ISO 27035
1. Conceptos:
La norma ISO/IEC 27035 se centra en la gestión de incidentes de seguridad
de la información. Esta norma es parte de la familia de normas ISO/IEC
27000, que se ocupan de la gestión de la seguridad de la información y
proporcionan directrices para establecer, implementar, mantener y
mejorar continuamente un sistema de gestión de seguridad de la
información (SGSI).
Contenido:
ISO/IEC 27035-1: Conceptos y principios: Proporciona una descripción general de los
conceptos y principios clave relacionados con la gestión de incidentes de seguridad de
la información. Esto incluye definiciones básicas, el ciclo de vida de la gestión de
incidentes y los beneficios de tener un proceso de gestión de incidentes bien
establecido.
ISO/IEC 27035-2: Directrices para la planificación y preparación de la respuesta a
incidentes: Ofrece orientación sobre cómo planificar y preparar una respuesta efectiva
a los incidentes de seguridad de la información. Esto incluye la creación de políticas y
procedimientos, la asignación de roles y responsabilidades, y la preparación de los
recursos necesarios para responder a los incidentes.
ISO/IEC 27035-3: Directrices para la respuesta a incidentes: Proporciona directrices
detalladas sobre cómo responder a los incidentes de seguridad de la información
cuando ocurren. Esto abarca la detección y el análisis de incidentes, la evaluación de su
impacto, la contención y mitigación de los incidentes, y la recuperación de los servicios
afectados.
ISO/IEC 27035-4: Monitoreo y evaluación de la gestión de incidentes: (en desarrollo)
Se espera que esta parte proporcione orientación sobre cómo monitorear y evaluar la
efectividad de la gestión de incidentes de seguridad de la información, así como cómo
implementar mejoras continúas basadas en las lecciones aprendidas de incidentes
pasados.
ISO/IEC 27035-5: Directrices para la respuesta a incidentes de TIC: (en desarrollo) Esta
parte está destinada a proporcionar directrices específicas para la respuesta a
incidentes en el ámbito de las tecnologías de la información y la comunicación (TIC),
incluyendo aspectos técnicos detallados y procedimientos específicos para el manejo
de incidentes en sistemas de TIC.
2. Implementación:
2.1. Planificación y Preparación:
Establecimiento de la Política de Gestión de Incidente
Asignación de Roles y Responsabilidades
Desarrollo de Procedimientos y Planes
Capacitación y Concienciación
2.2. Detección y Reporte:
Implementación de Herramientas de Monitoreo
Establecimiento de Canales de Reporte
2.3. Evaluación y Análisis:
Evaluación Inicial
Análisis Detallado
Clasificación de Incidentes
2.4. Respuesta y Mitigación:
Contención del Incidente
Erradicación de la Causa
Recuperación del Servicio
2.5. Aprendizaje y Mejora Continua:
Documentación del Incidente
Análisis Post-Incidente
Revisión y Actualización de Procedimientos
2.6. Monitoreo y Revisión:
Monitoreo Continuo
Auditorías y Revisiones Periódicas
2.7. Comunicación y Reporte:
Informes Regulares a la alta dirección
Transparencia y Comunicación Externa con los clientes
3. Ejemplo de aplicación de la ISO 27035:
El presente proyecto de tesis fue desarrollado para establecer un
modelo para gestionar adecuadamente los eventos,
vulnerabilidades e incidentes de seguridad de la información en
el área de plataforma de servicios de una entidad del estado
peruano, de forma tal que logre una adecuada gestión de los
mismos y garantice su cumplimiento en base a lo establecido en
la ISO 27035:2011. Adicionalmente se buscó que la plataforma
de servicios tenga definido un modelo o marco de trabajo para
detectar, informar y evaluar los incidentes de seguridad de la
información, realizando de esta manera una buena gestión de los
riesgos de seguridad con la ayuda de procesos, políticas y
controles destinados a la adecuada gestión de seguridad de la
información. El proyecto definió 4 objetivos. - El primero buscó
conocer la realidad actual de la plataforma de servicios mediante
un análisis de brecha, que permitió conocer su nivel de madurez
enfocado al manejo de incidentes de seguridad de la
información. - El segundo buscó elaborar una estructura de
gestión de incidentes que permita identificar, reportar, evaluar y
gestionar los incidentes de seguridad de la información. - El
tercer objetivo estuvo orientado a definir y establecer controles
de las normas NTP - ISO/IEC 27002:2017 relacionados a la gestión
de incidentes de seguridad de la información. - Como objetivo
final se incluyó proponer un sistema de gestión de eventos e
incidentes de seguridad de la información para el monitoreo de
eventos, incidentes y vulnerabilidades. El proyecto de tesis se
estructuro en 5 capítulos: - En el primero se describió la
problemática a nivel general, los objetivos, justificación,
viabilidad e hipótesis planteadas por los investigadores. - El
segundo capítulo referencia al marco teórico utilizado respecto a
las tecnologías y estándares que aplican a esta investigación. - El
tercer capítulo detalló la metodología de trabajo de la tesis. - El
cuarto capítulo describió el estado inicial de la plataforma de
servicios de una entidad del estado peruano y su contraste con el
cumplimiento de los objetivos e indicadores planteado. - Y
finalmente en el quinto capítulo culmina la investigación junto
con las conclusiones y recomendaciones encontradas durante
todo el proceso, anexando toda la información necesaria para la
investigación.
Fuente:
https://repositorio.utp.edu.pe/handle/20.500.12867/2477
