Taller de implantación de ISO 27001 y ENS con medidas técnicas LOPDGDD

Programa

Qué es y dónde situamos el ENS y la ISO 27001:

• Qué es la Seguridad de la Información. Dimensiones. Escenarios. Definiciones. Profesiones.
• Qué tipo de problemas principales se dan respecto a la Seguridad de la Información.
• Generalidades de la norma ISO 27001 y del Esquema Nacional de Seguridad. Ámbito de aplicación.
  • El Sistema de gestión de Seguridad de la Información. La documentación para las normas.
  • La Notificación de incidentes (LOPD, Ciberincidentes, Infraestructuras Críticas).
  • Las auditorías.
  • El proceso de certificación.
  • El Centro Criptológico Nacional y las guías.
  • Relación del ENS o la ISO 27001 con la LOPD.

Pasos de implementación: El Sistema y su contexto.

• El Sistema de Gestión de Seguridad de la Información. Alcance.
• La categorización del Sistema en el ENS
• La Clasificación de la Información.
• El Análisis y Gestión de Riesgos con Magerit y Pilar.
• El Tratamiento de los Riesgos y la Declaración de Aplicabilidad.
• La implementación o adecuación de medidas de seguridad y la generación de procedimientos.
  • Marco Organizativo.
  • Marco Operacional.
  • Medidas de protección.
• Los informes, auditorías y la certificación.

El Análisis de Riesgos con PILAR: Una aproximación pragmática.

• Aspectos generales de PILAR y su configuración
• Enumeración de Activos y su valoración
• Definición de Perímetros de Seguridad
• Factores Agravantes y Atenuantes
• Introducción de salvaguardas con perfiles de seguridad
• Ajuste de Salvaguardas
• Riesgo Acumulado y Riesgo Repercutido
• Informe de análisis de riesgos
• Cómo hacer un informe de tratamiento de riesgos.

Relación entre el ENS o la ISO 27001 y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales.

• Más normas añadidas a la ISO 27001 para la protección de la privacidad
• El Análisis de Impacto en la LOPDGDD
• El Análisis de Riesgos con Pilar para la LOPDGDD.
• Las medidas de Seguridad de la LOPDGDD añadidas al ENS.

Pasos para realizar un Plan de adecuación

• Recopilar la información del Sistema
• Categorización del Sistema
• Generar la Declaración de Aplicabilidad
• Generar el análisis de riesgos Potencial
• Establecer necesidades adicionales a causa de la LOPDGDD
• Describir las tareas más urgentes del plan
• Describir el resto de tareas del plan
• Describir las revisiones periódicas del SGSI implementado

Implantación de un SGSI + DP.       

• Documentos que definen el SGSI
• Medidas técnicas de Configuración
• Clasificación e intercambio de la Información
• Medias de Gestión de usuarios y accesos
• Gestión de proveedores
• Gestión de incidentes y tareas. Autorizaciones
• Gestión de Cambios
• Concienciación, concienciación y concienciación
• Conceptos claves de Criptografía que hay que saber y cumplir
• Copias de Seguridad y Continuidad
• Sistemas y servicios Web. Correo Electrónico
• Computación en la Nube

Auditorías       

• El proceso de Auditoria y Certificación
  • El Informe a la Dirección.
  • Documentación esencial de un SGSI que pide un auditor siempre.
  • Cómo enfrentarse a una auditoría
  • Cómo realizar una auditoría interna
  • Cómo se realiza el proceso la primera vez y las veces siguientes
• Otros tipos de auditoría:
  • Servicios publicados: Vulnerabilidades, Intrusión.
  • Auditoría de código fuente.

Problemas de implementación de las normas ISO 27001 y ENS.

• Cómo trabajar en general: Iteraciones de implementación a 3 bandas.
  • A nivel administrativo y de configuración.
  • A nivel de implementación técnica.
  • Desde el punto de vista del usuario.
• Problemas y cómo gestionarlos:
  • No trabajar con la norma, sino para la norma.
  • No contar con los perfiles y responsabilidades.
  • No realizar un adecuado análisis de riesgos.
  • El Alcance y la correcta categorización del sistema.
  • No gestionar la Incertidumbre.
  • No realizar la correcta Gestión de Incidentes.
  • Concienciación, concienciación y concienciación.