Trabajo: Estudio de la norma ISO 27001

...

[O]: En la guía de implantación se indica que deben asignarse las responsabilidades y roles generales.

6.1.2 Segregación de tareas: [O]

Se deberían segregar tareas y las áreas de responsabilidad ante posibles conflictos de interés con el fin de reducir las oportunidades de una modificación no autorizada o no intencionada, o el de un mal uso de los activos de la organización.

[O]: En la guía de implantación indica las normativas para segregar las tareas de cada perfil.

6.1.3 Contacto con las autoridades: [N], [O]

Se deberían mantener los contactos apropiados con las autoridades pertinentes.

[N]: La organización debe tener implantado un documento normativo donde se especifique a quien acudir para cada caso puntual.

[O]: En la guía de implantación se indica que la organización debe existir un documento normativo y que los empleados tengan acceso a él y sepan a quien acudir en caso de alguna eventualidad.

6.1.4 Contacto con grupos de interés especial: [O]

Se debería mantener el contacto con grupos o foros de seguridad especializados y asociaciones profesionales.

[O]: En la guía de implantación establece como una buena práctica mantener contactos con foros y grupos para mejorar los conocimientos entorno a la seguridad de la información.

6.1.5 Seguridad de la información en la gestión de proyectos: [N], [O]

Se debería contemplar la seguridad de la información en la gestión de proyectos e independientemente del tipo de proyecto a desarrollar por la organización.

[N]: Se requiere un documento normativo que lo establezca.

[O]: En la guía de implantación se indica que la seguridad de la Información debe estar presente desde un inicio en todo el desarrollo del proyecto.

6.2 Dispositivos para movilidad y teletrabajo

6.2.1 Política de uso de dispositivos para movilidad: [N], [O], [T]

Se debería establecer una política formal y se deberían adoptar las medidas de seguridad adecuadas para la protección contra los riesgos derivados del uso de los recursos de informática móvil y las telecomunicaciones.

[N]: Se requiere una política normativa que lo establezca.

[O]: En la guía de implantación se indican las medidas adecuadas para protegerse de los riesgos del uso de estos dispositivos.

[T]: Se requiere aplicar controles a nivel de software sobre la infraestructura de la compañía como también para los dispositivos móviles de los empleados.

6.2.2 Teletrabajo: [N], [O], [T]

Se debería desarrollar e implantar una política y medidas de seguridad de apoyo para proteger a la información accedida, procesada o almacenada en ubicaciones destinadas al teletrabajo.

[N]: Se requiere un documento normativo que establezca las condiciones y restricciones para el uso del teletrabajo.

[O]: En la guía de implantación se indican los controles adecuados para este punto.

[T]: Se requiere aplicar controles a nivel de software sobre la infraestructura de la compañía para poder hacer uso del teletrabajo.

8. Gestión Activos

8.1 Responsabilidad sobre los activos

8.1.1 Inventario de activos: [O]

Todos los activos deberían estar claramente identificados, confeccionando y manteniendo un inventario con los más importantes.

[O]: En la guía de implantación se indica que se deben identificar los activos de la compañía.

8.1.2 Propiedad de los activos: [N], [O]

Toda la información y activos del inventario asociados a los recursos para el tratamiento de la información deberían pertenecer a una parte designada de la Organización.

[N]: Se requiere un documento normativo que establezca la persona responsable.

[O]: En la guía de implantación se indica que el responsable de los activos debe ser responsable durante todo su ciclo de vida.

8.1.3 Uso aceptable de los activos: [N]

Se deberían identificar, documentar e implantar regulaciones para el uso adecuado de la información y los activos asociados a recursos de tratamiento de la información.

[N]: Se requiere un documento normativo que lo establezca.

8.1.4 Devolución de activos: [N], [O]

Todos los empleados y usuarios de terceras partes deberían devolver todos los activos de la organización que estén en su posesión/responsabilidad una vez finalizado el acuerdo, contrato de prestación de servicios o actividades relacionadas con su contrato de empleo.

[N]: Se requiere un documento normativo que lo establezca.

[O]: En la guía de implantación se indica el ciclo de vida de la información y la devolución de estos que son propiedad de la compañía.

8.2 Clasificación de la información

8.2.1 Directrices de clasificación de la Información: [N], [O]

La información debería clasificarse en relación a su valor, requisitos legales, sensibilidad y criticidad para la Organización.

[N]: Se requiere un documento normativo que lo establezca.

[O]: En la guía de implantación se indica cómo se debe clasificar la información según cada caso.

8.2.2 Etiquetado de la información: [ O]

Se debería desarrollar e implantar un conjunto apropiado de procedimientos para el etiquetado y tratamiento de la información, de acuerdo con el esquema de clasificación adoptado por la organización.

[O]: