Certificaciones

Isamar Miguel Ángel García Wha

Saúl Uziel Martínez Navarrete Diego Enrique Juárez Hernández INTEGRANTES:

Proviene de la norma BS 7799 de British Standards Institution (organización británica equivalente a AENOR en España) creada en 1995 con el fin de facilitar a cualquier empresa un conjunto de buenas prácticas para la gestión de la seguridad de la información.

La norma ISO 27001 fue aprobada y publicada como estándar internacional en octubre de 2005 por International Organization for Standardization y por la comisión International Electrotechnical Commission.

Esta familia de normas que tiene como objetivo definir requisitos para un sistema de gestión de la seguridad de la información (SGSI), con el fin de garantizar la selección de controles de seguridad adecuados y proporcionales, protegiendo así la información, es recomendable para cualquier empresa grande o pequeña de cualquier parte del mundo y más especialmente para aquellos sectores que tengan información crítica o gestionen la información de otras empresas.

ISO/IEC 27000: 1 de Mayo de 2009. Esta norma proporciona una visión general de las normas que componen la serie 27000, una introducción a los Sistemas de Gestión de Seguridad de la Información, una breve descripción del proceso Plan-Do-Check-Act y términos y definiciones que se emplean en toda la serie 27000. Sin traducción.

ISO/IEC 27001: 15 de Octubre de 2005. Es la norma principal de la serie y contiene los requisitos del sistema de gestión de seguridad de la información. Sin traducir. Actualmente, este estándar se encuentra en periodo de revisión en el subcomité ISO SC27, con fecha prevista de publicación en 2012.

ISO/IEC 27002: Del año 2005. Es una guía de buenas prácticas que describe los objetivos de control y controles recomendables en cuanto a seguridad de la información. No es certificable. Contiene 39 objetivos de control y 133 controles, agrupados en 11 dominios.

Garantía de los controles internos y cumplimiento de requisitos de gestión corporativa y de continuidad de la actividad comercial.

Pone de manifiesto el respeto a las leyes y normativas que sean de aplicación.

Fiabilidad de cara al cliente demostrar que la información está segura.

Identificación, evaluación y gestión de riesgos. Evaluaciones periódicas que ayudan a supervisar el

rendimiento y las posibles mejoras. Se integra con otros sistemas de gestión Reducción de costes y mejora de procesos Aumento de la motivación y satisfacción del personal al

contar con unas directrices claras.

La norma ISO 27001 (la principal de la familia) es certificable por una entidad de certificación externa y su implantación puede tardar de 6 a 12 meses dependiendo del nivel de seguridad de la información y del alcance de la empresa en la que se implante y es preferible realizar el proceso con ayuda de alguna consultoría externa a la organización.

Certificar según la Norma UNE/ISO-IEC 27001 significa obtener un “Documento” que reconoce y avala la correcta adecuación del Sistema de Gestión de Seguridad de la Información mejorando la confianza de clientes y proveedores.

Las motivaciones para intentar obtener la certificación provienen de diversas fuentes, y probablemente cada área de la organización de una entidad tenga sus propios motivos para implicarse en una tarea de esta índole. El motivo más claro y generalizado, es el prestigio que otorga una certificación a la organización, ya que es una evidencia clara y objetiva de que la gestión se está realizando de manera ordenada y eficaz, siguiendo buenas prácticas internacionales con el objetivo de ser cada día un poco mejores. Con la certificación se formaliza y acredita la buena gestión de la seguridad de la información aumentando el valor comercial de la organización siendo un factor de diferenciación en el mercado muy significativo

Certificación CISA

CISA (Information Sistem Audit and Control Asociación)

Va dirigido a estudiantes y/o profesionales de cualquier sector con vocación por dedicarse a la Auditoria Informática e interesados en especializarse como Consultores y Auditores especialistas en entornos TIC

Esta respaldada por la Asociación de Control y Auditoria de Sistemas de Información.

Sobre CISA

Fue establecida en 1978 debido a las siguientes razones:

Desarrollar y mantener una herramienta que pueda ser utilizada para evaluar la competencia de los individuos al realizar auditorias de sistemas.

Proveer una herramienta motivacional para los auditores de sistemas de información para mantener sus habilidades y monitorizar la efectividad de los programas de mantenimiento.

Proveer Criterios de ayuda y gestión en la selección de personal y desarrolladores.

Beneficios de CISA

Provee beneficios a la Gerencia y a la Organización con la posibilidad de:

Medir la competencia de sus futuros empleados

Determinar que el personal calificado proteja los activos de la empresa

Confirmar si sus habilidades o destrezas de Auditoria, Control y Seguridad de Sistemas de Información de los especialistas se mantienen actualizadas respecto de la tecnología.

Identificar que especialistas son candidatos ideales a promover

Provee al profesional de las siguientes habilidades:

Demostrar su experiencia y competencia

Lograr conocimiento en su carrera

Estar relacionado con un programa que tiene aceptación mundial

Mejorar sus oportunidades laborales y estabilidad laboral

Mejorar su credibilidad en la profesión

Ser distinguido como personal calificado

Requisitos

Se debe pasar un examen de acuerdo con el Código Personal de Ética de ISACA, además de comprobar:

Cinco años de experiencia en auditoria de sistemas, control interno y seguridad informática y tener un programa de educación continua.

Un Mínimo de un año de experiencia en sistemas de información o un año de experiencia en auditorias operacionales.

60 a 120 horas de estudios profesionales.

2 años de Instrucción de tiempo completo en Universidad de campos relacionados (Ciencias computacionales, contabilidad, auditoria de sistemas de información o seguridad informática)

Examen

Consiste en 200 preguntas de opción múltiple que deben ser contestadas en 4 horas. El examen se divide en 5 aéreas hasta el manual de 2012:

El Proceso de auditoria de SI 14%

Gobierno de TI 14%

Administración del ciclo de vida de infraestructura y sistemas 19%

Soporte y entrega de servicios de TI 23%

Protección de los activos de información 30%

Certificación ISACA

● ISACA Information Systems Audit and Control Association (ISACA) tuvo sus orígenes en 1967, cuando un pequeño grupo de personas que realizaban trabajos afines relacionados con auditoría y control consideraron que era necesario contar con una misma fuente de información, directrices y metodologías para su área

● En efecto, los profesionales de la auditoría de controles en sistemas computacionales comenzaron a volverse más críticos ante los avances de las nuevas tecnologías que, según su parecer, dejaban áreas expuestas a riesgos.

● En la actualidad, ISACA cuenta con más de 95 mil miembros en todo el mundo, localizados en más de 160 países, pertenecientes a una variedad de cargos profesionales relacionados con TI, como auditores de Sistemas de Información (SI), consultores, académicos, profesores, personal de seguridad de SI, reguladores, directores ejecutivos de información y auditores internos.

● Los profesionales asociados a ISACA ocupan puestos, tanto de principiantes como de alta Dirección y se desarrollan en múltiples categorías de industrias, incluyendo finanzas y banca, despachos de auditoría y consultoría, gobierno y sector público, servicios públicos y manufactura.

● Esta diversidad permite un intercambio dinámico de conocimientos y puntos de vista sobre los puntos profesionales de su interés, pluralidad que ISACA destaca y cuida como una de sus mayores fortalezas.

● Otra de las fortalezas de la asociación es su red de Capítulos. ISACA cuenta con más de 185 Capítulos en más de 75 países, los cuales ofrecen capacitación, recursos compartidos, asesoría, red de contactos profesionales y una amplia gama de beneficios adicionales a nivel local.

● Desde su creación, ISACA se ha convertido en una organización global que establece las pautas para los profesionales del gobierno, control, seguridad y auditoría de información. Sus normas de auditoría y control de SI son seguidas por profesionales de todo el mundo y sus investigaciones abordan temas profesionales que son desafíos para sus constituyentes.

● Además, ofrece cuatro certificaciones profesionales:

● CISA (Certified Information Systems Auditor).

● CISM (Certified Information Security Manager).

● CGEIT (Certified in the Governance of Enterprise IT).

● CRISC (Certified in Risk and Information Systems Control).

● La certificación CISA, “Auditor Certificado de Sistemas de Información”, es reconocida de forma global y ha sido obtenida por más de 75 mil profesionales desde su creación.

● Esta designación responde a las necesidades que el avance de la tecnología ha tenido en el actual mundo empresarial y de negocios, lo que obliga a las compañías y organizaciones de todo tipo a proteger y controlar las TI y los sistemas con que operan.

● La designación como CISA acredita conocimientos especializados en las áreas de:

● Proceso de Auditoría de Sistemas de Información.

● Gobierno de TI.

● Ciclo de vida útil de la infraestructura y los sistemas.

● Soporte y cumplimiento de servicios de TI.

● Protección de los activos de información.

● Continuidad empresarial y recuperación ante desastres.

● La certificación CISM, Gerente Certificado de Seguridad de Información, se concentra en el sector de gerencia de seguridad de la información y ha sido obtenida por más de 13 mil profesionales.

● La certificación CGEIT, Certificado en Gobierno de TI de la Empresa, promueve el avance de profesionales que desean ser reconocidos por su experiencia y conocimiento relacionados con el Gobierno de las TI y ha sido obtenida por más de 4 mil profesionales.

Conclusión y Recomendaciones

Es conveniente sincronizar las certificaciones con el perfil del puesto del candidato, las necesidades de la organización y las necesidades e intereses de la persona.

No debería perseguirse una certificación solo porque está de moda.

Generalmente es más barato formar a nuestro personal (apoyarlo a certificarse) que contratar personal certificado; el único inconveniente puede ser el tiempo.

Preocúpense por establecer una estrategia de aprendizaje continuo en la gente, en donde no solo se busque tener mejores conocimientos técnicos de seguridad, sino también desarrollar las habilidades y competencias que cada puesto demanda. Dentro de esta estrategia verán que las certificaciones son importantes, pero son apenas un elemento del todo y nunca el objetivo final.