ISO 27001: Gestión de incidencias en los Sistemas de Seguridad de la Información

Los riesgos en materia de seguridad de la información que más se producen son:

• Las fallas eléctricas causan el 90% de los incendios.
• El 43% de las empresas estadounidenses que sufren un desastre, sin contar con un Plan de Continuidad del Negocio, no se recuperan. El 51% sobrevive pero tarda un promedio de dos años en reinsertarse en el mercado y solo el 6% mantiene su negocio a largo plazo.
• El 30% de las copias de seguridad y el 50% de las restauraciones fallan, según un informe de Enterprise Strategy Group.

Hay que tener presente que existen situaciones que son imposibles de evitar, ya que no es posible proteger al 100% los activos de información, por eso las empresas tienen que planificarse acciones correctivas en diferentes escenarios de incidentes potenciales. Estas acciones pueden ir desde la actualización de un documento hasta el cambio de una infraestructura de red o de un responsable de un activo. Las acciones correctivas deben ser realizadas tan pronto como sean detectadas las incidencias.

• El primer documento que recoge la gestión de las incidencias es la Política de Seguridad de la Información que indica los responsables y el método de comunicación de los incidentes a nivel de organización interna y a las autoridades competentes.
• La organización debe definir procesos generales supervisión y mecanismos de control para la identificación y detección temprana de los incidentes, definición de acciones que los prevengan y realizar revisiones periódicas de su eficiencia.
• Las actividades de coordinación interdepartamentales incluyen la propuesta de planes de tratamiento de los incidentes, su revisión y mejora de forma conjunta.
• Debe existir un plan de acción que minimice los efectos de los incidentes sobre el acceso a la información a clientes y terceros, además de existir controles pertinentes que eviten las amenazas que estos mismo pueden provocar.
• El plan de formación debe incluir un apartado donde se informa sobre las acciones a llevar a cabo en caso de incidente y a quién y cómo comunicarlos.
• En las auditorías internas, se recopilarán todas las evidencias y registros de la gestión de incidentes.
• Durante la Revisión por la Dirección, se analizará la información del informe de incidentes de seguridad que recopile toda la información y los registros sobre el tratamiento de los incidentes, origen, causa, respuesta, soluciones, impacto, interacciones, acciones preventivas y de mejora…
• Si fuese preciso, la organización debería contratar asesoría externa para la actualización de la información del sector, en aras de prevenir nuevas amenazas.

Además de toda esta documentación propuesta por la norma ISO 27001, el punto 13 de la norma ISO 27002 redacta los requisitos necesarios para acometer una buena gestión de incidentes:

Con todo ello, la familia de normas ISO 27000 quiere proporcionar a la organización una guía de buenas prácticas que le provea de la suficiente información y planificación para poder combatir todo tipo de amenazas informáticas y salir exitosos de los incidentes.

ISOTools ofrece una solución tecnológica que ayuda al proceso de identificación de los incidentes de seguridad de la información, planificación de acciones preventivas y correctivas, evaluación de su eficiencia.