Plan de implementación del sistema de gestión de seguridad de la información basado en la norma ISO 27001:2013

Abstract

Este trabajo recoge la experiencia obtenida durante el transcurso del Máster; los diferentes aspectos técnicos y metodológicos estudiados apoyaron el diseño y desarrollo del plan de implementación del Sistema de Gestión de Seguridad de la Información (SGSI), objeto del presente documento. En concreto, el plan de implementación se desarrolló para una empresa ficticia del sector de la consultoría llamada Consultora JC S.A.S. En este documento se describen las principales características de la empresa, y se realiza un diagnóstico inicial de su estado de seguridad de la información tomando como referencia la norma NTC-ISO-IEC 27001:2013. Así mismo, en el marco del plan de implementación del Sistema de Gestión de Seguridad de la Información, se desarrolló la política general de seguridad y los procedimientos principales para su operación. De igual forma, se definió la metodología para el análisis y gestión de riesgos de Seguridad de la Información con base en las normas NTC-ISO 31000:2009 y NTC-ISO 27005:2008 y los respectivos indicadores para medir el desempeño del Sistema. Como mecanismo fundamentar dentro de la estrategia de seguridad de la información, se ejecutó un análisis de riesgos que permitió establecer trece proyectos encaminados a la implementación de controles de seguridad para garantizar la protección de la información, estableciendo los elementos necesarios para la operación del sistema en un esquema de optimización de recursos y mejora continua.

This document consolidates the experience obtained studying the mastery; Different technical and methodological aspects studied helped to design and development the implementation plan of the Information Security Management System (ISMS), which is the subject of this document. Specifically, the implementation plan was developed for a fictitious consultancy company called Consultora JC S.A.S. This document describes the main characteristics of the company, and the results of the initial diagnosis about its information security status, regarding the NTC-ISO-IEC 27001: 2013 standard. Likewise, within the ISMS implementation plan work, the general security policy and the main procedures for its operation were developed. Also, the information security risks management methodology was defined based on the standards NTCISO 31000: 2009 and NTC-ISO 27005: 2008. The indicators to measure the performance of the System were defined too. As an essential mechanism within the information security strategy, a risk analysis was carried out, and its results allowed to establish thirteen projects related to the implementation of security controls to guarantee the information protection, establishing the necessary elements for the operation of the system in an environment of resource optimization and continuous improvement.

Aquest treball recull l'experiència obtinguda durant el transcurs del Màster; els diferents aspectes tècnics i metodològics estudiats van recolzar el disseny i desenvolupament del pla d'implementació del Sistema de Gestió de Seguretat de la Informació (SGSI), objecte del present document. En concret, el pla d'implementació es va desenvolupar per a una empresa fictícia del sector de la consultoria anomenada Consultora JC S.A.S. En aquest document es descriuen les principals característiques de l'empresa, i es realitza un diagnòstic inicial del seu estat de seguretat de la informació prenent com a referència la norma NTC-ISO-IEC 27001: 2013. Així mateix, en el marc del pla d'implementació del Sistema de Gestió de Seguretat de la Informació, es va desenvolupar la política general de seguretat i els procediments principals per a la seva operació. De la mateixa manera, es va definir la metodologia per a l'anàlisi i gestió de riscos de Seguretat de la Informació amb base a les normes NTC-ISO 31000: 2009 i NTC-ISO 27005: 2008 i els respectius indicadors per mesurar l'acompliment del Sistema. Com a mecanisme fonamentar dins de l'estratègia de seguretat de la informació, es va executar una anàlisi de riscos que va permetre establir tretze projectes encaminats a la implementació de controls de seguretat per garantir la protecció de la informació, establint els elements necessaris per a l'operació del sistema en un esquema d'optimització de recursos i millora contínua.