COLEGIO OFICIAL DE INGENIEROS DE TELECOMUNICACIÓN Guía de Iniciación a Actividad Profesional Implantación de Sistemas de Gestión de la Seguridad de la Información (SGSI) según la norma ISO 27001 GRUPO DE NUEVAS ACTIVIDADES PROFESIONALES Grupo de Nuevas Actividades Profesionales del COIT (Grupo NAP) En acuerdo de Junta de Gobierno del COIT desde julio de 2009, el Grupo de trabajo de “Nuevas Actividades Profesionales” (NAP), se enmarca dentro del Grupo de trabajo de Ejercicio Profesional, que queda conformado por los Grupos NAP y ELP (Ejercicio Libre Profesional). Este Grupo de Trabajo nació en el 2003 con el objetivo de ocuparse de detectar nuevas actividades que surjan, analizarlas, evaluar su impacto y, en su caso, promocionarlas. Una resultante de esta misión es promover, en su caso, la conveniencia o la obligatoriedad de contar con la redacción de un proyecto técnico de telecomunicaciones en estas nuevas áreas de actividad, ya sea por su grado de complejidad, porque soporten servicios de telecomunicación de uso público, porque deban quedar garantizados unos requisitos mínimos de calidad y de seguridad o bien porque se deba hacer un uso eficaz y eficiente de ciertos recursos públicos limitados en un régimen de mercado liberalizado. Este documento se enmarca dentro de una nueva serie de estudios breves denominados “Guías de Iniciación a Actividades Profesionales” que pretenden dar respuesta a todas aquellas cuestiones que puedan plantearse de manera práctica y didáctica a aquellos que quieran adentrarse en nuevas actividades profesionales. Esperamos que sea de vuestro de interés Cayetano Lluch Mesquida Vicedecano del COIT Agradecimientos En la redacción de esta guía se ha contado con la valiosa ayuda y experiencia de nuestro compañero Jesús Sánchez López al que agradecemos desde estas líneas su dedicación y esfuerzo. ÍNDICE 1. INTRODUCCIÓN ...................................................................................... 9 2. LA FAMILIA DE NORMAS ISO 27000. .................................................... 11 3. PRESENTACIÓN DE UN SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN SEGÚN LA NORMA ISO 27001. ...................................... 13 3.1. TÉRMINOS Y DEFINICIONES. ............................................................. 13 3.2. MARCO DE REFERENCIA. .................................................................. 14 3.3. ESTRUCTURA DE LA NORMA. ............................................................. 16 3.4. RESPONSABILIDADES DE LA DIRECCIÓN. .............................................. 17 3.5. DOCUMENTACIÓN DEL SGSI. ........................................................... 17 4. ESTRUCTURA DE UN PROYECTO DE IMPLANTACIÓN DE UN SGSI. ......... 18 4.1. PROCESOS INICIALES. .................................................................... 19 4.1.1. Proceso I. Inicio. ................................................................. 19 4.1.2. Proceso II: Planificación. ...................................................... 22 4.2. CONSIDERACIONES ECONÓMICAS. ...................................................... 23 4.3. HERRAMIENTAS DE SOPORTE. ........................................................... 24 5. LOS PROCESOS DE ANÁLISIS Y GESTIÓN DE RIESGOS. ........................ 26 5.1. METODOLOGÍAS DE ANÁLISIS Y GESTIÓN DE RIESGOS. .............................. 26 5.2. EL PROCESO DE ANÁLISIS DE RIESGOS. ................................................ 27 5.3. EL PROCESO DE GESTIÓN DE RIESGOS. ................................................ 29 6. CONTROLES. ......................................................................................... 31 7. CERTIFICACIÓN DE UN SGSI. ............................................................... 34 7.1. ESQUEMA DE CERTIFICACIÓN. ........................................................... 34 7.2. PROCESO DE CERTIFICACIÓN. ........................................................... 35 7.3. RAZONES PARA LA CERTIFICACIÓN. ..................................................... 37 8. CONSIDERACIONES PROFESIONALES. .................................................. 38 8.1. TIPOLOGÍA DE ORGANIZACIONES OFERTANTES. (MERCADO OBJETIVO) ............ 38 8.2. PERFILES PROFESIONALES................................................................ 39 8.2.1. Perfil del auditor de seguridad de la información. ..................... 39 8.3. REQUISITOS DE FORMACIÓN. ............................................................ 40 9. BIBLIOGRAFÍA Y ENLACES DE INTERÉS. ............................................... 42 9.1. BIBLIOGRAFÍA ............................................................................. 42 9.2. ENLACES DE INTERÉS ..................................................................... 43 ANEXOS .................................................................................................... 44 ÍNDICE DE FIGURAS Figura 1. Modelo PDCA aplicado a los procesos del SGSI.................................... 15 Figura 2. Estructura de la norma ISO 27001. ................................................... 16 Figura 3. Procesos (fases) de un proyecto SGSI. .............................................. 18 Figura 4. WBS de un SGSI (Adaptado de Henning 2008) ................................... 22 Figura 5. GlobalSuite ©AudiSec. Ejemplo de herramienta de propósito general. .... 25 Figura 6. PILAR ©A.L.H.J. Mañas. Ejemplo de herramienta específica de análisis y gestión de riesgos. ............................................................. 25 Figura 7. Esquema del método MAGERIT (fuente ccn-cert) ................................ 30 Figura 8. Dominios de la norma ISO 27002 y su naturaleza. .............................. 33 Figura 9. Ejemplos de marcas de certificación. ................................................. 34 Figura 10. Normalización, acreditación y certificación. ....................................... 35 Implantación de Sistemas de Gestión de la Seguridad de la Información 1. INTRODUCCIÓN La disciplina denominada tradicionalmente “Seguridad Informática” ha evolucionado a una velocidad vertiginosa en la breve (no más allá de 60 años) pero intensa historia de los ordenadores y de la Informática. El objetivo inicial de proteger, frente a causas accidentales o intencionadas, los costosos equipos de Proceso de Datos de los años [19]50-60 ha quedado, por distintos motivos, obsoleto. La prioridad actual es proteger la Información como activo vital para cualquier Organización y hacerlo en diferentes dimensiones: Disponibilidad, Integridad, Confidencialidad y Autenticidad (ACID). En consecuencia, se hace necesario evolucionar hacia el concepto de Sistema de Gestión de la Seguridad de la Información (SGSI- ISMS =Information Security Management System) que se ocupe no solo de la problemática (debilidades, amenazas, incidencias, etc.) de la componente tecnológica (seguridad TIC) sino que lo haga desde un enfoque global abordando, además, otros aspectos: normativos, legales, organizativos e incluso (y sobre todo) culturales y cuyo planteamiento se conciba desde la visión de problema de negocio. Definimos el Sistema de Gestión de la Seguridad de la Información (ISO 27001:2005) como: La parte del sistema de gestión general, basada en un enfoque de riesgo empresarial, que se establece para crear, implementar, operar, supervisar, revisar, mantener y mejorar la seguridad de la información. No es sencillo identificar un claro y único origen del nacimiento de una doctrina en Seguridad de la Información (tal vez no exista) aunque nos parece especialmente reseñable el documento DIRECTRICES DE LA OCDE PARA LA SEGURIDAD DE SISTEMAS Y REDES DE INFORMACIÓN: HACIA UNA CULTURA DE SEGURIDAD, publicado en julio de 2002, en cuyo capítulo I puede leerse: Estas Directrices pretenden dar respuesta a un ambiente de seguridad cada vez más cambiante, a través de la promoción del desarrollo de una cultura de seguridad – esto es, centrándose en la seguridad del desarrollo de sistemas y redes de información, así como en la adopción de nuevas formas de pensamiento y comportamiento en el uso e interconexión de sistemas y redes de información. Estas Directrices marcan una clara ruptura con un tiempo en el que los aspectos de seguridad y el uso de redes y sistemas se consideraban con frecuencia como elementos a posteriori. Los sistemas, redes y servicios de información afines, deben ser fiables y seguros, dado que los participantes son cada vez más dependientes de éstos. Sólo un enfoque que tome en cuenta los intereses de todos los participantes y la naturaleza de los sistemas, redes y servicios afines puede proporcionar una seguridad efectiva. Tomando en consideración estas recomendaciones, así como un conjunto de 9/46 Implantación de Sistemas de Gestión de la Seguridad de la Información normas existentes con anterioridad (muy en particular las elaboradas por la British Standard Institution –BSI-), la International Organization for Standardization (ISO) publicó, en 2005, la norma ISO 27001 a la que siguieron otro conjunto de ellas que se conocen colectivamente como familia ISO 2700x. Esta norma es aplicable a todo tipo de Organizaciones y sectores de actividad, incluidas las Administraciones Públicas. Existen países (por ejemplo Perú) que las han hecho de obligado cumplimiento en tanto que otros han desarrollado una normativa específica. Tal es el caso de España que lo regula mediante el RD 3/2010 por el que establece el Esquema Nacional de Seguridad como consecuencia de lo dispuesto en la Ley 11/2007 de Acceso Electrónico de los Ciudadanos a los Servicios Públicos. El SGSI puede integrarse con relativa facilidad con otros Sistemas de Gestión genéricos: Sistema de Gestión de la Calidad (ISO 9001) y el Sistema de Gestión Medioambiental (ISO 14001), Continuidad de Negocio (ISO 22301 y BS 25999), etc., específicos de TI: ISO 20000, ITIL, COBIT, etc., así como otros tipos de marcos regulatorios, en particular el relativo a Protección de Datos de Carácter Personal (LOPD) en un Sistema de Gestión Global que utilice recursos comunes. La adecuación de las Organizaciones a este tipo de normativas es una actividad emergente (tanto en las vertientes de consultoría como de auditoría) que ofrece a los Ingenieros de Telecomunicación un interesante abanico de posibilidades profesionales tanto específicas del sector TIC como multidisciplinares (Dirección de Proyectos). No existe (ni se espera) una regulación gubernamental de naturaleza facultativa para el ejercicio de tales actividades por lo que se presenta a nuestro colectivo una interesante oportunidad para alcanzar prestigio y presencia en el sector. 10/46