NORMA TCNICA COLOMBIANA
NTC-ISO/IEC 270012006-03-22
)
TECNOLOGfA ~E LA INFORMACiN. TCNICAS /DE DE SEGURIDAD. SISTEMAS
LA SEGURIDAD DE GESTiN INFORMACIN (SGSI). REQUISITOS
DE LA
E:
INFORMATION TECHNOLOGY. SECURITY TECHNIQUES. INFORMATION
SECURITY MANAGEMENT SYSTEMS. REQUIREMENTS
ICONTEC
CORRESPONDENCIA:
esta norma es una adopcin idntica (IDT) por traduccin, respecto
a su documento de referencia, la norma ISO/lEC 27001. sistemas de
gestin - seguridad de la informacin; seguridad de la informacin -
requisitos.
DESCRI PTORES:
I.C.S.: 35.040.00Editada por el Instituto Colombiano de Normas
Tcnicas y Certificacin (ICON.TEC) Apartado 14237 Bogot, D.C. Te!.
6078888 Fax 2221435
Prohibida su reproduccin
Editada 2006-04-03
NORMA TCNICA COLOMBIANA
NTC-ISO/IEC 270012006-03-22
TECNOLOGfA DE LA INFORMACION. T~CNICAS DE SEGURIDAD. SISTEMAS
GESTION DE LA SEGURIDAD' DE INFORMACION (SGSI). REQUISITOS
DE LA
E:
INFORMATION TECHNOLOGY. SECURITY TECHNIQUES. INFORMATION
SECURITY MANAGEMENT SYSTEMS. REQUIREMENTS
CORRESPONDENCIA:
esta norma es una adopcin idntica (IDT) por traduccin, respecto
a su documento de referencia, la normaISO/lEC 27001.
DESCRIPTORES:
sistemas de gestin - seguridad de la informacin; seguridad de la
informacin - requisitos.
LC.S.: 35.040.00Editada por el Instituto Colombiano de Normas
Tcnicas y Certificacin (ICONTEC) Apartado 14237 Bogot, D.C. Te!.
6078888 Fax 2221435
Prohibida su reproduccin
Editada 2006-04-03
El Instituto Colombiano de Normas Tcnicas y Certificacin.
nacional de normalizacin, segn el Decreto 2269 de 1993.
ICONTEC,
es el organismo
ICONTEC es una entidad de carcter privado. sin nimo de lucro.
cuya Misin es fundamental para brindar soporte y desarrollo al
productor y proteccin al consumidor. Colabora con el sector
gubernamental y apoya al sector privado del pafs. para lograr
ventajas competitivas en los mercados interno y externo. La
representacin de todos los sectores involucrados en el proceso de
Normalizacin Tcnica est garantizada por los Comits Tcnicos y el
perrodo de Consulta Pblica. este ltimo caracterizado por la
participacin del pblico en general. La NTC-ISO/IEC 27001 fue
ratificada por el Consejo Directivo del 2006-03-22. Esta norma est
sujeta a ser actualizada permanentemente todo momento a las
necesidades y exigencias actuales. con el objeto de que responda
en
A continuacin se relacionan las empresas que colaboraron en el
estudio de esta norma a travs de su participacin en el Comit Tcnico
181 Tcnicas de seguridad de la informacin. AV VILLAS ASOCIACION
BANCARIA DE COLOMBIA BANCO CAJA SOCIAL! COLMENA BCSC BANCO
GRANAHORRAR BANCO DE LA REPBLICA BANISTMO COLSUBSIDIO D.S. SISTEMAS
LTOA. ETB S.A. ESP Adems de las anteriores, siguientes empresas:
FLUIDSIGNAL GROUP S.A. IQ CONSULTORES 10 OUTSOURCING S.A. MEGABANCO
NEW NET S.A. SOCIEDAD COLOMBIANA DE ARCHIVfSTAS UNIVERSIDAD
NACIONAL DE COLOMBIA
en Consulta Pblica el Proyecto se puso a consideracin
de las
ABN AMRO BANK AGENDA DE CONECTIVIDAD AGP COLOMBIA ALPINA S.A.
ASESORfAS EN SISTEMA TIZACION DE DATOS S.A. ASOCIACION
LATINOAMERICANA DE PROFESIONALES DE SEGURIDAD INFORMATICA COLOMBIA
ATH BANCAF~ BANCO AGRARIO DE COLOMBIA BANCO COLPATRIA RED
MULTIBANCA COLPATRIA
BANCO DAVIVIENDA BANCO DE BOGOT A BANCO DE COLOMBIA BANCO DE
CR~DITO BANCO DE CR~DITO HELM FINANCIAL SERVICES BANCO DE OCCIDENTE
BANCO MERCANTIL DE COLOMBIA BANCO POPULAR BANCO SANTANDER COLOMBIA
BANCO STANDARD CHARTERED COLOMBIA BANCO SUDAMERIS COLOMBIA BANCO
SUPERIOR BANCO TEQUENDAMA
BANCO UNION COLOMBIANO BANK BOSTON BANK OF AMERICA COLOMBIA BBVA
BANCO GANADERO BFR S.A. CENTRO DE APOYO A LA TECNOLOGIA INFORMATICA
-CATICITIBANK COINFIN LTDA. COLGRABAR LTDA. COMPAIA AGRfCOLA DE
SEGUROS DE VIDA CONSTRUYECOOP CORPORACION FINANCIERA COLOMBIANA
CORPORACION FINANCIERA CORFINSURA CORPORACION FINANCIERA DEL VALLE
CREDIBANCO VISA CYBERIA S.A. ESCUELA DE ADMINISTRACION DE NEGOCIOS
-EANFEDERACION COLOMBIANA DE LA INDUSTRIA DEL SOFTWARE -
FEDESOFT-
DEFENSORIA DEL CLIENTE FINANCIERO FINAM~RICA S. A. FUNDACION
SOCIAL INCOCR~DITO INDUSTRIAS ALIADAS S.A. INTERBANCO MINISTERIO DE
COMERCIO, INDUSTRIA Y TURISMO MINISTERIO DE DEFENSA N.C.R. NEXOS
SOFTWARE LTDA. REDEBAN MULTICOLOR SECRETARIA DE HACIENDA DISTRITAL
SERVIBANCA SUPERINTENDENCIA DE INDUSTRIA Y COMERCIO TMC & CIA
UNIDADDE SERVICIOSTECNOLOGICOSLTDA. UNIVERSIDAD DE LOS ANDES
UNIVERSIDAD JAVERIANA WORLDCAD LTDA.
I~NTEC cuenta con un Centro de Informacin que pone a disposicin
de los interesados normas internacionales, regionales y nacionales
y otros documentos relacionados.DIRECCiN DE NORMALIZACiN
NORMA TCNICA COLOMBIANA
NTC-ISO/IEC 27001
"-
\
CONTENIDO
PginaO.
INTRODUCCiN GENERALIDADES ENFOQUE BASADO EN PROCESOS
COMPATIBILIDAD CON OTROS SISTEMAS DE GESTION
1
0.1 0.2 0.3
I1
111
1. 1.1 1.2
OBJETO GENERALIDADES APLiCACiN
1 1 1
2.
REFERENCIA NORMATIVA
2
3."--
TRMINOS Y DEFINICIONES
2
4. 4.1 4.2 4.3 5. 5.1 5.2 6.
SISTEMA DE GESTiN DE LA SEGURIDAD DE LA INFORMACION REQUISITOS
GENERALES ESTABLECIMIENTO y GESTION DEL SGSI REQUISITOS DE
DOCUMENTACiN RESPONSABILIDAD DE LA DIRECCION COMPROMISO DE LA
DIRECCION GESTION DE RECURSOS AUDITORfAS INTERNAS DEL SGSI
4 4 4 9 10 10 11 12
NORMA TCNICA COLOMBIANA
NTC-ISO/IEC 27001
Pgina7. 7.1 7.2 7.3 8. 8.1 8.2 8.3 REVISiN DEL SGSI POR LA
DIRECCiN GENERALIDADES INFORMACiN PARA LA REVISiN RESULTADOS DE LA
REVISiN MEJORA DEL SGSI MEJORA CONTINUA ACCiN CORRECTIVA ACCiN
PREVENTIVA 12 12 12 13 13 13 14 14
ANEXO A OBJETIVOS DE CONTROL V CONTROLES ANEXO B PRINCIPIOS DE
LA OCDE V DE ESTA NORMA ANEXO C CORRESPONDENCIA ENTRE LA NTC-ISO
9001:2000, LA NTC-ISO 14001:2004, V LA PRESENTE NORMA 33 15
34
NORMA TCNICA COLOMBIANA
NTC-ISO/IEC 27001
o.
INTRODUCCIN GENERALIDADES
0.1
Esta norma ha sido elaborada para brindar un modelo para el
establecimiento, implementacin, operacin, seguimiento, revisin,
mantenimiento y mejora de un sistema de gestin de la seguridad de
la informacin (SGSI). La adopcin de un SGSI deberla ser una decisin
estratgica para una organizacin. El diseo e implementacin del SGSI
de una organizacin estn influenciados por las necesidades y
objetivos, los requisitos de seguridad, los procesos empleados y el
tamao y estructura de la organizacin. Se espera que estos aspectos
y sus sistemas de apoyo cambien con el tiempo. Se espera que la
implementacin de un SGSI se ajuste de acuerdo con las necesidades
de la organizacin, por ejemplo, una situacin simple requiere una
solucin de SGSI simple. Esta norma se puede usar para evaluar la
conformidad, por las partes interesadas, tanto internas como
externas.
0.2
ENFOQUE BASADO EN PROCESOS
Esta norma promueve la adopcin de un enfoque basado en procesos,
para establecer, implementar, operar, hacer seguimiento, mantener y
mejorar el SGSI de una organizacin. Para funcionar eficazmente, una
organizacin debe identificar y gestionar muchas actividades. Se
puede considerar como un proceso cualquier actividad que use
recursos y cuya gestin permita la transformacin de entradas en
salidas. Con frecuencia, el resultado de un proceso constituye
directamente la entrada del proceso siguiente. La aplicacin de un
sistema de procesos dentro de una organizacin, junto c~n la
identificacin e interacciones entre estos procesos, y su gestin, se
puede denominar como un "enfoque basado en procesos". El enfoque
basado en procesos para la gestin de la seguridad de la informacin,
presentado en esta norma, estimula a sus usuarios a hacer nfasis en
la importancia de: a) comprender los requisitos de seguridad de la
informacin del negocio, y la necesidad de establecer la polftica y
objetivos en relacin con la seguridad de la informacin; implementar
y operar controles para manejar los riesgos de seguridad de la
informacin de una organizacin en el contexto de los riesgos
globales del negocio de la organizacin; el seguimiento y revisin
del desempeo y eficacia del SGSI. y la mejora continua basada en la
medicin de objetivos.
b)
c) d)
NORMA TCNICA COLOMBIANA
NTC-ISO/IEC 27001
Esta norma adopta el modelo de procesos
"Planificar-Hacer-Verificar-Actuar" (PHV A), que se aplica para
estructurar todos los procesos del SGSI. La Figura 1 ilustra cmo el
SGSI toma como elementos de entrada los requisitos de seguridad de
la informacin y las expectativas de las partes interesadas, y a
travs de las acciones y procesos necesarios produce resultados de
seguridad de la informacin que cumplen estos requisitos y
expectativas. La Figura 1 tambin ilustra los vfnculos en los
procesos especificados en los numerales 4, 5, 6, 7 Y 8. La adopcin
del modelo PHVA tambin reflejar los principios establecidos en las
Directrices OCDE (2002)' que controlan la seguridad de sistemas y
redes de informacin. Esta norma brinda un modelo robusto para
implementar los principios en aquellas directrices que controlan la
evaluacin de riesgos, diseo e implementacin de la seguridad, gestin
y reevaluacin de la seguridad.EJEMPLO 1 Un requisito podrfa ser que
las violaciones a la seguridad de la informacin financiero severo a
una organizacin, ni sean motivo de preocupacin para sta. no causen
dao
EJEMPLO 2 Una expectativa podrfa ser que si ocurre un incidente
serio, como por ejemplo el Hacking del sitio web de una
organizacin, haya personas con capacitacin suficiente en los
procedimientos apropiados, para minimizar el impacto.
/ I
~ -
____ car
II " I I \I ~ Actuar I interesadas Mantener " ---------- \I \ II
el SGSI Establecer " mejorar Partes y operarI~ el SGSIel SGSI y
Planificar I Implementar ~~~~ ~""" I\ \
,
I
j? lJ
,
, ,,,
I
)
,,
/D
la informacin gestionada Seguridad de
Figura 1. Modelo PHV A aplicado a los procesos de SGSI
Directrices OCDE para la seguridad de sistemas y redes de
informacin. Parls: OCDE, Julio de 2002. www.oecd.org.11
Hacia una cultura de la seguridad.
NORMA TCNICA COLOMBIANA
NTC-ISO/lEC 27001
Planificar (establecer el SGSI)
Hacer (implementar
y operar el SGSI) y revisar el SGSI)
Verificar (hacer seguimiento
Actuar (mantener y mejorar el SGSI)
Establecer la polltica, los objetivos, procesos y procedimientos
de seguridad pertinentes para gestionar el riesgo y mejorar la
seguridad de la informacin, con el fin de entregar resultados
acordes con las pollticas y Objetivos qlobales de una orqanizacin.
Implementar y operar la polftica, los controles, procesos y
procedimientos del SGSI. Evaluar, y, en donde sea aplicable, medir
el desempeo del proceso contra la polftica y los objetivos de
seguridad y la experiencia prctica, y reportar los resultados a la
direccin, para su revisin. Emprender acciones correctivas y
preventivas con base en los resultados de la auditorfa interna del
SGSI y la revisin por la direccin, para lograr la mejora continua
del SGSI.
0.3
COMPATIBILIDAD CON OTROS SISTEMAS DE GESTiNcon la NTC-ISO 9001
:2000 y la NTC-ISO 14001 :2004, con el fin de y operacin,
consistentes e integradas con sistemas de gestin de gestin diseado
adecuadamente puede entonces satisfacer los normas. La Tabla C.1
ilustra la relacin entre los numerales de esta 9001 :2000 y la
NTC-ISO 14001 :2004. alinee o integre su SGSI con los
Esta norma est alineada apoyar la implementacin relacionados. Un
sistema requisitos de todas estas norma, la norma NTC-ISO
Esta norma est diseada para permitir que una organizacin
requisitos de los sistemas de gestin relacionados.
111
NORMA TCNICA COLOMBIANA
NTC-ISO/IEC 27001
TECNOLOGfA DE LA INFORMACiN. T~CNICAS DE SEGURIDAD. SISTEMAS DE
GESTiN DE LA SEGURIDAD DE LA INFORMACiN (SGSI). REQUISITOS
IMPORTANTE esta publicacin no pretende incluir todas las
disposiciones necesarias de un contrato. Los usuarios son
responsables de su correcta aplicacin. El cumplimiento con una
norma en' sI misma no confiere exencin de las obligaciones
legales.
1. 1.1
OBJETO GENERALIDADES
Esta norma cubre todo tipo de organizaciones (por ejemplo:
empresas comerciales. agencias gubernamentales. organizaciones si
nimo de lucro). Esta norma especifica los requisitos para
establecer, implementar. operar, hacer seguimiento, revisar,
mantener y mejorar un SGSI documentado dentro del contexto de los
riesgos globales del negocio de la organizacin. Especifica los
requisitos para la implementacin de controles de seguridad
adaptados a las necesidades de las organizaciones individuales o a
partes de ellas. El SGSI est diseado para asegurar controles de
seguridad suficientes y proporcionales protejan los activos de
informacin y brinden confianza a las partes interesadas. que
NOTA 1 Las referencias que se hacen en esta norma a "negocio" se
deberlan interpretar ampliamente como aquellas actividades que son
esenciales para la existencia de la organizacin. NOTA2 La NTC-ISO/I
EC 17799 brinda orientacin. sobre la implementacin. que se puede
usar cuando se disean controles.
~
APLICACiN
Los requisitos establecidos en esta norma son genricos y estn
previstos para ser aplicables a todas las organizaciones,
independientemente de su tipo. tamao y naturaleza. No es aceptable
la exclusin de cualquiera de los requisitos especificados en los
numerales 4, 5, 6, 7 Y 8 cuando una organizacin declara conformidad
con la presente norma. Cualquier exclusin de controles, considerada
necesaria para satisfacer los criterios de aceptacin de riesgos,
necesita justificarse y debe suministrarse evidencia de que los
riesgos asociados han sido aceptados apropiadamente por las
personas responsables. En donde se excluya cualquier control, las
declaraciones de conformidad con esta norma no son aceptables a
menos que dichas exclusiones no afecten la capacidad de la
organizacin y/o la responsabilidad para ofrecer seguridad de la
informacin que satisfaga los requisitos de seguridad determinados
por la valoracin de riesgos y los requisitos reglamentarios
aplicables.NOTA Si una organizacin ya tiene en funcionamiento un
sistema de gestin de los procesos de su negocio (por ejemplo:en
relacin con la NTC-ISO 9001 o NTC-ISO 14001l. en la mayorla de los
casos es preferible satisfacer los requisitosde la presente norma
dentro de este sistema de gestin existente.
1
NORMA TCNICA COLOMBIANA 2. REFERENCIA NORMATIVA
NTC-ISO/IEC 27001
El siguiente documento referenciado es indispensable para la
aplicacin de esta norma. Para referencias fechadas, slo se aplica
la edicin citada. Para referencias no fechadas, se aplica la ltima
edicin del documento referenciado (incluida cualquier correccin).
NTC-ISO/IEC 17799:2006, Tecnologra de la informacin. Tcnicas de
seguridad. Cdigo de prctica para la gestin de la seguridad de la
informacin.
3.
TRMINOS V DEFINICIONES
Para los propsitos de esta norma, se aplican los siguientes
trminos y definiciones:3.../ ;{eptacin
del riesgo decisin de asumir un riesgo. [Gura ISO/lEC 73:2002]
3.2. activo cualquier cosa que tiene valor para la organizacin.
[NTC 5411-1 :2006]
3.3anlisis de riesgo uso sistemtico de la informacin para
identificar las fuentes y estimar el riesgo. [Gura ISO/lEC
73:2002]3.4
cQnfidencialidad propiedad que determina que la informacin no
est disponible ni sea revelada a individuos, ~ntidades o procesos
no autorizados. [~ 5411-1 :2006]3.5
declaracin de aplicabilidad documento que describe los objetivos
de control y los controles pertinentes y aplicables para el SGSI de
la organizacin.NOTA Los objetivos de control y los controles se
basan en los resultados y conclusiones de los procesos de valoracin
y tratamiento de riesgos, requisitos legales o reglamentarios,
obligaciones contractuales y los requisitos del negocio de la
organizacin en cuanto a la seguridad de la informacin.
3.6
disponibilidad propiedad de que la informacin autorizada. [NTC
5411-1 :2006J
sea accesible
y utilizable
por solicitud de una entidad
2
NORMA TCNICA COLOMBIANA3.7
NTC-ISO/IEC 27001
evaluacin del riesgo proceso de comparar el riesgo estimado
contra criterios de riesgo dados, para determinar la importancia
del riesgo. [Gura ISO/lEC 73:2002] 3.8 evento de seguridad de la
informacin presencia identificada de una condicin de un sistema,
servicio o red, que indica una posible violacin de la polrtica de
seguridad de la informacin o la falla de las salvaguardas, o una
situacin desconocida previamente que puede ser pertinente a la
seguridad.
3.9
[IIEC
TR 18044:2004]
gestin del riesgo actividades coordinadas para dirigir y
controlar una organizacin en relacin con el riesgo. [Gura ISO/lEC
73:2002]3.10
incidente de seguridad de la informacin un evento o serie de
eventos de seguridad de la informacin no deseados o inesperados,
que tienen una probabilidad significativa de comprometer las
operaciones del negocio y amenazar la seguridad de la informacin.
[ISO/lEC TR 18044:2004]3.11
integridad propiedad de salvaguardar la exactitud y estado
completo de los activos. [NTC 5411-1 :2006]
t123.13
iesgo residual ni el restante de riesgo despus del tratamiento
del riesgo. [Gura ISO/lEC 73:2002]
seguridad de la informacin preservacin de la confidencialidad,
la integridad y la disponibilidad de la informacin; adems, puede
involucrar otras propiedades tales como: autenticidad, trazabilidad
(Accountability) , no repudio y fiabilidad. [NTC-ISOIIEC
17799:2006] 3.14 sistema de gestin de la seguridad de la
informacinSGSI
parte del sistema de gestin global, basada en un enfoque hacia
los riesgos globales de un negocio, cuyo fin es establecer,
implementar, operar, hacer seguimiento, revisar, mantener y mejorar
la seguridad de la informacin.
3
NORMA TCNICA COLOMBIANA
NTC-ISO/IEC 27001
NOTA El sistema de gestin incluye la estructura organizacional,
polfticas, actividades de planificacin, responsabilidades,prcticas,
procedimientos, procesos y recursos.
3.15 tratamiento del riesgo proceso de seleccin e implementacin
[Gufa ISOIIEC 73:2002]NOTA En la presente norma el trmino "control"
se usa como sinnimo de "medida".
de medidas para modificar el riesgo.
3.16
val0y-cin del riesgo pceso global de anlisis y evaluacin del
riesgo. [Gura ISO/lEC 73:2002]
4. 4.1
SISTEMA DE GESTION DE LA SEGURIDAD DE LA INFORMACION REQUISITOS
GENERALES
La organizacin debe establecer, implementar, operar, hacer
seguimiento, revisar, mantener y mejorar un SGSI documentado, en el
contexto de las actividades globales del negocio de la organizacin
y de los riesgos que enfrenta. Para los propsitos de esta norma, el
proceso usado se basa en el modelo PHV A que se ilustra en la
Figura 1. 4.2 4.2.1 ESTABLECIMIENTO Establecimiento V GESTION DEL
SGSI
del SGSI
La organizacin debe: a) Definir el alcance y Ifmites del SGSI en
trminos de las caracterfsticas del negocio, la organizacin, su
ubicacin, sus activos, tecnologfa, e incluir los detalles y
justificacin de cualquier exclusin del alcance (vase el numeral
1.2). Definir una polftica de SGSI en trminos de las
caracterrsticas organizacin, su ubicacin, sus activos y tecnologfa,
que:1)
b)
del negocio, la
incluya un marco de referencia para fUar objetivos y establezca
un sentido general de direccin y principios para la accin con
relacin a la seguridad de la informacin; tenga en cuenta los
requisitos del negocio, los legales o reglamentarios, y las
obligaciones de seguridad contractuales; est alineada con el
contexto organizacional estratgico de gestin del riesgo en el cual
tendr lugar el establecimiento y mantenimiento del SGSI; establezca
los criterios contra los cuales se evaluar el riesgo. (Vase el
numeral 4.2.1, literal c) y;
2)
3)
4)
4
NORMA TCNICA COLOMBIANA 5) c)
NTC-ISO/IEC 27001
haya sido aprobada por la direccin.
Definir el enfoque organizacional para la valoracin del riesgo.
1) Identificar una metodologfa de valoracin del riesgo que sea
adecuada al SGSI y a los requisitos reglamentarios, legales y de
seguridad de la informacin del negocio, identificados. Desarrollar
criterios para la aceptacin de riesgos, e identificar los niveles
de riesgo aceptables. (Vase el numeral 5.1, literal f).
2)
La metodologfa seleccionada para valoracin de riesgos debe
asegurar que dichas valoraciones producen resultados comparables y
reproducibles.NOTAISO/lEe
Existen diferentes metodologfas para la valoracin de riesgos. En
el documento TR 13335-3, Information technology. Guidelines for the
Management of IT SecurityTechniques for the Management of IT
Security se presentan algunos ejemplos.
d)
Identificar los riesgos 1) identificar los activos dentro del
alcance del SGSI y los propietaros2 de estos activos. identificar
las amenazas a estos activos. identificar las vulnerabilidades que
podrfan ser aprovechadas por las amenazas. Identificar los impactos
que la prdida de confidencialidad, integridad y disponibilidad
puede tener sobre estos activos.
2) 3)
4)
e)
Analizar y evaluar los riesgos. 1) valorar el impacto de
negocios que podrfa causar una falla en la seguridad, sobre la
organizacin, teniendo en cuenta las consecuencias de la prdida de
confidencialidad, integridad o disponibilidad de los activos.
valorar la posibilidad realista de que ocurra una falla en la
seguridad, considerando las amenazas, las vulnerabilidades, los
impactos asociados con estos activos, y los controles implementados
actualmente. estimar los niveles de los riesgos. determinar la
aceptacin del riesgo o la necesidad de su tratamiento a partir de
los criterios establecidos en el numeral 4.2.1, literal c).
2)
3) 4)
f)
Identificar y evalUar las opciones para el tratamiento de los
riesgos. Las posibles acciones incluyen:
El trmino propietario" identifica a un individuo o entidad que
tiene la responsabilidad, designada por la gerencia, de controlar
la produccin, desarrollo, mantenimiento, uso y seguridad de los
activos. El trmino "propietario" no quiere decir que la persona
realmente tenga algn derecho de propiedad sobre el activo.
5
NORMA TCNICA COLOMBIANA1)2)
NTC-ISO/IEC 27001
aplicar los controles apropiados. aceptar los riesgos con
conocimiento y objetividad, siempre y cuando satisfagan claramente
la polftica y los criterios de la organizacin para la aceptacin de
riesgos (vase el numeral 4.2.1, literal c)); evitar riesgos, y
transferir a otras partes los riesgos asociados ejemplo:
aseguradoras, proveedores, etc. con el negocio, por
3) 4)
g)
Seleccionar los objetivos de control y los controles para el
tratamiento de los riesgos. Los objetivos de control y los
controles se deben seleccionar e implementar de manera que cumplan
los requisitos identificados en el proceso de valoracin y
tratamiento de riesgos. Esta seleccin debe tener en cuenta los
criterios para la aceptacin de riesgos (vase el numeral 4.2.1.
literal c)), al igual que los requisitos legales, reglamentarios y
contractuales. Los objetivos de control y los controles del Anexo A
se deben seleccionar como parte de este proceso, en tanto sean
adecuados para cubrir estos requisitos. Los objetivos de control y
los controles presentados en el Anexo A no son exhaustivos, por lo
que puede ser necesario seleccionar objetivos de control y
controles adicionales.NOTA El Anexo A contiene una lista amplia de
objetivos de control y controles que comnmente se han encontrado
pertinentes en las organizaciones. Se sugiere a los usuarios de
esta norma consultar el Anexo A como punto de partida para la
seleccin de controles, con el fin de asegurarse de que no se pasan
por alto opciones de control importantes.
h) i) j)
Obtener la aprobacin de la direccin sobre los riesgos residuales
propuestos. Obtener autorizacin de la direccin para implementar y
operar el SGSI. Elaborar una declaracin de aplicabilidad. Se debe
elaborar una declaracin de aplicabilidad que incluya: 1) Los
objetivos de control y los controles, seleccionados en el numeral
4.2.1, literal g) y las razones para su seleccin. Los objetivos de
control y los controles implementados actualmente (vase el numeral
4.2.1., literal e) 2)), y La exclusin de cualquier objetivo de
control y controles enumerados en el Anexo A y lajustificacin para
su exclusin.
2)
3)
NOTA La declaracin de aplicabilidad proporciona un resumen de
las decisiones concernientes al tratamiento de los riesgos.
Lajustificacin de las exclusiones permite validar que ningn control
se omita involuntariamente.
6
NORMA TCNICA COLOMBIANA 4.2.2 Implementacin
NTC-ISO/IEC 27001
y operacin del SGSI
Laorganizacindebe: a) formular un plan para el tratamiento de
riesgos que identifique la accin de gestin apropiada, los recursos,
responsabilidades y prioridades para manejar los riesgos de
seguridad de la informacin (vase el numeral 5); implementar el plan
de tratamiento de riesgos para lograr los objetivos de control
identificados, que incluye considerar la financiacin y la asignacin
de funciones y responsabilidades; implementar los controles
seleccionados en el numeral 4.2.1, literal g) para cumplir los
objetivos de control; definir cmo medir la eficacia de los
controles o grupos de controles seleccionados, y especificar cmo se
van a usar estas mediciones con el fin de valorar la eficacia de
los controles para producir resultados comparables y reproducibles
(vase el numeral 4.2.3 literal c));NOTA La medicin de la eficacia
de los controles permite a los gerentes y al personal determinar la
medida en que se cumplen los objetivos de control planificados.
b)
c) d)
e)
implementar programas de formacin y de toma de conciencia, (vase
el numeral 5.2.2); gestionar la operacin del SGSI; gestionar los
recursos del SGSI (vase el numeral 5.2); implementar procedimientos
y otros controles para detectar y dar respuesta oportuna a los
incidentes de seguridad (vase el numeral 4.2.3).
f) g) h)
4.2.3
Seguimiento y revisin del SGSI
Laorganizacin debe: a) Ejecutar procedimientos de seguimiento y
revisin y otros controles para: 1) 2) 3) detectar rpidamente
errores en los resultados del procesamiento; identificar con
prontitud los incidentes e intentos de violacin a la seguridad,
tanto los que tuvieron xito como los que fracasaron; posibilitar
que la direccin determine si las actividades de seguridad delegadas
a las personas o implementadas mediante tecnologfa de la informacin
se estn ejecutando en la forma esperada; ayudar a detectar eventos
de seguridad, y de esta manera impedir incidentes de seguridad
mediante el uso de indicadores, y determinar si las acciones
tomadas para solucionar un problema de violacin a la seguridad
fueron eficaces.7
4) 5)
NORMA TCNICA COLOMBIANA
NTC-ISO/IEC 27001
b)
Emprender revIsiones regulares de la eficacia del SGSI (que
incluyen el cumplimiento de la polftica y objetivos del SGSI. y la
revisin de los controles de seguridad) teniendo en cuenta los
resultados de las auditorias de seguridad, incidentes, medicin de
la eficacia sugerencias y retroalimentacin de todas las partes
interesadas. Medir la eficacia de los controles para verificar que
se han cumplido los requisitos de seguridad. Revisar las
valoraciones de los riesgos a intervalos planificados, y revisar el
nivel de riesgo residual y riesgo aceptable identificado, teniendo
en cuenta los cambios en: 1) 2)3)
c)
d)
la organizacin, la tecnologfa, los objetivos y procesos del
negocio, 1)2)
\e)
las amenazas identificadas, la eficacia de los controles
implementados, y evntos externos, tales como cambios en el entorno
legal o reglamentario,en las obligacionescontractuales,y en el
clima social.
3)
Realizarauditorfas internasdel SGSI a
intervalosplanificados(vase el numeral6).NOTA Las auditorfas
internas. denominadas algunas veces auditorfas de primera parte.
las realiza la propia organizacin u otra organizacin en su nombre.
para propsitos internos.
f)
Emprender una revisin del SGSI, realizada por la direccin, en
forma regular para asegurar que el alcance siga siendo suficiente y
que se identifiquen mejoras al proceso de SGSI (vaseel numeral
7.1). Actualizar los planes de seguridad para tener en cuenta las
conclusiones de lasactividades de seguimiento y revisin.
g)
h)
Registrar acciones y eventos que podrfan tener impacto en la
eficacia o el desempeo del SGSI (vase el numeral 4.3.3).y mejora
del SGSI
4.2.4 Mantenimiento
Laorganizacin debe, regularmente: a) b) Implementar las mejoras
identificadas en el SGSI; Emprender las acciones correctivas y
preventivas adecuadas de acuerdo con los numerales 8.2 y 8.3.
Aplicar las lecciones aprendidas de las experiencias de seguridad
de otras organizaciones y las de la propia organizacin; Comunicar
las acciones y mejoras a todas las partes interesadas, con un nivel
de detalle apropiado a las circunstancias, y en donde sea
pertinente, llegar a acuerdos sobre cmo proceder;
c)
8
NORMA TCNICA COLOMBIANA
NTC-ISO/IEC 27001
)4.3
d)
Asegurar que las mejoras logran los objetivos previstos.
REQUISITOS DE DOCUMENTACIN
4.3.1 GeneralidadesLa documentacin del SGSI debe incluir
registros de las decisiones de la direccin, asegurar que las
acciones sean trazables a las decisiones y polfticas de la
gerencia, y que los resultados registrados sean reproducibles. Es
importante estar en capacidad de demostrar la relacin entre los
controles seleccionados y los resultados del proceso de valoracin y
tratamiento de riesgos, y seguidamente, con la
PQlfticay--.objetivos del SGSI. La documentacin del SGSI debe
incluir: a) declaraciones documentadas numeral 4.2.1, literal b));
de la poltica y objetivos del SGSI (vase el
b) c) d)
el alcance del SGSI (vase el numeral 4.2.1, literal a)) los
procedimientos y controles que apoyan el SGSI; una descripcin de la
metodologfa de valoracin de riesgos (vase el numeral 4.2.1, literal
c)); el informe de valoracin de riesgos (vase el numeral 4.2.1,
literales c) a g)); el plan de tratamiento de riesgos (vase el
numeral 4.2.2, literal b)); Los procedimientos documentados que
necesita la organizacin para asegurar la eficacia de la
planificacin, operacin y control de sus procesos de seguridad de la
informacin, y para describir cmo medir la eficacia de los controles
(vase el numeral 4.2.3, literal c)); Los registros exigidos por
esta norma (vase el numeral 4.3.3), y La declaracin de
aplicabilidad.documentado" significa que el procedimiento est
establecido,
e) f) g)
h) i)
NOTA 1 En esta norma, el trmino "procedimiento documentado,
implementado y mantenido. NOTA 2 El alcance de la documentacin
del SGSI puede ser diferente de una organizacin y el tipo de sus
actividades, y
a otra debido a:
El tamao de la organizacin El alcance y complejidad NOTA 3 Los
documentos
de los requisitos de seguridad y del sistema que se est
gestionando.
y registros pueden tener cualquier forma o estar en cualquier
tipo de medio.
4.3.2 Control de documentosLos documentos exigidos por el SGSI
se deben proteger y controlar. Se debe establecer un procedimiento
documentado para definir las acciones de gestin necesarias
para:9
NORMA TCNICA COLOMBIANA
NTC-ISO/IEC 27001
a) b) c)
aprobar los documentos en cuanto a su suficiencia antes de su
publicacin; revisar y actualizar los documentos segn sea necesario
y reaprobarlos; asegurar que los cambios y el estado de
actualizacin de los documentos estn identificados; asegurar que las
versiones ms recientes de los documentos pertinentes estn
disponibles en los puntos de uso; asegurar que los documentos
permanezcan legibles y fcilmente identificables; asegurar que los
documentos estn disponibles para quienes los necesiten, y que se
apliquen los procedimientos pertinentes, de acuerdo con su
clasificacin, para su transferencia, almacenamiento y disposicin
final. asegurar que los documentos de origen externo estn
identificados; asegurar que la distribucin de documentos est
controlada; impedir el uso no previsto de los documentos obsoletos,
y aplicar la identificacin adecuada a los documentos obsoletos, si
se retienen para cualquier propsito.
d)
e) f)
g) h) i) j)
4.3.3 Control de registros
Se deben establecer y mantener registros para brindar evidencia
de la conformidad con los requisitosy la operacin eficaz del SGSI.
Los registros deben estar protegidos y controlados. El SGSI debe
tener en cuenta cualquier requisito legal o reglamentario y las
obligaciones contractualespertinentes. Los registros deben
permanecer legibles, fcilmente identificables y recuperables. Los
controles necesarios para la identificacin, almacenamiento,
proteccin, recuperacin, tiempo de retencin y disposicin de
registros se deben documentar e implementar. Sedeben llevar
registros del desempeo del proceso, como se esboza en el numeral
4.2, y de todoslos casos de incidentes de seguridad significativos
relacionados con el SGSI.EJEMPLO Algunos ejemplos de registros son:
un libro de visitantes. informes de auditorfas y formatos de
autorizacin acceso diligenciados. de
5. 5.1
RESPONSABILIDAD DE LA DIRECCiN COMPROMISO DE LA DIRECCiN
La direccin debe brindar evidencia de su compromiso con el
establecimiento, implementacin, operacin, eguimiento, revisin,
mantenimiento y mejora del SGSI: s
a) b) c)
mediante el establecimiento de una polftica del SGSI; asegurando
que se establezcan los objetivos y planes del SGSI; estableciendo
funciones y responsabilidades de seguridad de la informacin;
10
NORMA TCNICA COLOMBIANA d)
NTC-ISO/lEC 27001
comunicando a la organizacin la importancia de cumplir los
objetivos de seguridad de la informaciny de la conformidadcon la
poHticade seguridad de la informacin, sus responsabilidadesbajo la
ley, y la necesidad de la mejora continua; brindando los recursos
suficientes para establecer, implementar, operar, hacer
seguimiento, revisar, mantener y mejorar un SGSI (vase el numeral
5.2.1); decidiendo los criterios para aceptacin de riesgos, y los
niveles de riesgo aceptables; asegurando que se realizan auditorfas
internas del SGSI (vase el numeral 6), y efectuando las revisiones
por la direccin, del SGSI (vase el numeral 7).
e)
f) g) h)5.2
GESTiN DE RECURSOS
5.2.1 Provisin de recursos
Laorganizacin debe determinar y suministrar los recursos
necesarios para: a) establecer, implementar, operar, hacer
seguimiento, revisar, mantener y mejorar un SGSI; asegurar que los
procedimientos de seguridad de la informacin brindan apoyo a los
requisitos del negocio; identificar y atender los requisitos
legales y reglamentarios, asf como las obligaciones de seguridad
contractuales; mantener la seguridad suficiente mediante la
aplicacin correcta de todos los controles implementados; llevar a
cabo revisiones cuando sea necesario, y reaccionar apropiadamente a
los resultados de estas revisiones; y en donde se requiera, mejorar
la eficacia del SGSI.
b) c)
d)
e) f)
5.2.2 Formacin, toma de conciencia y competenciaLa organizacin
debe asegurar que todo el personal al que se asigne
responsabilidades definidas el SGSI sea competente para realizar
las tareas exigidas, mediante: en
a) b)
la determinacin de las competencias necesarias para el personal
que ejecute el trabajo que afecta el SGSI; el suministro de
formacin o realizacin de otras acciones (por ejemplo, la
contratacin de personal competente) para satisfacer estas
necesidades; la evaluacin de la eficacia de las acciones
emprendidas, y el mantenimiento de registros de la educacin,
formacin, habilidades, experiencia y calificaciones (vase el
numeral 4.3.3).11
c) d)
NORMATCNICA COLOMBIANA
NTC-ISO/IEC 27001
La organizacin tambin debe asegurar que todo el personal
apropiado tiene conciencia de la pertinencia e importancia de sus
actividades de seguridad de la informacin y cmo ellas contribuyen
al logro de los objetivos del SGSI.
6.
AUDlTORIAS INTERNAS DEL SGSI
La organizacin debe llevar a cabo auditorfas internas del SGSI a
intervalos planificados, para determinar si los objetivos de
control, controles, procesos y procedimientos de su SGSI: a)
cumplen los requisitos de regla mentaciones pertinentes; la
presente norma y de la legislacin o
b) c) d)
cumplen los requisitos identificados de seguridad de la
informacin; estn implementados y se mantienen eficazmente, y
tienen un desempeo acorde con lo esperado.
Se debe planificar un programa de auditorfas tomando en cuenta
el estado e importancia de los procesos y las reas que se van a
auditar, asf como los resultados de las auditorfas previas. Se
deben definir los criterios, el alcance. la frecuencia y los mtodos
de la auditorfa. La seleccin de los auditores y la realizacin de
las auditorfas deben asegurar la objetividad e imparcialidad del
proceso de auditorfa. Los auditores no deben auditar su propio
trabajo. Se deben definir en un procedimiento documentado las
responsabilidades y requisitos para la planificacin y realizacin de
las auditorfas. para informar los resultados, y para mantener los
registros (vase el numeral 4.3.3). La direccin responsable del rea
auditada debe asegurarse de que las acciones para eliminar las no
conformidades detectadas y sus causas, se emprendan sin demora
injustificada. Las actividades de seguimiento deben incluir la
verificacin de las acciones tomadas y el reporte de los resultados
de la verificacin.NOTA La norma NTC-ISO 19011 :2002, Directrices
para la auditorfa de los sistemas de gestin de la calidad y/o
ambiente puede brindar orientacin til para la realizacin de
auditorfas internas del SGSI.
7. 7.1
REVISIN DEL SGSI POR LA DIRECCIN GENERALIDADES
Ladireccin debe revisar el SGSI de la organizacin a intervalos
planificados(por lo menos una vezal ao), para asegurar su
conveniencia, suficiencia y eficacia continuas. Esta revisin debe
incluir la evaluacin de las oportunidades de mejora y la necesidad
de cambios del SGSI. incluidosla polftica de seguridad y los
objetivos de seguridad. Los resultados de las revisiones sedeben
documentar claramente y se deben llevar registros (vase el numeral
4.3.3). 7.2 INFORMACIN PARA LA REVISIN
Lasentradas para la revisin por la direccin deben incluir: a) b)
, ... resultados de las auditorfas y revisiones del SGSI;
retroalimentacin de las partes interesadas;
12
--------
---
NORMA
TCNICA COLOMBIANA
NTC-ISOIIEC 27001
c) d) e) f) g) h) i)713
tcnicas, productos o procedimientos que se pueden usar en la
organizacin para mejorar el desempeo y eficacia del SGSI; estado de
las acciones correctivas y preventivas; vulnerabilidades o amenazas
no tratadas adecuadamente en la valoracin previa de los riesgos;
resultados de las mediciones de eficacia; acciones de seguimiento
resultantes de revisiones anteriores por la direccin; cualquier
cambio que pueda afectar el SGSI; y recomendaciones para
mejoras.
RESULTADOS DE LA REVISiN
Los resultados de la revisin por la direccin deben incluir
cualquier decisin y accin relacionada con: a) b) c) la mejora de la
eficacia del SGSI; la actualizacin de la evaluacin de riesgos y del
plan de tratamiento de riesgos. La modificacin de los
procedimientos y controles que afectan la seguridad de la
informacin, segn sea necesario, para responder a eventos internos o
externos que pueden tener impacto en el SGSI, incluidos cambios a:
1) 2) 3) 4)5)
los requisitos del negocio, los requisitos de seguridad, los
procesosdel negocio que afectan los requisitosdel negocio
existentes, los requisitos reglamentarios o legales, las
obligaciones contractuales, y los niveles de riesgo y/o niveles de
aceptacin de riesgos.
6) d) e)8.8.1
los recursos necesarios. la mejora a la manera en que se mide la
eficacia de los controles.
MEJORA DEL SGSI MEJORA CONTINUA
de
Laorganizacindebe mejorar continuamente la eficacia del SGSI
mediante el uso de la polftica seguridadde la informacin, los
objetivos de seguridad de la informacin, los resultados de
laauditorfa,el anlisis de los eventos a los que se les ha hecho
seguimiento, las acciones correctivas preventivas y la revisin por
la direccin. y
13
NORMA TCNICA COLOMBIANA
NTC-ISO/IEC 27001
8.2
ACCiN CORRECTIVA
La organizacin debe emprender acciones para eliminar la causa de
no conformidades asociadas con los requisitos del SGSI. con el fin
de prevenir que ocurran nuevamente. El procedimiento documentado
para la accin correctiva debe definir requisitos para: a) b) c)
identificar las no conformidades; determinar las causas de las no
conformidades; evaluar la necesidad de acciones que aseguren que
las no conformidades vuelven a ocurrir; determinar e implementar la
accin correctiva necesaria; registrar los resultados de la accin
tomada (vase el numeral 4.3.3); y revisar la accin correctiva
tomada. no
d) e) f)
8.3
ACCION PREVENTIVA
La organizacin debe determinar acciones para eliminar la causa
de no conformidades potenciales con los requisitos del SGSI y
evitar que ocurran. Las acciones preventivas tomadas debenser
apropiadas al impacto de los problemas potenciales. El
procedimiento documentado parala accin preventiva debe definir
requisitos para: a) b) c) d) e) identificar no conformidades
potenciales y sus causas;
evaluar la necesidad de acciones para impedir que las no
conformidades ocurran. determinar e implementar la accin preventiva
necesaria; registrar los resultados de la accin tomada (vase el
numeral 4.3.3), y revisar la accin preventiva tomada.
La organizacin debe identificar los cambios en los riesgos e
identificar los requisitos en cuanto acciones preventivas.
concentrando la atencin en los riesgos que han cambiado
significativa mente. La prioridad de las acciones preventivas se
debe determinar con base en los resultados de la valoracinde los
riesgos.NOTA Las acciones para prevenir no conformidades con
frecuencia son ms rentables que la accin correctiva.
14
NORMA TCNICA COLOMBIANA
NTC-ISO/IEC 27001ANEXO A (Normativo)
OBJETIVOS DE CONTROL Y CONTROLES
A.l
INTRODUCCiN
Los objetivos de control y los controles enumerados en la Tabla
A.1 se han obtenido directamente de los de la NTC-ISO/IEC
17799:2005. numerales 5 a 15. y estn alineados con ellos. Las
listas de estas tablas no son exhaustivas, y la organizacin puede
considerar que se necesitanobjetivos de control y controles
adicionales. Los objetivos de control y controles de estas tablasse
deben seleccionar como parte del proceso de SGSI especificado en el
numeral 4.2.1. /La norma NTC- ISO/lEC 17799:2005. numerales 5 a 15.
proporciona asesorfa y orientacin sobre l~ejOres prcticas de apoyo
a los controles especificados en el literal A.5 a A.15.
Tabla A.1. Objetivos de control y controles comunicardelapara
depara organizacin con unun compromiso demostrado, una
todosdeydeCompromiso la dela Control claro, lad Asignacin
activamente coordinadas lospublicar dentro la lalos LaCoordinacin
ladebene deporde de deben laactividades todasdefinir de ser ade las
Documento claramente todas la apoyarRevisin Control
significativos,de de , rumbo la las debe direccin cambios Se
producende direccin polftica polftica seguridad seguridad partes
seguridad seguridad RIDAD.J debe revisar expllcita y el
planificados polftica las debe aprobar un documento de a,
informacin. a intervalos v ertinentes. Las p A.5.l.l dad dedebe
Organizacin cin. es. DE seeficaz. decon los interna la informacin
dey re
