Disponibilidad de la información:
la información es fiable y exacta) y disponibilidad (asegurando que los usuarios autorizados tienen el acceso debido a la información).
La información, como uno de los principales activos de las organizaciones, debe protegerse a través de la implantación, mantenimiento y mejora de las medidas de seguridad para que cualquier empresa logre sus objetivos de negocio, garantice el cumplimiento legal, de prestigio y de imagen de la compañía.
ISO 27001. Sistema de Gestión de la Seguridad de la Información
La norma/estándar UNE ISO/IEC 27001: 2007 del “Sistema de Gestión de la Seguridad de la Información” es la solución de mejora continua más adecuada para evaluar los riesgos físicos (incendios, inundaciones, sabotajes, vandalismos, accesos indebidos e indeseados) y lógicos (virus informáticos, ataques de intrusión o denegación de servicios) y establecer las estrategias y controles.
El Sistema de Gestión de la Seguridad de la Información (SGSI) se fundamenta en la norma UNE-ISO/IEC 27001:2007,que sigue un enfoque basado en procesos que utilizan el ciclo de mejora continua o de Deming, que consiste en Panificar-Hacer-Verificar-Actuar,más conocido con el acrónimo en inglés PDCA (Plan DO-Check-Act) (similar a la más extendida y reconocida norma ISO 9001). Asimismo,
tiene también su fundamento en la norma UNE–ISO/IEC 27002:2009, que recoge una lista de objetivos de control y controles necesarios para lograr los objetivos de seguridad de la información
(ver figura 2).
El análisis y gestión de los riesgos basado en procesos de negocio/servicios de Tecnologías de Información es una herramienta muy útil para evaluar y controlar una organización con respecto a los riesgos de los sistemas de información.
De esta forma los procesos de negocio/ servicios de TI se fundamentan en los activos de las TIC que dan soporte a los procesos de negocio/servicios de TI.
Esto exige un análisis y gestión de los riesgos de sistemas de información realista y orientado a los objetivos de la organización. Una vez que se evalúa el riesgo y se aplican los controles adecuados de la UNE ISO/IEC 27002:2009 o de otros estándares nos queda un riesgo residual que la dirección de la empresa
a prueba, y que se revisará al menos una vez al año (ver figura 3).
