AA1-E5-Aplicación de la norma ISO 27002

Andrés Felipe Morillo Sierra

 INTRODUCCION

La norma ISO 27002 pertenece a uno de los grupos de la normal ISO/IEC, esta es
una norma que internacional que establece el código de mejores prácticas para
poyar la implantación del Sistema de Gestión de Seguridad de la Información en las
organizaciones.
La seguridad de la información cada vez es más importante en la organización dado
que con el cambio y el avance de la tecnología se han elevado el número de
incidentes de seguridad, esto causa daños en la imagen del negocio o fuga de
información sensible y critica, ocasionando pérdidas financieras sustanciales.
Por esta razón la inversión para la aplicación de las normas garantiza que las
organizaciones estén protegidas contra los más variados tipos de amenazas
virtuales.
Se realizará plan de mejora de seguridad para la empresa X, como objetivo principal
optimizar las tareas y funciones que se llevan a cabo en la organización en pro de
garantizar el uso adecuado de la información y la seguridad de esta.
 OBJETIVO DE LA AUDITORIA

1. Evaluar el cumplimiento del sistema de gestión de seguridad de la

información regido bajo la norma ISO 27002 de la organización X.

2. Examinar la situación actual de la organización identificando las condiciones

de seguridad de la información.

3. Proponer un plan de mejora de acuerdo con los hallazgos encontrados en el

contexto de seguridad de la información con base a la norma 27002.
 ALCANCE DE LA AUDITORIA

La auditoría tiene como alcance el sistema de gestión de seguridad de la

información relacionada con la organización X, donde se analizaron todos los
requisitos bajo la norma ISO 27002, expuestos en el documento.
 RESULTADOS DE LA AUDITORIA

Aspectos Conformes

1. Se identifico que la organización cuenta con una política de seguridad sólida,

contando con documentos que soportan la seguridad de la información, al
igual que las revisiones de estas.

2. La estructura organizativa para la seguridad se encuentra bien constituida en

lo correspondiente a la organización interna y lo relacionado con las terceras
partes.

3. La empresa cuenta con el inventario de los activos que posee, sus

propietarios y uso aceptable. Además, cuenta con una clasificación
organizada, incluyendo las guías de clasificación, etiquetado y manejo de la
información.

4. Durante la auditoria se pudo identificar que los procedimientos y

responsabilidades se encuentran bien definidos y documentados, al igual que
la administración de los servicios de terceras partes, monitoreando y
revisando sus servicios.

5. Los controles de seguridad contra software malicioso se encuentran bien

soportados, empleando controles en las redes y seguridad de sus servicios.

6. Se identifican sólidos controles de accesos, empleando políticas de control

de accesos, registrando usuarios y administrando sus privilegios y
contraseñas. También se ejerce fuerte control de acceso a las redes, por
medio de autenticación para usuarios con conexiones externas.

7. Se registran procedimientos, reportes y procedimientos de los incidentes

relacionados con la seguridad de la información; recolectando evidencias y
publicando las lecciones aprendidas.

8. Se logró evidenciar que no se encuentra bien definido un comité relacionado

con la dirección sobre la seguridad de la información.

9. No se soporta los riesgos identificados por el acceso de terceras personas.

10. No se tienen claras las políticas de copias de seguridad de la información,

donde posiblemente no se tenga soporte de estas.
11. Se pudo observar que no se posee un sistema de administración de
contraseñas, no se exigen controles adicionales para el cambio de estas
luego de un lapso determinado de tiempo.
OPORTUNIDADES Y PLAN DE MEJORA
RESULTADOS
 CONCLUSION

La información junto con los procesos que la administran, y todo el personal

involucrado en el mismo proceso de la organización, son activos valiosos del que
depende el buen funcionamiento de una organización, la confidencialidad,
integridad y disponibilidad de la información, los cuales son elementos esenciales
para mantener los niveles de competitividad, rentabilidad, conformidad legal e
imagen organizacional para lograr los objetivos de esta y asegurar los beneficios
económicos.