ISO 27001: Incidentes seguridad

Entre otras muchas cuestiones, la norma ISO 27001 se preocupa por la regulación de los incidentes de seguridad que puedan afectar a la información (perdida de datos, destrucción de equipos informáticos, documentación, etc…). Estos incidentes deberán ser registrados y comunicados al responsable de la organización, y para ello se establecerá un procedimiento concreto.
Se trata, además, de una obligación legal que viene ya impuesta por la Ley 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal y por el Real Decreto 1720/2007, por el que se aprueba el Reglamento que la desarrolla.
Así, en el artículo 90 del citado Reglamento, ya se dispone que “deberá existir un procedimiento de notificación y gestión de las incidencias que afecten a los datos de carácter personal y establecer un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso, detectado, la persona que realiza la notificación, a quién se le comunica, los efectos que se hubieran derivado de la misma y las medidas correctoras aplicadas”.
La norma ISO 27001, establece una serie de posibles controles a aplicar para gestionar los incidentes que afecten a cualquier tipo de información dentro de la FGUMA, con el objetivo final de asegurar que los eventos y debilidades de seguridad de la información sean comunicados de una manera tal que permita que la acción correctiva sea tomada oportunamente. Los controles pueden consistir en:
  1. Reporte de los eventos de seguridad: Se ha de dejar constancia y  comunicar los eventos de seguridad de la información a través de los canales de gestión apropiados tan rápidamente como sea posible.
  1. Reporte de debilidades: Se pedirá a empleados, contratistas y usuarios que detecten e informen sobre cualquier debilidad en la seguridad de los sistemas o servicios que se haya observado o sospechado.
  1. Responsabilidad y procedimientos: La organización fijará quiénes son los responsables de la gestión de incidentes y los procedimientos a seguir, a fin de asegurar una respuesta rápida, eficaz y ordenada.
  1. Aprendizaje de los incidentes: Se establecerán mecanismos que permitan cuantificar y realizar el seguimiento de los tipos, volúmenes y costos de los incidentes de seguridad.
  1. Recolección de evidencias: Si a consecuencia de un proceso judicial se hiciera un seguimiento contra una persona u organización por incidentes de seguridad, se recolectarán, conservarán y presentarán las pruebas conforme a la legislación aplicable en cada caso.

Deja una respuesta