Normas Iso

ISO/IEC 27002:2005. Dominios, Objetivos de control y Controles

5. POLÍTICA DE SEGURIDAD.

5.1. Política de seguridad de la información.

5.1.1. Documento de política de seguridad de la información.

 Manual de seguridad de información.

 Actualizado y cubre con todo.

 Exista y está desactualizado.

 No existe.

5.1.2. Revisión de la política de seguridad de la información.

 Bitácora de aplicación de políticas.

 Bitácora de sesiones para analizar el plan.

 Si / No.

6. ASPECTOS ORGANIZATIVOS DE LA SEGURIDAD DE LA INFORMACIÓN.

6.1. Organización interna.

6.1.1. Compromiso de la Dirección con la seguridad de la información.

 Documentos con firmas de responsabilidad para la seguridad de la información.

 Si / No.

6.1.2. Coordinación de la seguridad de la información.

 Lista de las actividades para la seguridad de la información.

 Cronograma de actividades para la seguridad de la información.

 Si / No.

6.1.3. Asignación de responsabilidades relativas a la seguridad de la información.

 Listado de personas responsables de la seguridad de la información.

 Documentos con firmas de las personas responsables.

 Si /No.

6.1.4. Proceso de autorización de recursos para el tratamiento de la información.

 Solicitud de autorización de los recursos obtenido para el tratamiento de la información.

 Si /No.

 Documentos de aprobación de la solicitud.

 Si /No.

6.1.5. Acuerdos de confidencialidad.

 Listado de acuerdos e confiabilidad.

 Si /No

6.1.6. Contacto con las autoridades.

 Informes de reuniones que se realizan con las autoridades mensuales/semanales.

 Lista de asistencia de reuniones con las autoridades.

 Si /No

6.1.7. Contacto con grupos de especial interés.

 Informes de reuniones que se realizan con grupos de especial interés.

 Lista de asistencia de las reuniones con los grupos de especial interés

 Si /No

6.1.8. Revisión independiente de la seguridad de la información.

 Bitácora de cumplimiento de actividades mensuales/ semanales.

 Si /No

6.2. Terceros.

6.2.1. Identificación de los riesgos derivados del acceso de terceros.

 Listado de los tipos de acceso a terceros.

 Fichas de los riesgos identificados.

 Nómina de acceso a terceros.

 Si / No

6.2.2. Tratamiento de la seguridad en la relación con los clientes.

 Listado de los tipos de seguridad en la relación con los clientes

 Si / No

6.2.3. Tratamiento de la seguridad en contratos con terceros.

 Listado de los tipos de seguridad en la relación con los clientes

 Si / No

7. GESTIÓN DE ACTIVOS.

7.1. Responsabilidad sobre los activos.

7.1.1. Inventario de activos.

 Listado de activos.

 Informe trimestral de activos.

 Si / No.

7.1.2. Propiedad de los activos.

 Matriz de activos propios / rentados manejados por la organización.

 Informe de activos propios de la organización.

 Informe de activos rentados por la organización.

7.1.3. Uso aceptable de los activos.

 Matriz de condiciones de activos.

 Informa del estado de los activos.

7.2. Clasificación de la información.

7.2.1. Directrices de clasificación.

 Niveles de acceso a la información.

 Público

 Medio

 Restringido

7.2.2. Etiquetado y manipulado de la información.

 Descripción y asignación de políticas para la manipulación de información según el nivel de acceso.

8. SEGURIDAD LIGADA A LOS RECURSOS HUMANOS.

8.1. Antes del empleo.

8.1.1. Funciones y responsabilidades.

 Matriz de experiencia laboral

 Básica

 Profesional

8.1.2. Investigación de antecedentes.

 Curriculum vitae.

 Si / No

8.1.3. Términos y condiciones de contratación.

 contrato de prestación de servicios

 Si / No

8.2. Durante el empleo.

8.2.1. Responsabilidades de la Dirección.

 Documentación de normativas.

 Actualizada.

 Desactualizada.

8.2.2. Concienciación, formación y capacitación en sistemas de la información.

 Bitácora de capacitaciones

 Si / No

 Cursos realizados en Tics.

 Más de 10

 Menos de 10

 Ninguno

8.2.3. Proceso disciplinario.

 Informe de cumplimiento de funciones

 Si / No

 Informe de cumplimiento de políticas.

 Si / No

8.3. Cese del empleo o cambio de puesto de trabajo.

8.3.1. Responsabilidad del cese o cambio.

 Informe del cese o cambio de puesto de forma organizada donde se determinen los motivos.

 Si / No

 Carta de renuncia / cambio de trabajo.

8.3.2. Devolución de activos.

 Informe de devolución de todos los activos.

 Informe de inventario de activos.

 Actualizado

 Verificado

 Informe de seguimiento del empleado antes de salir de la empresa.

 Verificado

 Informe de transferencia de información en caso de que el empleado haya usado su propio equipo.

 Actualizado

 Verificado

8.3.3. Retirada de los derechos de acceso.

 Documentación de los derechos de acceso.

 Aprobada

 Desaprobada

 Cambio de Claves

 Listado de los empleados que han sido removidos de la empresa.

9. SEGURIDAD FÍSICA Y DEL ENTORNO.

9.1. Áreas seguras.

9.1.1. Perímetro de seguridad física.

 Planes de instalación de centro de cómputo.

 Verificación de puntos seguros.

9.1.2. Controles físicos de entrada.

 Señalización de puntos seguros.

 Revisión de la infraestructura.

9.1.3. Seguridad de oficinas, despachos e instalaciones.

 Manual de seguridades de oficina y despachos.

 Cumplimiento de manuales de seguridad.

9.1.4. Protección contra las amenazas externas y de origen ambiental.

 Planes de contingencia y de emergencia.

 Informe de simulacros realizados.

9.1.5. Trabajo en áreas seguras.

 Lista de áreas seguras.

 Bitácora de actividades sin incidentes.

9.1.6. Áreas de acceso público y de carga y descarga.

 Identificación de accesos públicos de carga y descargas.

 Bitácora de accesos públicos de carga y descargas.

9.2. Seguridad de los equipos.

9.2.1. Emplazamiento y protección de equipos.

 Manuales de protección y emplazamientos de equipos

 Especificaciones técnicas de los equipos

9.2.2. Instalaciones de suministro.

 Manuales de actualizados

 Existen y están actualizados

 No existen

9.2.3. Seguridad del cableado.

 Planos de la red

 Especificaciones de los medios y tipos

 Guías de seguridad en implementación

9.2.4. Mantenimiento de los equipos.

 Lista de características de equipos

 Manuales de procedimientos para mantenimiento

 Bitácora de equipos intervenidos

9.2.5. Seguridad de los equipos fuera de las instalaciones.

 Bitácora de numero de equipos que están fuera de las instalaciones.

 Documentación de las características de los equipos fuera de las instalaciones.

9.2.6. Reutilización o retirada segura de equipos.

 Control de revisión de equipos.

 Documentación de controles.

9.2.7. Retirada de materiales propiedad de la empresa.

 Control de salida y entrada de equipos.

 Documentación de controles.

 Autorizados

10. GESTIÓN DE COMUNICACIONES Y OPERACIONES.

10.1 Responsabilidades y procedimientos de operaciones.

10.1.1. Documentación de los procedimientos de operación.

 Matriz de procedimientos.

 Guías de gestión de operaciones.

 Si / No

10.1.2. Gestión de cambios.

 Informe de cambios de sistema y recursos del tratamiento de información.

 Si / No

10.1.3. Segregación de tareas.

 Listado de tareas para reducir modificaciones o riesgos.

 No autorizadas

 No intencionadas

10.1.4. Separación de los recursos de desarrollo, prueba y operación.

 Informe de procedimientos y normas de directrices de la información.

 Informe de pruebas y operaciones.

10.2. Gestión de la provisión

...