NORMA NTP – ISO 17799 – 2007 (27001)
CUMPLIMIENTO
OBJETIVO
Tiene
como objetivo evitar los incumplimientos de cualquier ley
civil o penal, requisito
reglamentario,
regulación u obligación contractual, y de todo requisito de seguridad.
Para
lograr el cumplimiento de la NTP ISO 17799 – 2007 toda Entidad debe cumplir con
los
siguientes parámetros que se detallan a continuación:
1. CUMPLIMIENTO DE LOS REQUISITOS
LEGALES
El
diseño, operación, uso y gestión de los sistemas de información puede estar
sujeto a requisitos
estatutarios,
regulatorios y contractuales de seguridad.
Objetivo
Se
debería buscar el asesoramiento sobre requisitos legales específicos de los
asesores legales de la organización, o de profesionales
del derecho calificados.
Los
requisitos
legales varían de un país a otro, al igual que en el
caso de las transmisiones internacionales de datos (datos creados
en
un país y transmitidos a otro).
Implementación
Los
controles,
medidas y responsabilidades específicos deben ser similarmente definidos y
documentados para cumplir dichos requerimientos.
2.
REVISIONES DE LA POLÍTICA DE SEGURIDAD Y DE LA CONFORMIDAD TÉCNICA
El
objetivo es asegurar la conformidad de los sistemas
con
las políticas y normas de seguridad.
Control
Los
gerentes deberían asegurarse que se cumplan correctamente todos los
procedimientos de seguridad dentro
de su área de responsabilidad cumpliendo las políticas y estándares de seguridad.
Implementación
Los
gerentes deben realizar revisiones regulares que aseguren el cumplimiento de
las políticas
y normas
de seguridad.
3. CONSIDERACIONES SOBRE LA
AUDITORÍA INFORMÁTICA
Maximizar
la efectividad y minimizar las interferencias en el proceso de auditoria
del
sistema.
Control
Se
deberían planificar cuidadosamente y
acordarse los requisitos y actividades de auditoria
que
impliquen comprobaciones en los sistemas operativos, para minimizar el riesgo
de interrupción
de
los procesos de negocio.
Implementación
Se
debería observar las siguientes pautas:
- Deberían acordarse los requisitos de auditoria con la gerencia apropiada;
- Debería acordarse y controlarse el alcance de las verificaciones;
- Las verificaciones se deberían limitar a accesos solo de lectura al software y a los datos.
- Otro acceso distinto a solo lectura, únicamente se debería permitir para copias aisladas de archivos del sistema, que se deberían borrar cuando se termine la auditoria.
No hay comentarios:
Publicar un comentario