ISO/IEC 27005

ISO/IEC 27005 «Tecnologías de la información — Técnicas de seguridad — Gestión de riesgos de seguridad de la información» es una norma internacional publicada por la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC) que proporciona una guía de buenas prácticas para la gestión de riesgos de la información. Es un componente fundamental de la serie de normas ISO/IEC 27000, comúnmente conocida como ISO27k.

La norma ofrece asesoramiento para la identificación, evaluación y tratamiento sistemático de los riesgos de seguridad de la información, procesos fundamentales para un Sistema de Gestión de Seguridad de la Información (SGSI) ISO27k. Su objetivo es garantizar que las organizaciones diseñen, implementen, gestionen, supervisen y mantengan sus controles de seguridad de la información y otras medidas de forma racional, en función de sus riesgos de seguridad de la información.La cuarta edición actual de la norma ISO/IEC 27005 se publicó en octubre de 2022.La norma ISO/IEC 27005 no especifica ni recomienda métodos específicos de gestión de riesgos en detalle. En cambio, analiza el proceso en términos más generales, basándose en el método genérico de gestión de riesgos descrito por la norma ISO 31000, es decir:

• Identificar y evaluar los riesgos;
• Decide qué hacer con los riesgos (cómo tratarlos)... y hacerlo;
• Supervisar los riesgos, los tratamientos de riesgo, etc., identificar y responder adecuadamente a cambios significativos, cuestiones/concernos o oportunidades de mejora;
• Mantenga a los interesados (principalmente la gestión de la organización) informados durante todo el proceso.

Dentro de este amplio marco, se anima a las organizaciones a seleccionar, desarrollar y utilizar los métodos, estrategias y/o enfoques de gestión de riesgos de la información que mejor se adapten a sus necesidades específicas, por ejemplo:

• Identificar la posibilidad de varios incidentes, situaciones o escenarios que comprometen o perjudican la confidencialidad, integridad y/o disponibilidad de información;
• Evaluar las amenazas, vulnerabilidades y impactos empresariales que puedan derivarse de incidentes relacionados con sistemas y redes de TI, más procesamiento manual de información, información sobre papel o expresada en palabras e imágenes, más información intangible como conocimiento, propiedad intelectual, etc.;
• Considerando factores que están totalmente dentro del control de la organización, completamente fuera de su control, o parcialmente controlables;
• Determinar los valores absolutos o relativos de diversas formas, tipos o categorías de información a la organización, en particular la información y el procesamiento de la información que son fundamentales para alcanzar objetivos empresariales importantes;
• c) El aumento de los riesgos de información utilizando métodos cuantitativos o cualitativos/comparativos para estimar/determinar la probabilidad y la probabilidad de que se produzcan diversos tipos de incidentes y los efectos organizativos;
• Considerando y gestionando los riesgos de información en relación con otros tipos (por ejemplo, los riesgos estratégicos, comerciales/mercados, productos, tecnología de la información, salud y seguridad, y los riesgos de cumplimiento legales/regulatorios);
• Aplicar o adaptar los métodos y enfoques de gestión del riesgo ya utilizados por la organización, adoptar buenas prácticas o elaborar nuevos enfoques o híbridos;
• Decidir si evitar los riesgos (normalmente al no iniciar o salir de las actividades de riesgo), compartirlos con terceros (por ejemplo, mediante cláusulas de seguridad cibernética o contractuales), mitigarlos utilizando controles de seguridad de la información o retenerlos o aceptarlos, aplicando criterios de apetito/tolerancia de riesgo;
• Priorizarse de acuerdo con la importancia o la naturaleza de los riesgos, y la eficacia en función de los costos u otras consecuencias de los tratamientos de riesgo que se examinan, planeando tratarlos en consecuencia, asignando recursos, etc.;
• Mitigating information risks by reducing their probability and/or impact in various ways e.g. selecting automatic, manual, physical or administrative controls that are preventive, detective or corrective;
• Tratar con incertidumbres, incluidas las del propio proceso de gestión de riesgos (por ejemplo, la ocurrencia de incidentes no previstos, desafortunadas coincidencias, errores de juicio y falta parcial o completa de controles);
• Obtener garantías mediante pruebas, evaluaciones, evaluaciones, exámenes, auditorías, etc. de que los tratamientos de riesgo elegidos son apropiados y siguen siendo suficientemente eficaces en la práctica;
• Cumplir con los requisitos o obligaciones pertinentes que se imponen o aceptan voluntariamente por la organización mediante diversas leyes, reglamentos, contratos, acuerdos, normas, códigos, etc. (por ejemplo, leyes de privacidad, PCI-DSS, consideraciones éticas y ambientales);
• Aprendizaje de la experiencia (incluidos los incidentes experimentados por la organización más los casi-misos, y los que afectan a organizaciones comparables) y mejora continuamente.

Las normas de la serie ISO/IEC 27000 son aplicables a organizaciones de todo tipo y tamaño, un grupo muy diverso, por lo que no sería apropiado imponer enfoques, métodos, riesgos o controles específicos para todas ellas. En cambio, las normas proporcionan una guía general en el marco de un sistema de gestión. Se anima a los directivos a seguir métodos estructurados que sean relevantes y apropiados para la situación particular de su organización, gestionando los riesgos de la información de forma racional y sistemática.Identificar y gestionar los riesgos de la información ayuda a garantizar que se traten adecuadamente, de forma que se responda a los cambios y se aprovechen las oportunidades de mejora, lo que con el tiempo conduce a una mayor madurez y eficacia del SGSI.La norma ISO/IEC 27005:2018 tiene la estructura convencional común a otras normas ISO/IEC, con las siguientes secciones principales:

5. Antecedentes
6. Panorama general del proceso de gestión del riesgo de seguridad de la información
7. Context establishment
8. Evaluación del riesgo de seguridad de la información
9. Tratamiento del riesgo de seguridad de la información
10. Aceptación del riesgo de seguridad de la información
11. Comunicación y consulta sobre el riesgo de seguridad de la información
12. vigilancia y examen del riesgo de seguridad de la información

Y seis apéndices:

1. Determinación del alcance y los límites del proceso de gestión del riesgo de seguridad de la información
2. Determinación y valoración de activos y evaluación de los efectos
3. Ejemplos de amenazas típicas
4. Vulnerabilidades y métodos para evaluar la vulnerabilidad
5. Enfoques de evaluación del riesgo de seguridad de la información
6. Limitaciones para la modificación del riesgo