ISO 27004 pendiente de aprobación

Categoría: Seguridad de la Información

Hola a tod@s, hoy estamos de enhorabuena, estamos a punto de tener un miembro más en la familia y no me refiero a la mía, me refiero a la 27000. Como ya vimos, la norma 27000/2009 se encuentra disponible de manera pública. Este estándar con título "Information technology — Securitytechniques — Information security management systems — Overview and vocabulary" consituye una introducción al Sistema de Gestión de Seguridad de la Información proporcionando una guía para el primer acercamiento al SGSI en términos de vocabulario, funcionamiento y utilidad.

Tras no pocas dificultades, ISO 27004/2009 se puede ver en fase de aprobación en el portal de ISO. Con título "Information technology -- Security techniques -- Information security management -- Measurement" viene a solucionar uno de los más grandes problemas de la seguridad de la información, si es que no el peor, la medición. Este hecho ha sido siempre un quebradero de cabeza e incluso fuente de trabajos de investigación y tesis sobre cómo medir el cumplimiento de los objetivos en materia de seguridad de la información.

Dentro de muy poco tendremos una guía sobre cómo orientar la medición de estos objetivos.

Salu2

Historia de un SGSI cualquiera: El Sistema de Gestión y la Seguridad de la Información II

*****************************************************************
Historia de un SGSI cualquiera: El sistema de Gestión
y la Seguridad de la Información I
Historia de un SGSI cualquiera: El sistema de Gestión
y la Seguridad de la Información II
*****************************************************************
[...]

El señor Gerente después de consultarlo con la almohada decide que eso de la 27001 no esta aún muy visto y que en su sector no hay casi nadie que la tenga y por tanto puede ser una ventaja competitiva de forma que: "qué leches!, lo vamos a hacer", "pongo a Don YoPuedoConTodo que también es responsable del Sistema de Gestión de la Calidad y el de Medio Ambiente, que hace de comercial, de programador, analista y jefe de proyecto y esto va para delante fijo".

De esta forma y casi sin darse cuenta, llega el día de la auditoría interna, el sistema ya está implantado y la Consultora se ha buscado una colaboración externa para hacer esa auditoría. El Auditor Interno comienza a solicitar documentación del Sistema de Gestión y a ver incoherencias con el funcionamiento de la empresa, partes en amarillo fosforito y otras partes sin instanciar y es que Don YoPuedoConTodo al fin y al cabo es humano y le ha echado a esto los ratos que ha podido y le dejaban libres sus otras 101 tareas.

Al finalizar la Auditoría Interna el Señor Gerente es Informado de la situación por el Auditor Interno, quien le transmite su preocupación y creencia de que la consultora ha hecho bien su trabajo pero ellos no le han podido dedicar el suficiente tiempo, que los procedimientos y normas no se adecuan al día a día de la organización y que hay documentos que no se han instanciado. El Gerente mira a Don YoPuedoConTodo y le dice "Esto hay que solucionarlo pero ya, así que te vas quitando del resto de cosas que tenemos la Auditoría de Certificación dentro de 2 semanas". Don YoPuedoConTodo haciendo honor a su nombre por encima de sus propias posibilidades y en un esfuerzo sobrehumano consigue adaptarlo todo, dejar toda la documentación impecable, pero... los controles están pishí pishá, algunos mejor y otros peor, algunos no están y otros sí, pero el Sistema de Gestión funciona y, al fin y al cabo esto es lo importante, el ciclo PDCA hará el resto de forma que "CERTIFICADO".

El final de la historia es una empresa con un Sistema de Gestión sin Seguridad de la Información durante algún tiempo y un Sello que no refleja lo que realmente hay por detrás.

Pero...

• ¿Dónde ha estado el problema aquí? El problema aquí es el objetivo del Gerente, conseguir la ISO 27000 por ventaja competitiva. Al final se obtiene pero... ¿para que sirve de puertas para adentro?. Amén de esto ha habido otros muchos problemas, asignación de recursos y colaboración de la organización entre otros.
• ¿Quien es responsable de esto? ...
• ¿Cual es el resultado? El resultado es un SG sin SI que irá adquiriendo Seguridad de la Información conforme va rodando el Sistema de Gestión en el mejor de los casos, cuando el señor Gerente apoye el SGSI y crea en él, más allá de la idea del sello inicial. En otro caso lo que tendremos es un SGSI Virtual perfectamente descrito por Javier Cao en su blog.

Que duda cabe que esta historia tiene muchas y muy honrosas excepciones y que quizá no existan dos empresas con un planteamiento exacto en cuanto a la implantación del SGSI en su organización y las razones que los llevan a hacerlo, lo que si está claro es que el motivo que llevó al desarrollo del SGSI es un factor clave para disponer de Seguridad de la Información desde el comienzo.

Para finalizar me gustaría lanzar preguntas al aire (al blog en este caso) con el único objeto de que sean reflexionadas:

• ¿Se debe aceptar cualquier punto de partida para un SGSI?
• ¿Qué está reflejando realmente una certificación en ISO 27001 el primer año si no se tiene especial consideración en el Anexo A?
• ¿Y si una empresa certificada en ISO 27001 desaparece por un incidente de seguridad durante el primer ciclo?
  
• ¿Puede ser la diferencia de criterio en la auditoría un problema o una garantía de un punto de partida adecuado?

Salu2!

Historia de un SGSI Cualquiera: El Sistema de Gestión y la Seguridad de la Información I

*****************************************************************
Historia de un SGSI cualquiera: El sistema de Gestión
y la Seguridad de la Información I
Historia de un SGSI cualquiera: El sistema de Gestión
y la Seguridad de la Información II
*****************************************************************

Un Sistema de Gestión de Seguridad de la Información está basado en el famoso ciclo de Deming que ha adoptado esta norma como otras (ISO 9000 e ISO 14000) y que está basado en cuatro fases denominadas como Plan Do Check Act, también conocido como ciclo PDCA. Este ciclo permite la mejora contínua de la seguridad de la información dentro de la organización apoyándose en el sistema de gestión como soporte para dicha mejora.Este Sistema de Gestión, como todo, tiene un principio y es en su construcción donde se hace hincapié en la primera auditoría. Esta rueda que va evolucionando poco a poco, permite a la organización mejorar su seguridad de la información, consiguiendo que la organización vaya poniendo el término Seguridad de la Información junto al de Sistema de Gestión. Lo que a mi me preocupa es si realmente en la primera iteración del SGSI hay Seguridad de la Información más allá de un Sistema de Gestión.

Ésta bien podría ser la historia de un SGSI cualquiera en una empesa cualquiera un día de auditoría cualquiera. Y es que no es lo mismo Sistema de Gestión que Seguridad de la Información. No es lo mismo y no van juntos por mucho que ISO 27001 se empeñe en jutarlos a los dos en el término Sistema de Gestión de Seguridad de la Información, al menos no en la primera iteración del ciclo PDCA.

La Historia podría comenzar un día cualquiera cuando el Gerente de una organización cualquiera escucha el término seguridad de la información e ISO 27001 juntos durante una conversación en el tiempo del almuerzo. "ah!, eso parece interesante!, ¿qué hay que hacer para conseguir esa cerctificación?", sus contertulios le dicen que es recomendable llamar a una consultora para que se encargue del trabajo y que ellos te lo van a a dejar todo prácticamente hecho y el señor Gerente se dispone ni corto ni perezoso a buscar la consultora apropiada, la encuentra y llama; "Hola, soy el señor Gerente, quisiera conseguir la ISO 27001 para mi empresa y me han comentado que vosotros podeis hacer la implantación", a esto le contestan desde la consultora que si, que no hay ningún problema, que ellos le van a dar toda la documentación y que su organización deberá particularizarla para su caso concreto así como implantar las medidas que se consideren adecuadas según sus objetivos, análisis de riesgos y cumplimiento legal, y que el Sistema de Gestión de Seguridad de la Información resultante tendrá que ser administrado y gestionado por ellos. "Bien, ¿cuanto tiempo llevará la implantación?", desde la consultora le apuntan que unos 6 u 8 meses, puede que incluso más, dependiendo de la organización.

[...]

ISO 27000 disponible públicamente

A partir de hoy se encuentra disponible el estándar ISO 27000/2009 de manera pública. Este estándar con título "Information technology — Securitytechniques — Information security management systems — Overview and vocabulary" consituye una introducción al Sistema de Gestión de Seguridad de la Información proporcionando una guía para el primer acercamiento al SGSI en términos de vocabulario, funcionamiento y utilidad.

Podeis descargalo desde aquí.

Podeis disponer de más estándares en descarga directa, si bien no hay ninguno más de la familia 27000, en este sitio.

Salu2!