iso 17799 2007

8/6/2019 iso 17799 2007

1/180

8/6/2019 iso 17799 2007

2/180

8/6/2019 iso 17799 2007

3/180

8/6/2019 iso 17799 2007

4/180

8/6/2019 iso 17799 2007

5/180

8/6/2019 iso 17799 2007

6/180

8/6/2019 iso 17799 2007

7/180

8/6/2019 iso 17799 2007

8/180

8/6/2019 iso 17799 2007

9/180

8/6/2019 iso 17799 2007

10/180

8/6/2019 iso 17799 2007

11/180

8/6/2019 iso 17799 2007

12/180

8/6/2019 iso 17799 2007

13/180

8/6/2019 iso 17799 2007

14/180

8/6/2019 iso 17799 2007

15/180

8/6/2019 iso 17799 2007

16/180

8/6/2019 iso 17799 2007

17/180

8/6/2019 iso 17799 2007

18/180

8/6/2019 iso 17799 2007

19/180

8/6/2019 iso 17799 2007

20/180

8/6/2019 iso 17799 2007

21/180

8/6/2019 iso 17799 2007

22/180

8/6/2019 iso 17799 2007

23/180

8/6/2019 iso 17799 2007

24/180

8/6/2019 iso 17799 2007

25/180

8/6/2019 iso 17799 2007

26/180

8/6/2019 iso 17799 2007

27/180

8/6/2019 iso 17799 2007

28/180

8/6/2019 iso 17799 2007

29/180

8/6/2019 iso 17799 2007

30/180

8/6/2019 iso 17799 2007

31/180

8/6/2019 iso 17799 2007

32/180

8/6/2019 iso 17799 2007

33/180

8/6/2019 iso 17799 2007

34/180

8/6/2019 iso 17799 2007

35/180

8/6/2019 iso 17799 2007

36/180

8/6/2019 iso 17799 2007

37/180

8/6/2019 iso 17799 2007

38/180

8/6/2019 iso 17799 2007

39/180

8/6/2019 iso 17799 2007

40/180

8/6/2019 iso 17799 2007

41/180

8/6/2019 iso 17799 2007

42/180

8/6/2019 iso 17799 2007

43/180

8/6/2019 iso 17799 2007

44/180

8/6/2019 iso 17799 2007

45/180

8/6/2019 iso 17799 2007

46/180

8/6/2019 iso 17799 2007

47/180

8/6/2019 iso 17799 2007

48/180

8/6/2019 iso 17799 2007

49/180

8/6/2019 iso 17799 2007

50/180

8/6/2019 iso 17799 2007

51/180

8/6/2019 iso 17799 2007

52/180

8/6/2019 iso 17799 2007

53/180

8/6/2019 iso 17799 2007

54/180

8/6/2019 iso 17799 2007

55/180

8/6/2019 iso 17799 2007

56/180

8/6/2019 iso 17799 2007

57/180

8/6/2019 iso 17799 2007

58/180

8/6/2019 iso 17799 2007

59/180

8/6/2019 iso 17799 2007

60/180

8/6/2019 iso 17799 2007

61/180

8/6/2019 iso 17799 2007

62/180

8/6/2019 iso 17799 2007

63/180

8/6/2019 iso 17799 2007

64/180

8/6/2019 iso 17799 2007

65/180

8/6/2019 iso 17799 2007

66/180

8/6/2019 iso 17799 2007

67/180

8/6/2019 iso 17799 2007

68/180

8/6/2019 iso 17799 2007

69/180

8/6/2019 iso 17799 2007

70/180

8/6/2019 iso 17799 2007

71/180

8/6/2019 iso 17799 2007

72/180

8/6/2019 iso 17799 2007

73/180

8/6/2019 iso 17799 2007

74/180

8/6/2019 iso 17799 2007

75/180

8/6/2019 iso 17799 2007

76/180

8/6/2019 iso 17799 2007

77/180

8/6/2019 iso 17799 2007

78/180

8/6/2019 iso 17799 2007

79/180

8/6/2019 iso 17799 2007

80/180

NORMA TECNICA NTP-ISO/IEC 17799PERUANA 73 de 173

Los siguientes puntos de la recuperacin de informacin deben ser considerados:

a) se debera definir el nivel necesario de recuperacin de la informacin;

b) se debera almacenar un nivel mnimo de informacin de respaldo, junto a losregistros exactos y completos de las copias de seguridad y a procedimientosdocumentados de recuperacin;

c) la extensin y frecuencia de los respaldos deben reflejar las necesidades de laorganizacin, los requisitos de seguridad de la informacin envuelta, y la criticidad de lainformacin para la operacin continua de la organizacin;

d) los respaldos deben estar almacenados en una locacin remota, en unadistancia suficiente para escapar de cualquier dao frente a un desastre en el localprincipal;

e) se debera dar a la informacin de respaldo un nivel adecuado de proteccinfsica y del entorno (vase el captulo 9), un nivel consistente con las normas aplicadasen el local principal. Se deberan extender los controles y medidas aplicados a losmedios en el local principal para cubrir el local de respaldo;

f) los medios de respaldo se deberan probar regularmente, donde sea factible,

para asegurar que son fiables cuando sea preciso su uso en caso de emergencia;g) se deberan comprobar y probar regularmente los procedimientos derecuperacin para asegurar que son eficaces y que pueden cumplirse en el tiempoestablecido por los procedimientos operativos de recuperacin;

h) en situaciones donde la confidencialidad sea importante, los respaldos debenser protegidos por medios de encriptacin.

Deben probarse regularmente arreglos individuales de las copias de seguridad de los sistemas

para asegurar que estos renen los requisitos de los planes de continuidad del negocio (vaseel capitulo 14). Para los sistemas crticos, los arreglos auxiliares deben cubrir toda lainformacin de los sistemas, aplicaciones y datos necesarios de recuperarse del sistemacompleto en caso de un desastre.

El periodo de retencin para la informacin esencial del negocio, y tambin cualquierrequisito permanente para las copias de los archivos debe determinarse (vanse el inciso15.1.3).

Otra informacin

8/6/2019 iso 17799 2007

81/180


Las copias de seguridad pueden automatizarse para aliviar el proceso de restauracin. Debenprobarse tales soluciones automatizadas suficientemente antes de la implementacin y aintervalos regulares.

10.6 Gestin de seguridad en redes

OBJETIVO: Asegurar la salvaguarda de la informacin en las redes y la proteccin de suinfraestructura de apoyo.

La gestin de la seguridad de las redes que cruzan las fronteras de la organizacin requiere

una atencin que se concreta en controles y medidas adicionales para proteger los datossensibles que circulan por las redes pblicas.

Controles adicionales pueden ser requeridos tambin con el fin de proteger informacinsensible pasando sobre redes publicas.

10.6.1 Controles de red

ControlLas redes deben ser manejadas y controladas adecuadamente para protegerse de amenazas ypara mantener la seguridad en los sistemas y aplicaciones usando las redes, incluyendoinformacin en transito.

Gua de Implementacin

Los administradores de redes deberan implantar los controles y medidas requeridas paraconseguir y conservar la seguridad de los datos en las redes de computadores, as como laproteccin de los servicios conectados contra accesos no autorizados. En particular, sedeberan considerar los controles y medidas siguientes:

a) La responsabilidad operativa de las redes debera estar separada de laoperacin de los computadores si es necesario (vase el inciso 10.1.3);

b) Se deberan establecer responsabilidades y procedimientos para la gestin delos equipos remotos, incluyendo los de las reas de los usuarios;

c) Se deberan establecer, si procede, controles y medidas especiales parasalvaguardar la confidencialidad y la integridad de los datos que pasen a travs de redespblicas, as como para proteger los sistemas conectados (vanse los incisos 11.4 y

8/6/2019 iso 17799 2007

82/180


12.3). Tambin se deberan requerir controles y medidas especiales para mantener ladisponibilidad de los servicios de las redes y de los computadores conectados;

d) Un registro y monitoreo apropiado debe ser aplicado para permitir el registrode acciones relevantes de seguridad;

e) Se deberan coordinar estrechamente las actividades de gestin tanto paraoptimizar el servicio al negocio como para asegurar que los controles y medidas seaplican coherentemente en toda la infraestructura de tratamiento de la informacin.

Otra Informacin

Informacin adicional en seguridad de redes puede ser encontrada en ISO/IEC 18028.

10.6.2 Seguridad en los servicios de redes

Control

Las caractersticas de seguridad, niveles de servicio y los requisitos de gestin de todos losservicios de red deben ser identificados e incluidos en cualquier acuerdo de servicio de red,

as estos servicios sean provistos dentro o fuera de la organizacin.


La habilidad del proveedor del servicio de red para manejar servicios acordados de unamanera segura debe ser determinado y monitoreado regularmente, y el derecho para auditardebe ser acordado.

Los acuerdos de seguridad necesarios para servicios particulares, como caractersticas de

seguridad, niveles de servicio y los requisitos de gestin, deben ser identificados. Laorganizacin debe asegurarse que los proveedores del servicio de red implementen estasmedidas.

Otra informacin

Los servicios de red incluyen la provisin de conexiones, servicios de red privados y redes devalor agregado as como soluciones manejadas de seguridad de redes como firewalls ysistemas de deteccin de intrusos. Estos servicios pueden alcanzar desde un simple ancho debando no manejado hasta ofertas complejas de valor agregado.

8/6/2019 iso 17799 2007

83/180


Las caractersticas de los servicios de seguridad de redes pueden ser:

a) tecnologa aplicada para servicios de seguridad de red, como autentificacin,encriptado y controles de conexin de red;

b) parmetros tcnicos requeridos para una conexin segura con los servicios dered en concordancia con las reglas de seguridad y conexin de red;

c) procedimientos para el uso de los servicios de red para restringir el acceso aestos servicios o aplicaciones donde sea necesario.

10.7 Utilizacin de los medios de informacin

OBJETIVO: Prevenir acceso no autorizado, modificaciones, evitar daos a los activos einterrupciones de las actividades de la organizacin.

Los medios deben ser controlados y fsicamente protegidos.

Se deberan establecer los procedimientos operativos adecuados para proteger los

documentos, medios informticos (discos, cintas, etc.), datos de entrada o salida ydocumentacin del sistema, de dao, modificacin, robo y acceso no autorizado.

10.7.1 Gestin de medios removibles

Control

Debera haber procedimientos para la gestin de los medios informticos removibles.


Se deberan considerar las siguientes pautas para la gestin de los medios removibles:

a) se deberan borrar cuando no se necesiten ms, los contenidos previos de todomedio reutilizable del que se desprenda la organizacin;

b) donde sea necesario y practico, todo medio desechado por la organizacindebera requerir autorizacin y se debera guardar registro de dicha remocin paraguardar una pista de auditoria;

8/6/2019 iso 17799 2007

84/180

8/6/2019 iso 17799 2007

85/180


b) los procedimientos deben permitir identificar los tems que puedan requerir undispositivo de seguridad;

c) puede ser ms fcil recoger y eliminar con seguridad todos los tipos de mediosque intentar separar los que contienen informacin sensible;

d) muchas organizaciones ofrecen servicios de recojo y eliminacin de papel,equipos y medios. Debera cuidarse la seleccin de los proveedores adecuados segn suexperiencia y lo satisfactorio de los controles que adopten;

e) se debera registrar la eliminacin de elementos sensibles donde sea posiblepara mantener una pista de auditoria.

Se debera considerar el efecto de acumulacin de medios a la hora de eliminar, ya que puedesuceder que una gran cantidad de informacin no clasificada sea ms sensible que unapequea cantidad de informacin clasificada.

Otra Informacin

La informacin sensible puede ser divulgada a travs de medios desechados sin cuidado(vase el inciso 9.2.6).

10.7.3 Procedimientos de manipulacin de la informacin

Control

Los procedimientos para la manipulacin y almacenamiento de la informacin deben serestablecidos para proteger esta informacin de divulgaciones o usos no autorizados.


Se deberan establecer procedimientos de manipulacin y almacenamiento de la informacinde forma coherente con su clasificacin (vase el inciso 7.2). Los siguientes tems deben serconsiderados:

a) etiquetado en la administracin de todos los medios;

b) restricciones de acceso para identificar al personal no autorizado;

c) mantenimiento de un registro formal de recipientes autorizados de datos;

8/6/2019 iso 17799 2007

86/180


d) aseguramiento de que los datos de entrada, su proceso y la validacin de lasalida estn completos;

e) proteccin de los datos que estn en cola para su salida en un nivel coherentecon su criticidad;

f) almacenamiento de los medios en un entorno acorde con las especificacionesdel fabricante;

g) minimizar la distribucin de datos;

h) identificacin clara de todas las copias de datos para su atencin por el receptorautorizado;

i) revisin de las listas de distribucin y de receptores autorizados a intervalosregulares.

Otra Informacin

Estos procedimientos aplican a la informacin en documentos, sistemas de computo, redes,computadores mviles, comunicaciones mviles, correo, correo de voz, comunicaciones devoz en general, multimedia, servicios y recursos postales, uso de maquinas de fax y cualquier

otro tem sensible, como cheques o facturas.10.7.4 Seguridad de la documentacin de sistemas

Control

Los documentacin de sistemas debe ser protegida contra acceso no autorizado.Gua de Implementacin

Para proteger la documentacin de sistemas de accesos no autorizados se deberan considerarlo siguiente:

a) la documentacin de sistemas se debera almacenar con seguridad;

b) la lista de acceso a la documentacin de sistemas se debera limitar al mximo,y ser autorizada por el propietario de la aplicacin;

c) la documentacin de sistemas mantenida en una red pblica, o suministrada vauna red pblica, se debera proteger adecuadamente.

8/6/2019 iso 17799 2007

87/180


Otra Informacin

La documentacin de sistemas puede contener un rango de informacin sensible como porejemplo descripciones de los procesos de las aplicaciones, procedimientos, estructura de datosy autorizacin de procesos.

10.8 Intercambio de informacin

OBJETIVO: Evitar la prdida, modificacin o mal uso de la informacin intercambiada entreorganizaciones

Se deberan realizar los intercambios sobre la base de acuerdos formales. Se deberancontrolar los intercambios de informacin y software entre organizaciones, que deberancumplir con toda la legislacin correspondiente (vase el captulo 15).

Se deberan establecer procedimientos y normas para proteger la informacin de los mediosen trnsito.

10.8.1 Polticas y procedimientos para el intercambio de informacin y software

Control

Se deberan establecer polticas, procedimientos y controles formales de intercambio con elfin de proteger la informacin a travs de todos los tipos de instalaciones de comunicacin.


Los procedimientos y controles ha ser seguidos cuando se utilice instalaciones electrnicas decomunicacin para el intercambio de informacin deben considerar lo siguiente:

a) los procedimientos designados para proteger la informacin intercambiada deuna intercepcin, copiado, modificacin, cambio de ruta y destruccin;

b) los procedimientos para la deteccin y proteccin contra cdigo malicioso quepuede ser transmitido a travs del uso de comunicacin electrnica (vase el inciso10.4.1);

c) los procedimientos para proteger informacin electrnica sensible que esta enforma de archivo adjunto;

8/6/2019 iso 17799 2007

88/180


d) las polticas o pautas para el uso aceptable de las instalaciones decomunicacin electrnica (vase el inciso 7.1.3);

e) los procedimientos para el uso de comunicaciones inalmbricas, tomando encuenta los riesgos particulares envueltos;

f) las responsabilidades de los empleados, contratistas y cualquier otro usuario deno comprometer a la organizacin, por difamacin, hostigamiento, personificacin,reenvo de cadenas de correos, compra no autorizada, etc;

g) el uso de tcnicas criptogrficas como por ejemplo para proteger laconfidencialidad, integridad y autenticidad de la informacin (vase el inciso 12.3);

h) las pautas de disposicin y retencin para toda la correspondencia de negocios,incluyendo mensajes, en concordancia con la legislacin y las regulaciones nacionales ylocales;

i) no dejar informacin critica o sensible en las instalaciones de impresin, comoimpresoras, copiadoras y faxes, ya que estas pueden ser acezadas por personal noautorizado;

j) los controles y restricciones asociados con el reenvo de las instalaciones de

comunicacin como por ejemplo el reenvo automtico de correos electrnicos a unadireccin de correo externa;

k) recordar al personal que deben de tomar precauciones como por ejemplo norevelar informacin sensible con el fin de evitar ser escuchado o interceptado cuandohagan una llamada telefnica mediante:

1) personas vecinas particularmente cuando se utiliza telfonos mviles;

2) interceptacin de telfonos y otras formas de or comunicaciones a travsde acceso fsico al equipo o a la lnea telefnica, o utilizando equipos de

recepcin de escaneo;3) personas al final del receptor;

l) no dejar mensajes conteniendo informacin sensible en las maquinascontestadoras ya que estas pueden ser reproducidas por personas no autorizadas,guardadas en sistemas comunales o grabadas incorrectamente como resultado de un maldiscado;

m) recordar al personal sobre los problemas de usar las maquinas de fax,nombrando:

8/6/2019 iso 17799 2007

89/180


1) el acceso no autorizado para crear almacenes de mensajes con el fin derecuperarlos;

2) la programacin deliberada o accidentada de las maquinas para enviarmensajes a nmeros especficos;

3) envo de documentos y mensajes a un numero equivocado por un maldiscado o por el uso de un numero mal grabado;

n) recordar al personal no registrar datos demogrficos, como la direccin decorreo u otra informacin personal en cualquier software para evitar su uso noautorizado;

o) recordar al personal que los fax modernos y las fotocopiadoras tienen paginascache y paginas almacenadas en caso de que el papel se trabe y lo imprimir una vezque se corrija el error.

En adicin, el personal debe recordar que no deben de tener conversaciones confidenciales enlugares pblicos o en oficinas abiertas y salas de reunin con paredes que no sean aprueba desonido.

Los recursos de intercambio de informacin deben concordar con cualquier requisito legalrelevante (vase capitulo 15).

Otra Informacin

El intercambio de informacin puede ocurrir a travs del uso de un numero diferente de tiposde recursos de comunicacin, incluyendo correo electrnico, voz, fax y video.

El intercambio de software puede ocurrir a travs de un numero diferente de medios,

incluyendo descargas desde el Internet y adquisicin por medio de vendedores.

Se deben considerar las implicaciones de negocio, legales y de seguridad, asociados con elintercambio electrnico de datos, comercio electrnico, comunicaciones electrnicas y losrequerimientos para los controles.

La informacin puede ser comprometida debido a la falta de precaucin, poltica oprocedimientos en el uso de los recursos de intercambio de informacin, como ser escuchadoen un telfono mvil en un lugar publico, mala direccin de un correo electrnico, maquinas

8/6/2019 iso 17799 2007

90/180


contestadoras escuchadas, acceso no autorizado a los sistemas de correo de voz y el envo defaxes al equipo equivocado.

Las operaciones de negocio pueden ser interrumpidas y la informacin puede sercomprometida si las instalaciones de comunicacin fallan, se sobrecargan o se interrumpen(vase 10.3 y el capitulo 14). La informacin puede ser comprometida si es accesada porusuarios no autorizados (vase el capitulo 11).

10.8.2 Acuerdos de Intercambio

Control

Los acuerdos deben ser establecidos para el intercambio de informacin y software entre laorganizacin y terceros.


Los acuerdos de intercambio deben considerar las siguientes condiciones de seguridad:

a) las responsabilidades de la gerencia para controlar y notificar la transmisin,

despacho y recibo;b) procedimientos para notificar al que enva la transmisin, despacho o recibo;c) procedimientos para asegurar al trazabilidad y la no reproduccin;

d) estndares tcnicos mnimos para empacado y transmisin;

e) acuerdos de fideicomiso;

f) estndares de identificacin de mensajera;

g) responsabilidades en los eventos de los incidentes de la seguridad deinformacin como la perdida de datos;

h) uso de un sistema acordado de etiquetado para informacin sensible o critica,asegurando que los significados de las etiquetas sea entendido de inmediato y que lainformacin sea protegida apropiadamente;

i) las propiedades y responsabilidades de la proteccin de datos, copyright,conformidad de la licencia de software y consideraciones similares (vase 15.1.2 y15.1.4);

j) estndares tcnicos para grabar y leer informacin y software;

8/6/2019 iso 17799 2007

91/180


k) cualquier control especial que pueda ser requerido para proteger temssensibles como las llaves criptogrficas (vase el inciso 12.3).

Las polticas, procedimientos y estndares deben ser establecidos y mantenidos para protegerinformacin y medios fsicos en transito (vase el inciso 10.8.3) y deben ser referenciados enlos acuerdos de intercambio.

La contenido de seguridad de cualquier acuerdo debe reflejar la sensibilidad de la informacinde negocios envuelta.

Otra Informacin

Los acuerdos pueden ser electrnicos o manuales y pueden tomar la forma de contratosformales o condiciones de empleo. Para la informacin sensible, los mecanismos especficosusados para el intercambio de dicha informacin deben ser consistentes para todas lasorganizaciones y tipos de acuerdo.

10.8.3 Medios fsicos en trnsito

Control

Los medios conteniendo informacin deben ser protegidos contra acceso no autorizado, maluso o corrupcin durante el transporte fuera de los limites fsicos de la organizacin.


Las siguientes pautas deben ser considerada para proteger medios de informacin

transportados entre lugares:

La informacin puede ser vulnerable a accesos no autorizados, a mal uso o a corrupcindurante su transporte fsico. Se deberan aplicar los siguientes controles y medidas parasalvaguardar los medios informticos transportados entre sedes:

a) deberan usarse transportes o mensajeros fiables;

b) debera convenirse entre las gerencias una lista de mensajeros autorizados.;

8/6/2019 iso 17799 2007

92/180


c) se debera realizar un procedimiento para comprobar la identificacin de losmensajeros utilizados;

d) el envase debera ser suficiente para proteger el contenido contra cualquierdao fsico que pueda ocurrir durante el trnsito, de acuerdo con lasespecificaciones de los fabricantes, por ejemplo protegindonos contracualquier factor ambiental que pueda reducir la efectividad de la restauracindel medio como una exposicin al calor, humedad o a camposelectromagnticos;

e) deberan adoptarse controles especiales para proteger la informacin sensiblede la divulgacin o modificacin no autorizadas, por ejemplo:

1) uso de contenedores cerrados;

2) entrega en mano;

3) envase con deteccin de apertura (que revela cualquier intento deacceso);

4) en casos excepcionales, fraccionamiento del envo en varas entregasque se envan por rutas diferentes;

Otra Informacin

La informacin puede ser vulnerable a los accesos no autorizados, al mal uso o corrupcindurante el transporte fsico, para instancias en donde se enve medios va servicio postal o vamensajera.

10.8.4 Seguridad en la mensajera electrnica

ControlLa informacin implicado con la mensajera electrnica debe ser protegida apropiadamente.


Las consideraciones de seguridad para la mensajera electrnica deberan incluir lo siguiente:

a) proteccin de mensajes de accesos no autorizados, modificaciones o negacindel servicio;

8/6/2019 iso 17799 2007

93/180


b) asegurar una direccin y un transporte correcto del mensaje;

c) confiabilidad y disponibilidad general del servicio;

d) consideraciones legales, por ejemplo los requisitos para firmas electrnicas;

e) obtencin de aprobacin antes de utilizar servicios externos pblicos comomensajera instantnea o archivos compartidos;

f) niveles mas fuertes de autentificacin del acceso de control de redes publicasaccesibles.

Otra Informacin

La mensajera electrnica como los correos, el intercambio electrnico de datos y lamensajera instantnea, juegan un papel importante en las comunicaciones de negocios. Lamensajera electrnica tiene diferentes riesgos que las comunicaciones en papel.

10.8.5 Sistemas de Informacin de Negocios

Control

Se deberan desarrollar e implementar polticas y procedimientos con el fin de proteger lainformacin asociada con la interconexin de sistemas de informacin de negocios.


Las consideraciones dadas a la seguridad e implicaciones de seguridad de interconectar dichasinstalaciones, deben incluir:

a) vulnerabilidades conocidas en los sistemas de administracin y contabilidaddonde la informacin es compartida por diferentes partes de la organizacin;

b) vulnerabilidades de informacin en sistemas de comunicacin de negocios,como el grabado de llamadas telefnicas o de conferencia, las llamadas confidenciales,el almacenamiento de faxes, el correo abierto, la distribucin de correo;

c) polticas y controles apropiados para manejar informacin compartida;

8/6/2019 iso 17799 2007

94/180


d) excluir categoras de informacin de negocios sensible y clasificar documentossi los sistemas no proveen un nivel apropiado de proteccin (vase el inciso 7.2);

e) acceso restringido a la informacin diaria relacionado con individuos selectos,como el personal que trabaja en proyectos sensibles;

f) categoras de personal, contratistas o socios de negocios a los que se lespermite el uso del sistema y de las locaciones desde donde puede ser accesado (vase6.2 y 6.3);

g) instalaciones restringidas seleccionadas para categoras de usuario especificas;

h) identificacin del estado de usuarios, como los empleados de la organizacin ocontratistas en los directorios para beneficio de otros usuarios;i) retencin y soporte de la informacin colgada en el sistema (vase el inciso10.5.1);

j) requisitos en el retraso y en los arreglos (vase capitulo 14).

Otra Informacin

Los sistemas de informacin de oficinas son oportunidades para una rpida diseminacin y el

compartir informacin de negocio usando una combinacin de: documentos, computadores,computadores mviles, comunicaciones mviles, correo, correo de voz, comunicaciones devoz en general, multimedia, servicios/instalaciones postales y maquinas de fax.

10.9 Servicios de correo electrnico

OBJETIVO: Asegurar la seguridad de los servicios de comercio electrnico y de su usoseguro.

Las implicaciones de seguridad asociadas con el uso de servicios de comercio electrnico,incluyendo transacciones en lnea y los requisitos para los controles. La integridad ydisponibilidad de la informacin electrnica publicada a travs de sistemas disponibles depublicidad deben ser tambin consideradas.

10.9.1 Comercio Electrnico

Control

8/6/2019 iso 17799 2007

95/180


La informacin envuelta en el comercio electrnico pasando a travs de redes publicas, debenser protegidas de actividad fraudulenta, disputas de contratos y de acceso y modificacin noautorizada.


Las consideraciones de seguridad para el comercio electrnico debe incluir lo siguiente:

a) el nivel de confidencia que cada parte requiere en la identidad demanda;

b) los procesos de autorizacin asociados con el que puede designar los precios,ediciones o firmas en los documentos de negocio;

c) asegurar que los socios de negocio se encuentran totalmente informados de susautorizaciones;

d) determinar los requerimientos de confidencialidad, integridad, prueba dedespacho y recepcin de los documentos clave y la no negacin de contratos, como porejemplo los que estn asociados con los procesos de ofrecimiento y contrato;

e) el nivel de confianza requerido en la integridad de las listas de precio

anunciadas;f) la confidencialidad de cualquier dato o informacin sensible,

g) la confidencialidad e integridad de cualquier orden de transaccin, informacinde pago, detalles de direcciones de entrega y confirmaciones de recibos.

h) el grado de verificacin apropiado para verificar la informacin de pagosuministrada por un cliente;

i) seleccin de la forma de establecimiento de pago ms apropiada con el fin de

evitar fraudes; j) el nivel de proteccin requerido para mantener la confidencialidad e integridadde la informacin de orden;

k) evitar la prdida o duplicidad de la informacin de transacciones;

l) confiabilidad asociada con cualquier transaccin fraudulenta;

m) requisitos de seguro.

8/6/2019 iso 17799 2007

96/180


Muchas de las consideraciones mencionadas anteriormente pueden ser anexadas por laaplicacin de controles criptogrficos (vase el inciso 12.3), tomando en cuenta laconformidad con los requisitos legales (vase el inciso 15.1, especialmente 15.1.6 para lalegislacin criptogrfica).

Los arreglos de comercio electrnico entre los socios del negocio deben ser apoyados por unacuerdo documentado que comprometa ambas partes a aceptar los trminos de intercambio,incluyendo los detalles de autorizacin (vase b) arriba). Se pueden necesitar otros acuerdoscon servicio de informacin y valor agregado a las redes de los proveedores.

El sistema pblico de intercambio debe publicar sus trminos de negocio a los clientes.

Se debe dar consideracin para la resistencia al ataque de host(s) utilizado para el comercioelectrnico y las implicancias de seguridad de cualquier red de interconexin requerida para laimplementacin de servicios de comercio electrnico (vase el inciso 11.4.6).

Otra Informacin

El comercio electrnico es vulnerable a un nmero de amenazas de red que pueden resultar en

actividad fraudulenta, disputas de contrato y acceso o modificacin de la informacin.

El comercio electrnico puede hacer uso de mtodos seguros de autentificacin, como el usode firmas digitales (vase el inciso 12.3) para reducir riesgos. Igualmente, se puede utilizarpersonal externo confiable donde sus servicios sean requeridos.

10.9.2 Transacciones en lnea

ControlLa informacin implicada en las transacciones en lnea debe ser protegida para prevenir latransmisin incompleta, ruta equivocada, alteracin no autorizada de mensajes, acceso noautorizado, duplicado no autorizado del mensaje o reproduccin.


Las consideraciones de seguridad para las transacciones en lnea deben incluir lo siguiente:

8/6/2019 iso 17799 2007

97/180


a) el uso de firmas electrnicas por cada una de las partes envueltas en latransaccin;

b) todos los aspectos de la transaccin, asegurando que:

1) las credenciales de usuario de todas las partes son validas y verificadas;2) la transaccin quede confidencial;3) la privacidad asociada con todas las partes es retenida

c) los medios de comunicacin entre todas las partes implicadas deben sercifrados;

d) los protocolos utilizadas para comunicarse entre todas las partes debe serseguro;e) asegurar que el almacenamiento de los detalles de la transaccin estnlocalizados fuera de cualquier ambiente publico, como en un plataforma dealmacenamiento existente en el Intranet de la organizacin, y que no sea retenida niexpuesta en un medio de almacenamiento al que se puede acceder por Internet;

f) cuando una autoridad confiable sea usada (para propsitos de publicar omantener firmas digitales y/o certificados digitales) la seguridad es integrada a travsde todo proceso de gestin del certificado/firma.

Otra Informacin

El grado de los controles adoptados necesitar ser conmensurado con el nivel de riesgoasociado con cada forma de la transaccin en lnea.

Las transacciones pueden necesitar que sean conformes con las leyes, reglas y regulaciones enla jurisdiccin en donde la transaccin sea generada.

Existen muchas formas de transacciones como las contractuales o financieras, que pueden serrealizadas en lnea.

10.9.3 Informacin publica disponible

Control

La integridad de la informacin que se ha hecho disponible en un sistema pblico debe serprotegido para prevenir modificaciones no autorizadas.

8/6/2019 iso 17799 2007

98/180



Software, datos y otra informacin que requiera un alto nivel de integridad y que se encuentredisponible en un sistema publico, debe ser protegido mediante un mecanismo apropiado comofirmas digitales (vase 12.3). El sistema de publicacin accesible debe ser probado contradebilidades y fallas antes de que la informacin se encuentre disponible.

Debe existir un proceso formal aprobado antes de que la informacin este pblicamentedisponible. En adicin, todos los ingresos provistos desde el exterior al sistema deben serverificados y aprobados.

Los sistemas de publicacin electrnicos deben ser controlados cuidadosamente,especialmente los que permiten retroalimentacin e ingreso directo de la informacin, con elfin de que:

a) la informacin obtenida concuerde con cualquier legislacin de proteccin dedatos (vase el inciso 15.1.4);

b) el ingreso y procesamiento de informacin en el sistema ser procesadocompletamente y actualizado a tiempo;

c) la informacin sensible ser protegida durante la recoleccin, procesamiento yalmacenamiento;

d) el acceso al sistema pblico no permite el ingreso involuntario a redes a las queel sistema se encuentre conectado.

Otra Informacin

La informacin en un sistema publico disponible, como por ejemplo la informacin enservidor Web accesible va Internet, puede necesitar que sea conforme con las reglas, leyes y

regulaciones de la jurisdiccin en donde dicho sistema se encuentra localizado, donde elintercambio se esta llevando a cabo o donde el propietario resida. Las modificaciones noautorizadas de la informacin publicada pueden daar la reputacin de la organizacinpublicadora.

10.10 Monitoreo

OBJETIVO: Detectar las actividades de procesamiento de informacin no autorizadas.

8/6/2019 iso 17799 2007

99/180


Los sistemas deben ser monitoreados y los eventos de la seguridad de informacin deben sergrabadas. El registro de los operadores y el registro de averas debe ser usado para asegurarque los problemas del sistema de informacin sean identificados.

Una organizacin debe cumplir con todos los requerimientos legales aplicables para elmonitoreo y el registro de actividades.

El monitoreo del sistema debe ser utilizado para verificar la efectividad de los controlesadoptados y para verificar la conformidad de un acceso a un modelo de poltica.

10.10.1 Registro de la auditoria

Control

Los registros de auditoria grabando actividades de los usuarios, excepciones y eventos de laseguridad de informacin deben ser producidos y guardados para un periodo acordado con elfin de que asistan en investigaciones futuras y en el monitoreo de los controles de acceso.


Los registros de auditoria deben incluir, cuando sea relevante:

a) identificaciones de usuarios;

b) fecha y hora de conexin y desconexin;

c) identidad del terminal o locacin si es posible;

d) registros de xito y fracaso de los intentos de acceso al sistema;

e) registros de xito o fracaso de datos y de otros intentos de acceso a recursos;

f) cambios en la configuracin del sistema;

g) uso de privilegios;

h) uso de las instalaciones y aplicaciones del sistema;

i) archivos accesados y el tipo de acceso;

j) direcciones de red y protocolos;

8/6/2019 iso 17799 2007

100/180


k) las alarmas realizadas por el sistema de control de accesos;

l) activacin y desactivacin de los sistemas de proteccin, como los sistemasantivirus y los sistemas de deteccin de intrusos.

Otra Informacin

Los registros de auditoria deben contener datos personales confidenciales. Se deben tomar encuenta medidas apropiadas para la proteccin de la privacidad (vase el inciso 15.1.4). Dondesea posible, los administradores del sistema no deben de tener permiso para borrar odesactivar los registros de sus propias actividades (vase el inciso 10.1.3).

10.10.2 Monitoreando el uso del sistema

Control

Los procedimientos para el uso del monitoreo de las instalacin de procesamiento deinformacin deben ser establecidos y los resultados de las actividades de monitoreo deben serrevisadas regularmente.


El nivel de monitoreo requerido para las instalaciones individuales debe ser determinado poruna evaluacin de riesgos. Una organizacin debe cumplir con todos los requerimientoslegales aplicables a sus actividades de monitoreo. Las reas que deben ser consideradasincluyen:

a) acceso autorizado, incluyendo detalles como:

1) la identificacin del usuario;

2) la fecha y hora de los eventos clave;

3) el tipo de evento;

4) los archivos ingresados;

5) el programa e recurso utilizados;

b) todas las operaciones privilegiadas, como:

8/6/2019 iso 17799 2007

101/180


1) uso de cuentas privilegiadas, como supervisores, administradores;

2) puesta en marcha y parada del sistema;

3) conexin o desconexin de un recurso de entrada o salida;

c) intentos de acceso no autorizado, como:

1) intentos fallidos;2) acciones con fallas o rechazadas que involucran datos y otros recursos;

3) violaciones a la poltica de acceso y las notificaciones de los firewalls yentradas de red;

4) las alertas de los sistemas de deteccin de intrusos del propietario;

d) alertas o fallas del sistema como:

1) alertas o mensajes de consola;

2) excepciones de registro en el sistema;

3) alarmas de la gerencia de red;4) alarmas levantadas por los sistemas de control de accesos;

e) cambios o intentos de cambio a la configuracin y controles de los sistemas deseguridad.

El numero de veces que debern ser revisados las actividades de monitoreo debe depender delos riesgos implicados. Los factores de riesgo que deben ser considerados incluyen:

a) criticidad de los procesos de aplicacin;

b) valor, sensibilidad y criticidad de la informacin implicada;

c) experiencias pasadas de infiltraciones del sistema y mal uso y la frecuencia dela vulnerabilidades explotadas;

d) extensin de la interconexin del sistema (particularmente redes publicas);

e) registro de la instalacin que esta siendo desactivada.

8/6/2019 iso 17799 2007

102/180


Otra Informacin

El uso de procedimientos de monitoreo son necesarios para asegurar que los usuarios solorealicen actividades que han sido explcitamente autorizadas.

Una revisin del registro implica un entendimiento de las amenazas enfrentadas por el sistemay la manera en que estas se presentan. Ejemplos de eventos que puedan requerir investigacinfutura en caso de incidentes en la seguridad de informacin estn dados en 13.1.1.

10.10.3 Proteccin de la informacin de registro

Control

Las instalaciones de informacin de registro deben ser protegidas contra acciones forzosas uacceso no autorizado.


Los controles deben proteger contra cambios no autorizados y problemas operacionales con lainstalacin de registro incluyendo:

a) alteraciones a los tipos de mensaje que son grabados;

b) archivos de registro editados o eliminados;

c) la capacidad de almacenamiento del medio del archivo de registro que ha sidoexcedido, resultando en la falla de los eventos almacenados o la sobre escritura deeventos pasados.

Algunos registros de auditoria pueden requerir ser archivados como parte de la poltica deretencin de registros o debido a los requerimientos para recolectar y mantener evidencia(vase el inciso 13.2.3).

Otra Informacin

Los registros del sistema contienen un volumen largo de informacin, mucho del cual esextrao para el monitoreo de seguridad. Para ayudar a identificar eventos significativos parapropsitos del monitoreo de seguridad, se deben considerar el copiado de tipos de mensajes

8/6/2019 iso 17799 2007

103/180


apropiados automticamente a un segundo registro y/o el uso de utilidades adecuadas delsistema o las herramientas de auditoria para realizar la interrogacin del archivo y lanacionalizacin.

Los registros del sistema necesitan ser protegidos debido a que si los datos pueden sermodificados o eliminados, su existencia puede crear una falsa sensacin de seguridad.

10.10.4 Registro de administradores y operadores

Control

Las actividades del administrador y de los operadores del sistema deben ser registradas.


Los registros deben incluir:

a) el tiempo en el que ocurri el evento (xito o fracaso);

b) informacin acerca del evento o fallas;c) que cuenta y que administrador u operador fue implicado;

d) que procesos fueron implicados;

Los registros de los administradores y usuarios del sistema deben ser revisados en una baseregular.

Otra InformacinUn sistema de deteccin de intrusos manejado fuera del control del sistema y de las redes deadministradores puede ser utilizado para monitorear y dar conformidad a las actividades.

10.10.5 Registro de la avera

Control

Las averas deben ser registradas, analizadas y se debe tomar acciones apropiadas.

8/6/2019 iso 17799 2007

104/180



Las averas reportadas por usuarios o por programas del sistema relacionados con problemasen el procesamiento o comunicacin de la informacin, deben ser registradas. Deben existirreglas claras para maniobrar las averas reportadas incluyendo:

a) revisin de los registros de averas para asegurar que las fallas han sidoresueltas satisfactoriamente;

b) revisin de las medidas correctivas para asegurar que los controles no han sidocomprometidos y que la accin realizada es totalmente autorizada.

Se debe asegurar que el registro de error este activado, si es que se encuentra disponible en elsistema.

Otra Informacin

Los registros de errores y averas pueden impactar en el desarrollo del sistema. Este registrodebe ser habilitado por personal competente y el nivel de registro requerido para sistemasindividuales debe ser determinado por una evaluacin de riesgos, tomando en cuenta la

degradacin del funcionamiento.

10.10.6 Sincronizacin del reloj

Control

Los relojes de todos los sistemas de procesamiento de informacin dentro de la organizacino en el dominio de seguridad deben ser sincronizados con una fuente acordada y exacta detiempo.


Donde una computadora o un dispositivo de comunicacin tenga la capacidad de operar conun reloj en tiempo real, este reloj debe ser instalado con un estndar acordado, como elTiempo Coordinado Universal o un estndar local de tiempo. Debido a que muchos relojesson conocidos por variar en el tiempo, debe existir un procedimiento que verifique y corrijacualquier variacin significativa.

La interpretacin correcta del formato tiempo/fecha es importante para asegurar que se reflejeel tiempo/fecha correcto. Las especificaciones locales deben ser tomadas en cuenta.

8/6/2019 iso 17799 2007

105/180


Otra Informacin

Los ajustes correctos en los relojes de las computadoras son importantes debido a queaseguran la exactitud de los registros de auditoria, que pueden ser requeridos parainvestigaciones o como evidencia en casos legales o disciplinarios. Los registros de auditoriainexactos pueden obstaculizar dichas investigaciones y daar la credibilidad de dichaevidencia. Un reloj vinculado a un broadcast de radio de tiempo desde un reloj atmiconacional puede ser utilizado como el reloj maestro para los sistemas de registro. Un protocolode tiempo de red puede ser usado para mantener todos los servidores en sincronizacin con elreloj maestro.

11. CONTROL DE ACCESOS

11.1 Requisitos de negocio para el control de accesos

OBJETIVO: Controlar los accesos a la informacin.

Se debera controlar el acceso a la informacin y los procesos del negocio sobre la base de losrequisitos de seguridad y negocio.

Se deberan tener en cuenta para ello las polticas de distribucin de la informacin y deautorizaciones.

11.1.1 Poltica de control de accesos

Control

Una poltica de control de acceso debe ser establecida, documentada y revisada y debe estarbasada en los requerimientos de seguridad y del negocio.

Gua de implementacin

Se deberan establecer claramente en una poltica de accesos las reglas y los derechos de cadausuario o grupo de usuarios. Los controles de acceso son lgicos y fsicos (vase el capitulo

9) y estos deben ser considerados juntos. Se debera dar a los usuarios y proveedores de

8/6/2019 iso 17799 2007

106/180


servicios una especificacin clara de los requisitos de negocio cubiertos por los controles deaccesos.

Esta poltica debera contemplar lo siguiente:

a) requisitos de seguridad de cada aplicacin de negocio individualmente;

b) identificacin de toda la informacin relativa a las aplicaciones y los riesgosque la informacin esta enfrentando;

c) polticas para la distribucin de la informacin y las autorizaciones (porejemplo, el principio de suministro slo de la informacin que se necesita conocer y losniveles de seguridad para la clasificacin de dicha informacin) (vase el inciso 7.2);

d) coherencia entre las polticas de control de accesos y las polticas declasificacin de la informacin en los distintos sistemas y redes;

e) legislacin aplicable y las obligaciones contractuales respecto a la proteccindel acceso a los datos o servicios (vase el inciso 15.1);

f) perfiles de acceso de usuarios estandarizados segn las categoras comunes de

trabajos;g) administracin de los derechos de acceso en un entorno distribuido en red quereconozca todos los tipos disponibles de conexin;

h) segregacin de los roles de control de acceso, como el pedido de acceso,autorizacin de acceso, administracin de accesos;

i) requerimientos para la autorizacin formal de los pedidos de acceso (vase elinciso 11.2.1);

j) requerimientos para la revisin peridica de los controles de acceso (vase elinciso 11.2.4);

k) retiro de los derechos de acceso (vase el inciso 8.3.3).

Otra Informacin

Al especificar las reglas de los controles de accesos se tendr la precaucin de considerar:

8/6/2019 iso 17799 2007

107/180


a) la distincin entre reglas a cumplir siempre y reglas opcionales ocondicionales;

b) el establecimiento de las reglas basndose en la premisa est prohibido todo loque no est permitido explcitamente, premisa que es contraria a la regla estpermitido todo lo que no est prohibido explcitamente, considerada ms dbil o mspermisiva.c) los cambios en las etiquetas de informacin (vase el inciso 7.2) iniciadasautomticamente por los recursos del tratamiento de la informacin y las que inicia elusuario manualmente;

d) los cambios en las autorizaciones al usuario realizados automticamente por elsistema de informacin y los que realiza un administrador;

e) la distincin entre reglas que requieren o no la aprobacin del administrador ode otra autoridad antes de su promulgacin.

Las reglas de control de acceso deben ser apoyadas por procedimientos formales y porresponsabilidades claramente definidos (vase, por ejemplo, 6.1.3, 11.3, 10.4.1, 11.6).

11.2 Gestin de acceso de usuarios

OBJETIVO: Asegurar el acceso autorizado de usuario y prevenir accesos no autorizados alos sistemas de informacin.

Se debera establecer procedimientos formales para controlar la asignacin de los derechos deacceso a los sistemas y servicios.

Estos procedimientos deberan cubrir todas las etapas del ciclo de vida del acceso de losusuarios, desde el registro inicial de los nuevos hasta la baja del registro de los usuarios queya no requieran dicho acceso a los sistemas y servicios. Se debera prestar especial atencin,donde sea apropiado, al necesario control de la asignacin de derechos de accesoprivilegiados que permitan a ciertos usuarios evitar los controles del sistema.

11.2.1 Registro de usuarios

Control

Se debera formalizar un procedimiento de registro de altas y bajas de usuarios para garantizarel acceso a los sistemas y servicios de informacin multiusuario.

8/6/2019 iso 17799 2007

108/180



Se debera controlar el acceso a los servicios de informacin multiusuario mediante unproceso formal de registro que debera incluir:

a) la utilizacin de un identificador nico para cada usuario, de esta forma puedevincularse a los usuarios y responsabilizarles de sus acciones. Se debera permitir el usode identificadores de grupo cuando sea conveniente para el desarrollo del trabajo y estosdeben ser aprobados y documentados;

b) la comprobacin de la autorizacin del usuario por el propietario del serviciopara utilizar el sistema o el servicio de informacin. Tambin puede ser conveniente quela gerencia apruebe por separado los derechos de acceso;

c) verificacin de la adecuacin del nivel de acceso asignado al propsito delnegocio (vase el inciso 11.1) y su consistencia con la poltica de seguridad de laorganizacin (por ejemplo, su no contradiccin con el principio de segregacin de tareas(vase el inciso10.1.3);

d) la entrega a los usuarios de una relacin escrita de sus derechos de acceso;

e) la peticin a los usuarios para que reconozcan con su firma la comprensin delas condiciones de acceso;

f) la garanta de que no se provea acceso al servicio hasta que se hayancompletado los procedimientos de autorizacin;

g) el mantenimiento de un registro formalizado de todos los autorizados para usarel servicio;

h) la eliminacin inmediata de las autorizaciones de acceso a los usuarios quedejan la organizacin o cambien de trabajo en ella;

i) la revisin peridica y eliminacin de identificadores y cuentas de usuarioredundantes (vase el inciso 11.2.4);

j) la garanta de no reasignacin a otros usuarios de los identificadores de usuarioredundantes.

Otra Informacin

Se debera considerar el establecimiento de roles de acceso a usuario basado en requisitos denegocio que resuman un numero de derechos de acceso en un expediente tpico de acceso de

8/6/2019 iso 17799 2007

109/180


usuario. Los pedidos y revisiones de acceso (vase el inciso 11.2.4) son manejadas masfcilmente al nivel de dichos roles que los niveles de derechos particulares.

Se debera considerar la inclusin de clusulas en los contratos laborales y de servicio queespecifiquen sanciones si sus signatarios realizan accesos no autorizados (vase el inciso 6.1.4y 6.1.5).

11.2.2 Gestin de privilegios

Control

Debera restringirse y controlarse el uso y asignacin de privilegios.


Se debera controlar la asignacin de privilegios por un proceso formal de autorizacin en lossistemas multiusuario. Se deberan considerar los pasos siguientes:

a) identificar los privilegios asociados a cada elemento del sistema, por ejemplo,el sistema operativo, el sistema gestor de base de datos y cada aplicacin; as como lascategoras de empleados que necesitan de ellos;

b) asignar privilegios a los individuos segn los principios de necesidad de suuso y caso por caso y en lnea con la poltica de control de acceso (vase el inciso11.1.1), por ejemplo, el requisito mnimo para cumplir su funcin slo cuando senecesite;

c) mantener un proceso de autorizacin y un registro de todos los privilegiosasignados. No se otorgarn privilegios hasta que el proceso de autorizacin haya

concluido;d) promover el desarrollo y uso de rutinas del sistema para evitar la asignacin deprivilegios a los usuarios;

e) promover el desarrollo y uso de programas que evitan la necesidad de corrercon privilegios;

f) asignar los privilegios a un identificador de usuario distinto al asignado para unuso normal.

8/6/2019 iso 17799 2007

110/180

8/6/2019 iso 17799 2007

111/180


Otra Informacin

Las contraseas son un medio comn de verificar la identidad del usuario antes de que elacceso a un sistema de informacin o servicio sea dado de acuerdo a la autorizacin delusuario. Se deben considerar, si son apropiadas, otras tecnologas para identificacin yautentificacin de usuario como las biomtricas (como la verificacin de huellas, laverificacin de la firma) o el uso de dispositivos hardware (como las tarjetas inteligentes).

11.2.4 Revisin de los derechos de acceso de los usuarios

Control

La gerencia debera establecer un proceso formal de revisin peridica de los derechos deacceso de los usuarios.


La revisin de los derechos de acceso de usuario debera considerar las siguientes pautas:

a) revisar los derechos de acceso de los usuarios a intervalos de tiempo regulares(se recomienda cada seis meses) y despus de cualquier cambio como promocin,degradacin o termino del empleo (vase el inciso 11.2.1);

b) los derechos de acceso de los usuarios deben ser revisados y reasignadoscuando se traslade desde un empleo a otro dentro de la misma organizacin;

c) revisar ms frecuentemente (se recomienda cada tres meses) las autorizacionesde derechos de acceso con privilegios especiales (vase el inciso 11.2.2);

d) comprobar las asignaciones de privilegios a intervalos de tiempo regulares paraasegurar que no se han obtenido privilegios no autorizados;

e) los cambios en las cuentas privilegiadas deben ser registradas para una revisinperidica.

Otra Informacin

Es necesario revisar regularmente los derechos de los accesos de los usuarios para mantenerun control efectivo del acceso a los datos y los sistemas de informacin.

8/6/2019 iso 17799 2007

112/180


11.3 Responsabilidades de los usuarios

OBJETIVO: Evitar el acceso de usuarios no autorizados y el compromiso o hurto de lainformacin y de las instalaciones del procesamiento de informacin.

Una proteccin eficaz necesita la cooperacin de los usuarios autorizados.

Los usuarios deberan ser conscientes de sus responsabilidades en el mantenimiento de laeficacia de las medidas de control de acceso, en particular respecto al uso de contraseas y a

la seguridad del material puesto a su disposicin.Un escritorio limpio, as como una poltica de pantalla clara debe ser implementado con el finde reducir el riesgo de acceso no autorizado o de dao a los papeles, medios e instalacionesdel procesamiento de informacin.

11.3.1 Uso de contraseas

ControlLos usuarios deberan seguir buenas prcticas de seguridad para la seleccin y uso de suscontraseas.


Todos los usuarios deberan ser informados acerca de:

a) mantener la confidencialidad de las contraseas;

b) evitar guardar registros (papel, archivos de software o dispositivos) de lascontraseas, salvo si existe una forma segura de hacerlo y el mtodo de almacenamientoha sido aprobado;

c) cambiar las contraseas si se tiene algn indicio de su vulnerabilidad o de ladel sistema;

d) seleccionar contraseas de buena calidad, con una longitud mnima caracteres,que sean:

8/6/2019 iso 17799 2007

113/180


1) fciles de recordar;

2) no estn basadas en algo que cualquiera pueda adivinar u obtener usandoinformacin relacionada con el usuario, por ejemplo, nombres, fechas denacimiento, nmeros de telfono, etc.;

3) no sean vulnerables a ataques de diccionario (no consisten en palabrasincluidas en diccionarios);

4) estn carentes de caracteres consecutivos repetidos o que sean todosnmeros o todas letras;

e) cambiar las contraseas a intervalos de tiempo regulares o en proporcin alnmero de accesos (las contraseas de las cuentas con privilegios especiales deberancambiarse con ms frecuencia que las normales), evitando utilizar contraseas antiguaso cclicas;

f) cambiar las contraseas temporales asignadas para inicio, la primera vez que seingrese al sistema;

g) no incluir contraseas en ningn procedimiento automtico de conexin, que,las deje almacenadas permanentemente;

h) no compartir contraseas de usuario individuales.i) no utilizar la misma contrasea para propsitos personales o de negocio.

Si los usuarios necesitan acceder a mltiples servicios o plataformas y se les pide quemantengan contraseas mltiples, deberan ser aconsejados sobre la posibilidad de usar unasola contrasea de calidad (vase el punto anterior d) para todos los servicios, que brinde unnivel razonable de proteccin para la contrasea almacenada.

Otra InformacinLa gestin de los sistemas de ayuda que tratan con problemas de perdida u olvido decontrasea necesitan un cuidado especial ya que esto tambin significa medios de ataque alsistema de contraseas.

11.3.2 Equipo informtico de usuario desatendido

8/6/2019 iso 17799 2007

114/180


Control

Los usuarios deberan asegurar que los equipos informticos desatendidos estn debidamenteprotegidos.


Todos los usuarios y proveedores de servicios deberan conocer los requisitos de seguridad ylos procedimientos para proteger los equipos desatendidos, as como sus responsabilidadespara implantar dicha proteccin. Se les debera recomendar:

a) cancelar todas las sesiones activas antes de marcharse, salvo si se dispone deuna herramienta de bloqueo general, por ejemplo, una contrasea para protector depantalla;

b) desconectar (log-off) los servidores o los computadores centrales cuando se haterminado la sesin (y no slo apagar el terminal o el computador personal);

c) proteger el terminal o el puesto de trabajo cuando no estn en uso con unbloqueador de teclado o una medida similar, por ejemplo, una contrasea de acceso(vase el inciso 11.3.3).

Otra Informacin

El equipo instalado en reas de usuarios, como las estaciones de trabajo o los servidores dearchivo, pueden requerir proteccin especifica para un acceso no autorizado cuando sedesatienda por un periodo extenso.

11.3.3 Poltica de pantalla y escritorio limpio

Control

Se debera adoptar una poltica de escritorio limpio para papeles y medios removibles dealmacenamiento as como una poltica de pantalla limpia para instalaciones de procesamientode informacin.


La poltica de pantalla y escritorio limpio debe tomar en cuenta la clasificacin de lainformacin (vase el inciso 7.2), los requerimientos legales y contractuales (vase el inciso

8/6/2019 iso 17799 2007

115/180


15.1), los riesgos correspondientes y los aspectos culturales de la organizacin. Las siguientespautas deben ser consideradas:

a) la informacin critica o sensible del negocio (papel o medios electrnicos dealmacenamiento) debe ser asegurada (seria ideal un caja fuerte, gavetas u otras formasde muebles de seguridad) cuando no sea requerido, especialmente cuando la oficina estevaca;

b) los computadores y terminales deben ser apagados o protegidos con unmecanismo de proteccin de pantalla o de teclado controlado por contrasea u otromecanismo de autentificacin, cuando estas se encuentren desatendidos y deben serprotegidas por cerraduras clave, contraseas u otro tipo de control cuando no seanutilizados;

c) los puntos salientes o entrantes de correo y los faxes desatendidos deben serprotegidos;

d) debe ser prevenido el uso no autorizado de fotocopiadoras y otras tecnologasde reproduccin como scanner o cmaras digitales;

e) los documentos que contienen informacin sensible y clasificada deben serremovidos de las impresoras de inmediato.

Otra Informacin

Una poltica de pantalla y escritorio limpio reduce los riegos de un acceso no autorizado y dela perdida o dao de la informacin durante horas de trabajo no establecidas. Las cajas fuertesu otras formas de instalaciones de almacenamiento pueden tambin proteger informacinalmacenada contra desastres como incendio, terremotos, inundacin u explosin.

Considere el uso de impresoras con cdigo pin de modo tal que los creadores sean los nicos

que puedan sacar sus impresiones y solo cuando se encuentren al costado de la impresora.

11.4 Control de acceso a la red

OBJETIVO: Prevenir el acceso no autorizado de los servicios de la red.

Debera controlarse el acceso a los servicios a las redes internas y externas.

Hay que asegurarse que el acceso de los usuarios a las redes y sus servicios no comprometanla seguridad de dichos servicios, por medio de:

8/6/2019 iso 17799 2007

116/180


a) interfaces adecuadas entre la red de la organizacin y las redes pblicas o lasprivadas de otras organizaciones;

b) mecanismos adecuados de autenticacin para los usuarios y los equipos;

c) control de los accesos de los usuarios a los servicios de informacin

11.4.1 Poltica de uso de los servicios de la red

ControlLos usuarios slo deberan tener acceso directo a los servicios para los que estn autorizadosde una forma especfica.


Se debera formular la poltica de uso de las redes y los servicios de la red, que es convenienteque cubra:

a) las redes y los servicios de la red a los que se puede acceder;

b) los procedimientos de autorizacin para determinar quin puede acceder a quredes y a qu servicios de la red;

c) los controles y procedimientos de gestin para proteger el acceso a lasconexiones de las redes y a los servicios de la red;

d) los medios usados para el acceso y los servicios de red (las condiciones parapermitir el acceso por discado al proveedor de servicio de Internet o a un sistemaremoto).La poltica debera ser coherente con la poltica de control de accesos de la organizacin

(vase el inciso 11.1).

11.4.2 Autentificacin de usuario para conexiones externas

Control

Se deben utilizar mtodos apropiados de autentificacin para controlar el acceso de usuariosremotos.

8/6/2019 iso 17799 2007

117/180



La autentificacin de usuarios remoto puede realizarse utilizando, por ejemplo, una tcnicabasada en criptografa, smbolos de hardware o un protocolo de desafo/respuesta. Se puedenencontrar posibles implementaciones de dichas tcnicas en varias soluciones de redes privadasvirtuales. Tambin se pueden utilizar lneas privadas dedicadas, con el fin de proveeraseguramiento en la fuente de conexiones.

Los procedimientos y controles de dial-back por ejemplo, usando mdems de dial-back,pueden ofrecer proteccin contra conexiones no autorizadas ni deseadas a los recursos detratamiento de informacin de una organizacin. Este tipo de control autentica a los usuariosque tratan de establecer conexin a la red de la organizacin desde lugares remotos. Cuandose usa este control, la organizacin no debera usar servicios de red que incluyan reexpedicinde llamadas y si la tienen, deberan desconectarla para evitar la debilidad consecuente.Tambin es importante que el proceso de dial-back asegure la desconexin del lado de laorganizacin. Si no, el usuario remoto podra mantener la lnea abierta pretendiendo que se haverificado el dial-back. Los procedimientos y controles de dial-back deberan pasar pruebaspara evitar esta posibilidad.

Un nodo de autentificacin puede servir como un medio alternativo para autentificar gruposde usuarios remotos donde estn conectados a un computador seguro. Las tcnicascriptogrficas, basados en certificados de maquinas, pueden ser utilizados para autentificarnodos.

Controles adicionales de autentificacin deben ser implementados para el control de acceso deredes inalmbricas. En particular, se requiere especial cuidado en la seleccin de controlespara redes inalmbricas debido a las grandes oportunidades de intercepciones no detectadas einserciones de trfico en la red.

Otra informacinLas conexiones externas proveen un potencial acceso no autorizado a la informacion delnegocio, como los accesos mediante mtodos de discado. Existen diferentes tipos de mtodosde autentificacin y algunos pueden proveer un mayor nivel de proteccin que otros, comopor ejemplo los mtodos basados en tcnicas criptogrficas las cuales pueden proveer unafuerte autentificacin. Es importante determinar, desde una evaluacin de riesgos, el nivel deproteccin requerida. Esto es necesario para la apropiada seleccin de un mtodo deautentificacin.

8/6/2019 iso 17799 2007

118/180


Una instalacin para una conexin automtica a un computador remoto puede proveer unaforma de ganar acceso no autorizado a una aplicacin de negocio. Estos es especialmenteimportante si la conexin usa una red que se encuentra fuera del control de la gestin deseguridad de la organizacin.

11.4.3 Identificacin de equipos en las redes

Control

Las identificaciones automticas de equipo deben ser consideradas como medios paraautentificar conexiones desde locales y equipos especficos.


La identificacin de equipos puede ser utilizada si es importante que las comunicacionespuedan ser iniciadas desde un local y equipo especifico. Un identificador dentro o adjunto alequipo puede ser utilizado para indicar si el equipo esta autorizado para conectarse a la red.Estos identificadores deben identificar claramente a que redes se pueden conectar los equipos,si existe ms de una red y particularmente si estas redes son de sensibilidad diferida. Puedeser necesario considerar proteccin fsica del equipo con el fin de mantener la seguridad de

los identificadores del equipo.

Otra Informacin

Este control puede ser complementado con otras tcnicas para autentificar el usuario delequipo (vase 11.4.2). La identificacin de los equipos puede ser aplicado adicionalmente a laidentificacin de usuarios.

11.4.4 Diagnostico remoto y configuracin de proteccin de puertos

Control

Se debera controlar el acceso fsico y logstico para diagnosticar y configurar puertos.


Controles potenciales para el acceso de diagnostico y configuracin de puertos incluyen el usode un cierre con llave y de procedimientos de apoyo para controlar el acceso fsico al puerto.

8/6/2019 iso 17799 2007

119/180


Un ejemplo para dicho procedimientos de apoyo es asegurar que el diagnostico yconfiguracin de puertos sean solo accesibles por arreglo entre el director del servicio decomputo y el personal de mantenimiento de hardware/software que requiere acceso.

Los puertos, servicios e instalaciones similares instaladas en una computadora o instalacin decomputo que no son requeridas especficamente para la funcionalidad del negocio, debe serinhabilitado o removido.

Otra Informacin

Muchos sistemas de computo, sistemas de red y de comunicacin son instaladas con undiagnostico remoto o instalacin de configuracin para uso de ingenieros de mantenimiento.Si se encuentra desprotegida, el diagnostico de puertos provee medios de acceso noautorizado.

11.4.5 Segregacin en las redes

Control

Los grupos de servicios de informacin, usuarios y sistemas de informacin deben sersegregados en las redes.


Un mtodo para controlar la seguridad de grandes redes es dividirlas en dominios lgicosseparados (por ejemplo dominios de redes internas a la organizacin o de redes externas),cada uno protegido por un permetro definido de seguridad. Se puede aplicar un conjuntograduado de controles en diferentes dominios de redes lgicas para segregar a futuro losambientes de seguridad de red, como por ejemplo sistemas pblicos accesibles, redes internas

y activos crticos. Los dominios deben ser definidos basados en una evaluacin de riesgos ylos diferentes requisitos de seguridad entre cada uno de los dominios.

Entre las dos redes a interconectar puede implantarse como permetro un gateway seguro quecontrole los accesos y los flujos de informacin entre los dominios. Se debera configurar estegateway para que filtre el trfico entre ellos (vanse los incisos 11.4.6 y 11.4.7) y bloquee losaccesos no autorizados de acuerdo con la poltica de control de accesos de la organizacin(vase el inciso 11.1). Un ejemplo de este tipo de gateway es lo que comnmente se conocecomo firewall. Otro mtodo de segregar dominios lgicos es restringir el acceso a redutilizando redes virtuales privadas para usuarios de grupos entre las organizaciones.

8/6/2019 iso 17799 2007

120/180


Las redes pueden ser segregadas tambin utilizando la funcionalidad de los dispositivos de redcomo el cambio de IP. Los dominios separados pueden ser implementados despuscontrolando los flujos de datos utilizando capacidades de enrutamiento como las listas decontrol de acceso.

Los criterios para segregar las redes en dominios se deberan basar en la poltica de control deaccesos y en los requisitos de acceso (vase el inciso 10.1) teniendo tambin en cuenta elcosto relativo y el impacto en el rendimiento por la incorporacin de la tecnologa adecuadade enrutamiento de gateway en la red (vanse los incisos 11.4.6 y 11.4.7).

En adicin, la segregacin de redes en dominios debe ser basado en el valor y clasificacin dela informacin almacenada o procesada en la red, niveles de confianza o lneas de negociocon el fin de reducir el impacto total de una interrupcin de servicio.

Se debe tomar consideracin con las redes inalmbricas desde una red interna hacia unaprivada. Como los permetros de las redes inalmbricas no estn bien definidos, se debellevar a acabo una evaluacin de riesgos en dichos casos para identificar controles (una fuerteautentificacin, mtodos criptogrficos y frecuencia de seleccin) para mantener unasegregacin de red.

Otra Informacin

Las redes han sido crecientemente extendidas mas all de las barreras organizacionalestradicionales, como se forman alianzas de negocios que puedan requerir la interconexin o elcompartir las instalaciones de red y de procesamiento de informacin. Estas extensionespueden incrementar el riesgo de un acceso no autorizado a los sistemas de informacinexistentes que utilizan la red, algunos de los cuales pueden requerir proteccin de otrosusuarios de redes debido a su sensibilidad o criticidad.

11.4.6 Control de conexin a las redes

Control

Los requisitos de la poltica de control de accesos para redes compartidas, sobre todo para lasque atraviesan las fronteras de la organizacin, se deberan basar en los requisitos de lasaplicaciones del negocio (vase el inciso 11.1).


8/6/2019 iso 17799 2007

121/180


Los derechos de acceso de los usuarios deben ser mantenidos y actualizados como requiere lapoltica de control de accesos (vase el inciso 11.1.1).

La capacidad de conexin de los usuarios pueden ser restringido a travs de entradas quefiltren el trafico por medio de tablas o reglas pre definidas. Algunos ejemplos de aplicacionesa las cuales las que se debe aplicar las restricciones son:

a) correo electrnico;

b) transferencia de archivos;

c) acceso interactivo;

d) acceso a la aplicacin.

Se debe considerar vincular los derechos de acceso a red en ciertos periodos del da o enfechas.

Otra InformacinPuede ser requerida, por la poltica de control de acceso para redes compartidas, laincorporacin de controles para restringir las capacidades de conexin de los usuariosespecialmente a travs de las fronteras de la organizacin.

11.4.7 Control de enrutamiento en la red

Control

Se deberan implementar controles de enrutamiento que garanticen que las conexiones entrecomputadores y los flujos de informacin no incumplan la poltica de control de acceso a lasaplicaciones.


Los controles del enrutamiento podran basarse en mecanismos positivos de verificacin delas direcciones de origen y destino de los mensajes.

8/6/2019 iso 17799 2007

122/180


Las salidas pueden ser utilizadas para validar la fuente y los destinos de los mensajes enpuntos de control de redes internas o externas si se utilizan tecnologas de conversin u ototipo de herramienta similar. Su implementacin debera tener en cuenta la robustez de lospropios mecanismos empleados. Los requisitos para el enrutamiento de los controles debenestar basados en la poltica de control de accesos (vase el inciso 11.1).

Otra Informacin

Las redes compartidas, especialmente las que se extienden a travs de las fronteras de laorganizacin, pueden requerir controles de enrutamiento adicionales. Esto aplicaparticularmente cuando las redes son compartidas con usuarios externos.

11.5 Control de acceso al sistema operativo

OBJETIVO: Evitar accesos no autorizados a los computadores.

Las prestaciones de seguridad a nivel de sistema operativo se deberan utilizar para restringirel acceso a los recursos del computador. Estos servicios deberan ser capaces de:

a) identificar y verificar la identidad de cada usuario autorizado en concordanciacon una poltica definida de control de acceso;

b) registrar los accesos satisfactorios y fallidos al sistema;

c) registrar el uso de privilegios especiales del sistema;

d) alarmas para cuando la poltica del sistema de seguridad sea abierta;

e) suministrar mecanismos, adecuados de autenticacin;

f) cuando proceda, restringir los tiempos de conexin de usuarios

11.5.1 Procedimientos de conexin de terminales

Control

El acceso a los servicios de informacin debera estar disponible mediante un proceso deconexin seguro.


8/6/2019 iso 17799 2007

123/180


Se debera disear un procedimiento para conectarse al sistema informtico que minimice laposibilidad de accesos no autorizados. Por tanto, el proceso de conexin debera mostrar elmnimo posible de informacin sobre el sistema para no facilitar ayuda innecesaria a usuariosno autorizados. Un buen procedimiento de conexin debera:

a) no mostrar identificacin del sistema o aplicacin hasta que termine el procesode conexin;

b) mostrar un mensaje que advierta la restriccin de acceso al sistema slo ausuarios autorizados;

c) no ofrecer mensajes de ayuda durante el proceso de conexin que puedan guiara usuarios no autorizados;

d) validar la informacin de conexin slo tras rellenar todos sus datos de entrada.Si se produce una condicin de error, el sistema no debera indicar qu parte de esosdatos es correcta o no;

e) limitar el nmero de intentos fallidos de conexin (se recomienda tres) yconsiderar:

1) el registro de los intentos fallidos de conexin;2) un tiempo forzoso de espera antes de permitir un nuevo intento deconexin o su rechazo sin una autorizacin especfica;

3) la desconexin de la comunicacin de datos;4) el envo de un mensaje de alerta a la consola del sistema si se alcanza elnmero mximo de oportunidades de conexin;

5) establecer el nmero de pruebas de contrasea en conjuncin con sulargo mnimo y el valor de los sistemas que estn siendo protegidos;

f) limitar los tiempos mximo y mnimo permitidos para efectuar el proceso deconexin; y concluir si se exceden;

g) mostrar la siguiente informacin tras completar una conexin con xito:

1) fecha y hora de la anterior conexin realizada con xito;

2) informacin de los intentos fallidos desde la ltima conexin realizadacon xito.

8/6/2019 iso 17799 2007

124/180


h) no mostrar la contrasea que se ingresa o considerar esconderla con caracteressimblicos;

i) no transmitir contraseas en texto legible a travs de la red;

Otra Informacin

Si las contraseas son transmitidas en texto legible durante la sesin de conexin, estaspueden ser capturadas por programas succionadores de red.

11.5.2 Identificacin y autenticacin del usuario

Control

Todos los usuarios deberan disponer de un identificador nico para su uso personal y deberaser escogida una tcnica de autentificacin adecuada para verificar la identidad de estos.


Este control debe ser aplicado para todos los tipos de usuario (incluidos los administradoresde red y de bases de datos, los programadores de sistemas y el personal tcnico de apoyo).

Los ID de los usuarios deben ser utilizados para seguir la pista de las actividades de cadaresponsable individual. Las actividades regulares del usuario no deben ser realizadas desdecuentas privilegiadas.En circunstancias excepciona1es que se justifiquen por sus ventajas pueden usarseidentificadores de usuario compartidos para un grupo de usuarios o un trabajo especfico. Enestos casos se debera necesitar la aprobacin escrita de la gerencia. Puede necesitarse laimplantacin de controles adicionales para la responsabilidad.

Los IDs genricos utilizados por individuos deben ser solo permitidos donde las funciones oacciones llevadas a cabo no requieren ser trazadas (como la lectura) o cuando existan otroscontroles establecidos (contraseas genricas utilizadas solamente por un grupo de personas ala vez y conectndose en dicho momento).

Donde se requiera una fuerte autentificacin e identificacin, se pueden utilizar mtodosalternativos a las contraseas como medios criptogrficos, tarjetas inteligentes o mediosbiomtricos.

8/6/2019 iso 17799 2007

125/180


Otra Informacin

Las contraseas (vase tambin el inciso 11.3.1 y 11.5.3) son una forma comn de conseguirla identificacin y la autenticacin (I & A) del usuario, estn basadas en un secreto que slo lconoce. Esto mismo tambin se puede conseguir por medios criptogrficos y protocolos deautenticacin. La rigidez de la identificacin y autentificacin de usuarios debe ser adecuada ala sensibilidad de la informacin a la que se accede.

Tambin puede conseguirse I & A con objetos como tarjetas inteligentes, minicalculadorascon claves almacenables o bien con tecnologas biomtricas que utilizan caractersticas oatributos nicos de un individuo. Una combinacin de tecnologas y mecanismos,relacionados mediante el establecimiento de un enlace seguro, pueden proporcionar unaautenticacin reforzada o ms robusta.

11.5.3 Sistema de gestin de contraseas

Control

Los sistemas de gestin de contraseas deberan proporcionar un medio eficaz e interactivopara asegurar la calidad de las mismas.


Un buen sistema de gestin de contraseas debera:a) imponer el uso de contraseas individuales con el fin de establecerresponsabilidades;

b) permitir que los usuarios escojan sus contraseas, las cambien e incluyan unprocedimiento de confirmacin para evitar errores al introducirlas;

c) imponer la seleccin de contraseas de calidad (vase el inciso 11.3.1);d) imponer el cambio de contraseas (vase el inciso 11.3.1);

e) imponer el cambio de contraseas iniciales en la primera conexin (vase elinciso 11.2.3);

f) mantener un registro de las anteriores contraseas utilizadas, por ejemplo,durante el ltimo ao, e impedir su reutilizacin;

g) no mostrar las contraseas en la pantalla cuando se estn introduciendo;

8/6/2019 iso 17799 2007

126/180


h) almacenar las contraseas y los datos del sistema de aplicaciones en sitiosdistintos;

i) almacenar las contraseas en forma cifrada mediante un algoritmo de cifradounidireccional;

Otra Informacin

Las contraseas son uno de los principales medios para validar la autoridad de los usuariospara acceder al servicio de cmputo.Algunas aplicaciones requieren de contraseas de usuario para ser asignadas por unaautoridad independiente; en dichos casos, los puntos b), d) y e) anteriores no aplican. En lamayora de los casos las contraseas son seleccionadas y mantenidas por los usuarios. Vaseel inciso 11.3.1 para pautas en el uso de contraseas.

11.5.4 Utilizacin de las facilidades del sistema

Control

La mayora de las instalaciones informticas disponen de programas del sistema capaces de

eludir las medidas de control del sistema o de las aplicaciones. Es fundamental que su uso serestrinja y se mantenga fuertemente controlado.


Las siguientes pautas deberan ser consideradas:

a) usar procedimientos de autenticacin, identificacin y autorizacin para lasfacilidades del sistema;

b) separar las facilidades del sistema de las aplicaciones de software;

c) limitar el uso de las facilidades del sistema al mnimo nmero de usuariosautorizados y fiables (vase tambin 11.2.2);

d) autorizar el uso de las facilidades con un propsito concreto (ad hoc);

e) limitar la disponibilidad de las facilidades del sistema, por ejemplo, durante uncambio autorizado;

f) registrar (logging) todo uso de las facilidades del sistema;

8/6/2019 iso 17799 2007

127/180


g) definir y documentar los niveles de autorizacin para las facilidades delsistema;

h) desactivar o retirar todas las facilidades basadas en software y el software desistemas que no sean necesarios.

i) no poner en disponibilidad las facilidades del sistema a usuarios que tenganacceso a aplicaciones en sistemas donde la segregacin de tareas sea requerida.

Otra Informacin

La mayora de las instalaciones de cmputo tienen uno o mas programas de facilidades delsistema que pueden ser capaces de eludir los controles del sistema o de las aplicaciones.

11.5.5 Desconexin automtica de sesiones

Control

Las sesiones se deberan desactivar tras un periodo definido de inactividad.


Este dispositivo de desactivacin debera borrar la pantalla y cerrar la aplicacin y lassesiones de conexin a red tras dicho periodo definido de inactividad. El tiempo dedesactivacin debera reflejar los riesgos de seguridad del rea, la clasificacin de lainformacin que se maneja, las aplicaciones que se utilizan y los riesgos relacionados con losusuarios de lo equipos.

Muchos computadores personales suelen tener limitado de alguna forma este dispositivo queborra la pantalla para evitar el acceso no autorizado, pero no cierra la aplicacin o las sesionesde conexin a red.

Otra Informacin

Este control es particularmente importante en locaciones con alto riesgo e incluyen reaspblicas o externas fuera de la gestin de seguridad de la organizacin. La sesin debe serdesactiva para prevenir el acceso por personas no autorizadas.

8/6/2019 iso 17799 2007

128/180


11.5.6 Limitacin del tiempo de conexin

Control

Las restricciones en los tiempos de conexin ofrecen seguridad adicional para aplicaciones dealto riesgo.


Estas medidas de control se deberan emplear para aplicaciones sensibles, en especial paraterminales instalados en reas de alto riesgo, las pblicas o no cubiertas por la gestin deseguridad de la organizacin. Restricciones como por ejemplo:

a) el uso de ventanas de tiempo predeterminadas, por ejemplo paratransmisiones de archivos en batch , o para sesiones interactivas regulares de cortaduracin;

b) la restriccin de tiempos de conexin al horario normal de oficina, si no existenrequisitos para operar fuera de este horario;

c) considerar la re-autentificacin en intervalos medidos.Otra Informacin

Limitar el periodo durante el cual las conexiones a los servicios de computo estn permitidas,reduce la ventana de oportunidad para un acceso no autorizado. Limitar la duracin de lassesiones activas previene a los usuarios de mantener su sesin abierta para prevenir la re-autentificacin.

11.6 Control de acceso a las aplicaciones y la informacin

OBJETIVO: Prevenir el acceso no autorizado a la informacin contenida en los sistemas.

Se deberan usar las facilidades de seguridad lgica dentro de los sistemas de aplicacin pararestringir el acceso.

Se deberan restringir el acceso lgico al software y a la informacin slo a los usuariosautorizados. Las aplicaciones deberan:

a) controlar el acceso de los usuarios a la informacin y las funciones del sistemade aplicacin, de acuerdo con la poltica de control de accesos;

8/6/2019 iso 17799 2007

129/180


b) protegerse de accesos

iso 17799 2007

Documents