar de la sociedad . (de la informacin). AENOR

AENORAsociacin privada Sin nimo de lucroConstitucin: 1986Real decreto 2200/95AENOR Corporacin.AENOR INTERNACIONAL (9 filiales).AENOR Mxico (10 aos en Mxico DF y Delegaciones) .MultisectorialNormalizacin Certificacin productos, servicios, sistemas de gestin y personalServicios de Formacin.

Elaborar normas tcnicas espaolas con la participacin abierta a todas las partes interesadas, y colaborar impulsando la aportacin espaola en la elaboracin de normas europeas e internacionalesCertificar productos, servicios y empresas (sistemas) confiriendo a los mismos un valor competitivo diferencial que contribuya a favorecer los intercambios comerciales y la cooperacin internacional Compromisos de AENOR (I)Sistemas de Gestin Integrados

Orientar la gestin a la satisfaccin de nuestros clientes y la participacin activa de nuestras personas, con criterios de calidad total, y obtener resultados que garanticen un desarrollo competitivoImpulsar la difusin de una cultura que nos relacione con la calidad y nos identifique como apoyo de quien busca la excelencia Compromisos de AENOR (II)Sistemas de Gestin Integrados.

Normalizacin multisectorialMiembro espaol de los siguientes organismos internacionales:Internacionales (ISO/IEC)Europeos (CEN/CENELEC/ETSI)Americanos (COPANT)Datos relevantes:25.700 normas UNE en catlogo1.730 normas elaboradas en 2006184 Comits Tcnicos de Normalizacin AENOR: Organismo de NormalizacinSistemas de Gestin Integrados

Certificacin de productos y serviciosCertificacin de sistemas de gestin (calidad, medioambiente, prevencin de riesgos laborales y otros referenciales)Validaciones y evaluaciones (GRI, AyERM, EMAS)Entidad operacional designada, DOE, para la validacin y verificacin de gases de efecto invernadero AENOR: Entidad de certificacinSistemas de Gestin Integrados

Amplio rango de marcas de certificacin de productos y serviciosMiembro espaol de la Asociacin Europea de Certificacin de Productos Elctricos (EEPCA)Ms de 75.000 productos o servicios certificados pertenecientes a ms de 3.725 empresas AENOR: entidad de certificacin productos y servicios -Sistemas de Gestin Integrados

Acreditada por la Entidad Nacional de Acreditacin para 38 sectores en calidad y para 48 cdigos en medio ambienteMiembro espaol de IQNet y de GENSistemas de Aseguramiento de la Calidad (ISO 9000): 17.600 empresas certificadasSistemas de Gestin Medioambiental (ISO 14001): ms de 3.700 empresas certificadas370 validaciones EMASAENOR: entidad de certificacin sistemas - Sistemas de Gestin Integrados

Las marcas de AENOR evidencian la certificacin y constituyen un elemento diferenciador en el mercado, mejorando la imagen de productos y servicios ofrecidos y generando confianza entre clientes y consumidores Marcas de AENORSistemas de Gestin Integrados

Certificacin en el sector TICSistemas de informacinMarca AENOR de Sistemas de Gestin de Seguridad de la Informacin (norma UNE ISO/IEC 27001): ms de 60 empresas. Final del 2007 aprox.: 100 empresas . (En Mxico: INFONAVIT, Bur de Credito, etc.)Gestin del Servicio en TI (norma UNE- ISO 20001): 2 empresas: Tefnica Soluciones , El Corte Ingls. Final del 2007: aprox.: 10 empresas..SoftwareCertificado AENOR de Sistemas de Gestin de Software Original SAM :Administracin de activos informticos (norma ISO/IEC/19770 SAM)SPiCE (norma UNE-EN ISO 15504).Otras certificacionesCertificacin Accesibilidad TIC sitios WEB (UNE 139803 Requistos de accesibilidad para contenidos WEB. Pautas de accesibilidad WAI : A, AA y AAA.Marca AENOR de Buenas Prcticas Comerciales para el Comercio Electrnico

INDICELa Gestin de las TICs alineada al Negocio. Calidad, competitividad e innovacin.SGSIT ( UNE ISO 20000-1 y UNE ISO 20000-2) SGSI (UNE ISO 27001)Certificaciones SGSI y SGSSTIFuturo del SGSI y SGSTI.

Actividades de AENOR en TICs AENORBCM 25999Bussines Continuity Management. BSI standardIT GovernanceGobierno de las TIC. Norma Australiana

SPICE ISO 15504Modelo de Evaluacin, Mejora y Capacidad de Software

SAMISO 19770Software Asset Management

SGSI ISO 27001Sistema de Gestin Seguridad de la InformacinISO 17799:2005Gua de ControlesISO 12207Ciclo de Vida de Desarrollo de SoftwareSGSTIISO 20000-1Sistema de Gestin Servicios ITISO 20000-2Gua de Buenas PrcticasProyectosProcesos / ServiciosAdicionalmente:Certificacin Accesibilidad TIC Sitios WEB.Infraestructura CPD Buenas Prcticas Comercio Electrnico Software Original

Actividades de AENOR en TICsIT Governance :Proyecto en estudio de Norma Australiana.(IT management).Plan estratgico de TICs incorporado a Gobierno Corporativo (Corporate Governance)..BCM BSI 25999 :Piloto en desarrollo. Normas de BSI. Fase Inicial.Plan de Continuidad de Negocio. Norma certificable.reas: de Desarrollo y rea de Procesos / Servicios y nuevos productos:

Actividades de AENOR en TICsrea de Desarrollo:Spice ISO 15504 :Modelo de madurez del desarrollo de software. Evaluacin por niveles.AENOR se le concede PROFIT. + 25 empresas.Proyecto PROCER orientado a PYMES.Es la competencia a CMMI.ISO 12207 :Ciclo de Vida de Desarrollo de Software. Fases en la creacin de un software.

SAM (Software Asset Mangement) ISO 19770 :El software como activo. Fase Inicial. Traduccin norma.Proyecto BSA . Espaa y LatinoAmerica.

Actividades de Aenor en TICsrea de Procesos / servicios:SGSTI- UNE-ISO 20000 :Sistema de Gestin de Tecnologas de Informacin. Calidad en la Gestin de servicios de TICs a la empresa o clientes.(CPD externo o CPD interno). Modelo PDCA. (Basado en las libreras ITIL).AENOR-DDEC certifica a EL Corte Ingls-CPD y Telefnica Soluciones . (Despus de un piloto de ms de seis meses).

SGSI UNE ISO 27001:Sistema de Gestin de la Seguridad de la Informacin. Modelo PDCAAprox.: 50 empresas certificadas. De todos los sectores.Premio revista SIC a mejor labor en Seguridad de SI. 2006.Proyecto con comunidades: Andaluca, Asturias,

PDCASGSITISO 20000-1ISO17799ISO 20000-2(ITIL)LIBRERAINFRAESTRUCTURACPD?SGSIISO 27001SISTEMAS DE GESTIN DETICs(Motor)(Conocimiento)ISO..ISO..GUIAS

DE

IMPLANTACIONMETRICAS

Certificacin de Sistemas de Gestin en las TICs : la calidad de los servicios de TICs. : La solucin orientada a los objetivos del negocio

AENOR

Gestin de las TICs con criterios de Negocio-calidad en el servicio TICsInforme Penteo (2006):Slo un 21% de las cas gestionan el dpto. de SI con criterios de negocio. 31 % gestionan el dpto. de SI slo con criterios tecnolgicos 48 % gestionan con criterios hbridos.Conclusiones:La Direccin de las cas. Tiene una percepcin ms positiva de los CIOs que siguen crtierios de Negocio. Les dan el rol de lderes contribuidores de negocio en un 58%.La Gestin de las TICs mejora el posicionamiento del dpto. de SI y del CIO. En un futuro los CIOS ms gestores y menos tecnlogos.(Encuesta a : 85 Directores de TICs, 36 Dir. Generales y 12 Presidentes ).

UNE -ISO 20000 Tecnologas de la Informacin Gestin de ServiciosAlcance: Que un proveedor de servicios de TI (CPD) provea servicios gestionados de una calidad aceptable para sus clientes. Se basa: en ITIL es un estndar internacional , que es un conjunto de buenas prcticas en la Gestin del Serrvicio de TI, desarrollado por la Office of Goverment Comerce (UK) .Beneficios de ISO 20000-ITIL:Maximizar la Calidad del servicioAlinear los servicios de TI a las necesidades del negocioReducir CostesAumentar la satisfaccin del Cliente .Visin clara de la capacidad del departamento de TI.Minimizar el tiempo de ciclo de cambios y mejorar resultados en base a mtricas.Toma de decisiones en base a indicadores de negocio y de TI

PROVEEDORESIPW Workflow de implementacin de procesosFuente: IPW . Quint Wellington Redwood

Probar

CLIENTE(tctico)

Gestin del Account

Gestin del Nivel de servicioConstruir

Gestin de SeguridadGestin de ContinuidadGestin de CapacidadGestin FinancieraGestin de DisponibilidadCMDBGestin de Cambios

Gestin de EntregaProduccin

Gestin de ProblemasGestin de IncidenciasGestin de ConfiguracinService DeskUSUARIO(operacional)

SERVICIO

Diseo y Gestin del ServicioEntrega de ServiciosServicios de SoportePeticin Cambio RfC

1.- Gestin del Nivel de Servicio2-.Informes del Servicio3.-Gestin de la Capacidad4.-Gestin de la continuidad y de la disponibilidad del servicio5.-Gestin de la Seguridad de la Informacin 6.- Gestin de Presupuestos y contabilidad de los servicios7.-Gestin de Incidencias8.- Gestin de Problemas9.- Gestin de Configuracin10.- Gestin del Cambio11.- Gestin de relaciones con el Negocio12. Gestin de Proveedores13: Gestin de la entrega

ISO 20000-parte 2(Procesos-Gua)

P

D

C

A

Planificar la implementacin y prestacin de la Gestin de servicios

Implementar los objetivos y plan de gestin de los servicios

Revisar plan de gestin de los servicios y requisitos de los serviciosRevisin por Direccin Auditoras Internas, etc.

Mejorar la eficacia y la eficiencia de la prestacin y gestin de los servicios

Adoptar las acciones correctivasAdoptar las acciones preventivas

Certificacin SGSIT (ISO 20000-1)MODELO PDCA Plan-Do-Check-Act AENOR

Documentacin del SGSITProcedimientosRegistrosManual de SGSIT

Poltica(s), alcance

Describe procesos - quin, qu, cundo,)Describe las tareas y las actividades especficas y cmo se realizanProporciona las pruebas objetivas del cumplimiento con las exigencias del SGSIT

Nivel 2Nivel 3Nivel 4 Nivel 1 Instrucciones de trabajo,listas de comprobacin, formularios, etc.

Certificacin de Sistemas de Gestin en las TICs : la Seguridad de los SI. La solucin a los Riesgos Empresariales

AENOR

Factores que influyen en la Seguridad de los SI:Actualmente: Nueva York y en los 80s : Mainframe Ciudad de vila. MageritAmplio uso de la Tecnologa.Interconectividad de los sistemas. Sistemas abiertos y distribuidos.Cambios muy rpidos en las TICs.Ataques a Organizaciones. Tema atractivo?.Factores externos: Legislacin .etc...(Information Security Governance. 2001. IT Governance Institute).

Riesgos EmpresarialesEn el World Economic Forums Annual DAVOS meeting-, SWISS RE informa de su estudio encuesta a nivel mundial (60 entrevistas a senior executives en : USA, Francia, Alemania, Italia , Japn y Reino Unido-Dic-2005 ).

El riesgo de los Ordenadores-SI- y las TICs, ocupa el primer lugar en 3 pases (Japn, Reino Unido y USA), y en el top three de los otros pases, para sus negocios.

Como herramienta primordial para mitigar estos riesgos de SI indican el Control Interno Informtico. SWISS RE.SGSI- ISO 27001- y UNE ISO 17799:2005. (Fuente: AENOR- Carlosmf)

Informe de riesgos en las TICsUno de cada 5 empleados deja a su familia y amigos usar sus porttiles corporativos para acceder a Internet. (21%)Uno de cada diez confiesa que baja algn tipo de contenido que no debiera mientras est en el trabajo.Dos tercios admiten tener conocimientos muy limitados en materia de seguridad.Un 5% dice que tienen acceso a areas de la red corporativa que no deberan tener. Fuente: McAffee.

PDCASGSITISO 20000-1ISO17799ISO 20000-2(ITIL)LIBRERAINFRAESTRUCTURACPD?SGSIISO 27001SISTEMAS DE GESTIN DETICs(Motor)(Conocimiento)ISO..ISO..GUIAS

DE

IMPLANTACIONMETRICAS

Certificacin de Sistemas de Gestin de la Seguridad de la Informacin-SGSI-En que consiste?Establecer y reordenar la Seguridad de los Sistemas de Informacin en concordancia con los Planes Estratgicos de la Organizacin y con sus Polticas de Seguridad. Un nuevo Ciclo de Mejora Continua: SGSI una Gestin eficaz de la Seguridad de los SI permite garantizar:la Confidencialidad,la Integridad yla Disponibilidad de los Sistemas de Informacin.

QU PRESERVAR?

Cada organizacin tiene que preservar 3 CARACTERSTICASasociadas a la informacin:

DISPONIBILIDADCONFIDENCIALIDADINTEGRIDADAsegurar que la informacin es accesible solo para aquellos autorizados a tener acceso.

Garantizar la exactitud y completitud de la informacin y los mtodos de su proceso

Asegurar que los usuarios autorizados tienen acceso cuando lo requieran a la informacin y sus activos asociados.

AENOR

DEFINICION DE SISTEMA DE GESTION DE SIAquella parte del sistema general de gestin que comprende la poltica, la estructura organizativa, los procedimientos, los procesos, y los recursos necesarios para implantar la gestin de la seguridad de la informacin.

Es la herramienta de que dispone la Direccin para implantar las polticas y objetivos de Seguridad de la Informacin.

1 Poltica de Seguridad de Informacin

2 Estructura organizativa de la SI

3 Clasificacin y control de activos

4 Seguridad ligada al personal

5 Seguridad fsica y del entorno

6 Gestin de comunicaciones y operaciones

7 Control de accesos

8 Desarrollo y mantenimiento de sistemas

9 Gestin de Incidentes de Seguridad

10. Gestin Continuidad de Negocio-----------------------------------------------------------11 Conformidad y Cumplimiento legislacin

IEC 17799:2005

P

D

C

A

Definir poltica de seguridadEstablecer alcance del al SGSIRealizar anlisis de riesgosSeleccionar los controles

Implantar plan de gestin de riesgosImplantar el SGSIImplantar los controles

Revisar internamente el SGSIRealizar auditorias internas del SGSI

Adoptar las acciones correctivasAdoptar las acciones preventivas

Certificacin SGSIMODELO PDCA Plan-Do-Check-Act AENOR

S.G.S.I.Activos de SISistemas de informacin (aplicativos)SoftwareHardwareTelecomunicacionesPersonas

Anlisis y Gestin de riesgosR=F(X1,X2,X3,Xn)Integridad (X1)Confidencialidad (X2)Disponibilidad (X3)Amenazas (X4)Vulnerabilidades (X5)Impacto Econmico (X6)XNRiesgo Residual

Activo1-------R1

Activo2-------R2

AplicandoUNE ISO 17799(Seleccin de Controles)Procesos

INDICE1 Objeto y Alcance 2 Referencias Normativas 3 TRMINOS Y DEFINICIONES4 SGSI5 Responsabilidad de Direccin.6 Auditoras Internas7 REVISIN DEL SGSI por la Direccin8 Mejora del SGSI9 BIBLIOGRAFAAnexo A: Objetivos de Control y ControlesAnexo B: Principios de OCDE.Anexo C: Correspondencia con ISO 9001:200, ISO 14001:2004NORMA ISO 27001: Especificaciones para los Sistemas de Gestin de laSeguridad de la Informacin

Objeto yAlcanceEsta norma especifica los requisitos para establecer, implantar, documentar y evaluar un SGSI de acuerdo con la UNE-ISO 17799.Especifica los requisitos de los controles de seguridad de acuerdo con las necesidades de las organizaciones, independientemente de su tipo, tamao o rea de actividad.

NORMA ISO 27001: Especificaciones para los Sistemas de Gestin de laSeguridad de la Informacin

Cada rea o dominio tiene asociados uno o varios objetivos de seguridad

NORMA ISO/IEC 17799: OBJETIVOS Y CONTROLESPara cada objetivo se definen, a su vez, uno o ms controles de seguridad cuya implantacin debe traducirse en la consecucin del objetivo de seguridad asociado133 CONTROLES11 REAS39 OBJETIVOS CONTROL

Caracterstica de SGSIEste Sistema proporciona mecanismos para la salvaguarda:De los Activos de Informacin.De los Sistemas que los procesan.En concordancia con las polticas de Seguridad y planes estratgicos de la Organizacin.Es la herramienta de que dispone la Direccin para implantar las polticas y objetivos de Seguridad de la Informacin: integridad, confidencialidad y disponibilidad.

Factores crticos para el xitoUna seguridad orientada al negocioImplementar la Seguridad en consonancia con la cultura de la empresaApoyo visible y compromiso de la Direccin.Buen entendimiento de los requisitos de seguridad, de la evaluacin y gestin de los riesgos.Convencer de la necesidad de la seguridad a directivos y empleados.Proveer formacin y guas sobre polticas y normas a toda la organizacin.Un sistema de medicin para evaluar el rendimiento de la gestin de la seguridad y sugerir mejoras.

VENTAJAS DE CERTIFICAR LAS ACTIVIDADES DE SI -1/2-Con respecto a los Sistemas de Informacin:Sistematizar las actividades de SIAhorro de recursos en las actividades de SI, mejorando la motivacin e implicacin de los empleadosAnalizar riesgos: identificar amenazas, vulnerabilidades e impactos en la actividad empresarialEstablecer objetivos y metas que permitan aumentar el nivel de confianza en la seguridadPlanificar, organizar y estructurar los recursos asignados a seguridad de la informacinIdentificar y clasificar los activos de informacin

VENTAJAS DE CERTIFICAR LAS ACTIVIDADES DE SI -2/2-Seleccionar controles y dispositivos fsicos y lgicos adecuados a la estructura de la organizacinAsegurar el nivel necesario de disponibilidad, integridad, y confidencialidad de la informacinEstablecer planes para adecuada gestin de la continuidad del negocioEstablecer procesos y actividades de revisin, mejora continua y auditora de la gestin y tratamiento de la informacin

VENTAJAS DE CERTIFICAR LAS ACTIVIDADES DE SI -1/1Con respecto al Negocio:Integrar la gestin de la seguridad de la informacin con otras modalidades de gestin empresarialMejorar la imagen confianza y competitividad empresarial. La organizacin que desarrolle un SGSI segn la norma, tendr ventajas de reconocimiento por los organismos que certifican los sistemas.Comprobar su compromiso con el cumplimiento de la legislacin: proteccin de datos de carcter personal, servicios sociedad de informacin, comercio electrnico, propiedad intelectual, etc...Dar satisfaccin a accionistas y demostrar el valor aadido de las actividades de seguridad de la informacin en la empresa

Resumen de Beneficios de SGSI en las Organizaciones

Estado Actual. Un buen presagio.La Seguridad de los SI en los procesos de Negocio.Ingeniera de la Seguridad de los Sistemas de Informacin. Mediante un ciclo de mejora continua.Reordenar nuestro Sistema de SSI.Interface con otros Sistemas. SDLC, etc..

AENOR*DIAGRAMA DE FLUJO DEL PROCESO DE CERTIFICACINCUESTIONARIOPRELIMINAR Y SOLICITUDINFORMEAUDITORA DEL SISTEMAINFORMEAUDITORAS DE SEGUIMIENTOANUALESAUDITORAS DERENOVACININFORMEAUDITORA EXTRAORDINARIA

CONCESIN DELCERTIFICADO PLAN DE ACCIONESCORRECTORAS1 mesVISITA PREVIAANLISIS DE LA DOCUMENTACIN (MANUAL, PROCEDIMIENTOS)REGISTRO SISTEMA DE GESTINSERVICIOS TECNOLOGAS DE INFORMACIN

AENOR

Un Nuevo Reto en las TICs: La Gestin Integrada (PDCA) de las TICs alineadas con el Negocio.

Muchas Gracias, estamos a su disposicin en: AENOR Corporacin y en AENOR MxicoPresidente Masaryk 473 Colonia Polanco 11510 Mxico DF52 (55) 52 80 77 55-AENOR Corporacincmfernandez@aenor.es

Pros / Contras CMMI vs SPICEMejora de la calidad de software(Anlisis comparativo-Proyecto CICYT-Ministerio de Ciencia y Tecnologa-04)Ventajas CMMI:Ms conocido internacionalmente.Mas implantado en grandes corporaciones??.Valoracin de Niveles externizable.

Ventajas SPICE:Ms consensuado y probado.Ms econmico. Plan Avanza. PYMEs. Apoyo : ISO 12207. Ciclo de Vida. Posibilidad de integracin con otras Normas: ISO 20000 (ITIL), ISO 27001, ISO 9001.Proceso de certificacin AENOR usual. Auditores CISA. Ms extendido.Inconvenientes CMMI:Dficil de entenderMayor Coste.Procesos con estructura propia.Auditores especializados en CMMI.No orientado a PYMEs

Inconvenientes SPICE:Menos difundido internacionalmente..Al ser de ISO ms tiempo en consensuar otras herramientas.Romper la barrera de lo desconocido. MKT relacional.

*

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________**

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________*

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________*

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________*

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________*

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________*

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________*

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________

______________________________________________________________________***Las polticas y los objetivos tienen como finalidad garantizar la integridad, confidencialidad y disponibilidad de la informacin.

El SGSI proporciona mecanismos para la salvaguarda de los activos de informacin y de los dispositivos que los procesan.***Las polticas y los objetivos tienen como finalidad garantizar la integridad, confidencialidad y disponibilidad de la informacin.

El SGSI proporciona mecanismos para la salvaguarda de los activos de informacin y de los dispositivos que los procesan.****NOTAS

__________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________*