ISO 27005

ISO 27005

Estructura de esta norma

Contiene 12 Clausulas y 6 anexos que apoyan el desarrollo de cada una de las clausulas para la implementacin de esta norma.

Objeto y Campo de Aplicacin.: Esta norma proporciona directrices para la gestin del riesgo en la seguridad de la informacin en una organizacin y adems dar soporte a la norma ISO27001 la cual trata del diseo e implementacin monitoreo y el mantenimiento de un sistema de gestin de seguridad de la informacin.

Referencia normativa.: son la norma iso27001 y la norma iso27002 es necesario estudiar las 3 normas para un correcto entendimiento de todo el proceso en lo que se refiere a un sistema de gestin de seguridad de la informacin.

Trminos y Definiciones.: Observamos un listado de todos los trminos y sus definiciones que son utilizados para el correcto entendimiento de esta norma adems estos trminos son utilizados en la ISO27001 y 27002.

Estructura.: La estructura de esta norma contiene la descripcin de todos los procesos para la gestin del riesgo en la seguridad de la informacin y cada una de las actividades para cumplir con estos procesos es necesario establecer un enfoque sistmico para as saber que estas actividades se estructuran de la siguiente manera con: ENTRADAS conjunto de acciones y una SALIDA, cada una las actividades que apoyan los procesos deben estar estructurados en forma sistmica.

Informacin General.: esta norma nos recalca que es necesario establecer un enfoque sistmico para la gestin del riesgo es ah donde vemos que tenemos cuando establecemos una correcta gestin del riesgo como por ejemplo logramos identificar los riesgos, valorar los riesgos en trminos de consecuencias y probabilidades de ocurrencia, priorizar el tratamiento de los riesgos participacin de los interesados en la gestin y mantenerlos informados y adems educar a todos los dems directores y al personal involucrado en el proceso de gestin del riesgo.

Visin General.: El proceso de gestin del riesgo en la seguridad de la informacin se la puede resumir con el siguiente grfico.

Establecimiento del Contexto.: Definimos alcances y caractersticas del negocio,

establecemos criterios bsicos para la gestin del riesgo definir una poltica adems establecer un proceso o un enfoque para la gestin del riesgo. Debemos tener en cuenta que aspectos legales y reglamentarios estamos sometidos como son nuestras operaciones que tecnologa disponemos con que finanzas disponemos y que factores sociales y humanitarios nos influyen.

Identificacin del riesgo.: El propsito de la identificacin del riesgo es determinar qu podra suceder que cause una prdida potencial, y llegar a comprender el cmo, dnde y por qu podra ocurrir esta prdida.

Estimacin del riesgo.: El anlisis del riesgo se puede realizar con diferentes grados de detalle dependiendo de la criticidad de los activos, la amplitud de las vulnerabilidades conocidas y los incidentes anteriores que implicaron a la organizacin. Una metodologa de estimacin puede ser cualitativa o cuantitativa, o una combinacin de ellas, dependiendo de las circunstancias

Evaluacin del Riesgo.: Entrada: una lista de los riesgos con niveles de valor asignado y criterios para la evaluacin del riesgo. Accin: se deberan comparar los niveles de riesgo frente a los criterios para la evaluacin del riesgo y sus criterios de aceptacin (se relaciona con ISO/IEC 27001.

Tratamiento del riesgo.: Debemos establecer unos controles para reducir, retener, evitar o trasferir los riesgos como ya tenemos un plan de tratamiento definido es en aquel que debemos apoyar y sustentar debemos tener en cuenta que cuando implementamos un plan para el tratamiento del riesgo se presentaran algunas restricciones cuan vamos a seleccionar algunos controles como por ejemplo restricciones de tiempo, financieras tcnicas operativas legales entre otras.

Aceptacin del Riesgo.: es en este punto donde la organizacin tiene conocimiento

riesgo y le da una valoracin y le da un tratamiento de acuerdo a ese tratamiento los riesgos pueden resultar riesgos residuales los cuales tambin hay que hacerles un procedimiento de estimacin y realizar un tratamiento adecuado

Comunicacin del riesgo.: La comunicacin del riesgo se debe hacer durante todo el proceso y debe ser bidireccional todos los integrantes de la organizacin deben conocer los riesgos y estar al tanto de lo que est sucediendo en el proceso que se est llevando adems se debe hacer un proceso de seguimiento y monitoreo una revisin continua de todo el proceso de gestin del riesgo.