Práctica Sesión 6: Practicas sobre salvaguardas y medidas de seguridad de la información

La norma ISO/IEC 27002  es un estándar para la establecer las medidas de seguridad  de la información publicado en nuestros equipos, estableciendo políticas seguridad informática. Fue creada por la Organización Internacional de Normalización y la Comisión Electrotécnica Internacional.


Actividad 1:
Se han creado numerosas actualizaciones y explicaré las principales diferencias entre las últimos dos versiones la de 2005 y 2013. El apartado de dispositivos móviles y tele trabajo estaba englobado dentro del Control de Accesos, con la actualización esta se ha acabado incluyendo en la Organización de la Seguridad de la Información, ya que el Control de Accesos esta incluido en los apartados dedicados al sistema operativo, aplicaciones e información. La criptografía que es el procedimiento de escribir con calves secretas o enigmáticas ha sido incluido como nuevo apartado (en el 10) en la versión de 2013 y trata todos los controles criptográficos y códigos recomendados para las organizaciones. Otro apartado relevante que ha sufrido modificado es el de el back-up o recuperación de información por desastres, que han sido incluidos en la sección 17. Por último se han variado y agrandado la lista del numero de dominios, objetivos de control y herramientas de control.

Actividad 2:
A continuación he creado una hoja de cálculo donde las filas representan cada uno de los dominios de seguridad de la 27002 y en las columnas se deben crear estas columnas: Ponderación (tipo porcentaje); Nivel de amenaza estimada cubierta (tipo entero; valor entre 0 y 10); Probabilidad acierto en la protección (tipo decimal, dos decimales, valor entre 0-1); y Riesgo cubierto de dominio (tipo decimal, dos decimales).

Una vez confeccionada la hoja de cálculo, habría que imaginar un valor para la amenaza y la probabilidad. El Riesgo de dominio será un valor calculado de multiplicar la amenaza y la probabilidad.

Actividad 3:

A continuación investigaré el número medidas de cada uno y preparar un esquema que lo represente por cantidades. Elegir un tipo de gráfica, como por ejemplo un diagrama por sectores (queso) o de barras, donde por cada dominio se visualice el número de medidas que tiene. 

Actividad 4:

Ahora tomaré el dominio de seguridad ligada a los recursos humanos, para hacer una hoja de cálculo similar a la de la actividad 2, para valorar el riesgo estimado cubierto.

Actividad 5:

A continuación elegiré otro dominio, preferentemente diferente del resto de alumnos y estudiar las medidas concretas que define la norma. Investigaré y explicaré cómo podría ser aplicado.

Habría que comprobar que los objetivos en relación a la seguridad de la información están claros en toda la organización y tratar que este sea usado en procesos relevantes.

Es determinante, revisar periódicamente y aprobar la política de Seguridad de la Información.

El apoyo y la colaboración entre la organización mediante la comunicación fluidas, son fundamentales para alcanzar el objetivo, además de unas pautas claras y organizadas.

 La organización debe facilitar todos los recursos necesarios y posibles para asegurar el buen funcionamiento de la Seguridad de la Información. Por lo tanto es esencial organizar, aprobar y llevar a cabo, las diferentes asignaciones de roles específicos y los responsables del Sistema de Seguridad de la Información. Por último deberían que asegurar que la implantación de los diferentes controles y herramientas de seguridad para la Seguridad de la Información se encuentra coordinada por la propia empresa.