Tecnología de la Información Técnicas de seguridad

norma española

UNE-ISO/IEC 27002

Julio 2015

TÍTULO

Tecnología de la Información Técnicas de seguridad

Código de prácticas para los controles de seguridad de la información

Information technology. Security techniques. Code of practice for information security controls.

Technologies de l’information. Techniques de sécurité. Code de bonne pratique pour le management de la sécurité de l’information.

Esta norma es idéntica a las Normas Internacionales ISO/IEC 27002:2013 e ISO/IEC 27002-2013/Cor 1: 2014.

CORRESPONDENCIA

OBSERVACIONES

ANTECEDENTES

Esta norma ha sido elaborada por el comité técnico AEN/CTN 71 Tecnología de la información.

Editada e impresa por AENOR Depósito legal: M 23102:2015

 AENOR 2015 Reproducción prohibida

LAS OBSERVACIONES A ESTE DOCUMENTO HAN DE DIRIGIRSE A:

Génova, 6 info@aenor.es Tel.: 902 102 201 28004 MADRID-España www.aenor.es Fax: 913 104 032

99 Páginas

Este documento forma parte de la biblioteca UNIVERSIDAD INTERNACIONAL DE LA RIOJA. Periodo de contratación: enero 2016 - diciembre 2016

Este documento forma parte de la biblioteca UNIVERSIDAD INTERNACIONAL DE LA RIOJA. Periodo de contratación: enero 2016 - diciembre 2016

- 3 - ISO/IEC 27002:2013

Índice

Prólogo...................................................................................................................................................... 5

0 Introducción ............................................................................................................................ 6

0.1 Antecedentes y contexto ......................................................................................................... 6

0.2 Requisitos de seguridad de la información ........................................................................... 6

0.3 Selección de controles ............................................................................................................. 7

0.4 Desarrollo de directrices propias .......................................................................................... 7

0.5 Consideraciones del ciclo de vida .......................................................................................... 7

0.6 Normas relacionadas .............................................................................................................. 8

1 Objeto y campo de aplicación ................................................................................................ 8

2 Normas para consulta ............................................................................................................ 8

3 Términos y definiciones.......................................................................................................... 8

4 Estructura de esta norma....................................................................................................... 8

4.1 Capítulos.................................................................................................................................. 9

4.2 Categorías de controles .......................................................................................................... 9

5 Políticas de seguridad de la información .............................................................................. 9 5.1 Directrices de gestión de la seguridad de la información .................................................... 9

6 Organización de la seguridad de la información ............................................................... 11

6.1 Organización interna............................................................................................................ 11

6.2 Los dispositivos móviles y el teletrabajo ............................................................................. 14

7 Seguridad relativa a los recursos humanos ........................................................................ 17

7.1 Antes del empleo ................................................................................................................... 17

7.2 Durante el empleo ................................................................................................................. 19

7.3 Finalización del empleo o cambio en el puesto de trabajo ................................................ 22

8 Gestión de activos ................................................................................................................. 22

8.1 Responsabilidad sobre los activos ....................................................................................... 22

8.2 Clasificación de la información ........................................................................................... 24

8.3 Manipulación de los soportes............................................................................................... 27

9 Control de acceso .................................................................................................................. 29

9.1 Requisitos de negocio para el control de acceso ................................................................. 29

9.2 Gestión de acceso de usuario ............................................................................................... 31

9.3 Responsabilidades del usuario............................................................................................. 35

9.4 Control de acceso a sistemas y aplicaciones ....................................................................... 36

10 Criptografía........................................................................................................................... 39 10.1 Controles criptográficos....................................................................................................... 39

11 Seguridad física y del entorno ............................................................................................. 42

11.1 Áreas seguras ........................................................................................................................ 42

11.2 Seguridad de los equipos ...................................................................................................... 46

12 Seguridad de las operaciones ............................................................................................... 51

12.1 Procedimientos y responsabilidades operacionales ........................................................... 51

12.2 Protección contra el software malicioso (malware) ........................................................... 55

12.3 Copias de seguridad.............................................................................................................. 56

12.4 Registros y supervisión......................................................................................................... 57

Este documento forma parte de la biblioteca UNIVERSIDAD INTERNACIONAL DE LA RIOJA. Periodo de contratación: enero 2016 - diciembre 2016

ISO/IEC 27002:2013 - 4 -

12.5 Control del software en explotación.................................................................................... 60

12.6 Gestión de la vulnerabilidad técnica ................................................................................... 61

12.7 Consideraciones sobre la auditoria de sistemas de información ...................................... 63

13 Seguridad de las comunicaciones ........................................................................................ 63

13.1 Gestión de la seguridad de redes ......................................................................................... 63

13.2 Intercambio de información ................................................................................................ 65

14 Adquisición, desarrollo y mantenimiento de los sistemas de información....................... 69

14.1 Requisitos de seguridad en sistemas de información ......................................................... 69

14.2 Seguridad en el desarrollo y en los procesos de soporte .................................................... 72

14.3 Datos de prueba .................................................................................................................... 78

15 Relación con proveedores .................................................................................................... 78

15.1 Seguridad en las relaciones con proveedores ..................................................................... 78

15.2 Gestión de la provisión de servicios del proveedor ............................................................ 82

16 Gestión de incidentes de seguridad de la información ...................................................... 84 16.1 Gestión de incidentes de seguridad de la información y mejoras ..................................... 84

17 Aspectos de seguridad de la información para la gestión de la continuidad del

negocio ................................................................................................................................... 89

17.1 Continuidad de la seguridad de la información .................................................................

...