Eduardo Snchez Pia

Seguridad en Redes
Familia ISO 27000: Seguridad de la Informacin.
Proviene de la norma BS 7799 de British Standards Institution
(organizacin britnica equivalente a AENOR en Espaa) creada en 1995 con el
fin de facilitar a cualquier empresa un conjunto de buenas prcticas para la
gestin de la seguridad de la informacin.
La norma ISO 27001 fue aprobada y publicada como estndar internacional en
octubre de 2005 por International Organization for Standardization y por la
comisin International Electrotechnical Commission.
Objetivos
Esta familia de normas que tiene como objetivo definir requisitos para un
sistema de gestin de la seguridad de la informacin (SGSI), con el fin
de garantizar la seleccin de controles de seguridad adecuados y
proporcionales, protegiendo as la informacin, es recomendable para
cualquier empresa grande o pequea de cualquier parte del mundo y ms
especialmente para aquellos sectores que tengan informacin crtica o
gestionen la informacin de otras empresas.

FAMILIA 27000
ESTANDAR
RESUMEN
ISO
ISO 27000
La Organizacin Internacional de Estandarizacin (ISO) recoge un extenso
nmero de normas dentro de la familia de ISO 27000.
Cada norma tiene reservado una nmero dentro de una serie que van desde
27000 hasta 27019 y de 27030 a 27044. Vamos a realizar un repaso por todas
las normas de la serie: Esta estandarizacin contiene las definiciones y los
trminos que se utilizarn durante toda la serie 27000. Para aplica cualquier
normativa necesita conocer un vocabulario perfectamente definido, por lo que
as evitaremos cualquier mala interpretacin de conceptos tcnicos y gestin.
Esta norma es gratuita a diferencia de las dems de la serie de normas que s
que suponen un coste para su implementacin.
ISO 27001
La ltima versin de esta norma fue publicada en el ao 2013. Es la norma principal de toda la serie
ya que incluye todos los requisitos del Sistema de Gestin de Seguridad de la Informacin en las
organizaciones. La ISO 27001 sustituye a la BS 7799-2 estableciendo unas condiciones de
adaptacin para aquellas empresas que se encuentren certificadas bajo esta ltima. En el Anexo A se
enumeran los objetivos de control y los anlisis que desarrolla la norma ISO27001 para que se
puedan seleccionar las empresas durante el progreso de sus Sistemas de Gestin de Seguridad de la
Informacin. La empresa podr argumentar el hecho de no aplicar los controles que no se
encuentren implementados ya que no es obligatorio.
ISO 27002
Es un manual de buenas prcticas en la que se describen los objetivos de
control y las evaluaciones recomendables en cuanto a la seguridad de la
informacin. Esta norma no es certificable. En ella podemos encontrar 39
objetivos de control y 133 controles agrupados en 11 dominios diferentes.

Ingeniero en computacin

Eduardo Snchez Pia

ISO 27003

Como se ha mencionado anteriormente, la norma ISO 27001 incluye un anexo

que resume todos los controles que podemos encontrar en la norma ISO 27002.
Es un manual para implementar un Sistema de Gestin de Seguridad de la
Informacin y adems, nos da la informacin necesaria para la utilizacin del
ciclo PHVA (viene de las siglas Planificar, Hacer, Verificar y Actuar, en ingls
Plan, Do, Check, Act) y todos los requerimientos de sus diferentes fases. El
origen de esta norma se encuentra en el Anexo B de la norma BS7799-2 y en
la serie de documentos publicados a lo largo de diferentes aos con
recomendaciones y gua de implementacin.

ISO 27004

En este estndar se especifican las tcnicas de medida y las mtricas que son
aplicables a la determinacin de la eficacia de un Sistema de Gestin de
Seguridad de la Informacin y los controles relacionados. Las mtricas se
utilizan para la medicin de los componentes de las fases implementar y
utilizar del ciclo deming.

ISO 27005

Esta normativa establece las diferentes directrices para la gestin de los

Riesgos en la Seguridad de la Informacin. Se trata de una norma de apoyo a
los conceptos generales que vienen especificados en la ISO 27001 y se
encuentra diseada para ayudar a aplicar, de una forma satisfactoria, la
seguridad de la informacin basada en un enfoque de gestin de riesgos. Para
comprender a la perfeccin esta norma es necesario conocer todos los
conceptos, modelos, procesos y trminos descritos en la norma ISO-27001 e
ISO 27002. Dicha norma se puede aplicar a todo tipo de organizaciones que
tienen la intencin de gestionar todos los riesgos que se puedan dar en la
empresa en temas de seguridad de la informacin.

ISO 27006

Este estndar especfica todos los requisitos para lograr la acreditacin

de las entidades de auditora y certificacin de Sistema de Gestin de
Seguridad de la Informacin. ISO 27006 se trata de una versin revisada
de la EA-7/03 (requisitos para la acreditacin de entidades) que aade a
la ISO/IEC 17021 (requisitos para entidades de auditora y certificacin
de Sistemas de Gestin), los requisitos especficos de la ISO 27001 y los
del Sistema de Gestin de Seguridad de la Informacin.
Asimismo, esta norma ayuda a interpretar todos los criterios de
acreditacin de ISO/IEC 17021 cuando se aplican en organismos de
certificacin de la norma ISO 27001, pero no se trata de una norma de
acreditacin por s misma.

ISO 27007

Es un manual de auditora de un Sistema de Gestin de Seguridad de la

Informacin. Es un estndar Internacional el cual ha sido creado para
proporcionar un modelo para establecer, implementar, operar, monitorear,
revisar, mantener y mejorar un Sistema de Gestin de Seguridad de la
Informacin (SGSI).

ISO 27008

Publicada el 15 de Octubre de 2011. No certificable. Es una gua de auditora de los controles

seleccionados en el marco de implantacin de un SGSI. En Espaa, esta norma no est traducida. El

Ingeniero en computacin

Eduardo Snchez Pia

original en ingls puede adquirirse en iso.org. Actualmente en proceso de revisin para su
actualizacin.
ISO 27009

En estado de desarrollo. No certificable. Es una gua sobre el uso y aplicacin

de los principios de ISO/IEC 27001 para el sector servicios especifcos en
emisin de certificaciones acreditadas de tercera parte.

ISO 27010

Publicada el 20 de Octubre de 2012. Consiste en una gua para la gestin de la seguridad de la

informacin cuando se comparte entre organizaciones o sectores. ISO/IEC 27010:2012 es aplicable
a todas las formas de intercambio y difusin de informacin sensibles, tanto pblicas como
privadas, a nivel nacional e internacional, dentro de la misma industria o sector de mercado o entre
sectores. En particular, puede ser aplicable a los intercambios de informacin y participacin en
relacin con el suministro, mantenimiento y proteccin de una organizacin o de la infraestructura
crtica de los estados y naciones. Actualmente en proceso de revisin para su actualizacin.

ISO 27011

Es una gua de gestin de seguridad de la informacin especfica para

telecomunicaciones Ha sido elaborada conjuntamente con la Unin
Internacional de Telecomunicaciones (ITU).

ISO 27013

Publicada el 15 de Octubre de 2012. Es una gua de implementacin integrada

de ISO/IEC 27001:2005 (gestin de seguridad de la informacin) y de ISO/IEC
20000-1 (gestin de servicios TI). Actualmente finalizando el proceso de
revisin para su actualizacin.

ISO 27014

Publicada el 23 de Abril de 2013. Consistir en una gua de gobierno

corporativo de la seguridad de la informacin.

ISO 27015

Publicada el 23 de Noviembre de 2012. Es una gua de SGSI orientada a

organizaciones del sector financiero y de seguros y como complemento a
ISO/IEC 27002:2005.

ISO 27016

Publicada el 20 de Febrero de 2014. Es una gua de valoracin de los aspectos

financieros de la seguridad de la informacin.

ISO 27017

En fase de desarrollo, con publicacin prevista en 2015. Consistir en una gua

de seguridad para Cloud Computing.

ISO 27018

Publicada el 29 de Julio de 2014. Es un cdigo de buenas prcticas en controles

de proteccin de datos para servicios de computacin en cloud computing.

ISO 27019

Publicada el 17 de Julio de 2013. Gua con referencia a ISO/IEC 27002:2005

para el proceso de sistemas de control especficos relacionados con el sector
de la industria de la energa. Actualmente en proceso de revisin para su
actualizacin.

Ingeniero en computacin

Eduardo Snchez Pia

Referencias
El portal de ISO 27001 en Espaol. (2012). ISO 27000.es. Recuperado el 12 de Septiembre de
2015, de http://iso27000.es/index.html
ISO, S. (21 de Enero de 2015). La familia de normas ISO 27000. Blog Calidad y Exelencia.
Recuperado el 12 de Septiembre de 2015, de
HTTPS://WWW.ISOTOOLS.ORG/CATEGORY/SISTEMAS-DE-GESTIONNORMALIZADOS

Ingeniero en computacin