Publicado el

Cómo ISO 27001 puede aumentar la seguridad en la nube

Las organizaciones utilizan cada vez más los servicios en la nube. Según una encuesta reciente, el 92% de las organizaciones utilizan más de una, en promedio 2,6 nubes en organismos gubernamentales y 2,7 ​​en empresas privadas.

Los principales beneficios de la nube son una mayor accesibilidad a la automatización y una sincronización superior de datos e información.

Sin embargo, muchas personas creen que usar un proveedor de almacenamiento en la nube aumenta la ciberseguridad. Esto es parcialmente cierto.

De hecho, la información almacenada en la Nube se almacena en un lugar físico y, si es accesible para usted, significa que también podría ser accesible para los ciberdelincuentes.

Para proteger realmente los datos almacenados en la nube, debe tomar las mismas precauciones que tomaría con la información almacenada en otro lugar. Esto significa implementar controles adecuados basados ​​en el marco descrito en ISO 27001, el estándar internacional que describe las mejores prácticas para un SGSI (Sistema de Gestión de Seguridad de la Información).

En este artículo, analizamos tres formas en que ISO 27001 puede ayudar a proteger la información almacenada en la nube.

software antivirus
La Nube, como cualquier base de datos accesible a través de Internet, es susceptible a ataques de malware.

Estos pueden venir en cualquier forma, incluidos gusanos, adware, keyloggers y ransomware. La única forma de detectarlos constantemente es con tecnología antivirus y antimalware.

El Anexo A.12.2 de ISO 27001 trata sobre la prevención de malware y el punto de partida obvio es el software antimalware.

Estas son algunas de las herramientas de ciberseguridad más comunes en el mercado, por lo que no debería tener problemas para encontrar un paquete adecuado. Compañías como Norton, Bitdefender y Kaspersky ofrecen servicios y se diferencian por funciones adicionales.

Bitdefender, por ejemplo, destaca por su capacidad para detectar ransomware, mientras que F-Secure es uno de los pocos servicios que se pueden utilizar en dispositivos Apple.

Concienciación del personal
Prevenir el malware es más importante que detectar sus amenazas. El Anexo A.12.2 indica otras acciones que las organizaciones pueden tomar para garantizar que las vulnerabilidades se aborden de inmediato y que los empleados no cometan errores que puedan permitir que el malware ingrese a los sistemas de la organización.

Una forma de hacer esto es implementar un programa de parches de vulnerabilidad para garantizar que las actualizaciones se apliquen rápidamente.

Las organizaciones también deben probar la eficacia de estos parches para garantizar la disponibilidad continua y la integridad de la información al tiempo que minimizan las incompatibilidades.

La formación de conciencia del personal juega un papel crucial en este proceso. Se debe educar a los empleados sobre la importancia de la gestión de parches y se les deben dar pautas sobre los pasos a seguir.

Además, consideramos que la infección de malware ocurre más comúnmente a través de correos electrónicos de phishing. Por lo tanto, las organizaciones deben realizar capacitaciones periódicas de concientización del personal para ayudar a los empleados a detectar correos electrónicos sospechosos y denunciarlos de inmediato.

Copia de seguridad de la información
Otro control que ayuda con la seguridad en la Nube se puede encontrar en el Anexo A.12.3, donde se indica que las organizaciones deben respaldar la información confidencial.

Las organizaciones a menudo piensan erróneamente que la nube en sí misma es una copia de seguridad, porque estará segura en caso de que algo le suceda a los servidores propiedad de la organización.

Sin embargo, los servidores en la nube también son vulnerables al compromiso, por lo que las organizaciones deben mantener copias de información valiosa en múltiples ubicaciones.

Los esquemas de respaldo deben diseñarse de acuerdo con los requisitos de cada organización y de acuerdo con los niveles de riesgo relacionados con la disponibilidad de la información. Las organizaciones también deben probar sus copias de seguridad con regularidad para garantizar que la información se pueda restaurar por completo y sin corrupción.

Trabajo remoto
El desarrollo del trabajo remoto tras la pandemia es una de las principales causas del aumento del almacenamiento en la nube. Con empleados repartidos por todo el país o, en algunos casos, por todo el mundo, las organizaciones necesitan una ubicación central que permita a los empleados acceder a la información.

Sin embargo, el trabajo remoto presenta riesgos de seguridad asociados con el acceso a la información. El Anexo A.6.2.2 de ISO 27001 contiene pautas para abordar estos riesgos, centrándose en los dispositivos móviles y el teletrabajo.

Al crear políticas en torno a estos temas, las organizaciones pueden no hay reglas establecidas sobre quién puede acceder, almacenar y procesar información en la nube mientras trabaja de forma remota.

La mayoría de las organizaciones deberían tener controles de acceso en sus sistemas internos para garantizar que la información solo sea visible para ciertos miembros del personal. Esto reduce el riesgo de amenazas internas y mitiga el daño en caso de que un ciberdelincuente comprometa la cuenta de un empleado.

Se deben aplicar medidas similares a los sistemas en la nube. A veces, esto es solo un acceso limitado a las bases de datos en la nube, pero es posible que haya información dentro de esos sistemas que deba limitarse aún más.

Fuente: it.governance.eu – Luke Irwin

Publicado el

¿Cómo se aplica la norma ISO 27001?

¿Cómo se aplica la norma ISO 27001?

¿Cuáles son los primeros pasos que debes tomar para saber cómo implementar la ISO 27001 en una empresa? Resolvemos tus dudas a continuación ofreciéndote un desglose paso a paso de cómo llevar a cabo el proyecto.

1.      Definir los objetivos y redactar una Política de Seguridad

Para comenzar lo que es cómo implementar la ISO 27001, es importante tener los objetivos definidos y saber qué expectativas debe cumplir en todo momento la empresa para obtener dicha certificación.

En esta debemos saber lo siguiente:

  • cuáles serán las metas de seguridad de la información,
  • el marco de gestión en el que se define el alcance (en qué parte de la empresa se implementará),
  • cuáles son los requisitos legales que se deben cumplir,
  • cuál será la metodología de evaluación de riesgos, en ellas se deben tratar las posibles amenazas, los puntos débiles de la empresa o el nivel aceptable de riesgo.

Tras definir la Política de Seguridad, esta deberá pasarse a la dirección para que pueda ser aprobada y estudie los recursos humanos y materiales necesarios para llevar a cabo su implementación.

2.      Definir los riesgos

Una vez tenemos ya pensada una Política de Seguridad, el siguiente paso que debemos dar será identificar los riesgos a los que se puede enfrentar la empresa, quién se encargará de gestionarlos, cuáles son las vulnerabilidades de la compañía.

3.      Evaluar y analizar los riesgos

Una vez se han identificado los riesgos a los que se expone la empresa, se debe analizar el impacto que podrían generar dichas amenazas sobre la compañía y con cuánta frecuencia podrían producirse.

A continuación, se debe realizar un tratamiento de riesgos, es decir, ver qué riesgos se pueden reducir y eliminar. De la misma forma, debemos buscar cuáles serán los métodos para gestionar dichos riesgos en caso de que ocurran. Durante esta fase del proceso, es ideal contar con  un servicio de auditoría que te ofrezca servicios de control y supervisión que cuenten con una mirada experta.

4.      Realizar la declaración de la aplicabilidad

Una vez ya se ha realizado el tratamiento de riesgos, se deben definir los objetivos de control, ver cuáles se pueden aplicar y cuáles no, cómo se hará y por qué se hará. Todo esto deberá quedar recogido en un documento llamado “Declaración de Aplicabilidad”.

5.      Poner en marcha la implementación del Sistema de Gestión de Seguridad de la Información

Una vez que se ha pasado la fase de planificación, es el momento de implementar el SGSI, y, por tanto, el plan de tratamiento del riesgo previsto. Se deberán introducir nuevas tecnologías y prácticas que  ayuden a alcanzar los objetivos marcados y realizar controles de seguridad.

6.      Capacitación y concienciación

Una empresa no es nada sin las personas que la conforman. La puesta en marcha no se podrá llevar a cabo correctamente si no se forma a los empleados para que puedan actuar siguiendo las nuevas medidas impuestas. En este paso, es primordial la formación del personal en cuanto a las nuevas tecnologías aplicadas y los nuevos protocolos que se hayan establecido.

7.      Monitoreo

Es importante que, antes de obtener la certificación, nos aseguremos de la efectividad de los procesos que se han implementado en la compañía. Por ello, se debe dedicar un periodo de tiempo a medir, controlar y revisar cómo funciona el sistema y si está permitiendo que se alcancen los objetivos establecidos.

En esta fase final de evaluación, lo ideal es contratar una organización externa que se encargue de realizar una consultoría empresarial de negocio para que aporte una evaluación profesional y objetiva que detecte tanto los errores como los puntos fuertes que se deberían seguir trabajando.

Rif. – ctmaconsultores.com

Publicado el

Qué es la certificación ISO 27001 y cómo conseguirla

Qué es la certificación ISO 27001 y cómo conseguirla

 

La norma internacional ISO 27001 regula la seguridad de la información en organizaciones privadas, públicas o sin fines de lucro. Describe los requisitos para configurar, construir, gestionar y optimizar un sistema de gestión de la seguridad de la información.

Ver ejemplos de documentación y acceder al Manual Documentation Kit, procedimientos ISO 27001

Estructura de la norma ISO 27001

4.0 CONTEXTO DE LA ORGANIZACIÓN

La Organización debe determinar los factores internos y externos relevantes para sus propósitos que afectan su capacidad para lograr los resultados esperados para su sistema de gestión de seguridad de la información.

 

5. LIDERAZGO

La alta dirección debe demostrar su liderazgo y compromiso con el sistema de gestión de seguridad de la información mediante:

Asegurar que la política y los objetivos de seguridad de la información estén establecidos y sean compatibles con los lineamientos estratégicos de la Organización;
Asegurar la integración de los requisitos del sistema de gestión de seguridad de la información en los procesos comerciales;
Asegurar la disponibilidad de los recursos necesarios para el sistema de gestión de seguridad de la información;
Comunicar la importancia de una gestión eficaz de la seguridad de la información y el cumplimiento de los requisitos del sistema de gestión de la seguridad de la información;
Asegurar que el sistema de gestión de seguridad de la información logre los resultados esperados;
Proporcionar orientación y apoyo a las personas para contribuir a la eficacia del sistema de gestión de seguridad de la información;
Promover la mejora continua;
Apoyar a otros roles gerenciales relevantes para que demuestren liderazgo según corresponda en sus respectivas áreas de responsabilidad.
6. PLANIFICACIÓN

Al planificar el sistema de gestión de la seguridad de la información según ISO 27001, la Organización debe considerar los factores mencionados en el punto 4.1 y los requisitos mencionados en el punto 4.2 y determinar los riesgos y oportunidades que deben abordarse para:

Asegurar que el sistema de gestión de seguridad de la información pueda lograr los resultados esperados;
Prevenir o reducir los efectos no deseados;
Llevar a cabo la mejora continua;

La Organización debe planificar:

Acciones para abordar estos riesgos y oportunidades;
Las modalidades para:
integrar e implementar acciones en los procesos de su sistema de gestión de seguridad de la información;
evaluar la efectividad de estas acciones.

7. SOPORTE

La Organización debe determinar y poner a disposición los recursos necesarios para establecer, implementar, mantener y mejorar continuamente el sistema de gestión de seguridad de la información.

Necesita:

Determine las habilidades necesarias para las personas que realizan actividades bajo su control y que afectan su desempeño en seguridad de la información.
Asegurarse de que estas personas sean competentes en función de la educación, capacitación, capacitación o experiencia adecuadas;
En su caso, tomar acciones para adquirir las habilidades necesarias y evaluar la efectividad de las acciones tomadas;
Mantener información documentada apropiada como evidencia de habilidades.

 

8. ACTIVIDADES OPERATIVAS

La Organización debe planificar, implementar y monitorear los procesos necesarios para cumplir con los requisitos de seguridad de la información y para implementar las acciones determinadas en el punto 6.1.

También debe implementar los planes para lograr los objetivos de seguridad de la información establecidos en 6.2; conservar la información documentada en la medida necesaria para tener confianza en que los procesos se llevaron a cabo según lo planeado; monitorear los cambios planificados y revisar las consecuencias de los cambios involuntarios, tomando medidas para mitigar cualquier efecto negativo según sea necesario y garantizar que los procesos subcontratados se determinen y mantengan bajo control

9. EVALUACIÓN DEL DESEMPEÑO

La Organización debe evaluar el desempeño de la seguridad de la información y la efectividad del sistema de gestión de seguridad de la información y debe terminar:

Qué debe monitorearse y medirse, incluidos los procesos y controles relacionados con la seguridad de la información;
Los métodos de seguimiento, medición, análisis y evaluación, según corresponda, para asegurar resultados válidos;
Cuándo se llevarán a cabo el seguimiento y las mediciones;
Quién debe monitorear y medir;
Cuando deban analizarse y evaluarse los resultados del seguimiento y las mediciones;
Quién debe analizar y evaluar estos resultados.
La Organización debe mantener información documentada adecuada como evidencia de los resultados del seguimiento y las mediciones.

10. MEJORA

La organización debe:

Reaccionar con prontitud ante accidentes o NC (acciones para controlarlos y corregirlos; hacer frente a las consecuencias).
Evaluar, acciones correctivas para eliminar las causas del accidente o la NC
Revisar las evaluaciones de riesgo existentes para SGSI y otros riesgos.
Determinar e implementar cualquier acción necesaria, incluidas las acciones correctivas y la gestión del cambio.
Evaluar los riesgos para el SGSI relacionados con peligros nuevos o modificados.
Revisar la efectividad de cualquier acción tomada, incluidas las acciones correctivas.
Realice cambios en el SGSI.


ANEXO A

De fundamental importancia es el Anexo A de la norma ISO 27001 que contiene los 114 “controles” (o contramedidas) que debe cumplir la organización que pretenda aplicar la norma.

Se refieren al otro:
la politica y organizacion de la seguridad de la informacion
la seguridad de los recursos humanos
gestión de activos
el control de accesos lógicos
cifrado
seguridad fisica y ambiental
la seguridad de las actividades operativas
la seguridad de las comunicaciones
gestión de seguridad de aplicaciones
la relación con los proveedores que intervienen en la gestión de la seguridad de la información
el manejo de incidentes (relacionados con la seguridad de la información)
la gestión de la Continuidad del Negocio
cumplimiento de las regulaciones

¿Cómo obtener la certificación ISO 27001?

La auditoría de certificación la realiza un organismo acreditado que verifica la conformidad del sistema documental con los requisitos de la norma. Todo finaliza con la emisión del certificado (válido por 3 años), el cual debe ser renovado anualmente a través de una primera y segunda auditoría de vigilancia para confirmar o no el mantenimiento efectivo del sistema ISO 27001.
Al final del tercer año, se realiza una auditoría para cualquier nueva confirmación de tres años.
La certificación garantiza a todas las partes interesadas (clientes, autoridades de control, consumidores, ciudadanos) que la organización opera de acuerdo con los requisitos establecidos en la norma de referencia.

¿Cuánto tiempo lleva completar la certificación ISO 27001 y cuánto cuesta?

El tiempo requerido para lograr la certificación depende de la complejidad de los procesos de negocio y de la “participación activa” de la empresa.
En promedio se tarda aprox. 4-6 meses.
En cuanto a los costos, estos pueden variar según el tipo de empresa.

Publicado el 2 comentarios

Evaluación de riesgos al implementar un SGSI ISO 27001

Evaluación de riesgos al implementar un SGSI ISO 27001

Una evaluación de riesgos ISO 27001 implica cinco pasos importantes:
1. definir una estructura de evaluación de riesgos;
2. identificar los riesgos;
3. analizar los riesgos;
4. evaluar los riesgos;
5. elegir las opciones de gestión de riesgos.
Sigue leyendo Evaluación de riesgos al implementar un SGSI ISO 27001

Publicado el 3 comentarios

La estructura documental de un SGSI ISO 27001

La estructura documental de un SGSI ISO 27001

Un sistema de gestión de seguridad de la información basado en la norma ISO 27001 debe basarse en una estructura documental de 4 niveles:
• Políticas rectoras, que definen la posición y necesidades de la organización.
• Procedimientos para la implementación de las especificaciones.
• Instrucciones operativas detalladas para el personal responsable de implementar elementos de los procedimientos.
• Registros de seguimiento de los procedimientos e instructivos de operación, que confirmen que se han seguido de manera correcta y consistente.

Sigue leyendo La estructura documental de un SGSI ISO 27001