Ejemplo de El microcredito y su perspectiva

[pic 1]

[pic 2]

INTRODUCCIÓN

En la actualidad, las empresas se enfrentan a muchos riesgos e inseguridades procedentes de focos diversos. Esto quiere decir que los activos de información de las empresas, uno de sus valores más importantes, se encuentran ligados o asociados a riesgos y amenazas que explotan una amplia tipología de vulnerabilidades. La seguridad de estos activos de información está en función de la correcta gestión de una serie de factores como: la capacidad, la elaboración de un plan de contingencia frente a los incidentes, el análisis de riesgos, las competencias, el grado de involucración de la Dirección, las inversiones en seguridad y el grado de implementación de controles. Basados en todos estos aspectos se realiza las modificaciones de la ISO 27001:2005 para dar partida a la nueva versión de ISO 27001:2013 emitida en inglés y francés y posteriormente traducida al español en el 2014.

La norma ISO 27001 es una solución de mejora continua en base a la cual puede desarrollarse un Sistema de Gestión de Seguridad de la Información (SGSI) que permita evaluar todo tipo de riesgos o amenazas susceptibles de poner en peligro la información de una organización tanto propia como datos de terceros. Por otro lado, también permite establecer los controles y estrategias más adecuadas para eliminar o minimizar dichos peligros. El objetivo principal de este trabajo de investigación es analizar los aspectos claves de la actual versión ISO 27001, misma que hace referencia al El Sistema de Gestión de Seguridad de la Información y con la cual se pretende conocer los cambios, mejoras, ventajas, desventajas y demás requerimientos que especifica la norma en cada una de sus secciones o clausuras.

Las ISO International Organization of Standardization es una federación mundial de organismos nacionales de normalización que abarca alrededor de 160 países, trabajando bajo comités técnicos y los cuales hasta el momento mantienen un aproximado de 19.000 estándares publicados. Estas ISO fueron diseñadas en función a 8 principios de gestión para normalizar cada uno de los aspectos que se van a mencionar a continuación: orientación al cliente; liderazgo, participación del personal, enfoque de procesos, enfoque de sistemas de gestión, mejora continua, enfoque de mejora continua y finalmente la relación mutuamente beneficiosa con el proveedor, cabe mencionar que estas normas se diseñaron para cualquier tipo de organización sin distinguir características o tamaño. Entre las normas que se desarrollaron tenemos ISO 9001, ISO 27001, ISO 22301, ISO 2000, entre otras, es muy importante mencionar que la implementación de estas normas desde sus inicios mantuvo un impacto positivo dentro de las empresas, por lo cual la demanda por implementar sistemas de gestión estandarizados fue incrementando con el pasar de los años, tal es el caso de la ISO 27001, la cual entre los años 2010 al 2011 tuvo una evolución en un 12%. (The British Standards Institution, 2017)

Los estándares contenidos en las ISO sufren una revisión cada 4 o 5 años, revisiones que sirven para detectar mejoras y realizar cambios pertinentes al sistema, es así como nace la ISO 27001:2013 la norma más actualizada hasta la actualidad, misma que se propuso luego de detectar controles obsoletos en la anterior normativa, esta nueva versión presento cambios en los contenidos y se presentó bajo una nueva estructura de Anexo SL, a continuación se presenta en la figura 1 el diagrama de relación de la reorganización de las clausuras principales de la versión 2005 a la nueva versión 2013. (ISO 27000.es, 2014)

Figura 1

Diagrama de relación ISO 27001:2005 e ISO 27001:2013

[pic 3]

La ISO 27001 está basada en el Sistema de Gestión de Seguridad de la Información, donde se considera a la información generada por las empresas como el activo más valioso; el SGSI ofrece protección ante cualquier amenaza que pueda poner en peligro a las organizaciones, tanto públicas como privadas, provocando daños a la salud empresarial. (Fernández, 2012) Para poder proteger la información se tiene que realizar la implementación, el mantenimiento y la mejora de las medidas de seguridad para que cualquier tipo de organización consiga sus objetivos y además garantice que cumple con la legislación, aumentando el prestigio y la imagen de la empresa. La implementación de esta norma trae consigo grandes beneficios, por ejemplo: Prevenir o reducir eficazmente el nivel de riesgo, mediante la implantación de los controles adecuados; de este modo, prepara a la organización ante posibles emergencias y garantiza la continuidad del negocio. Diseña una herramienta para la implementación del sistema de gestión de seguridad de la información teniendo en cuenta la política, la estructura organizativa, los procedimientos y los recursos. Ayuda a la dirección a gestionar las políticas y los objetivos de seguridad en términos de integridad, confidencialidad y disponibilidad e Incrementa el nivel de concientización del personal respecto a los tópicos de seguridad informática. (Rotted, 2017)

Esta ISO está dividida en 10 secciones revisadas de la anterior normativa del 2005 donde podemos observar variaciones luego de la actualización de la ISO 27001:2005 a ISO 27001:2013, en la figura 2 se presenta las reorganizaciones en las secciones de las normas. Cabe resaltar que la cláusula o sección más resaltante es el contexto de la organización.

Figura 2

Reorganización de secciones ISO 27001:2005 a ISO 27001:2013

[pic 4]

El contexto de la organización, cláusula 4 se centra en señalar cuáles van a ser los clientes del Sistema de Gestión de Seguridad de la Información (SGSI). La empresa se va a centrar en identificar cuáles van a ser las necesidades de seguridad y qué requisitos garantizar. Esto es explicado en los subapartados siguientes:

• Conocimiento de la organización y de su contexto: La organización debe preocuparse, y por tanto determinar, qué cuestiones o aspectos internos y externos están involucrados en el propósito de la misma y pueden afectar a la capacidad de alcanzar los resultados previstos para su Sistema de Gestión de la Seguridad de la Información de ISO-27001; es decir es fundamental comprender el SGSI y el entorno.

• Comprensión de las necesidades y expectativas de las partes interesadas:  Este apartado señala que la organización está obligada a determinar:

• Las partes interesadas pertinentes para el Sistema de Gestión de la Información.
• Los requisitos de las partes interesadas, los mismos que están orientados a la inclusión de los requisitos legales y reglamentarios y las obligaciones contractuales.

Dicho de otra manera, es de vital importancia indicar quién son las partes internas interesadas y cuáles son sus necesidades en relación con la seguridad.

• Determinación del alcance del Sistema de Gestión de la Seguridad de la Información: con lo indicado en las anteriores cláusulas se creará un primer documento que forma el SGSI, donde se indicarán los límites del mismo que debe estar expresado en términos de:

• Asuntos internos y externos.
• Requisitos identificados de esas necesidades.
• Interfaces y dependencias entre las actividades realizada por la organización y las que son llevadas a cabo por otras empresas.

• Sistema de Gestión de la Seguridad de la Información: La empresa debe establecer, implantar, mantener y mejorar continuamente un Sistema de Gestión de Seguridad de la Información, según los requisitos de la norma ISO 27001 2013.

La cláusula 5 de la norma: LIDERAZGO. De acuerdo al apartado 5.1. Dirección y Compromiso:  La alta dirección debe demostrar liderazgo y compromiso con respecto al Sistema de Gestión de Seguridad de la Información:

• Asegurando que se establezcan la política de la seguridad de la información y los objetivos de la seguridad de la información, y que estos sean compatibles con la dirección estratégica de la empresa.
• Asegurando la integración de los requisitos del Sistema de Gestión de Seguridad de la Información en los procesos de la empresa.
• Se debe asegurar de que el Sistema de Gestión de la Seguridad de la Información logre los resultados previstos dirigiendo y apoyando a las personas, para contribuir a la eficiencia del Sistema de Gestión de Seguridad de la Información.
• Promover la mejora continua, etc.

En el apartado 5.2 Políticas: La alta dirección debe establecer políticas de seguridad de la información; la misma que debe estar disponible como información documentada, debe ser comunicada dentro de la empresa y estar disponible para las partes interesada.

...