Principales Novedades de la ISO 27001/ISO 27002

Jornadas Tcnicas 2013 Dibujando el nuevo escenario normativo en el siglo XXI

Paloma Garcia Lopez
Business Standards Development Manager
AENOR, Direccin de Normalizacin
pgarcial@aenor.es
A
E
N
O
R

C
o
p
y
r
i
g
h
t

LAS NORMAS INTERNACIONALES
GARANTIZAN
CAMBIOS POSITIVOS
A
E
N
O
R

C
o
p
y
r
i
g
h
t

La evolucin del Modelo ISO 27000

JTC1/SC 27



AEN/CTN71/SC27
Tecnologas de la
Informacin. Tcnicas
de seguridad
A
E
N
O
R

C
o
p
y
r
i
g
h
t

La evolucin del Modelo ISO 27000
El sistema de normalizacin
La evolucin del Modelo ISO 27000
ISO/IEC 27001: 2005 ISO/IEC 27001: 2013
- N CONTROLES
133 114
94 se mantienen
39 eliminados
20 nuevos
+ DOMINIOS DE SEGURIDAD
11 14
+ REQUISITOS DE GESTIN
102 130
Cloud
Anlisis
de
riesgos
Avances
tecnolgicos
Cultura de
seguridad
Externalizacin
Clientes
Nuevos
modelos
de
negocio
Entorno
Liderazgo
A
E
N
O
R

C
o
p
y
r
i
g
h
t

ISO/IEC 27001: 2013
ALINEACION
CON
SISTEMAS
DE
GESTION
ANLISIS
DE
RIESGOS
ISO/IEC
31000
UNE-ISO 31000:2010
Gestin del riesgo.
Principios y directrices
UNE-ISO 31010: 2010
Gestin del riesgo.
Tcnicas de apreciacin del riesgo
U
N
E
-
I
S
O

3
1
0
0
0
:
2
0
1
0

U
N
E
-
I
S
O

3
1
0
1
0
:
2
0
1
0

U
N
E
-
I
S
O

G
u

a

7
3
:

2
0
1
0

UNE-ISO GUIA 73:2010 IN
Gestin del riesgo. Vocabulario
El nuevo enfoque de la ISO/IEC 27001: 2013
A
E
N
O
R

C
o
p
y
r
i
g
h
t

El nuevo enfoque de la ISO/IEC 27001: 2013
Anexo SL de las Directivas del Organismo Internacional de Normalizacin (ISO)
Estructura y contenidos de las normas que contienen un sistema de gestin
UNE-EN ISO 19011 Directrices para la auditora de los sistemas de gestin
captulo de competencias y evaluacin de auditores comn a cualquier
disciplina
apartado A.7 con ejemplo de conocimientos y habilidades recomendados
para los auditores en la disciplina especfica de gestin de la seguridad de
la informacin:
evaluacin del riesgo (identificacin, anlisis y evaluacin)
y tendencias en tecnologa, amenazas y vulnerabilidades
mtodos y prcticas para los controles fsicos y electrnicos de la seguridad de la
informacin
leyes y reglamentos aplicables (por ejemplo, propiedad intelectual, proteccin y
retencin de registros de la organizacin, reglamentos de controles criptogrficos,
interceptacin de telecomunicaciones, recopilacin de evidencias electrnicas, ensayos
de vulnerabilidad..)
A
E
N
O
R

C
o
p
y
r
i
g
h
t

El nuevo enfoque de la ISO/IEC 27001: 2013
La adopcin de un SGSI es
una decisin estratgica
de la Organizacin
ALINEACION
CON
SISTEMAS
DE
GESTION
A
E
N
O
R

C
o
p
y
r
i
g
h
t

ISO/IEC 27001: 2013
ALINEACION
CON
SISTEMAS
DE
GESTION
ANLISIS
DE
RIESGOS
ISO/IEC
31000
Gestin de riesgos y oportunidades
Contexto de la organizacin
Liderazgo
Planificacin
Acciones de soporte
Operacin
Evaluacin del comportamiento
Mejora
El nuevo enfoque de la ISO/IEC 27001: 2013
A
E
N
O
R

C
o
p
y
r
i
g
h
t

El nuevo enfoque de la ISO/IEC 27001: 2013
ISO/IEC 27001:
2005
ISO/IEC 27001:
2013
+ DOMINIOS DE SEGURIDAD
11 14
A
E
N
O
R

C
o
p
y
r
i
g
h
t

Referencia Control
A.6.1.5 Seguridad de la informacin en la gestin de proyectos
A.12.6.2 Restricciones en la instalacin de software
A.14.2.1 Poltica de desarrollo seguro
A.14.2.5 Desarrollo de principios de ingeniera de sistemas seguros
A.14.2.6 Entorno de desarrollo seguro
A.14.2.8 Pruebas de la seguridad del sistema
A.15.1.1 Poltica de seguridad de la informacin para las relaciones de proveedores
A.15.1.3 Cadena de suministro de TIC
A.16.1.4 Evaluacin y decisin sobre los eventos de seguridad de la informacin
A.16.1.5 Respuesta a incidentes de seguridad de la informacin
A.17.1.2 Implantacin de la continuidad en la seguridad de la informacin
A.17.2.1 Disponibilidad de las instalaciones para el tratamiento de la informacin.
El nuevo enfoque de la ISO/IEC 27001: 2013
ISO/IEC 27001: 2005 ISO/IEC 27001: 2013
- N CONTROLES
133 114
94 se mantienen
39 eliminados
20 nuevos
A
E
N
O
R

C
o
p
y
r
i
g
h
t

Periodo de transicin a 27001:2013
de ISO/IEC 27001:2013 a UNE-ISO/IEC 27001
de ISO/IEC 27002:2013 a UNE-ISO/IEC 27002
6-10 meses (IP en BOE)
27001: 2013 YA !!!
27001: 2005 24 MESES
27001:2005 en marcha 12 MESES
2013
2005
A
E
N
O
R

C
o
p
y
r
i
g
h
t

Muchas gracias
Paloma Garcia Lopez
Business Standards Development Manager
AENOR, Direccin de Normalizacin
pgarcial@aenor.es
A
E
N
O
R

C
o
p
y
r
i
g
h
t