Usted está trabajando como implementador líder de un SGSI, bajo su experiencia, ¿Cuál podría ser un orden a tener en cuenta en la implementación?

1. 1. Definir Política, definir alcance, valorar riesgos, seleccionar controles, preparar una declaración de aplicabilidad (SOA Statement of Application).

2. Preparar un SOA (Statement of Application), definir alcance, definir política, valorar riesgos, seleccionar controles.

3. Definir alcance, definir política, valorar riesgos, seleccionar controles, preparar un SOA (Statement of Application).

4. Definir alcance, definir política, eliminar riesgos, preparar un SOA (Statement of Application), seleccionar controles.

• Opción 3

• Opción 4

• Opción 1

• Opción 2

¿Qué son los objetivos de seguridad información y para qué sirven?

• A. Los objetivos de un SGSI son los objetivos de seguridad de la información para confidencialidad, integridad y disponibilidad de información.

• B. Los objetivos de seguridad de la información ayudan a implementar las metas estratégicas de una organización y la política de seguridad información.

• C. Los objetivos de seguridad de la información también ayudan a especificar y medir el desempeño de los controles y procesos de segura la información de acuerdo con la política de seguridad de la información.

• D. Todas las anteriores.

Con el análisis GAP:

• Podemos obtener el costo financiero aproximado del cierre de brechas.

• Con el análisis GAP se espera tener estado actual de las prácticas de seguridad de la información implementadas es decir se conocerá la “brecha” entre lo requerido por la Norma ISO/IEC 27001:2022 y las practicas actuales, esto con el objetivo de generar un plan de cierre de brechas.

• Se establece la relación directa entre el estado anterior y actual de la organización.

• Construimos el caso de negocio, nos aporta las razones por las cuales se debe implementar un SGSI y aproximación de costo y esfuerzo para implementar un SGSI.

Usted está trabajando como implementador líder de la norma ISO/IEC 27001:2022. Usted recomienda que se evalúe la actualización de la actual Declaración de Aplicabilidad SOA por sus siglas en inglés, Statement of Applicability.

¿Por qué se hace esta recomendación de actualización?

• Por qué la norma exige una actualización cada 3 meses.

• Porque se actualiza después de cada evento.

• Porque los riesgos se evalúan y actualizan constantemente.

• Porque los riesgos no se eliminan.

El proceso de decisión de riesgo implica la aplicación sistemática de políticas procedimientos y prácticas a las actividades de comunicación y consulta, establecimiento del contexto y evaluación, tratamiento, seguimiento, revisión, registro e informe del riesgo.

¿En qué contribuye a la organización un SGSI mediante el proceso de gestión de riesgos?

• Establecer las amenazas a las que están expuestos los recursos informáticos.

• Determinar la probabilidad de que ocurra un cierto riesgo.

• Determinar los controles adecuados para alcanzar niveles aceptables de riesgo.

• Determinar el daño causado por posibles incidentes relacionados con la seguridad.

Ejecutar procesos recolección de registros y evaluar las consecuencias sobre los cambios planeados y no planeados como resultado de la fase de planificación, ¿A qué etapa del ciclo PHVA pertenecen?

• Hacer

• Verificar

• Actuar

• Planear

Para cumplir con el requisito de la norma ISO/IEC 27001:2022 debemos establecer un programa de auditorías internas que nos permitan revisar el sistema de gestión SGSI.

¿Cuál es el propósito de un programa de auditorías?

• Brindar información acerca de sí el SGSI cumple los propios requisitos de la organización para su SGSI al igual que lo de la ISO/IEC 27001:2022.

• Obtener evidencia objetiva y evaluarla objetivamente para determinar en qué grado se cumplen los criterios de auditoría.

• Asegurar que todos los controles se encuentran alineados a la norma y comprobar que el SGSI que hemos implantado cumple con los deseos de la alta dirección.

• Un programa auditoría define la estructura y las responsabilidades para planificar, realizar y presentar informes y dar seguimiento a las auditorias Individuales. Como tal, debería garantizar que las auditorías realizadas tengan el alcance adecuado, minimizar el impacto en las operaciones de la organización y mantengan la calidad necesaria en las auditorías.

Una herramienta que se podría usar para ayudar en la implementación del SGSI es el análisis PESTEL.

¿Para que se utiliza el análisis PESTEL en el contexto de la ISO/IEC 27001:2022?

• El análisis PESTEL se utiliza para determinar el aspecto interno de la compañía y ayudar a definir el alcance del sistema de gestión.

• El análisis PESTEL es un marco para analizar los factores clave (políticos, económicos, sociológicos, tecnológicos, legales y ambientales) que tienen una influencia externa en una organización.

• Se evalúan los mismos aspectos que en una FODA solo que con un enfoque únicamente externo.

• Ayuda a definir los controles de seguridad físicos, lógicos y preventivos.

La relación entre los riesgos y controles es directamente proporcional, es decir, a mayor riesgo, mayor necesidad de controles. La evaluación de riesgos bajo la ISO/IEC 27001:2022 garantiza que no se implementen controles donde no existen riesgos mediante opciones de tratamiento de riesgos lo que permite ahorrar tiempo y dinero.

¿Cuáles son estas opciones de tratamiento de riesgos?

• Listar los riesgos, priorizarlos en base al valor del riesgo, tratar todos los riesgos.

• Evitar el riesgo, asumir el riesgo, modificar el riesgo, compartir el riesgo, retener el riesgo.

• Eliminar el riesgo, asumir el riesgo, modificar el riesgo, compartir el riesgo, transferir el riesgo.

• Listar los riesgos priorizarlos en base al valor del ateo tratarlos de mayor valor primero.

Usted, como implementador líder de la norma ISO/IEC 27001:2022, para la definición de las políticas de seguridad la información recomienda establecer una jerarquía de políticas. ¿Cuáles son los niveles que usted recomendaría seguir?

• Alto nivel, política de SI, políticas específicas.

• Políticas a nivel de dirección y políticas operativas.

• Una combinación de A y B.

• Ninguna de las anteriores.