Estudio de una estrategia para la implantación de los sistemas de gestión de la seguridad de la información

Abstract

Para el cumplimiento del plan de acción eEurope 2005, planteamos una estrategia incremental de cinco niveles (desde el nivel más básico al más completo), para la implantación de un sistema de gestión de la seguridad en los sistemas de información (SGSI). En cada nivel estudiamos las normas y estándares que consideramos más adecuados y sus debilidades. En el nivel 1 damos consejos básicos de seguridad. En el nivel 2, lo basamos en las obligaciones legales emanadas del estudio de la Ley Orgánica 15/1999 (LOPD) y en el Real Decreto 994/1999 “Reglamento de Medidas de Seguridad de los Ficheros Automatizados” que contengan datos personales. En el nivel 3 analizamos las normas y estándares internacionales y nacionales y concluimos en la adopción de la norma española UNE ISO/IEC 17799:2000. Esta norma española es espejo de la norma internacional ISO 17799, que a su vez parte de la norma británica BS 7799. La Norma UNE 71501 IN facilita la comprensión de la seguridad de las TI (es espejo de la norma ISO/IEC TR 13335 "Information Technology ­ Guidelines for the management of IT security" GMITS). En el nivel 4 contemplamos las metodologías de análisis de riesgos, la británica CRAMM, la norteamericana OCTAVE y la española MAGERIT. En el nivel 5 comentamos las normas de certificación. Finalizamos con propuestas de líneas de trabajo para subsanar las debilidades detectadas.