ISO - Seguridad de la Información

Las normas ISO de Gestión de la Seguridad de la Información se denominan familia de normas ISO 27000 y son las siguientes:

• ISO 27001: Es la norma principal de la serie y contiene los requisitos del sistema de gestión de seguridad de la información. Es la norma con arreglo a la cual se certifican por auditores externos. Su Anexo A, enumera en forma de resumen los objetivos de control y controles que desarrolla la ISO 27002:2005, para que sean seleccionados por las organizaciones en el desarrollo de sus SGSI. Esta norma está publicada en España como UNE-ISO/IEC 27001:2007. Otros países donde también está publicada en español son, por ejemplo, Colombia , Venezuela y Argentina.
• ISO 27002: Es una guía de buenas prácticas que describe los objetivos de control y controles recomendables en cuanto a seguridad de la información. No es certificable. Contiene 39 objetivos de control y 133 controles, agrupados en 11 dominios.
• ISO 27005: Establece las directrices para la gestión del riesgo en la seguridad de la información. Apoya los conceptos generales especificados en la norma ISO/IEC 27001 y está diseñada para ayudar a la aplicación satisfactoria de la seguridad de la información basada en un enfoque de gestión de riesgos.
• ISO 27006: Especifica los requisitos para la acreditación de entidades de auditoría y certificación de sistemas de gestión de seguridad de la información. Es una versión revisada de EA-7/03 (Requisitos para la acreditación de entidades que operan certificación/registro de SGSIs) que añade a ISO/IEC 17021 (Requisitos para las entidades de auditoría y certificación de sistemas de gestión) los requisitos específicos relacionados con ISO 27001 y los SGSIs. Es decir, ayuda a interpretar los criterios de acreditación de ISO/IEC 17021 cuando se aplican a entidades de certificación de ISO 27001, pero no es una norma de acreditación por sí misma. En España, esta norma aún no está traducida. El original en inglés puede adquirirse en ISO.org.
• ISO 27000: Tecnología de la Información. Técnicas de Seguridad. Sistema de Gestión de la Seguridad de la Información (SGSI). Generalidades y vocabulario.
• ISO 27003: Sistema de Gestión de la Seguridad de la Información (SGSI). Guía de implantación.
• ISO 27004: Tecnología de la información. Técnicas de Seguridad. Gestión de la Seguridad de la Información. Métricas.
• ISO 27007: Tecnología de la información. Técnicas de Seguridad.Guía de auditoría de un SGSI. Iniciadas las votaciones al DIS (cinco meses)

NORMAS UNE

• UNE-EN ISO 27799:2010 Informática sanitaria. Gestión de la seguridad de la información en sanidad utilizando la Norma ISO/IEC 27002 (ISO 27799:2008)