Estandares De Calidad

Las normas son especificaciones técnicas, de carácter voluntario, consensuadas, elaboradas con la participación de las partes interesadas (fabricantes, usuarios y consumidores, laboratorios, administración, centros de investigación, etc.) y aprobadas por un organismo reconocido. La normalización contribuye a simplificar y a incrementar la fiabilidad y eficiencia de los bienes y servicios que utilizamos, así como a mejorar el bienestar de la sociedad y redunda en el beneficio común. Las normas son por tanto documentos de aplicación voluntaria, elaborados por las partes interesadas, por consenso y aprobados por un organismo reconocido. En el ámbito internacional ISO (Organización Internacional de Normalización) e IEC (Comisión Electrotécnica Internacional) tienen por objeto favorecer el desarrollo de la normalización en el mundo, con vistas a facilitar los intercambios comerciales y las prestaciones de servicios entre los distintos países. • Órganos de trabajo técnicos de ISO: • Comités técnicos (CT) • Subcomités (SC) • Grupos de Trabajo (GT) • Documentos: - Norma internacional (ISO/IEC) - Informe técnico (TR) El subcomité SC27 se enmarca en la concepción de la seguridad de las tecnologías de la información como pieza fundamental para garantizar la confianza de individuos e instituciones en la sociedad de la información. Se estructura en cinco grupos de trabajo: 1. GT1-requisitos, servicios de seguridad y guías, 2. GT2-mecanismos y técnicas de seguridad, 3. GT3-criterios de evaluación de la seguridad, 4. GT4-servicios y controles de seguridad y 5. GT5-gestion de identidad y privacidad.

2. UNIDAD 4 ENSAYO DE ESTANDARES EQUIPO 5 Gestión de la seguridad de la información.- normas relativas a la gestión de la seguridad de la información, dar cobertura a áreas como sistemas de gestión de la seguridad de la información, análisis y gestión de riesgos, controles y salvaguardas, métricas otros aspectos. Técnicas y mecanismo.- destacan en este ámbito las técnicas y mecanismos criptográficos que tienen un protagonismo singular y creciente en la garantía de dimensiones de la seguridad tales como la confidencialidad, la integridad y la autenticaciónNORMA ISO 27001 GESTION DE LA SEGURIDAD.Normas producidas por organismos oficiales agrupan las siguientescaracterísticas: Especificaciones técnicas basadas en la experiencia y en eldesarrollo tecnológico, voluntarias, accesibles al público, tanto durante suelaboración, pues se producen en órganos de trabajo abiertos a la industria, comodespués, pasan por un periodo de información pública durante el cual cualquierpersona puede presentar alegaciones o comentarios a su contenido.Origen de ISO/IEC 27001:* No existió a nivel internacional una norma que complemente al código de buenasprácticas a través de las especificaciones de los sistemas de gestión de seguridadde la información.* Coexistieron la norma inglesa BS 7799-2 y la norma española UNE 71502. Sepropone el modelo internacionalmente aceptado PDCA.* En el 2004 ya iniciado el MODELO 27000.* Se publica la norma ISO/IEC 27001 referente internacional para los “Sistemas degestión de la seguridad de la información”.Establecimiento y gestión del SGSIAlcance del sistema de gestión, Definir política del SGSI y la metodología para lavaloración del riesgo, identificación de los riesgos, hacer un análisis y evaluaciónde dichos riesgos, identificación de los diferentes tratamientos del riesgo yselección de los controles.Implantación y puesta en marcha del SGSIPreparar un plan de tratamiento del riesgo, medir la eficacia de los controles,

3. UNIDAD 4 ENSAYO DE ESTANDARES EQUIPO 5obtener resultados comparables y reproducibles, crear programas de formación yconcienciación en todas las acciones para el personal de la organización y seposibilitaran la cultura de la seguridad.Control y evaluación del SGSIImplantar procedimientos para el control y la revisión de lo hecho hasta ahora yderivara la eficacia del SGSI a partir de las auditorias de seguridad y lasmediciones para verificar que se estén cumpliendo los requisitos de seguridad. Sedescubren los defectos y mejoras para lo que se tomaran las medidas correctivasy preventivas. Debe estar sustentado por un procedimiento documentado.LAS METRICAS DE SEGURIDAD DE LA INFORMACION.El propósito del proceso de métrica de gestión de la seguridad es recoger, analizary comunicar datos relacionados con los procesos de la seguridad de lainformación, que supone un ámbito de actuación diferente al de lasinfraestructuras, aplicativa y sistemas o procesos que la soportan. Tal vez estematiz nos podría ayudar a diferencias ambas figuras y a centrar el objeto de estecapítulo.Las métricas de gestión de la seguridad de la información tienen por finalidadconocer, evaluar y gestionar la seguridad de los sistemas de información. Ydemostrar objetivamente la eficacia y eficiencia de los controles de seguridad. La métrica seria el porcentaje de datos y operaciones criticas con una frecuencia de backup establecida. El propósito seria el riesgo debido a backups insufucuentes. La formula seria el número de archivos críticos con una frecuencia de backup establecida dividido por el numero de archivos que requieren backup. El indicador seria el 100% lo que indicara que todos los archivos críticos que requieran backup se han copiado conforme a los procedimientos de backup establecidos y documentadosLa norma 27001 adopta un enfoque de proceso para establecer, implantar, poneren funcionamiento, controlar, revisar, mantener y mejorar un Sistema de Gestiónde Seguridad de la Información (SGSI) de una organización.

4. UNIDAD 4 ENSAYO DE ESTANDARES EQUIPO 5La finalidad del proceso de implantación y desarrollo de medidas de la gestión deseguridad de la información es crear una base en cada organización que permitarecoger, analizar y comunicar dato relacionados con procesos SGSI.Los objetivos del proceso de medida son, por tanto:Evaluar la eficacia de la implantación de los controles de seguridad, del sistema degestión de seguridad de la información incluyendo la mejora continua,proporcionar un estado de seguridad para dirigir la revisión de la gestión. Facilitarlas mejoras de la seguridad y contribuir a auditoria de seguridad., comunicar elvalor de la seguridad a la organización y servir como aportación al plan detratamiento de riesgos y de evaluación de riesgos.Tipos de medidas:La norma pone la categorización: derivada, base (dentro de ésta cumplimiento yrendimiento). Para medir es necesario un método específico de medición paracada entidad o combinación critica de atributos con la finalidad de extraer lainformación que puede utilizarse como base para el cálculo de medidas. Puedeimplicar actividades como contar el numero de acontecimientos u observar el pasodel tiempo.Una medida valida habrá de cumplir con los criterios:Estratégica, cuantitativa,

...