5 Obtención de la aprobación de la l a gestión para iniciar un proyecto de SGSI 5.1 Resumen de la aprobación de la gerencia para iniciar el proyecto SGSI Hay varios factores que deben tenerse en cuenta a la hora de implementar un SGSI. Para hacer frente a estos factores, la dirección debe entender el modelo de negocio de un proyecto de implantación del SGSI y aprobarlo. Por lo tanto el objetivo de esta fase es: Objetivo: Obtener la aprobación de la gestión para iniciar el proyecto SGSI mediante la definición de un modelo de negocio y el plan del proyecto. Con el fin de adquirir la aprobación de la administración, una organización debe crear un modelo de negocio que incluye las prioridades y objetivos para implementar un SGSI, además de la estructura de la organización para el SGSI. El plan inicial i nicial de SGSI proyecto también debe ser creado. El trabajo realizado en esta fase permitirá a la organización a comprender la importancia de un SGSI, y aclarar las funciones de seguridad de la información y las responsabilidades dentro de la organización necesaria para un proyecto de SGSI. El resultado esperado de esta fase será la aprobación preliminar de la gestión, y el compromiso de poner en práctica, un SGSI y realizar las actividades descritas en esta Norma Internacional. Los resultados de esta cláusula incluyen un caso de negocio y un plan de proyecto de SGSI proyecto con hitos hi tos clave. Figura 3 ilustra el proceso para obtener la aprobación de la gestión para iniciar el proyecto SGSI. NOTA: La salida de la cláusula 5 (documentados compromiso de la dirección para planificar e implementar un SGSI) y una de las salidas de la Cláusula 7 (resumen del documento de la situación de seguridad de la información) no son requisitos de la norma ISO / IEC 27001:2005. Sin embargo, los resultados de estas actividades se recomienda de entrada a otras actividades descritas en este documento.
5.2 Aclarar las prioridades de la organización para desarrollar un SGSI Actividad Los objetivos para implementar un SGSI debe ser incluido por considerar las prioridades de la organización la información y requisitos de seguridad. Entrada a) los objetivos estratégicos de la organización
b) Listado de los sistemas de gestión existentes c) una lista de requisitos de seguridad legal, regulatorio y contractual de información aplicables a la organización Orientación Con el fin de iniciar el proyecto de SGSI, la aprobación de la gestión es generalmente necesario. Por lo tanto, la primera actividad que debe realizar es recoger la información pertinente que ilustra el valor de un SGSI a la organización. La organización debe aclarar por qué un SGSI es necesario y decidir los objetivos de la implementación del SGSI y poner en marcha el Proyecto SGSI. Los objetivos para la implementación de un SGSI puede ser determinado por contestar las siguientes preguntas: a) Gestión de riesgo - ¿Cómo un SGSI generar una mejor gestión de los riesgos de seguridad de la información? b) Eficacia - ¿Cómo puede un SGSI mejorar la gestión de seguridad de la información? c) las ventajas de negocio - ¿Cómo puede un SGSI crear una ventaja competitiva para la organización? Para responder a las preguntas anteriores, las prioridades de seguridad de la organización y los requisitos son tratados por los posibles factores siguientes: a) crítica de las empresas y áreas de la organización: 1. ¿Cuáles son los negocios críticos y las áreas de la organización? 2. ¿Qué áreas de la organización proporcionar a la empresa y con qué enfoque? 3. ¿Qué relaciones de terceras partes y los acuerdos existentes? 4. ¿Hay servicios que han sido externalizados? b) la información confidencial o de valor: 1. ¿Qué información es fundamental para la organización? 2. ¿Cuáles serían las posibles consecuencias si cierta información fuera a ser revelada a terceros no autorizados (por ejemplo, la pérdida de ventajas competitivas, el daño a la marca o la reputación, acción legal, etc)? c) Las leyes que exigen medidas de seguridad de la información: 1. ¿Qué leyes relativas al riesgo para la seguridad del tratamiento y la información que se aplican a la organización? 2. ¿Forma parte la organización de un organismo público global que se requiere para tener la información financiera externa? d) los acuerdos contractuales o de organización relativos a seguridad de la información: 1. ¿Cuáles son los requisitos de almacenamiento (incluyendo los períodos de retención) para el almacenamiento de datos? 2. ¿Hay requisitos contractuales relativas a la privacidad o la calidad (por ejemplo, Service Level Agreement, SLA)?
e) los requisitos de la industria que se especifican en particular los controles de seguridad de la información o medidas: 1. ¿Qué requisitos específicos de cada sector se aplican a la organización? f) El entorno de amenazas: 1. ¿Qué tipo de protección es necesaria, y contra qué amenazas? 2. ¿Cuáles son las distintas categorías de información que requieren protección? 3. ¿Cuáles son los distintos tipos de actividades de información que deben ser protegidos? g) Los conductores competitivas: 1. ¿Cuáles son las necesidades del mercado mínimo para seguridad de la información? 2. ¿Qué otros controles de seguridad de la información debe proporcionar una ventaja competitiva para la organización? h) los requisitos de continuidad de negocio 1. ¿Cuáles son los procesos críticos de negocio? 2. ¿Por cuánto tiempo puede la organización tolerar interrupciones en cada proceso de negocio crítico? El alcance del SGSI preliminares se puede determinar la respuesta a la información anterior. Esto también es para neededin para crear un modelo de negocio y el plan general del proyecto SGSI para la aprobación de la gerencia. El alcance del SGSI detallada se definirá durante el proyecto de SGSI. Los requisitos se señala en la norma ISO / IEC 27001:2005 de referencia 4.2.1 a esboza el alcance en términos de las características del negocio, la organización, su ubicación, los activos y la tecnología. La información resultante de lo anterior apoya esta determinación. Algunos de los temas que deberían tenerse en cuenta al tomar las decisiones iniciales sobre el alcance incluyen: a) ¿Cuáles son los mandatos de gestión de la información de seguridad establecidas por la dirección de organización y las obligaciones impuestas externamente en la organización? b) ¿Es la responsabilidad de los sistemas propuestos en el ámbito de aplicación-en poder de equipo de gestión a más de uno (por ejemplo, personas en diferentes filiales o departamentos diferentes)? c) ¿Cómo los documentos relacionados con el SGSI se comunicará a través de la organización (por ejemplo, en papel oa través de la intranet de la empresa)? d) ¿Pueden los sistemas de gestión actuales necesidades de apoyo de la organización? ¿Es plenamente operativo, está bien mantenido y funcionando según lo previsto? Ejemplos de objetivos de gestión que pueden utilizarse como entrada para definir el alcance del SGSI preliminares incluyen:
a) facilitar la continuidad de negocio y recuperación ante desastres b) mejorar la capacidad de resistencia a los incidentes c) abordar el cumplimiento legal o contractual o pasivos d) permitir la certificación frente a otros estándares ISO / IEC e) la evolución que permite la organización y la posición f) reducir los costes de los controles de seguridad g) la protección de los activos de valor estratégico h) el establecimiento de un entorno de control interno sano y eficaz i) ofrecer garantías a los interesados que los activos de información están debidamente protegidas Salida Los resultados de esta actividad son: a) un documento que resume los objetivos, las prioridades de seguridad de la información y los requisitos de organización de un SGSI. b) una lista de los requisitos legales, contractuales, y la industria relacionada con la seguridad de la información de la organización. c) características enumeradas de la empresa, la organización, su ubicación, activos y tecnología. Más información ISO / IEC 9001:2000, ISO / IEC 14001:2004, ISO / IEC 20000-1:2005.
5.3 Definir el alcance del preliminar SGSI 5.3.1 Elaborar el anteproyecto de alcance del SGSI Actividad Los objetivos para la aplicación del SGSI debe incluir la definición preliminar de SGSI ámbito de aplicación, lo cual es necesario para el proyecto de SGSI. De entrada La producción de Actividad 5.2 Aclarar las prioridades de la organización para desarrollar un SGSI. Orientación Para ejecutar el proyecto de implementación del SGSI, la estructura de una organización para el SGSI debe ser definido. El alcance preliminar del SGSI debe ahora definir para proporcionar a la dirección de orientación para las decisiones de aplicación, y para apoyar otras actividades. El alcance del SGSI preliminar es necesaria para crear el modelo de negocio y el plan de proyecto propuesto para la aprobación de la gerencia. La salida de esta etapa será un documento que define el alcance preliminar del
SGSI, que incluye: a) un resumen de los mandatos para la gestión de la información de seguridad establecidas por la dirección de organización, así como las obligaciones impuestas externamente en la organización; b) una descripción de cómo el área (s) en el ámbito de aplicación interactuar con otros sistemas de gestión; c) una lista de los objetivos de negocio de gestión de seguridad de la información (tal como se desprende del artículo 5.2); d) una lista de los procesos críticos de negocio, sistemas activos de información, estructuras organizativas y ubicaciones geográficas a las que el SGSI se aplicará. e) la relación de los sistemas de gestión existentes, cumplimiento de normas, y objetivos de la organización; f) las características del negocio, la organización, su ubicación, los activos y la tecnología. Los elementos comunes y las diferencias de funcionamiento entre los procesos de cualquier sistema de gestión existente (s) y el SGSI propuesto debería ser identificados. Salida El entregable es un documento que describe el alcance preliminar del SGSI. Más información No hay información específica. Nota Especial atención debe ser elaborado que en el caso de los requisitos de certificación de la documentación específica de la norma ISO / IEC 27001:2005 como por el alcance del SGSI se ejerce con independencia de los sistemas de gestión en su lugar dentro de la organización.
5.3.2 Definir las funciones y responsabilidades para la preliminar alcance del SGSI Actividad Las funciones y responsabilidades generales de la preliminar alcance del SGSI debe ser definido. De entrada una salida) de la Actividad 5.3.1 Elaborar el anteproyecto de alcance del SGSI b) Lista de interesados que se beneficiarán de los resultados del proyecto SGSI. Orientación Con el fin de ejecutar el proyecto de SGSI, el papel de una organización para el
proyecto debe ser determinada. La función general es diferente en cada organización, debido a la cantidad de personas que se ocupan de seguridad de la información. La estructura organizativa y los recursos para la seguridad de la información varían en función del tamaño, tipo y estructura de la organización. Por ejemplo, en una organización más pequeña, varias funciones pueden ser llevadas a cabo por la misma persona. Sin embargo, la gestión debe identificar explícitamente el papel (por lo general jefe de seguridad de la información, Information Security Manager o similar) con la responsabilidad general de gestión de seguridad de la información, y el personal deben ser las funciones y responsabilidades asignadas sobre la base de la habilidad requerida para realizar el trabajo. Esto es crítico para asegurar que las tareas se llevan a cabo de manera eficiente y eficaz. Las consideraciones más importantes en la definición de los roles en la gestión de seguridad de la información son: a) la responsabilidad global de las tareas que se mantiene en el nivel de gestión, b) una persona (generalmente el Chief Information Security Officer) es designado para promover y coordinar el proceso de seguridad de la información, c) cada empleado es igualmente responsable de su tarea original y para el mantenimiento de seguridad de la información en el lugar de trabajo y en la organización. Las funciones de gestión de seguridad de la información deben trabajar juntos, lo que puede ser facilitado por un Foro de Seguridad de la Información, u organismo similar. La colaboración con especialistas de negocio apropiado debería llevarse a cabo (y documentadas) en todas las etapas del desarrollo, implementación, operación y mantenimiento del SGSI. Representantes de los departamentos en el ámbito identificadas (tales como la gestión de riesgo) son potenciales miembros del equipo de implementación del SGSI. Este equipo debe mantenerse en el tamaño práctico más pequeño para la velocidad y el uso eficaz de los recursos. Estas zonas no son sólo los que están directamente incluidos en el alcance del SGSI, sino también las divisiones indirectos, tales como la gestión jurídica, el riesgo y los departamentos administrativos. Salida El entregable es un documento o una tabla que describe las funciones y responsabilidades con los nombres y la organización necesaria para aplicar con éxito un SGSI. Otra información El anexo B se dan detalles de las funciones y responsabilidades necesarias en
una organización para implementar con éxito un SGSI.
5.4 Crear el modelo de negocio y el plan del proyecto para la aprobación de la gerencia Actividad La aprobación de la gerencia y el compromiso de recursos para la ejecución del proyecto SGSI debe ser obtenido mediante la creación del modelo de negocio y la propuesta de proyecto SGSI. De entrada una salida) de la Actividad 5.2 Aclarar las prioridades de la organización para desarrollar un SGSI b) la salida de la Actividad 5.3 Definir el alcance del SGSI preliminar - El documentado: preliminar 1. SGSI alcance y 2. funciones y responsabilidades asociadas. Orientación La información para el caso de negocio y el plan inicial del proyecto SGSI debe incluir la línea de tiempo estimado, recursos, y los hitos necesarios para las actividades principales se indica en las cláusulas 6 a 9 de esta Norma Internacional. El caso de negocio y el plan inicial del proyecto SGSI servir como la base del proyecto, sino que también garantiza el compromiso de la gestión y aprobación de los recursos necesarios para la implantación del SGSI. La forma en que el SGSI implementado apoyará los objetivos del negocio contribuye a la eficacia de los procesos de organización y aumenta la eficiencia de la empresa. El caso empresarial para la implementación de un SGSI debe incluir declaraciones breves vinculados a los objetivos de la organización y cubrirá los siguientes temas: a) Metas y objetivos específicos b) se benefician a la organización c) el alcance preliminar de SGSI incluyendo los procesos de negocio afectados d) los procesos críticos y los factores para alcanzar los objetivos del SGSI e) información general de alto nivel de los proyectos f) Plan de implementación inicial g) las funciones y responsabilidades definidas h) los recursos necesarios (tanto de la tecnología y la gente) i) Consideraciones de implementación, incluyendo seguridad de la información existente j) la línea de tiempo con hitos clave k) los costos esperados
l) Los factores críticos de éxito m) cuantificar los beneficios a la organización El plan del proyecto debe incluir las actividades pertinentes de las fases en la Cláusula 9.6 establecidos en esta Norma Internacional. Los individuos en este sentido, o se ven afectados por el SGSI debe ser identificado y se deja tiempo suficiente para revisar y comentar sobre el caso de negocios SGSI y la propuesta de proyecto de SGSI. El caso de negocio y la propuesta de proyecto de SGSI debe actualizarse cuando sea necesario se proporciona como entrada. Una vez que se gana el apoyo suficiente, el negocio caso y la propuesta de proyecto SGSI debe ser presentado a la gerencia para su aprobación. La administración debe aprobar el modelo de negocio y el plan inicial del proyecto con el fin de lograr el compromiso completo de la organización y comenzar la ejecución del proyecto SGSI. Los beneficios esperados de compromiso de la dirección para la implementación de un SGSI son los siguientes: a) conocimiento y aplicación de las leyes, regulaciones, obligaciones contractuales y normas relativas a la seguridad de la información, dando lugar a la evasión de responsabilidades y sanciones de incumplimiento, b) la utilización eficiente de los múltiples procesos de seguridad de la información, c) la estabilidad y mayor confianza para crecer a través de una mejor gestión de los riesgos de seguridad de la información, d) la identificación y protección de la información crítica para el negocio. Salida Los resultados de esta actividad son: a) una aprobación documentada por la administración para ejecutar el proyecto SGSI con los recursos asignados b) un caso de negocio documentado c) una propuesta de proyecto inicial del SGSI, con hitos, tales como la realización de la evaluación de riesgos, implementación, auditorías internas y revisión por la dirección) Otra información ISO / IEC 27000:2009 para ver ejemplos de factores críticos de éxito para apoyar los argumentos comerciales SGSI.
6.2 Definir el alcance y los límites de la organización Actividad El ámbito de organización y los límites deben ser definidos. De entrada una salida) de la Actividad 5.3 Definir el alcance del SGSI preliminar - El alcance documentado preliminar del SGSI que se refiere a: 1. relación de los sistemas de gestión existentes, cumplimiento de normas, y objetivos de la organización; 2. características del negocio, la organización, su ubicación, los activos y la tecnología. b) la salida de la Actividad 5.2 Aclarar las prioridades de la organización para desarrollar un SGSI - La aprobación documentada por la administración para implementar un SGSI e iniciar el proyecto con los recursos necesarios asignados. Orientación La cantidad de esfuerzo necesario para implementar un SGSI depende de la magnitud del alcance al que se va a aplicar. Esto también puede afectar todas las actividades relacionadas con el mantenimiento de la seguridad de la información de los artículos comprendidos en el estudio (tales como procesos, instalaciones físicas, los sistemas de TI y personas), incluyendo la implementación y el mantenimiento de los controles, la gestión de operaciones, y llevar a cabo tareas como la identificación de los activos de información y evaluar el riesgo. Si la administración decide excluir a ciertas partes de la organización del alcance del SGSI, sus razones para hacerlo debe ser documentado. Cuando el alcance del SGSI se define, es importante que sus fronteras son lo suficientemente claros para explicar a aquellos que no participaron en su definición. Algunas disposiciones en materia de seguridad de la información puede estar ya en existencia como resultado de la implementación de otros sistemas de gestión. Estos se deben tomar en cuenta al planificar el SGSI, pero no necesariamente indica los límites de la posibilidad de que el SGSI actual. Uno de los métodos de definición de límites de la organización es identificar las áreas de responsabilidad que están superpuestas dentro de una organización. Responsabilidades directamente relacionadas con los activos de información o procesos de negocio incluido en el alcance del SGSI debe ser seleccionado como parte de la organización que está bajo el control del SGSI. Si bien la definición de límites de la organización los siguientes factores deben ser considerados:
un foro) SGSI debe consistir en la gestión de los directivos que participan directamente en el alcance del SGSI. b) el miembro de la administración responsable del SGSI debe ser el que es el responsable último de todas las áreas de responsabilidad afectados (es decir, su papel suele ser dictados por su tramo de control y la responsabilidad dentro de una organización). c) En caso de que el papel responsable de la gestión del SGSI no es miembro de la alta dirección, un patrocinador de la alta dirección es esencial para representar los INTERESES de seguridad de la información y actuar como el defensor del SGSI en los niveles más altos de la organización. d) El alcance y los límites deben ser definidos para asegurar que todos los activos relevantes se toman en cuenta en la evaluación del riesgo, y para hacer frente a los riesgos que puedan surgir a través de estos límites. Con base en el enfoque, los límites organizacionales evidenciadas debe identificar todo el personal afectado por el SGSI, y esto debe ser incluido en el ámbito de aplicación. La identificación del personal puede estar vinculado a los procesos y / o funciones dependiendo del enfoque seleccionado. Si algunos procesos dentro del ámbito de aplicación se subcontratan a los terceros las dependencias deben estar claramente documentados. Estas dependencias serán objeto de análisis en el proyecto de implementación del SGSI. Salida Los resultados de esta actividad son: a) Descripción de los límites de la organización para el SGSI, incluidas las justificaciones para las porciones de la organización que han sido excluidos del alcance del SGSI, b) las funciones y la estructura de las partes de la organización en el ámbito de aplicación del SGSI, c) la información intercambiada en el marco y la información intercambiada a través de las fronteras d) los procesos de organización y las responsabilidades de los activos de información de alcance y el ámbito exterior, e) Proceso para la jerarquía de la toma de decisiones así como la estructura dentro del SGSI. Más información No hay información específica.
