Proyecto de Norma MERCOSUR

Projeto de Norma MERCOSUL

28:00-ISO/IEC 27002
Año / Ano 2007

Tecnología de la información - Código de buenas

prácticas para la gestión de la seguridad de la
información

Tecnologia de informação - Código de boas práticas para

a gestão da segurança da informação

ASOCIACIÓN
MERCOSUR DE
NORMALIZACIÓN
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002

Índice Sumário

Prefacio Prefácio

0 Introducción 0 Introdução

1 Objeto 1 Escopo

2 Términos y definiciones 2 Termos e definições

3 Estructura de esta Norma 3 Estrutura desta Norma

4 Evaluación y tratamiento de riesgos 4 Análise/avaliação e tratamento de riscos

5 Política de seguridad 5 Política de segurança da informação

6 Organización de la seguridad de la información 6 Organizando a segurança da informação

7 Gestión de activos 7 Gestão de ativos

8 Seguridad ligada a los recursos humanos 8 Segurança em recursos humanos

9 Seguridad física y del ambiente 9 Segurança física e do ambiente

10 Gestión de comunicaciones y operaciones 10 Gerenciamento das operações e comunicações

11 Control de acceso 11 Controle de acessos

12 Adquisición, desarrollo y mantenimiento de los 12 Aquisição, desenvolvimento e manutenção de

sistemas de información sistemas de informação

13 Gestión de incidentes de la seguridad de la 13 Gestão de incidentes de segurança da

información informação

14 Gestión de la continuidad del negocio 14 Gestão da continuidade do negócio

15 Cumplimiento 15 Conformidade

Anexo A (normativo) Glosario Anexo A (normativo) Glossário

ii 10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Prefacio
La AMN - Asociación MERCOSUR de
Normalización - tiene por objeto promover y
adoptar las acciones para la armonización y la
elaboración de las normas en el ámbito del
Mercado Común del Sur - MERCOSUR, y está
integrada por los Organismos Nacionales de
Normalización de los países miembros.
La AMN desarrolla su actividad de normalización
por medio de los CSM - Comités Sectoriales
MERCOSUR - creados para campos de acción
claramente definidos.
Los proyectos de Norma MERCOSUR,
elaborados en el ámbito de los CSM, circulan
para votación nacional por intermedio de los
Organismos Nacionales de Normalización de los
países miembros.
Normas MERCOSUR son elaboradas en acuerdo
con las reglas dadas en las Directivas AMN, Parte
2.
La aprobación como norma MERCOSUR por
parte de la AMN requiere la aprobación por
consenso de sus miembros.
Esta Norma fue elaborada por el CSM 28 -
Comité Sectorial MERCOSUR de Seguridad de la
Información.
Esta Norma es una traducción de la ISO/IEC
27002:2005, Information technology - Security
techniques - Code of practice for information
security management
Una familia de normas internacionales sobre
Sistemas de Gestión de Seguridad de la
Información (SGSI) está siendo desarrollada por
el ISO/IEC JTC 1/SC 27. La familia de normas
internacionales incluye normas de requisitos para
un sistema de gestión de la seguridad de la
información, gestión de riesgos, medición y
métricas, y directrices de implementación. Esta
familia adoptaría un esquema numérico basado
en la serie de números 27000 y subsecuentes.
A partir del año 2007, se ha propuesto incorporar
la nueva edición de la norma ISO/IEC 17799 a
este nuevo esquema numérico bajo la
denominación de ISO/IEC 27002.
Aquellos que tuvieren conocimiento de cualquier
derecho de patente deben presentar esta
información en sus comentarios, con la
documentación comprobatoria.
iii
Prefácio
A AMN - Asociación MERCOSUR de Normalización
tem por objetivo promover e adotar as ações para a
harmonização e a elaboração das normas no
âmbito do Mercado Comum do Sul - MERCOSUL,
e é integrado pelos Organismos Nacionais de
Normalização dos países membros.
A AMN desenvolve sua atividade de normalização
por meio dos CSM - Comitês Setoriais MERCOSUL
criados para campos de ação claramente definidos.
Os projetos de Norma MERCOSUL, elaborados no
âmbito dos CSM, circulam para votação nacional
por intermédio dos Organismos Nacionais de
Normalização dos países membros.
Normas MERCOSUL são elaboradas de acordo
com as regras dadas nas Diretivas AMN, Parte 2.
A homologação como Norma MERCOSUL por
parte da AMN requer a aprovação por consenso de
seus membros.
Esta Norma foi elaborada pelo CSM 28 - Comitê
Setorial MERCOSUL de Segurança da Informação.
Esta Norma é uma tradução da ISO/IEC
27002:2005, Information technology - Security
techniques - Code of practice for information
security management
Uma família de normas de sistema de gestão de
segurança da informação (SGSI) está sendo
desenvolvida no ISO/IEC JTC 1/SC 27. A família
inclui normas sobre requisitos de sistema de gestão
da segurança da informação, gestão de riscos,
métricas e medidas, e diretrizes para
implementação. Esta família adotará um esquema
de numeração usando a série de números 27000
em seqüência.
A partir de 2007, a nova edição da ISO/IEC 17799
será incorporada ao novo esquema de numeração
como ISO/IEC 27002.
Aqueles que tiverem conhecimento de qualquer
direito de patente devem apresentar esta
informação em seus comentários, com
documentação comprobatória.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
0 Introducción
0.1 ¿Qué es la Seguridad de la Información?
La información es un activo que, como otros
activos importantes del negocio, es esencial al
negocio de una organización y requiere en
consecuencia una protección adecuada. Esto es
especialmente importante en ambientes de
negocio cada vez más interconectados. Como
consecuencia de esta creciente interconectividad,
la información está ahora expuesta a un número
mayor y a una variedad más amplia de amenazas
y vulnerabilidades (véase también OECD -
Guidelines for the Security of Information Systems
and Networks).
La información adopta diversas formas. Puede
estar impresa o escrita en papel, almacenada
electrónicamente, transmitida por correo o por
medios electrónicos, mostrada en filmes o
hablada en conversación. Cualquiera sea la forma
que tome la información o los medios por los que
se comparta o almacene, la misma debería ser
siempre protegida adecuadamente.
La seguridad de la información es la protección
de la información contra una amplia gama de
amenazas para asegurar la continuidad del
negocio, minimizar los daños al negocio y
maximizar el retorno de las inversiones y las
oportunidades de negocio.
La seguridad de la información se consigue
implantando un conjunto adecuado de controles,
incluyendo políticas, procesos, procedimientos,
estructuras organizativas y funciones de hardware
y software. Estos controles deberían ser
establecidos, implementados, supervisados,
revisados y mejorados cuando fuere necesario
para asegurar que se cumplen los objetivos
específicos de seguridad de la organización. Esto
debería hacerse en forma conjunta con otros
procesos de la administración del negocio.
0.2 ¿Por qué es necesaria la seguridad de la
información?
La información y los procesos que la apoyan, los
sistemas y las redes son importantes activos del
negocio. Definir, alcanzar, mantener y mejorar la
seguridad de la información puede ser esencial
para mantener su competitividad, flujo de fondos,
rentabilidad, cumplimiento de leyes e imagen
comercial.
Las organizaciones y sus sistemas y redes de
iv
0 Introdução
0.1 O que é segurança da informação?
A informação é um ativo que, como qualquer outro
ativo importante, é essencial para os negócios de
uma organização e conseqüentemente necessita
ser adequadamente protegida. Isto é
especialmente importante no ambiente dos
negócios, cada vez mais interconectado. Como um
resultado deste incrível aumento da
interconectividade, a informação está agora
exposta a um crescente número e a uma grande
variedade de ameaças e vulnerabilidades (ver
OECD Diretrizes para a Segurança de Sistemas de
Informações e Redes).
A informação pode existir em diversas formas. Ela
pode ser impressa ou escrita em papel,
armazenada eletronicamente, transmitida pelo
correio ou por meios eletrônicos, apresentada em
filmes ou falada em conversas. Seja qual for a
forma apresentada ou o meio através do qual a
informação é compartilhada ou armazenada, é
recomendado que ela seja sempre protegida
adequadamente.
Segurança da informação é a proteção da
informação de vários tipos de ameaças para
garantir a continuidade do negócio, minimizar o
risco ao negócio, maximizar o retorno sobre os
investimentos e as oportunidades de negócio.
A segurança da informação é obtida a partir da
implementação de um conjunto de controles
adequados, incluindo políticas, processos,
procedimentos, estruturas organizacionais e
funções de software e hardware. Estes controles
precisam ser estabelecidos, implementados,
monitorados, analisados criticamente e
melhorados, onde necessário, para garantir que os
objetivos do negócio e de segurança da
organização sejam atendidos. Convém que isto
seja feito em conjunto com outros processos de
gestão do negócio.
0.2 Por que a segurança da informação é
necessária?
A informação e os processos de apoio, sistemas e
redes são importantes ativos para os negócios.
Definir, alcançar, manter e melhorar a segurança
da informação podem ser atividades essenciais
para assegurar a competitividade, o fluxo de caixa,
a lucratividade, o atendimento aos requisitos legais
e a imagem da organização junto ao mercado.
As organizações, seus sistemas de informação e
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
información se enfrentan con amenazas de
seguridad procedentes de una amplia variedad de
fuentes, incluyendo fraudes informáticos,
espionaje, sabotaje, vandalismo, incendios o
inundaciones. Ciertas fuentes de daños como
código malicioso y ataques de intrusión o de
denegación de servicios se están volviendo cada
vez más comunes, ambiciosos y sofisticados.
La seguridad de la Información es importante
tanto para los negocios del sector público como
privado, y para proteger infraestructuras críticas.
En ambos sectores, la seguridad de la
información funcionará como un habilitador, por
.ej. lograr el gobierno electrónico (e-government)
o el comercio electrónico (e-business), y para
evitar o reducir riesgos relevantes. La
interconexión de redes públicas y privadas y el
hecho de compartir recursos de información
aumentan la dificultad de alcanzar el control de
acceso. La tendencia hacia la informática
distribuida ha debilitado la eficacia de un control
central y especializado.
Muchos sistemas de información no se han
diseñado para ser seguros. La seguridad que
puede lograrse a través de los medios técnicos es
limitada, y debería apoyarse en una gestión y
unos procedimientos adecuados. La identificación
de los controles que deberían instalarse requiere
una planificación cuidadosa y una atención al
detalle. La gestión de la seguridad de la
información requiere, como mínimo, la
participación de todos los empleados de la
organización. También puede requerir la
participación de los accionistas, proveedores,
terceras partes, clientes u otros externos La
asesoría especializada de organizaciones
externas también puede ser necesaria.
0.3 ¿Cómo establecer los requisitos de
seguridad?
Es esencial que la organización identifique sus
requisitos de seguridad. Existen tres fuentes
principales.
1. La primera fuente procede de la valoración de
los riesgos de la organización. Con ella se
identifican las amenazas a los activos, se evalúa
la vulnerabilidad y la probabilidad de su
ocurrencia y se estima su posible impacto.
2. La segunda fuente es el conjunto de requisitos
legales, estatutarios, normativos y contractuales
que debería satisfacer la organización, sus socios
comerciales, los contratistas y los proveedores de
servicios.
v 10.09.2007
redes de computadores são expostos a diversos
tipos de ameaças à segurança da informação,
incluindo fraudes eletrônicas, espionagem,
sabotagem, vandalismo, incêndio e inundação.
Danos causados por código malicioso, hackers e
ataques de denial of service estão se tornando
cada vez mais comuns, mais ambiciosos e
incrivelmente mais sofisticados.
A segurança da informação é importante para os
negócios, tanto do setor público como do setor
privado, e para proteger as infra-estruturas críticas.
Em ambos os setores, a função da segurança da
informação é viabilizar os negócios como o governo
eletrônico (e-gov) ou o comércio eletrônico (e-
business), e evitar ou reduzir os riscos relevantes.
A interconexão de redes públicas e privadas e o
compartilhamento de recursos de informação
aumentam a dificuldade de se controlar o acesso. A
tendência da computação distribuída reduz a
eficácia da implementação de um controle de
acesso centralizado.
Muitos sistemas de informação não foram
projetados para serem seguros. A segurança da
informação que pode ser alcançada por meios
técnicos é limitada e deve ser apoiada por uma
gestão e por procedimentos apropriados. A
identificação de controles a serem implantados
requer um planejamento cuidadoso e uma atenção
aos detalhes. A gestão da segurança da
informação requer pelo menos a participação de
todos os funcionários da organização. Pode ser
que seja necessária também a participação de
acionistas, fornecedores, terceiras partes, clientes
ou outras partes externas. Uma consultoria externa
especializada pode ser também necessária.
0.3 Como estabelecer requisitos de segurança
da informação
É essencial que uma organização identifique os
seus requisitos de segurança da informação.
Existem três fontes principais de requisitos de
segurança da informação.
1. Uma fonte é obtida a partir da análise/avaliação
de riscos para a organização, levando-se em conta
os objetivos e as estratégias globais de negócio da
organização. Por meio da análise/avaliação de
riscos, são identificadas as ameaças aos ativos e
as vulnerabilidades destes, e realizada uma
estimativa da probabilidade de ocorrência das
ameaças e do impacto potencial ao negócio.
2. Uma outra fonte é a legislação vigente, os
estatutos, a regulamentação e as Cláusulas
contratuais que a organização, seus parceiros
comerciais, contratados e provedores de serviço
têm que atender, além do seu ambiente
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
3. La tercera fuente está formada por los
principios, objetivos y requisitos que forman parte
del procesamiento de la información que la
organización ha desarrollado para apoyar sus
operaciones
0.4 Evaluación de los riesgos de seguridad
Los requisitos de seguridad se identifican
mediante una evaluación metódica de los riesgos.
El gasto en controles debería equilibrarse con el
perjuicio en el negocio, resultante de los fallos de
seguridad.
Los resultados de esta evaluación ayudarán a
orientar y a determinar una adecuada acción
gerencial y las prioridades para gestionar los
riesgos de seguridad de la información, y la
implementación de los controles seleccionados
para proteger contra dichos riesgos.
La evaluación del riesgo debería repetirse
periódicamente para tratar cualquier cambio que
pudiera influenciar los resultados de la evaluación
del riesgo.
Se puede encontrar más información sobre
evaluación de riesgos de seguridad en el punto
4.1 “Evaluación de riesgos de seguridad”.
0.5 Selección de controles
Una vez que los requisitos y los riesgos de
seguridad han sido identificados y se han tomado
las decisiones para el tratamiento de riesgos,
deberían elegirse e implantarse los controles
apropiados que aseguren la reducción de los
riesgos a un nivel aceptable. Los controles
pueden elegirse de esta norma o de otro conjunto
de controles, o nuevos controles pueden
diseñarse para cubrir adecuadamente
necesidades específicas. La selección de los
controles de seguridad depende de una decisión
organizacional basada en los criterios para la
aceptación del riesgo, las opciones para el
tratamiento del riesgo, y el acercamiento a la
gestión general del riesgo aplicado a la
organización, y debería también estar conforme a
toda la legislación y regulaciones nacionales e
internacionales relevantes.
Algunos de los controles en esta Norma pueden
considerarse como principios rectores para la
gestión de la seguridad de la información,
aplicables a la mayoría de las organizaciones. Se
vi
sociocultural.
3. A terceira fonte é um conjunto particular de
princípios, objetivos e os requisitos do negócio para
o processamento da informação que uma
organização tem que desenvolver para apoiar suas
operações.
0.4 Analisando/avaliando os riscos de
segurança da informação
Os requisitos de segurança da informação são
identificados por meio de uma análise/avaliação
sistemática dos riscos de segurança da informação.
Os gastos com os controles precisam ser
balanceados de acordo com os danos causados
aos negócios gerados pelas potenciais falhas na
segurança da informação.
Os resultados da análise/avaliação de riscos
ajudarão a direcionar e a determinar as ações
gerenciais apropriadas e as prioridades para o
gerenciamento dos riscos da segurança da
informação, e para a implementação dos controles
selecionados para a proteção contra estes riscos.
Convém que a análise/avaliação de riscos seja
repetida periodicamente para contemplar quaisquer
mudanças que possam influenciar os resultados
desta análise/avaliação.
Informações adicionais sobre a análise/avaliação
de riscos de segurança da informação podem ser
encontradas em 4.1 “Analisando/avaliando os
riscos de segurança da informação”.
0.5 Seleção de controles
Uma vez que os requisitos de segurança da
informação e os riscos tenham sido identificados e
as decisões para o tratamento dos riscos tenham
sido tomadas, convém que controles apropriados
sejam selecionados e implementados para
assegurar que os riscos sejam reduzidos a um
nível aceitável. Os controles podem ser
selecionados a partir desta Norma ou de um outro
conjunto de controles ou novos controles podem
ser desenvolvidos para atender às necessidades
específicas, conforme apropriado. A seleção de
controles de segurança da informação depende
das decisões da organização, baseadas nos
critérios para aceitação de risco, nas opções para
tratamento do risco e no enfoque geral da gestão
de risco aplicado à organização, e convém que
também esteja sujeito a todas as legislações e
regulamentações nacionais e internacionais,
relevantes.
Alguns dos controles nesta Norma podem ser
considerados como princípios básicos para a
gestão da segurança da informação e podem ser
aplicados na maioria das organizações. Estes
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
explican más detalladamente en el siguiente
Apartado bajo el título "Punto de partida de la
seguridad de la información".
Más información sobre seleccionar controles y
otras opciones del tratamiento del riesgo se
puede encontrar en el Apartado 4.2 "Tratando
riesgos de seguridad".
0.6 Punto de partida de la seguridad de la
información
Un cierto número de controles pueden ser
considerados como un buen punto de partida
para implementar la seguridad de la información.
Estos están basados en requisitos legislativos
esenciales o que se consideran práctica habitual
de la seguridad de la información.
Los controles que se consideran esenciales para
una organización desde un punto de vista
legislativo comprenden, dependiendo de la
legislación aplicable:
a) la protección de los datos y la privacidad de la
información de carácter personal (véase el
Apartado 15.1.4)
b) la protección de los registros de la organización
((véase el Apartado 15.1.3)
c) los derechos de la propiedad intelectual (véase
el Apartado 15.1.2)
Los controles que se consideran práctica habitual
para conseguir la seguridad de la información,
comprenden:
a) la documentación de la política de seguridad
de la información (véase el Apartado 5.1.1)
b) la asignación de responsabilidades de
seguridad (véase el Apartado 6.1.3)
c) la concienciación, formación y capacitación en
seguridad de la información (véase el Apartado
8.2.2)
d) el correcto procesamiento de las aplicaciones
(véase el Apartado 12.2)
e) la gestión de la vulnerabilidad técnica (véase el
Apartado 12.6)
f) la gestión de la continuidad del negocio (véase
el Apartado 14)
g) la gestión de incidentes de seguridad de la
información y mejoramiento (véase el Apartado
13.2)
Estos controles pueden aplicarse a la mayoría de
vii
controles são explicados em mais detalhes no item
“Ponto de partida para a segurança da informação”.
Informações adicionais sobre seleção de controles
e outras opções para tratamento de risco podem
ser encontradas em 4.2 “Tratamento dos riscos de
segurança da informação”.
0.6 Ponto de partida para a segurança da
informação
Um certo número de controles pode ser
considerado um bom ponto de partida para a
implementação da segurança da informação. Estes
controles são baseados tanto em requisitos legais
como nas melhores práticas de segurança da
informação normalmente usadas.
Os controles considerados essenciais para uma
organização, sob o ponto de vista legal, incluem,
dependendo da legislação aplicável:
a) proteção de dados e privacidade de informações
pessoais (ver 15.1.4);
b) proteção de registros organizacionais (ver
15.1.3);
c) direitos de propriedade intelectual (ver 15.1.2).
Os controles considerados práticas para a
segurança da informação incluem:
a) documento da política de segurança da
informação (ver 5.1.1);
b) atribuição de responsabilidades para a
segurança da informação (ver 6.1.3);
c) conscientização, educação e treinamento em
segurança da informação (ver 8.2.2);
d) processamento correto nas aplicações (ver
12.2);
e) gestão de vulnerabilidades técnicas (ver 12.6);
f) gestão da continuidade do negócio (ver Seção
14);
g) gestão de incidentes de segurança da
informação e melhorias (ver 13.2).
Esses controles se aplicam para a maioria das
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
las organizaciones y en la mayoría de los
ambientes.
Es conveniente señalar que pese a la importancia
dada a los controles en este documento, la
importancia de cualquier control debería
determinarse a la luz de los riesgos específicos
que afronta la organización. Por tanto y aunque el
enfoque anterior se considere un buen punto de
partida, no sustituye a la selección de controles
basada en una evaluación del riesgo.
0.7 Factores críticos de éxito
La experiencia muestra que los siguientes
factores suelen ser críticos para el éxito de la
implementación de la seguridad de la información
en una organización:
a) una política de seguridad, objetivos y
actividades que reflejen los objetivos del negocio
de la organización;
b) un enfoque para implantar la seguridad que
sea consistente con la cultura de la organización;
c) el apoyo visible y el compromiso de la alta
dirección;
d) una buena comprensión de los requisitos de la
seguridad, de la evaluación del riesgo y de la
gestión del riesgo;
e) la comunicación eficaz de la necesidad de la
seguridad a todos los directivos y empleados;
f) la distribución de directrices sobre la política de
seguridad de la información de la organización y
de normas a todos los empleados y contratistas;
g) proveer recursos para las actividades de
gestión de seguridad de la información;
h) proveer concientización, formación y educación
apropiadas;
i) un proceso efectivo de gestión de incidentes de
seguridad de la información;
j) implementación de un sistema de medición1)
utilizado para evaluar el desempeño en la gestión
de seguridad de la información y las sugerencias
de mejoras.
________________
viii
organizações e na maioria dos ambientes.
Convém observar que, embora todos os controles
nesta Norma sejam importantes e devam ser
considerados, a relevância de qualquer controle
deve ser determinada segundo os riscos
específicos a que uma organização está exposta.
Por isto, embora o enfoque acima seja considerado
um bom ponto de partida, ele não substitui a
seleção de controles, baseado na análise/avaliação
de riscos.
0.7 Fatores críticos de sucesso
A experiência tem mostrado que os seguintes
fatores são geralmente críticos para o sucesso da
implementação da segurança da informação dentro
de uma organização:
a) política de segurança da informação, objetivos e
atividades, que reflitam os objetivos do negócio;
b) uma abordagem e uma estrutura para a
implementação, manutenção, monitoramento e
melhoria da segurança da informação que seja
consistente com a cultura organizacional;
c) comprometimento e apoio visível de todos os
níveis gerenciais;
d) um bom entendimento dos requisitos de
segurança da informação, da análise/avaliação de
riscos e da gestão de risco;
e) divulgação eficiente da segurança da informação
para todos os gerentes, funcionários e outras
partes envolvidas para se alcançar a
conscientização;
f) distribuição de diretrizes e normas sobre a
política de segurança da informação para todos os
gerentes, funcionários e outras partes envolvidas;
g) provisão de recursos financeiros para as
atividades da gestão de segurança da informação;
h) provisão de conscientização, treinamento e
educação adequados;
i) estabelecimento de um eficiente processo de
gestão de incidentes de segurança da informação;
j) implementação de um sistema de medição1), que
seja usado para avaliar o desempenho da gestão
da segurança da informação e obtenção de
sugestões para a melhoria.
____________________
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
1)
Notar que las mediciones de seguridad de la
información están fuera del alcance de esta
Norma.
0.8 Desarrollo de directrices propias
Este código de buenas prácticas puede verse
como punto de partida para desarrollar directrices
específicas de la organización. Pueden no ser
aplicables todas las recomendaciones y controles
de este código. Incluso pueden requerirse
controles y recomendaciones adicionales que
este documento no incluye. Cuando sean
desarrollados documentos que contengan
controles y recomendaciones adicionales, puede
ser útil, cuando sea aplicable, mantener
referencias cruzadas a los Apartados de esta
norma que faciliten la realización de pruebas de
cumplimiento a los auditores y socios del negocio.
ix
1)
Deve-se observar que as medições de segurança
da informação estão fora do escopo desta Norma.
0.8 Desenvolvendo suas próprias diretrizes
Esta Norma pode ser considerada como um ponto
de partida para o desenvolvimento de diretrizes
específicas para a organização. Nem todos os
controles e diretrizes contidos nesta Norma podem
ser aplicados. Além disto, controles adicionais e
recomendações não incluídos nesta Norma podem
ser necessários. Quando os documentos são
desenvolvidos contendo controles ou
recomendações adicionais, pode ser útil realizar
uma referência cruzada para as Seções desta
Norma, onde aplicável, para facilitar a verificação
da conformidade por auditores e parceiros do
negócio.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002

Tecnología de la información -
Código de buenas prácticas para la gestión de la seguridad de la información

Tecnologia de informação -
Código de boas práticas para a gestão da segurança da informação

1 Objeto 1 Escopo

Esta Norma establece recomendaciones y Esta Norma estabelece diretrizes e princípios

principios generales para iniciar, implantar,
mantener y mejorar la gestión de la seguridad de
la información en una organización. Los objetivos
señalados en esta Norma proporcionan
recomendaciones generales sobre las metas
comúnmente aceptadas para la gestión de la
seguridad de la información.
gerais para iniciar, implementar, manter e melhorar
a gestão de segurança da informação em uma
organização. Os objetivos definidos nesta Norma
provêem diretrizes gerais sobre as metas
geralmente aceitas para a gestão da segurança da
informação.

Los objetivos de control y los controles de esta
Norma están pensados para ser implementados a
fin de alcanzar los requisitos identificados por una
evaluación del riesgo. Esta Norma puede servir
como recomendación práctica para desarrollar
normas de seguridad de la organización y una
práctica efectiva de la gestión de la misma, así
como ayudar a construir confianza en las
actividades entre organizaciones.
Os objetivos de controle e os controles desta
Norma têm como finalidade ser implementados
para atender aos requisitos identificados por meio
da análise/avaliação de riscos. Esta Norma pode
servir como um guia prático para desenvolver os
procedimentos de segurança da informação da
organização e as eficientes práticas de gestão da
segurança, e para ajudar a criar confiança nas
atividades interorganizacionais.

2 Términos y definiciones 2 Termos e definições

A los efectos de este documento se aplican los Para os efeitos desta Norma, aplicam-se os
siguientes términos y definiciones: seguintes termos e definições:

2.1 2.1
activo ativo
aquello que tenga valor para la organización qualquer coisa que tenha valor para a organização
[ISO/IEC 13335-1:2004] [ISO/IEC 13335-1:2004]

2.2
control
medio de gestionar el riesgo, incluyendo políticas,
procedimientos, recomendaciones, prácticas o
estructuras de la organización, que pueden ser de
naturaleza administrativa, técnica, de gestión, o
legal
2.2
controle
forma de gerenciar o risco, incluindo políticas,
procedimentos, diretrizes, práticas ou estruturas
organizacionais, que podem ser de natureza
administrativa, técnica, de gestão ou legal

NOTA Control también es usado como sinónimo para NOTA Controle é também usado como um sinômino para
salvaguarda o contramedida. proteção ou contramedida.

2.3 2.3
guía diretriz
una descripción que clarifica qué debería ser descrição que orienta o que deve ser feito e como,
hecho y cómo, para alcanzar los objetivos para se alcançarem os objetivos estabelecidos nas
establecidos en las políticas políticas
[ISO/IEC 13335-1:2004] [ISO/IEC 13335-1:2004]

2.4 2.4
recursos de procesamiento de la información recursos de processamento da informação

1 10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002

todo sistema de procesamiento de la información, qualquer sistema de processamento da informação,

servicio o infraestructura, o las localizaciones serviço ou infra-estrutura, ou as instalações físicas
físicas que los contienen que os abriguem

2.5
seguridad de la información
preservación de la confidencialidad, integridad y
disponibilidad de la información; además pueden
también estar implicadas otras características,
tales como autenticidad, responsabilidad, no
repudio, y confiabilidad
2.5
segurança da informação
preservação da confidencialidade, da integridade e
da disponibilidade da informação; adicionalmente,
outras propriedades, tais como autenticidade,
responsabilidade, não repúdio e confiabilidade,
podem também estar envolvidas

2.6
evento de seguridad de la información
un evento de seguridad de la información es una
ocurrencia identificada de un estado de un
sistema, servicio o red que indica una posible
violación de la política de seguridad de la
información o la falla de salvaguardas, o una
situación previamente desconocida que pueda ser
relevante para la seguridad
[ISO/IEC TR 18044:2004]
2.6
evento de segurança da informação
ocorrência identificada de um sistema, serviço ou
rede, que indica uma possível violação da política
de segurança da informação ou falha de controles,
ou uma situação previamente desconhecida, que
possa ser relevante para a segurança da
informação
[ISO/IEC TR 18044:2004]

2.7
incidente de seguridad de la información
un incidente de seguridad de la información es
indicado por un único o una serie de eventos
indeseados o inesperados de seguridad de la
información que tienen una probabilidad
significativa de comprometer las operaciones de
negocio y de amenazar la seguridad de la
información
[ISO/IEC TR 18044:2004]
2.7
incidente de segurança da informação
um incidente de segurança da informação é
indicado por um simples ou por uma série de
eventos de segurança da informação indesejados
ou inesperados, que tenham uma grande
probabilidade de comprometer as operações do
negócio e ameaçar a segurança da informação
[ISO/IEC TR 18044:2004]

2.8 2.8
política política
intención y dirección general expresada intenções e diretrizes globais formalmente
formalmente por la dirección expressas pela direção

2.9 2.9
riesgo risco
combinación de la probabilidad de un combinação da probabilidade de um evento e de
acontecimiento y de su consecuencia suas conseqüências
[Guía ISO/IEC 73:2002] [ISO/IEC Guia 73:2005]

2.10 2.10
análisis de riesgos análise de riscos
uso sistemático de la información para identificar uso sistemático de informações para identificar
fuentes y estimar el riesgo fontes e estimar o risco
[Guía ISO/IEC 73:2002] [ISO/IEC Guia 73:2005]

2.11 2.11
evaluación de riesgos análise/avaliação de riscos
proceso completo de análisis de riesgos y processo completo de análise e avaliação de riscos
evaluación de riesgos [ISO/IEC Guia 73:2005]
[Guía ISO/IEC 73:2002]

2.12 2.12
valoración de riesgos avaliação de riscos

2 10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002

proceso de comparación de riesgos estimados processo de comparar o risco estimado com

respecto a los criterios de riesgos dados, para critérios de risco pré-definidos para determinar a
determinar la magnitud del riesgo importância do risco
[Guía ISO/IEC 73:2002] [ISO/IEC Guia 73:2005]

2.13 2.13
gestión de riesgos gestão de riscos
coordinación de actividades para dirigir y controlar atividades coordenadas para direcionar e controlar
una organización respecto del riesgo uma organização no que se refere a riscos

NOTA: la gestión de riesgos incluye generalmente, evaluación NOTA A gestão de riscos geralmente inclui a análise/avaliação
de riesgos, tratamiento de riesgos, aceptación de riesgos y de riscos, o tratamento de riscos, a aceitação de riscos e a
comunicación de riesgos. comunicação de riscos.

[Guía ISO/IEC 73:2002] [ISO/IEC Guia 73:2005]

2.14 2.14
tratamiento de riesgos tratamento do risco
proceso de selección e implementación de processo de seleção e implementação de medidas
medidas para modificar el riesgo para modificar um risco
[Guía ISO/IEC 73:2002] [ISO/IEC Guia 73:2005]

2.15 2.15
tercera parte terceira parte
persona u organismo reconocido como pessoa ou organismo reconhecido como
independiente de las partes implicadas en lo que independente das partes envolvidas, no que se
se refiere a la materia en cuestión refere a um dado assunto
[Guía ISO/IEC 2:1996] [ISO/IEC Guia 2:1998]

2.16 2.16
amenaza ameaça
una causa potencial de un incidente indeseado, causa potencial de um incidente indesejado, que
que puede dar lugar a daños a un sistema o a pode resultar em dano para um sistema ou
una organización organização
[ISO/IEC 13335-1:2004] [ISO/IEC 13335-1:2004]

2.17 2.17
vulnerabilidad vulnerabildade
una debilidad de un activo o de un grupo de fragilidade de um ativo ou grupo de ativos que pode
activos que puede ser explotada por una o más ser explorada por uma ou mais ameaças
amenazas
[ISO/IEC 13335-1:2004]

3 Estructura de esta norma 3 Estrutura desta Norma

Esta Norma contiene 11 Cláusulas de control de
la seguridad que en su conjunto contienen un
total de 39 categorías principales de seguridad y
una Cláusula introductoria a la evaluación y
tratamiento de riesgos.
Esta Norma contém 11 Seções de controles de
segurança da informação, que juntas totalizam 39
categorias principais de segurança e uma Seção
introdutória que aborda a análise/avaliação e o
tratamento de riscos.

3.1 Cláusulas 3.1 Seções

Cada Cláusula contiene un número de categorías
principales de seguridad. Estás once Cláusulas
(acompañadas por el número de categorías
principales de seguridad incluidas en cada
Cláusula) son:
Cada Seção contém um número de categorias
principais de segurança da informação. As 11
Seções (acompanhadas com o respectivo número
de categorias) são:

3 10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
a) Política de Seguridad (1);
b) Organización de la Seguridad de la Información
(2);
c) Gestión de Activos (2);
d) Seguridad de Recursos Humanos (3);
e) Seguridad Física y del Ambiente (2);
f) Gestión de Comunicaciones y Operaciones
(10);
g) Control de Acceso (7);
h) Adquisición, Desarrollo y Mantenimiento de los
Sistemas de Información (6);
i) Gestión de Incidentes de la Seguridad de la
Información (2);
j) Gestión de la Continuidad del Negocio (1);
k) Cumplimiento (3).
NOTA El orden de las Cláusulas en esta norma no implica su
importancia. Dependiendo de las circunstancias, todas las
Cláusulas podrían ser importantes, por lo tanto cada
organización que aplica esta norma debería identificar las
Cláusulas aplicables, que tan importantes son y su aplicación
a los procesos individuales del negocio. Todas las listas en
esta norma tampoco están en orden de prioridad a menos que
esté precisado.
3.2 Categorías principales de seguridad
Cada categoría principal de seguridad contiene:
a) una indicación del objetivo de control que
debería alcanzarse; y
b) uno o más controles que se pueden aplicar
para alcanzar el objetivo de control.
La descripción del control se estructura de la
siguiente manera:
Control
define la declaración del control específico para
satisfacer el objetivo de control.
Guía de implementación
proporciona información más detallada para
apoyar la implementación del control y alcanzar el
objetivo de control. Alguna de estas
recomendaciones puede no ser conveniente en
todos los casos, por lo que pueden ser más
4 10.09.2007
a) Política de Segurança da Informação (1);
b) Organizando a Segurança da Informação (2);
c) Gestão de Ativos (2);
d) Segurança em Recursos Humanos (3);
e) Segurança Física e do Ambiente (2);
f) Gestão das Operações e Comunicações (10);
g) Controle de Acesso (7);
h) Aquisição, Desenvolvimento e Manutenção de
Sistemas de Informação (6);
i) Gestão de Incidentes de Segurança da
Informação (2);
j) Gestão da Continuidade do Negócio (1);
k) Conformidade (3).
NOTA A ordem das Seções nesta Norma não significa o seu
grau de importância. Dependendo das circunstâncias, todas as
Seções podem ser importantes. Portanto, convém que cada
organização que utilize esta Norma identifique quais são os
itens aplicáveis, quão importantes eles são e a sua aplicação
para os processos específicos do negócio. Todas as alíneas
nesta Norma também não estão ordenadas por prioridade, a
menos que explicitado.
3.2 Principais categorias de segurança da
informação
Cada categoria principal de segurança da
informação contém:
a) um objetivo de controle que define o que deve
ser alcançado; e
b) um ou mais controles que podem ser aplicados
para se alcançar o objetivo do controle.
As descrições dos controles estão estruturadas da
seguinte forma:
Controle
Define qual o controle específico para atender ao
objetivo do controle.
Diretrizes para a implementação
Contém informações mais detalhadas para apoiar a
implementação do controle e atender ao objetivo de
controle. Algumas destas diretrizes podem não ser
adequadas em todos os casos e assim outras
formas de implementação do controle podem ser
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
apropiadas otras manera de implementar el
control.
Información adicional
proporciona información adicional que puede
necesitar ser considerada, por ejemplo las
consideraciones legales y las referencias a otras
normas.
4 Evaluación y tratamiento de riesgos
4.1 Evaluando el riesgo de seguridad
Las evaluaciones de riesgo deben identificar,
cuantificar, y priorizar los riesgos contra los
criterios para la aceptación del riesgo y los
objetivos relevantes para la organización. Los
resultados deben dirigir y determinar la apropiada
acción de gestión y las prioridades para gestionar
los riesgos de la seguridad de la información y
para implementar los controles seleccionados
como protección ante estos riesgos. El proceso
de evaluación de riesgos y de selección de
controles puede requerir ser realizado repetidas
veces de manera de cubrir diversas partes de la
organización o de los sistemas de información
individuales.
La evaluación de riesgos debería incluir el
enfoque sistemático para la estimación de la
magnitud de los riesgos (análisis de riesgos) y el
proceso de comparación de los riesgos estimados
contra los criterios de riesgos para determinar la
importancia de los mismos (evaluación de
riesgos).
Las evaluaciones de riesgos también deberían
realizarse periódicamente para tratar cambios en
los requisitos de la seguridad y en la situación del
riesgo, por ejemplo, en los activos, las amenazas,
las vulnerabilidades, los impactos, la valoración
del riesgo, y cuando ocurran cambios
significativos. Estas evaluaciones de riesgo se
deben emprender de una manera metódica capaz
de producir resultados comparables
reproducibles.
La evaluación de riesgo de la seguridad de la
información debería tener un alcance claramente
definido para ser eficaz y debería incluir, si es
apropiado, relaciones con evaluaciones de riesgo
en otras áreas.
El alcance de una evaluación de riesgo puede ser
la organización en su conjunto, partes de la
organización, un sistema de información
individual, componentes específicos del sistema,
o servicios donde esto sea factible, realista, y
5 10.09.2007
mais apropriadas.
Informações adicionais
Contém informações adicionais que podem ser
consideradas, como, por exemplo, considerações
legais e referências a outras normas.
4 Análise/avaliação e tratamento de riscos
4.1 Analisando/avaliando os riscos de
segurança da informação
Convém que as análises/avaliações de riscos
identifiquem, quantifiquem e priorizem os riscos
com base em critérios para aceitação dos riscos e
dos objetivos relevantes para a organização.
Convém que os resultados orientem e determinem
as ações de gestão apropriadas e as prioridades
para o gerenciamento dos riscos de segurança da
informação, e para a implementação dos controles
selecionados, de maneira a proteger contra estes
riscos. O processo de avaliar os riscos e selecionar
os controles pode precisar ser realizado várias
vezes, de forma a cobrir diferentes partes da
organização ou de sistemas de informação
específicos.
Convém que a análise/avaliação de riscos inclua
um enfoque sistemático de estimar a magnitude do
risco (análise de riscos) e o processo de comparar
os riscos estimados contra os critérios de risco para
determinar a significância do risco (avaliação do
risco).
Convém que as análises/avaliações de riscos
também sejam realizadas periodicamente, para
contemplar as mudanças nos requisitos de
segurança da informação e na situação de risco, ou
seja, nos ativos, ameaças, vulnerabilidades,
impactos, avaliação do risco e quando uma
mudança significativa ocorrer. Essas análises/
avaliações de riscos devem ser realizadas de forma
y metódica, capaz de gerar resultados comparáveis e
reproduzíveis.
Convém que a análise/avaliação de riscos de
segurança da informação tenha um escopo
claramente definido para ser eficaz e inclua os
relacionamentos com as análises/avaliações de
riscos em outras áreas, se necessário.
O escopo de uma análise/avaliação de riscos pode
tanto ser em toda a organização, partes da
organização, em um sistema de informação
específico, em componentes de um sistema
específico ou em serviços onde isto seja praticável,
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
provechoso. Ejemplos de metodologías de
evaluación de riesgo se discuten en ISO/IEC TR
13335-3 (Guidelines for the management of IT
security: Techniques for the management of IT
Security).
4.2 Tratando los riesgos de seguridad
Antes de considerar el tratamiento de un riesgo,
la organización debería decidir los criterios para
determinar si los riesgos pueden ser aceptados o
no. Los riesgos pueden ser aceptados si, por
ejemplo, se determina que el riesgo es bajo o que
el costo del tratamiento no es rentable para la
organización. Tales decisiones deberían ser
registradas.
Para cada uno de los riesgos identificados
siguiendo la evaluación de riesgo una decisión
sobre el tratamiento del riesgo necesita ser
tomada. Las opciones posibles para el
tratamiento del riesgo incluyen:
a) aplicación de controles apropiados para reducir
los riesgos;
b) aceptando riesgos objetivamente y bajo
conocimiento, siempre que satisfagan claramente
la política y los criterios de la organización para la
aceptación del riesgo;
c) evitando riesgos, no permitiendo las acciones
que harían ocurrir los riesgos;
d) transfiriendo los riesgos asociados a otras
partes, por ejemplo, aseguradores o proveedores.
Para aquellos riesgos donde la decisión del
tratamiento del mismo halla sido aplicar controles
apropiados, estos deberían seleccionarse e
implantarse de manera de alcanzar los requisitos
identificados por una evaluación de riesgo. Los
controles deberían asegurar que los riesgos son
reducidos a un nivel aceptable teniendo en
cuenta:
a) requisitos y restricciones de la legislación y de
las regulaciones nacionales e internacionales;
b) objetivos de la organización;
c) requisitos y restricciones operacionales;
d) costo de la implementación y de la operación
en lo referente a los riesgos que son reducidos, y
el remanente proporcional a los requisitos y a las
restricciones de la organización;
6 10.09.2007
realístico e útil. Exemplos de metodologias de
análise/avaliação de riscos são discutidas no
ISO/IEC TR 13335-3 (Guidelines for the
management of IT security: Techniques for the
management of IT Security).
4.2 Tratando os riscos de segurança da
informação
Convém que, antes de considerar o tratamento de
um risco, a organização defina os critérios para
determinar se os riscos podem ser ou não aceitos.
Riscos podem ser aceitos se, por exemplo, for
avaliado que o risco é baixo ou que o custo do
tratamento não é economicamente viável para a
organização. Convém que tais decisões sejam
registradas.
Para cada um dos riscos identificados, seguindo a
análise/avaliação de riscos, uma decisão sobre o
tratamento do risco precisa ser tomada. Possíveis
opções para o tratamento do risco, incluem:
a) aplicar controles apropriados para reduzir os
riscos;
b) conhecer e objetivamente aceitar os riscos,
sabendo que eles atendem claramente à política da
organização e aos critérios para a aceitação de
risco;
c) evitar riscos, não permitindo ações que poderiam
causar a ocorrência de riscos;
d) transferir os riscos associados para outras
partes, por exemplo, seguradoras ou fornecedores.
Convém que, para aqueles riscos onde a decisão
de tratamento do risco seja a de aplicar os
controles apropriados, esses controles sejam
selecionados e implementados para atender aos
requisitos identificados pela análise/avaliação de
riscos. Convém que os controles assegurem que os
riscos sejam reduzidos a um nível aceitável,
levando-se em conta:
a) os requisitos e restrições de legislações e
regulamentações nacionais e internacionais;
b) os objetivos organizacionais;
c) os requisitos e restrições operacionais;
d) custo de implementação e a operação em
relação aos riscos que estão sendo reduzidos e
que permanecem proporcionais às restrições e
requisitos da organização;
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
e) la necesidad de balancear la inversión en la
implementación y la operación de controles contra
el daño probable como resultado de fallas de la
seguridad.
Los controles pueden seleccionarse de esta
norma o de otro conjunto de controles, o nuevos
controles pueden diseñarse para resolver las
necesidades específicas de la organización. Es
necesario reconocer que algunos controles
pueden no ser aplicables a todos los sistema de
información o ambientes, y puede no ser práctico
para todas las organizaciones. Como ejemplo, en
10.1.3 describe cómo las tareas pueden
segregarse para prevenir fraudes y errores.
Puede que en organizaciones más pequeñas no
sea posible segregar todas las tareas y pueden
ser necesarias otras maneras de alcanzar el
mismo objetivo de control. Como otro ejemplo, en
10.10 describe como el uso del sistema puede ser
supervisado y las evidencia ser recogidas. Los
controles descritos, por ejemplo, el registro de
eventos, puede estar en conflicto con la
legislación aplicable, tal como la protección de la
privacidad de los clientes o el registro del lugar de
trabajo.
Los controles de seguridad de la información
deberían considerarse en las etapas de
especificación de requisitos y de diseño en
sistemas y proyectos. El no hacerlo puede dar
lugar a costos adicionales y a soluciones menos
eficaces, y quizá, en el peor de los casos,
inhabilidad de alcanzar la seguridad adecuada.
Debería tenerse presente que ningún sistema de
controles puede alcanzar la seguridad completa, y
que acciones adicionales de gestión deberían
implementarse para supervisar, evaluar, y mejorar
la eficiencia y la eficacia de los controles de
seguridad para apoyar las metas de la
organización.
5 Política de seguridad
5.1 Política de seguridad de la información
OBJETIVO: Proporcionar orientación y apoyo de
la dirección para la seguridad de la información,
de acuerdo con los requisitos del negocio y con
las regulaciones y leyes pertinentes.
La dirección debería establecer una orientación
clara de la política en línea con los objetivos de
negocio y demostrar su apoyo y compromiso a la
seguridad de la información, publicando y
manteniendo una política de seguridad en toda la
organización.
7 10.09.2007
e) a necessidade de balancear o investimento na
implementação e operação de controles contra a
probabilidade de danos que resultem em falhas de
segurança da informação.
Os controles podem ser selecionados desta Norma
ou de outros conjuntos de controles, ou novos
controles podem ser considerados para atender às
necessidades específicas da organização. É
importante reconhecer que alguns controles podem
não ser aplicáveis a todos os sistemas de
informação ou ambientes, e podem não ser
praticáveis para todas as organizações. Como um
exemplo, 10.1.3 descreve como as
responsabilidades podem ser segregadas para
evitar fraudes e erros. Pode não ser possível para
pequenas organizações segregar todas as
responsabilidades e, portanto, outras formas de
atender o mesmo objetivo de controle podem ser
necessárias. Em um outro exemplo, 10.10
descreve como o uso do sistema pode ser
monitorado e as evidências coletadas. Os controles
descritos, como, por exemplo, eventos de “logging”,
podem conflitar com a legislação aplicável, tais
como a proteção à privacidade dos clientes ou a
exercida nos locais de trabalho.
Convém que os controles de segurança da
informação sejam considerados na especificação
dos requisitos e nos estágios iniciais dos projetos e
sistemas. Caso isso não seja realizado, pode
acarretar custos adicionais e soluções menos
efetivas, ou mesmo, no pior caso, incapacidade de
se alcançar a segurança necessária.
Convém que seja lembrado que nenhum conjunto
de controles pode conseguir a segurança completa,
e que uma ação gerencial adicional deve ser
implementada para monitorar, avaliar e melhorar a
eficiência e eficácia dos controles de segurança da
informação, para apoiar as metas da organização.
5 Política de segurança da informação
5.1 Política de segurança da informação
Objetivo: Prover uma orientação e apoio da direção
para a segurança da informação de acordo com os
requisitos do negócio e com as leis e
regulamentações pertinentes.
Convém que a direção estabeleça uma clara
orientação da política, alinhada com os objetivos do
negócio e demonstre apoio e comprometimento
com a segurança da informação por meio da
publicação e manutenção de uma política de
segurança da informação para toda a organização.
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
5.1.1 Documento de política de seguridad de la
información
Control
La dirección debería aprobar, publicar y
comunicar a todos los empleados y a las partes
externas pertinentes, un documento con la
política de seguridad de la información.
Guía de implementación
El documento con la política de seguridad de la
información debería establecer el compromiso de
la dirección y el enfoque de la organización para
gestionar la seguridad de la información. El
documento con la política debería contener
declaraciones respecto de:
a) una definición de la seguridad de la
información, sus objetivos y alcance generales y
la importancia de la seguridad como mecanismo
que permite compartir la información (véase el
Capítulos de Introducción);
b) una declaración de la intención de la dirección,
apoyando los objetivos y principios de la
seguridad de la información alineada con las
estrategias y objetivos de negocio;
c) un marco para fijar objetivos de control y
controles, incluyendo la estructura de la
evaluación del riesgo y gestión del riesgo;
d) una breve explicación de las políticas de
seguridad, principios, normas y requisitos de
cumplimiento de particular importancia para la
organización, incluyendo:
1) cumplimiento de los requisitos legislativos,
reguladores y contractuales;
2) requisitos de educación, formación y
concientización en seguridad;
3) gestión de la continuidad del negocio;
4) consecuencias de las violaciones a la
política de seguridad de la información;
e) una definición de las responsabilidades
generales y específicas en materia de gestión de
la seguridad de la información, incluida la
comunicación de los incidentes relativos a la
seguridad;
f) las referencias a documentación que pueda
sustentar la política; por ejemplo, políticas y
procedimientos mucho más detallados para
sistemas de información específicos o las reglas
8 10.09.2007
5.1.1 Documento da política de segurança da
informação
Controle
Convém que um documento da política de
segurança da informação seja aprovado pela
direção, publicado e comunicado para todos os
funcionários e partes externas relevantes.
Diretrizes para implementação
Convém que o documento da política de segurança
da informação declare o comprometimento da
direção e estabeleça o enfoque da organização
para gerenciar a segurança da informação.
Convém que o documento da política contenha
declarações relativas a:
a) uma definição de segurança da informação, suas
metas globais, escopo e importância da segurança
da informação como um mecanismo que habilita o
compartilhamento da informação (ver introdução);
b) uma declaração do comprometimento da
direção, apoiando as metas e princípios da
segurança da informação, alinhada com os
objetivos e estratégias do negócio;
c) uma estrutura para estabelecer os objetivos de
controle e os controles, incluindo a estrutura de
análise/avaliação e gerenciamento de risco;
d) breve explanação das políticas, princípios,
normas e requisitos de conformidade de segurança
da informação específicos para a organização,
incluindo:
1) conformidade com a legislação e com
requisitos regulamentares e contratuais;
2) requisitos de conscientização, treinamento e
educação em segurança da informação;
3) gestão da continuidade do negócio;
4) conseqüências das violações na política de
segurança da informação;
e) definição das responsabilidades gerais e
específicas na gestão da segurança da informação,
incluindo o registro dos incidentes de segurança da
informação;
f) referências à documentação que possam apoiar
a política, por exemplo, políticas e procedimentos
de segurança mais detalhados de sistemas de
informação específicos ou regras de segurança que
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
de seguridad que los usuarios deberían cumplir.
Esta política debería ser comunicada a todos los
usuarios de la organización de manera pertinente,
accesible y comprensible.
Información adicional
La política de seguridad de la información pudo
ser parte del documento con la política general. Si
la política de seguridad de la información es
distribuida fuera de la organización, se debería
tomar especial cuidado para no divulgar
información sensible. Información adicional se
puede encontrar en ISO/IEC 13335-1:2004.
5.1.2 Revisión de la política de seguridad de la
información
Control
La política de seguridad de la información debería
revisarse a intervalos planificados, o si se
producen cambios significativos, para asegurar su
conveniencia, suficiencia, y eficacia continuas.
Guía de implementación
La política de seguridad de la información debería
tener un propietario con responsabilidad de
gestión aprobada para el desarrollo, la revisión, y
la evaluación de la política de seguridad.
La revisión debería incluir la evaluación de las
oportunidades de mejora de la política de
seguridad de la información de la organización y
el enfoque a la gestión de la seguridad de la
información en respuesta a cambios en el
ambiente de la organización, a las circunstancias
del negocio, a las condiciones legales, o al
ambiente técnico.
La revisión de la política de seguridad de la
información debería tomar en cuenta los
resultados de las revisiones por la dirección.
Debería haber procedimientos definidos de la
revisión por la dirección, incluyendo un calendario
o un período para la revisión.
Las entradas para la revisión por la dirección
deberían incluir información sobre:
a) retroalimentación de las partes interesadas;
b) resultados de la revisiones independientes
(véase el Apartado 6.1.8);
c) estado de las acciones correctivas y c) situação de ações preventivas e corretivas (ver
9 10.09.2007
os usuários devem seguir.
Convém que esta política de segurança da
informação seja comunicada através de toda a
organização para os usuários de forma que seja
relevante, acessível e compreensível para o leitor
em foco.
Informações adicionais
A política de segurança da informação pode ser
uma parte de um documento da política geral. Se a
política de segurança da informação for distribuída
fora da organização, convém que sejam tomados
cuidados para não revelar informações sensíveis.
Informações adicionais podem ser encontradas na
ISO/IEC 13335-1:2004.
5.1.2 Análise crítica da política de segurança da
informação
Controle
Convém que a política de segurança da informação
seja analisada criticamente a intervalos planejados
ou quando mudanças significativas ocorrerem, para
assegurar a sua contínua pertinência, adequação e
eficácia.
Diretrizes para implementação
Convém que a política de segurança da informação
tenha um gestor que tenha responsabilidade de
gestão aprovada para desenvolvimento, análise
crítica e avaliação da política de segurança da
informação.
Convém que a análise crítica inclua a avaliação de
oportunidades para melhoria da política de
segurança da informação da organização e tenha
um enfoque para gerenciar a segurança da
informação em resposta às mudanças ao ambiente
organizacional, às circunstâncias do negócio, às
condições legais, ou ao ambiente técnico.
Convém que a análise crítica da política de
segurança da informação leve em consideração os
resultados da análise crítica pela direção. Convém
que sejam definidos procedimentos para análise
crítica pela direção, incluindo uma programação ou
um período para a análise crítica.
Convém que as entradas para a análise crítica pela
direção incluam informações sobre:
a) realimentação das partes interessadas;
b) resultados de análises críticas independentes
(ver 6.1.8);
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
preventivas (véase los Apartados 6.1.8 y 15.2.1);
d) resultados de las anteriores revisiones por la
dirección;
e) cumplimiento de la política de seguridad de la
información y del desempeño de procesos;
f) cambios que podrían afectar el enfoque de la
organización a la gestión de la seguridad de la
información, incluyendo cambios al ambiente de
la organización, circunstancias del negocio,
disponibilidad de recursos, condiciones
contractuales, reguladoras, y legales, o cambios
al ambiente técnico;
g) tendencias relacionadas con las amenazas y
las vulnerabilidades;
h) incidentes de seguridad de la información
reportados (véase el Apartado 13.1);
i) recomendaciones proporcionadas por
autoridades relevantes (véase el Apartado 6.1.6)
La salida de la revisión por la dirección debería
incluir cualquier decisión y acción relacionadas
con:
a) mejora del enfoque de la organización a la
gestión de la seguridad de la información y a sus
procesos;
b) mejora de los objetivos de control y de los
controles;
c) mejora en la asignación de recursos y/o
responsabilidades.
Debería mantenerse un registro de la revisión por
la dirección.
Debería obtenerse la aprobación de la dirección
para la política revisada.
6 Organización de la seguridad de la
información
6.1 Organización interna
OBJETIVO: Gestionar la seguridad de la
información dentro de la organización.
Debería establecerse un marco de gestión para
iniciar y controlar la implementación de la
seguridad de la información dentro de la
organización.
10
6.1.8 e 15.2.1);
d) resultados de análises críticas anteriores feitas
pela direção;
e) desempenho do processo e conformidade com a
política de segurança da informação;
f) mudanças que possam afetar o enfoque da
organização para gerenciar a segurança da
informação, incluindo mudanças no ambiente
organizacional, nas circunstâncias do negócio, na
disponibilidade dos recursos, nas questões
contratuais, regulamentares e de aspectos legais
ou no ambiente técnico;
g) tendências relacionadas com as ameaças e
vulnerabilidades;
h) relato sobre incidentes de segurança da
informação (ver 13.1);
i) recomendações fornecidas por autoridades
relevantes (ver 6.1.6).
Convém que as saídas da análise crítica pela
direção incluam quaisquer decisões e ações
relacionadas a:
a) melhoria do enfoque da organização para
gerenciar a segurança da informação e seus
processos;
b) melhoria dos controles e dos objetivos de
controles;
c) melhoria na alocação de recursos e/ou de
responsabilidades.
Convém que um registro da análise crítica pela
direção seja mantido.
Convém que a aprovação pela direção da política
de segurança da informação revisada seja obtida.
6 Organizando a segurança da informação
6.1 Organização interna
Objetivo: Gerenciar a segurança da informação
dentro da organização.
Convém que uma estrutura de gerenciamento seja
estabelecida para iniciar e controlar a
implementação da segurança da informação dentro
da organização.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002

La dirección debería aprobar la política de Convém que a direção aprove a política de

seguridad de la información, asignar roles de segurança da informação, atribua as funções da
seguridad y coordinar y revisar la implementación segurança, coordene e analise criticamente a
de la seguridad a través de la organización. implementação da segurança da informação por
toda a organização.

Si es necesario, una fuente de asesoramiento Se necessário, convém que uma consultoria

especializada en seguridad de la información especializada em segurança da informação seja
debería establecerse y estar disponible dentro de estabelecida e disponibilizada dentro da
la organización. Contactos con especialistas de organização. Convém que contatos com
seguridad o grupos externos a la organización, especialistas ou grupos de segurança da
incluyendo autoridades relevantes, deberían ser informação externos, incluindo autoridades
desarrollados para mantenerse al día con relevantes, sejam feitos para se manter atualizado
tendencias de la industria, seguimiento de com as tendências de mercado, monitorar normas
normas, y métodos de evaluación y proveer e métodos de avaliação, além de fornecer apoio
puntos de enlace adecuados cuando se deban adequado, quando estiver tratando de incidentes
manejar incidentes de seguridad de la de segurança da informação. Convém que um
información. Un enfoque multidisciplinario hacia la enfoque multidisciplinar na segurança da
seguridad de la información debería ser informação seja incentivado.
impulsado.

6.1.1 Compromiso de la dirección con la 6.1.1 Comprometimento da direção com a

seguridad de la información segurança da informação

Control Controle
La dirección debería apoyar activamente la Convém que a direção apóie ativamente a
seguridad dentro de la organización a través de segurança da informação dentro da organização,
una orientación clara, compromiso demostrado, y por meio de um claro direcionamento,
la asignación explícita de las responsabilidades demonstrando o seu comprometimento, definindo
de seguridad de la información y su atribuições de forma explícita e reconhecendo as
reconocimiento. responsabilidades pela segurança da informação.

Guía de implementación Diretrizes para implementação

La dirección debería: Convém que a direção:

a) asegurar que los objetivos de seguridad de la a) assegure que as metas de segurança da

información son identificados, cumplen los informação estão identificadas, atendem aos
requisitos de la organización y están integrados requisitos da organização e estão integradas nos
en los procesos relevantes; processos relevantes;

b) formular, revisar y aprobar la política de b) formule, analise criticamente e aprove a política

seguridad de la información; de segurança da informação;

c) revisar la efectividad de la implementación de c) analise criticamente a eficácia da implementação

la política de seguridad; da política de segurança da informação;

d) proveer una orientación clara y apoyo visible d) forneça um claro direcionamento e apoio para as
hacia las iniciativas de seguridad; iniciativas de segurança da informação;

e) proveer los recursos necesarios para la e) forneça os recursos necessários para a

seguridad; segurança da informação;

f) aprobar la asignación de los roles específicos y f) aprove as atribuições de tarefas e

responsabilidades en seguridad de la información responsabilidades específicas para a segurança da
a lo largo de la organización; informação por toda a organização;

g) iniciar planes y programas para mantener la g) inicie planos e programas para manter a
concientización en seguridad; conscientização da segurança da informação;

11 10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
h) asegurar que la implementación de los
controles de seguridad de la información es
coordinada en toda la organización (véase el
Apartado 6.1.2).
La dirección debería identificar la necesidad de
asesoramiento especializado en seguridad de la
información, interno o externo, y revisar y
coordinar los resultados de dicho asesoramiento
a través de la organización.
Dependiendo del tamaño de la organización, tales
responsabilidades podrían ser manejadas por un
foro dedicado de dirección o por un cuerpo
directivo existente, tal como la junta de directores.
Información adicional
Más información se encuentra disponible en
ISO/IEC 13335-1:2004
6.1.2 Coordinación de la seguridad de la
información
Control
Las actividades referentes a la seguridad de la
información deberían ser coordinadas por
representantes de diferentes partes de la
organización con funciones y roles pertinentes.
Guía de implementación
Típicamente, la coordinación de la seguridad de
la información debería involucrar la cooperación y
colaboración de directores, usuarios,
administradores, diseñadores de aplicativos,
auditores y personal de seguridad, y especialistas
con habilidades en áreas tales como seguros,
aspectos legales, recursos humanos, TI y gestión
de riesgos.
Esta actividad debería:
a) asegurar que las actividades referentes a la
seguridad son ejecutadas de acuerdo a la política
de seguridad;
b) identificar como manejar los no cumplimientos;
c) aprobar metodologías y procesos para la
seguridad de la información, por ejemplo,
evaluación de riesgo, clasificación de la
Información;
d) identificar cambios significativos en las
amenazas y la exposición de la información y de
las instalaciones de procesamiento de la
información a las amenazas;
e) evaluar la adecuación y coordinación de la
12
h) assegure que a implementação dos controles de
segurança da informação tem uma coordenação e
permeia a organização (ver 6.1.2).
Convém que a direção identifique as necessidades
para a consultoria de um especialista interno ou
externo em segurança da informação, analise
criticamente e coordene os resultados desta
consultoria por toda a organização.
Dependendo do tamanho da organização, tais
responsabilidades podem ser conduzidas por um
fórum de gestão exclusivo ou por um fórum de
gestão existente, a exemplo do conselho de
diretores.
Informações adicionais
Outras informações podem ser obtidas na
ISO/IEC 13335-1:2004.
6.1.2 Coordenação da segurança da informação
Controle
Convém que as atividades de segurança da
informação sejam coordenadas por representantes
de diferentes partes da organização, com funções e
papéis relevantes.
Diretrizes para implementação
Convém que a coordenação da segurança da
informação envolva a cooperação e colaboração de
gerentes, usuários, administradores,
desenvolvedores, auditores, pessoal de segurança
e especialistas com habilidades nas áreas de
seguro, questões legais, recursos humanos, TI e
gestão de riscos.
Convém que esta atividade:
a) garanta que as atividades de segurança da
informação são executadas em conformidade com
a política de segurança da informação;
b) identifique como conduzir as não-conformidades;
c) aprove as metodologias e processos para a
segurança da informação, tais como
análise/avaliação de riscos e classificação da
informação;
d) identifique as ameaças significativas e a
exposição da informação e dos recursos de
processamento da informação às ameaças;
e) avalie a adequação e coordene a implementação
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
implementación de los controles de seguridad de
la información;
f) promover en forma efectiva la educación, la
formación y la concientización en seguridad de la
información a través de la organización;
g) evaluar la información recibida de los
seguimientos y revisiones de los incidentes de
seguridad de la información y las acciones
recomendadas en respuesta a los mismos.
Si la organización no utiliza un grupo
multidisciplinario separado, por ejemplo porque
dicho grupo no es apropiado dado el tamaño de la
organización, las acciones descriptas más arriba
deberían ser llevadas a cabo por otro cuerpo
adecuado de dirección o director individual.
6.1.3 Asignación de responsabilidades sobre
seguridad de la información
Control
Deberían definirse claramente todas las
responsabilidades de seguridad de la información.
Guía de implementación
La asignación de las responsabilidades de
seguridad de la información debería hacerse de
acuerdo con la política de seguridad de la
información (véase la Cláusula 4). Deberían
identificarse claramente las responsabilidades
para la protección de los activos individuales y
para la ejecución de los procesos específicos de
seguridad. Esta responsabilidad debería ser
complementada, donde sea necesario, con una
guía más detallada para sitios e instalaciones de
procesamiento de información específicos.
Deberían definirse claramente las
responsabilidades locales para la protección de
activos y para llevar a cabo procesos específicos
de la seguridad, como por ejemplo, el plan de
continuidad del negocio.
Individuos con responsabilidades de seguridad
asignadas pueden delegar tareas de seguridad a
otros. Sin embargo, siguen manteniendo la
responsabilidad y deberían poder determinar que
cualquier tarea delegada se ha cumplido
correctamente.
Deberían establecerse claramente las áreas de
las cuales los individuos son responsables, en
particular deberían considerarse las siguientes:
a) deberían identificarse y definirse claramente
13
de controles de segurança da informação;
f) promova, de forma eficaz, a educação, o
treinamento e a conscientização pela segurança da
informação por toda a organização;
g) avalie as informações recebidas do
monitoramento e da análise crítica dos incidentes
de segurança da informação, e recomende ações
apropriadas como resposta para os incidentes de
segurança da informação identificados.
Se a organização não usa representantes das
diferentes áreas, por exemplo, porque tal grupo não
é apropriado para o tamanho da organização,
convém que as ações descritas acima sejam
conduzidas por um organismo de gestão adequado
ou por um gestor individual.
6.1.3 Atribuição de responsabilidades para a
segurança da informação
Controle
Convém que todas as responsabilidades pela
segurança da informação, estejam claramente
definidas.
Diretrizes para implementação
Convém que a atribuição das responsabilidades
pela segurança da informação seja feita em
conformidade com a política de segurança da
informação (ver Seção 5). Convém que as
responsabilidades pela proteção de cada ativo e
pelo cumprimento de processos de segurança da
informação específicos sejam claramente definidas.
Convém que esta responsabilidade seja
complementada, onde for necessário, com
orientações mais detalhadas para locais
específicos e recursos de processamento de
informações. Convém que sejam claramente
definidas as responsabilidades em cada local para
a proteção dos ativos e para realizar processos de
segurança da informação específicos, como, por
exemplo, o plano de continuidade de negócios.
Pessoas com responsabilidades definidas pela
segurança da informação podem delegar as tarefas
de segurança da informação para outros usuários.
Todavia eles continuam responsáveis e convém
que verifiquem se as tarefas delegadas estão
sendo executadas corretamente.
Convém que as áreas pelas quais as pessoas
sejam responsáveis, estejam claramente definidas;
em particular convém que os seguintes itens sejam
cumpridos:
a) os ativos e os processos de segurança da
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
los activos y los procesos de seguridad asociados
con cada sistema específico;
b) debería asignarse la entidad responsable de
cada activo o proceso de seguridad y documentar
los detalles de dicha responsabilidad (véase el
Apartado 7.1.2);
c) deberían definirse y documentarse claramente
los niveles de autorización.
Información adicional
Muchas organizaciones nombran un
administrador de seguridad de la información para
asumir toda la responsabilidad del desarrollo e
implantación de la seguridad y para dar soporte a
la identificación de controles.
Sin embargo, la responsabilidad de proporcionar
recursos e implantar los controles suele recaer en
ciertos directivos. Una práctica habitual consiste
en designar un propietario de cada activo de
información, que se convierte así, en responsable
de su seguridad cotidiana.
6.1.4 Proceso de autorización para
instalaciones de procesamiento de
información
Control
Debería definirse e implantarse un proceso de
autorización por parte de la dirección para nuevas
instalaciones de procesamiento de información.
Guía de implementación
Deberían considerarse las siguientes pautas para
el proceso de autorización:
a) las nuevas instalaciones deberían tener una
autorización de la dirección apropiada para el
usuario, autorizando su propósito y uso. También
debería obtenerse la autorización del directivo
responsable del mantenimiento del entorno de
seguridad del sistema de información local, para
asegurar que cumple con todas las políticas y
requisitos de seguridad relevantes.
b) se debería comprobar donde sea necesario,
que el hardware y el software sean compatibles
con los demás dispositivos del sistema.
c) el uso de las instalaciones para procesamiento
de información personales o privados por
ejemplo, computadoras portátiles, computadoras
de uso doméstico u otros dispositivos portátiles,
puede causar vulnerabilidades, por lo que
deberían identificarse e implementarse medidas
de control necesarias.
14
informação associados com cada sistema sejam
identificados e claramente definidos;
b) gestor responsável por cada ativo ou processo
de segurança da informação tenha atribuições
definidas e os detalhes dessa responsabilidade
sejam documentados (ver 7.1.2);
c) os níveis de autorização sejam claramente
definidos e documentados.
Informações adicionais
Em muitas organizações um gestor de segurança
da informação pode ser indicado para assumir a
responsabilidade global pelo desenvolvimento e
implementação da segurança da informação e para
apoiar a identificação de controles.
Entretanto, a responsabilidade pela obtenção dos
recursos e implementação dos controles
permanece sempre com os gestores. Uma prática
comum é indicar um responsável por cada ativo,
tornando-o assim responsável por sua proteção no
dia a dia.
6.1.4 Processo de autorização para os recursos
de processamento da informação
Controle
Convém que seja definido e implementado um
processo de gestão de autorização para novos
recursos de processamento da informação.
Diretrizes para implementação
Convém que as seguintes diretrizes sejam
consideradas no processo de autorização:
a) os novos recursos tenham a autorização
adequada por parte da administração de usuários,
autorizando seus propósitos e uso. Convém que a
autorização também seja obtida junto ao gestor
responsável pela manutenção do sistema de
segurança da informação, para garantir que todas
as políticas e requisitos de segurança relevantes
sejam atendidos;
b) hardware e o software sejam verificados para
garantir que são compatíveis com outros
componentes do sistema, onde necessários;
c) uso de recursos de processamento de
informação, pessoais ou privados, como, por
exemplo, note books, computadores pessoais ou
dispositivos do tipo palm top, para processamento
das informações do negócio, possa introduzir
novas vulnerabilidades, e convém que controles
necessários sejam identificados e implementados.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
6.1.5 Acuerdos de confidencialidad
Control
Deberían identificarse y revisarse con regularidad
los requisitos para los acuerdos de
confidencialidad o de no-divulgación, que reflejan
las necesidades de la organización para la
protección de la información.
Guía de implementación
Los acuerdos de confidencialidad o de no-
divulgación deberían tratar el requisito de
proteger la información confidencial usando
términos que puedan hacerse cumplir legalmente.
Para identificar los requisitos de los acuerdos de
confidencialidad y no-divulgación, deberían
considerarse los siguientes elementos:
a) una definición de la información a ser protegida
(por ejemplo información confidencial);
b) duración prevista del acuerdo, incluyendo los
casos en que sea necesario mantener la
confidencialidad indefinidamente;
c) acciones requeridas cuando termina un
acuerdo;
d) responsabilidades y acciones de los signatarios
para evitar la divulgación no autorizada de la
información ( “necesidad de saber”);
e) propiedad de la información, secretos
comerciales y propiedad intelectual, y cómo ésto
se relaciona con la protección de la información
confidencial;
f) el uso permitido de la información confidencial,
y los derechos del signatario para utilizar
información;
g) el derecho de auditar y de supervisar
actividades que involucran información
confidencial;
h) procesos para la notificación y reporte de
divulgación no autorizada o brechas de la
información confidencial;
i) términos vinculados a la destrucción o
devolución de información cuando cesa un
acuerdo; y
j) acciones previstas a tomar en caso de ruptura
del acuerdo.
Basándose en los requisitos de seguridad de una
organización, puede ser necesario incorporar
otros elementos en los acuerdos de
15
6.1.5 Acordos de confidencialidade
Controle
Convém que os requisitos para confidencialidade
ou acordos de não divulgação que reflitam as
necessidades da organização para a proteção da
informação sejam identificados e analisados
criticamente, de forma regular.
Diretrizes para implementação
Convém que os acordos de confidencialidade e de
não divulgação considerem os requisitos para
proteger as informações confidenciais, usando
termos que são obrigados do ponto de vista legal.
Para identificar os requisitos para os acordos de
confidencialidade ou de não divulgação, convém
que sejam considerados os seguintes elementos:
a) uma definição da informação a ser protegida (por
exemplo, informação confidencial);
b) tempo de duração esperado de um acordo,
incluindo situações onde a confidencialidade tenha
que ser mantida indefinidamente;
c) ações requeridas quando um acordo está
encerrado;
d) responsabilidades e ações dos signatários para
evitar a divulgação não autorizada da informação
(como o conceito “need to know”);
e) proprietário da informação, segredos comerciais
e de propriedade intelectual, e como isto se
relaciona com a proteção da informação
confidencial;
f) uso permitido da informação confidencial e os
direitos do signatário para usar a informação;
g) direito de auditar e monitorar as atividades que
envolvem as informações confidenciais;
h) processo para notificação e relato de divulgação
não autorizada ou violação das informações
confidenciais;
i) termos para a informação ser retornada ou
destruída quando do término do acordo; e
j) ações esperadas a serem tomadas no caso de
uma violação deste acordo.
Com base nos requisitos de segurança da
informação da organização, outros elementos
podem ser necessários em um acordo de
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
confidencialidad y no-divulgación.
Los acuerdos de confidencialidad y no-
divulgación deberían cumplir con todas las leyes y
regulaciones de la jurisdicción a la cual se aplican
(véase el Apartado 15.1.1).
Los requisitos de los acuerdos de
confidencialidad y no-divulgación deberían ser
revisados periódicamente y cuando ocurran
cambios que influyan en estos requisitos.
Información adicional
Los acuerdos de confidencialidad y no-
divulgación protegen la información de la
organización e informan a los signatarios de su
responsabilidad para proteger, utilizar, y divulgar
la información de forma responsable y autorizada.
Puede haber necesidad por parte de una
organización de utilizar diversas formas de
acuerdos de confidencialidad o no-divulgación en
diferentes circunstancias.
6.1.6 Contacto con autoridades
Control
Deberían mantenerse contactos apropiados con
las autoridades relevantes.
Guía de implementación
Las organizaciones deberían tener
procedimientos vigentes que especifiquen cuándo
y qué autoridades (por ejemplo cumplimiento de
leyes, departamento de bomberos, autoridades
de supervisión) deben ser contactados, y cómo
identificar los incidentes de seguridad los cuales
deberían ser reportados en tiempo si se sospecha
que están incumpliendo la ley.
Las organizaciones que están siendo atacadas
desde Internet pueden necesitar terceras partes
externas (proveedores de servicios de Internet u
operadores de Telecomunicaciones) para tomar
acciones contra la fuente del ataque.
Información adicional
El mantenimiento de dichos contactos puede ser
un requerimiento para sustentar la gestión de
incidentes de seguridad (Apartado 13.2) o el
proceso de continuidad del negocio y plan de
contingencia (Cláusula 14). Los contactos con
instituciones reguladoras son también útiles para
anticiparse y prepararse para cambios próximos
de la ley o regulaciones, los cuales tienen que ser
implementados por las organizaciones. Los
contactos con otras autoridades incluye utilitarios,
servicios de emergencia, salud y seguridad del
16
confidencialidade ou de não divulgação.
Convém que os acordos de confidencialidade e de
não divulgação estejam em conformidade com
todas as leis e regulamentações aplicáveis na
jurisdição para a qual eles se aplicam (ver 15.1.1).
Convém que os requisitos para os acordos de
confidencialidade e de não divulgação sejam
analisados criticamente de forma periódica e
quando mudanças ocorrerem que influenciem estes
requisitos.
Informações adicionais
Acordos de confidencialidade e de não divulgação
protegem as informações da organização e
informam aos signatários das suas
responsabilidades, para proteger, usar e divulgar a
informação de maneira responsável e autorizada.
Pode haver a necessidade de uma organização
usar diferentes formas de acordos de
confidencialidade ou de não divulgação, em
diferentes circunstâncias.
6.1.6 Contato com autoridades
Controle
Convém que contatos apropriados com autoridades
pertinentes sejam mantidos.
Diretrizes para implementação
Convém que as organizações tenham
procedimentos em funcionamento que
especifiquem quando e por quais autoridades (por
exemplo, obrigações legais, corpo de bombeiros,
autoridades fiscalizadoras) devem ser contatadas e
como os incidentes de segurança da informação
identificados devem ser notificados em tempo hábil,
no caso de suspeita de que a lei foi violada.
Organizações que estejam sob ataque da internet
podem precisar do apoio de partes externas à
organização (por exemplo, um provedor de serviço
da internet ou um operador de telecomunicações),
para tomar ações contra a origem do ataque.
Informações adicionais
A manutenção de tais contatos pode ser um
requisito para apoiar a gestão de incidentes de
segurança da informação (ver 13.2) ou da
continuidade dos negócios e do processo de
planejamento da contingência (ver Seção 14).
Contatos com organismos reguladores são também
úteis para antecipar e preparar para as mudanças
futuras na lei ou nos regulamentos, os quais têm
que ser seguidos pela organização. Contatos com
outras autoridades incluem utilidades, serviços de
emergência, saúde e segurança, por exemplo
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
personal, por ejemplo departamento de
bomberos(en relación con la continuidad del
negocio) , proveedores de telecomunicaciones
(en relación con las lineas de ruteo y la
disponibilidad), proveedores de agua (en relación
con las instalaciones de refrigeración para el
equipamiento).
6.1.7 Contacto con grupos de interés especial
Control
Deberían mantenerse contactos apropiados con
los grupos de interés especial u otros foros
especializados en seguridad, así como
asociaciones de profesionales.
Guía de implementación
La participación en foros o grupos de interés
especial debería considerarse un medio para:
a) incrementar el conocimiento sobre las mejores
prácticas y mantenerse al día con la información
relevante sobre seguridad;
b) garantizar que la comprensión del ambiente de
seguridad de la información es actual y completa;
c) recibir advertencias oportunas de alertas,
avisos y parches referidos a ataques o
vulnerabilidades;
d) obtener acceso a asesoría especializada sobre
seguridad de la información;
e) compartir e intercambiar información sobre
nuevas tecnologías, productos, amenazas o
vulnerabilidades;
f) proveer puntos adecuados de enlace para el
manejo de incidentes de seguridad de la
información (véase el Apartado 13.2.1).
Información adicional
Pueden establecerse acuerdos para compartir la
información de forma de incrementar la
cooperación y la coordinación de temas de
seguridad. Tales acuerdos deberían identificar los
requisitos para la protección de información
sensible.
6.1.8 Revisión independiente de la seguridad
de la información
Control
El enfoque de la organización hacia la gestión de
la seguridad de la información y su
implementación (objetivos de control, controles,
17
corpo de bombeiros (em conjunto com a
continuidade do negócio), provedores de
telecomunicação (em conjunto com as rotas de
linha e disponibilidade), fornecedor de água (em
conjunto com as instalações de refrigeração para
os equipamentos).
6.1.7 Contato com grupos especiais
Controle
Convém que sejam mantidos contatos apropriados
com grupos de interesses especiais ou outros
fóruns especializados de segurança da informação
e associações profissionais.
Diretrizes para implementação
Convém que associação a grupos de interesses
especiais ou fóruns seja considerada como forma
de:
a) ampliar o conhecimento sobre as melhores
práticas e manter-se atualizado com as
informações relevantes sobre segurança da
informação;
b) assegurar que o entendimento do ambiente de
segurança da informação está atual e completo;
c) receber previamente advertências de alertas,
aconselhamentos e correções relativos a ataques e
vulnerabilidades;
d) conseguir acesso à consultoria especializada em
segurança da informação;
e) compartilhar e trocar informações sobre novas
tecnologias, produtos, ameaças ou
vulnerabilidades;
f) prover relacionamentos adequados quando tratar
com incidentes de segurança da informação
(ver 13.2.1).
Informações adicionais
Acordos de compartilhamento de informações
podem ser estabelecidos para melhorar a
cooperação e coordenação de assuntos de
segurança da informação. Convém que tais
acordos identifiquem requisitos para a proteção de
informações sensíveis.
6.1.8 Análise crítica independente de segurança
da informação
Controle
Convém que o enfoque da organização para
gerenciar a segurança da informação e a sua
implementação (por exemplo, controles, objetivo
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
políticas, procesos y procedimientos para la
seguridad de la información) debería ser revisado
independientemente a intervalos planificados, o
cuando ocurran cambios significativos en la
implementación de la seguridad.
Guía de implementación
La revisión independiente debería ser iniciada por
la dirección. Esta revisión independiente es
necesaria para asegurar la eficacia, idoneidad y
propiedad del enfoque de la organización para la
gestión de seguridad. La revisión debería incluir la
evaluación de las oportunidades de mejora y la
necesidad de cambios en el enfoque de la
seguridad, incluyendo la política y los objetivos de
control.
Dicha revisión debería ser realizada por
individuos independientes del área a revisar, por
ejemplo por el cargo de auditoría interna, un
gerente independiente o una organización externa
especializada en estas revisiones. Los individuos
que las llevan a cabo deberían tener la
experiencia y habilidades apropiadas.
El resultado de la revisión debería ser registrado y
reportado a la dirección que inició la revisión.
Estos registros deberían ser mantenidos.
Si la revisión independiente identificara que el
enfoque y la implementación de la organización
para la gestión de la seguridad de la información
son inadecuados o no cumplen con la orientación
declarada en el documento de política de
seguridad de la información(véase el Apartado
5.1.1), la dirección debería definir las acciones
correctivas.
Información adicional
El área que los directores deberían revisar
regularmente (véase el Apartado 15.2.1), también
puede ser revisada en forma independiente.
Las técnicas de revisión podrían incluir
entrevistas de la dirección, verificación de
registros o revisión de los documentos de
seguridad.
La norma ISO 19011:2002, Directrices para la
auditoría de los sistemas de gestión de la calidad
y/o ambiental, puede proveer una guía de ayuda
para realizar la revisión independiente, incluyendo
la definición e implementación del programa de
revisión. El Apartado 15.3 especifica controles
18
dos controles, políticas, processos e procedimentos
para a segurança da informação) seja analisado
criticamente, de forma independente, a intervalos
planejados, ou quando ocorrerem mudanças
significativas relativas à implementação da
segurança da informação.
Diretrizes para implementação
Convém que a análise crítica independente seja
iniciada pela direção. Tal análise crítica
independente é necessária para assegurar a
contínua pertinência, adequação e eficácia do
enfoque da organização para gerenciar a
segurança da informação. Convém que a análise
crítica inclua a avaliação de oportunidades para a
melhoria e a necessidade de mudanças para o
enfoque da segurança da informação, incluindo a
política e os objetivos de controle.
Convém que a análise crítica seja executada por
pessoas independentes da área avaliada, como,
por exemplo, uma função de auditoria interna, um
gerente independente ou uma organização de
terceira parte especializada em tais análises
críticas. Convém que as pessoas que realizem
estas análises críticas possuam habilidade e
experiência apropriadas.
Convém que os resultados da análise crítica
independente sejam registrados e relatados para a
direção que iniciou a análise crítica. Estes registros
devem ser mantidos.
Se a análise crítica independente identificar que o
enfoque da organização e a implementação para
gerenciar a segurança da informação são
inadequados ou não-conformes com as orientações
estabelecidas para segurança da informação, no
documento da política de segurança da informação
(ver 5.1.1), convém que a direção considere a
tomada de ações corretivas.
Informações adicionais
Convém que as áreas onde os gerentes
regularmente fazem a análise crítica (ver 15.2.1)
possam também ser analisadas criticamente de
forma independente.
Técnicas para a análise crítica podem incluir
entrevistas com a gerência, verificação de registros
ou análise crítica dos documentos da política de
segurança da informação.
A ISO 19011:2002, Diretrizes para auditoria de
sistemas de gestão da qualidade e/ou do meio
ambiente, pode também fornecer orientações para
se realizar a análise crítica independente, incluindo
o estabelecimento e a implementação de um
programa de análise crítica. A Subseção 15.3
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
relevantes a la revisión independiente de los
sistemas operacionales de información y el uso
de las herramientas de auditoría de sistemas.
6.2 Partes externas
OBJETIVO: Mantener la seguridad de la
información de la organización y de las
instalaciones de procesamiento de información a
las que tienen acceso las partes externas, o que
son procesadas, comunicadas o gestionadas por
éstas.
La seguridad de la información de la organización
y de las instalaciones de procesamiento de
información no debería verse reducida por la
introducción de productos o servicios de externos.
Debería controlarse cualquier acceso a las
instalaciones de procesamiento de información de
la organización y el procesamiento y processamento e comunicação da informação por
comunicación de información por externos.
Cuando el negocio requiera trabajo con externos
que pueda implicar acceso a la información de la
organización y a las instalaciones de
procesamiento de la información, u obtener o
proveer un producto o servicio de o para
externos, se debería realizar una evaluación de
riesgos para determinar implicaciones sobre la
seguridad y los controles que requieran. Estos
controles deberían definirse y aceptarse en un
acuerdo con las partes externas.
6.2.1 Identificación de los riegos relacionados
con partes externas
Control
Deberían identificarse los riesgos asociados a la
información de la organización y a las
instalaciones de procesamiento de la información
para los procesos de negocio que involucran
partes externas, y deberían implementarse
controles apropiados antes de otorgar el acceso.
Guía de implementación
Cuando exista la necesidad de permitir el acceso
a partes externas a las instalaciones de
procesamiento de información o a la información
de la organización, debería realizarse una
evaluación de riesgos (véase la Cláusula 4) para
identificar los requisito para los controles
específicos. La identificación de los riesgos
relacionados con el acceso de partes externas
debería tener en cuenta los siguientes aspectos:
19
especifica os controles relevantes para a análise
crítica independente de sistemas de informações
operacionais e o uso de ferramentas de auditoria
de sistemas.
6.2 Partes externas
Objetivo: Manter a segurança dos recursos de
processamento da informação e da informação da
organização, que são acessados, processados,
comunicados ou gerenciados por partes externas.
Convém que a segurança dos recursos de
processamento da informação e da informação da
organização não seja reduzida pela introdução de
produtos ou serviços oriundos de partes externas.
Convém que qualquer acesso aos recursos de
processamento da informação da organização e ao
partes externas seja controlado.
Convém que seja feita uma análise/avaliação dos
riscos envolvidos para determinar as possíveis
implicações na segurança e os controles
necessários, onde existir uma necessidade de
negócio para trabalhar com partes externas, que
possa requerer acesso aos recursos de
processamento da informação e à informação da
organização, ou na obtenção e fornecimento de um
produto e serviço de uma parte externa ou para ela.
Convém que os controles sejam acordados e
definidos por meio de um acordo com a parte
externa.
6.2.1 Identificação dos riscos relacionados com
partes externas
Controle
Convém que os riscos para os recursos de
processamento da informação e da informação da
organização oriundos de processos do negócio que
envolva as partes externas sejam identificados e
controles apropriados implementados antes de se
conceder o acesso.
Diretrizes para implementação
Convém que uma análise/avaliação de riscos (ver
Seção 4) seja feita para identificar quaisquer
requisitos de controles específicos, onde existir
uma necessidade que permita o acesso de uma
parte externa aos recursos de processamento da
informação ou à informação de uma organização.
Convém que a identificação de riscos relativos ao
acesso da parte externa leve em consideração os
seguintes aspectos:
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
a) las instalaciones de procesamiento de la
información a los cuales requiere acceso la parte
externa;
b) el tipo de acceso que la parte externa tendrá a
la información y a las instalaciones de
procesamiento de la información, por ejemplo:
1) acceso físico, como ser, las oficinas, salas
de computadoras, gabinetes de
clasificación;
2) acceso lógico, por ejemplo, a las bases de
datos de la organización, sistemas de
información;
3) conexión de red entre la red de la
organización y la de la parte externa, por
ejemplo, conexión permanente, acceso
remoto;
4) cuando el acceso es realizado en el sitio
(on-site) o fuera de él (off-site);
c) el valor y la sensibilidad de la información
involucrada, y la criticidad para las operaciones
de negocio;
d) los controles necesarios para proteger la
información que no ha sido prevista que sea
accesible por las partes externas;
e) el personal de la parte externa involucrada en
el manejo de la información de la organización;
f) cómo la organización o el personal autorizado
para acceder pueden ser identificados, la manera
de verificar la autorización y cuan seguido es
necesario que sea reconfirmada;
g) los diferentes medios y controles empleados
por la parte externa cuando almacena, procesa,
comunica, comparte e intercambia información;
h) el impacto del acceso denegado a la parte
externa cuando lo requiere, y de que la parte
externa ingrese o reciba información inexacta o
engañosa.
i) practicas y procedimiento para tratar incidentes
de seguridad de la información y daños
potenciales, al igual que los términos y
condiciones para la continuidad del acceso de la
parte externa en el caso de un incidente de
seguridad de la información;
j) requisitos legales y reguladores y otras
20
a) os recursos de processamento da informação
que uma parte externa esteja autorizada a acessar;
b) tipo de acesso que a parte externa terá aos
recursos de processamento da informação e à
informação, como, por exemplo:
1) acesso físico ao escritório, sala dos
computadores, arquivos de papéis;
2) acesso lógico ao banco de dados da
organização e aos sistemas de informações;
3) rede de conexão entre a organização e a
rede da parte externa, como, por exemplo,
conexão permanente, acesso remoto;
4) se o acesso vai ser dentro ou fora da
organização;
c) valor e a sensibilidade da informação envolvida,
e a sua criticidade para as operações do negócio;
d) os controles necessários para proteger a
informação que não deva ser acessada pelas
partes externas;
e) as pessoas das partes externas envolvidas no
manuseio das informações da organização;
f) como a organização ou o pessoal autorizado a
ter acesso pode ser identificado, como a
autorização é verificada e com qual freqüência isto
precisa ser reconfirmado;
g) as diferentes formas e controles empregados
pela parte externa quando estiver armazenando,
processando, comunicando, compartilhando e
repassando informações;
h) impacto do acesso não estar disponível para a
parte externa, quando requerido, e a entrada ou o
recebimento incorreto ou por engano da
informação;
i) práticas e procedimentos para tratar com
incidentes de segurança da informação e danos
potenciais, e os termos e condições para que a
parte externa continue acessando, no caso que
ocorra um incidente de segurança da informação;
j) que os requisitos legais e regulamentares e
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
obligaciones contractuales pertinentes a la parte
externa que deban ser tenidos en cuenta;
k) cómo los intereses de cualquier otro
involucrado (stakeholders) pueden ser afectados
por los acuerdos.
El acceso de las partes externas a la información
de la organización no debería ser proporcionado
hasta que se hayan implementado los controles
apropiados y, cuando sea factible, se haya
firmado un contrato que defina los términos y
condiciones para la conexión o el acceso y el
acuerdo de trabajo. Generalmente, todos los
requisitos de seguridad resultantes del trabajo
con partes externas, o los controles internos
deberían reflejarse en el acuerdo con la parte
externa (véase los Apartados 6.2.2 y 6.2.3).
Debería asegurarse que la parte externa sea
consciente de sus obligaciones, y acepte las
responsabilidades y deberes involucrados en el
acceso, procesamiento, comunicación o gestión
de la información de la organización y de las
instalaciones de procesamiento de la información.
Información adicional
La información puede ponerse en riesgo por la
inadecuada gestión de la seguridad por medio de
las partes externas. Deberían identificarse y
aplicarse los controles para administrar el acceso
de las partes externas a las instalaciones de
procesamiento de la información. Por ejemplo, si
hay una necesidad especial de confidencialidad
de la información, podrían utilizarse acuerdos de
no divulgación.
Las organizaciones pueden enfrentar riesgos
asociados con los procesos, la gestión y la
comunicación entre las organizaciones si se
aplica un alto grado de contratación externa, o
cuando hay varias partes externas involucradas.
Los controles 6.2.2 y 6.2.3 cubren diferentes
acuerdos con partes externas, incluyendo por
ejemplo:
a) proveedores de servicios, como ser
proveedores de servicios de Internet (ISPs),
proveedores de red, servicio telefónico, servicios
de mantenimiento y soporte;
b) servicios de seguridad gestionados;
c) clientes;
21
outras obrigações contratuais relevantes para a
parte externa sejam levados em consideração;
k) como os interesses de quaisquer uma das partes
interessadas podem ser afetados pelos acordos.
Convém que o acesso às informações da
organização pelas partes externas não seja
fornecido até que os controles apropriados tenham
sido implementados e, onde for viável, um contrato
tenha sido assinado definindo os termos e
condições para a conexão ou o acesso e os
preparativos para o trabalho. Convém que, de uma
forma geral, todos os requisitos de segurança da
informação resultantes do trabalho com partes
externas ou controles internos estejam refletidos
por um acordo com a parte externa (ver 6.2.2 e
6.2.3).
Convém que seja assegurado que a parte externa
está consciente de suas obrigações, e aceita as
responsabilidades e obrigações envolvendo o
acesso, processamento, comunicação ou o
gerenciamento dos recursos do processamento da
informação e da informação da organização.
Informações adicionais
A informação pode ser colocada em risco por
partes externas com uma gestão inadequada da
segurança da informação. Convém que os
controles sejam identificados e aplicados para
administrar o acesso da parte externa aos recursos
de processamento da informação. Por exemplo, se
existir uma necessidade especial para a
confidencialidade da informação, acordos de não
divulgação devem ser usados.
As organizações podem estar sujeitas a riscos
associados com processos interorganizacionais,
gerenciamento e comunicação, se um alto grau de
terceirização for realizado, ou onde existirem várias
partes externas envolvidas.
Os controles de 6.2.2 e 6.2.3 cobrem diferentes
situações para as partes externas, incluindo, por
exemplo:
a) provedores de serviço, tais como ISP,
provedores de rede, serviços de telefonia e
serviços de apoio e manutenção;
b) terceirização de operações e recursos, como,
por exemplo, sistemas de TI, serviços de coleta de
dados, operação de central de atendimento (call
center);
c) clientes;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
d) contratación externa de instalaciones y/u
operaciones, por ejemplo, sistemas de TI,
servicios de recolección de datos, operaciones
del centro de llamados;
e) consultores de gestión y de negocios, y
auditores;
f) desarrolladores y proveedores, por ejemplo, de
productos de software y de sistemas de TI;
g) limpieza, abastecimiento y otros servicios de
soporte contratados externamente;
h) personal temporal, colocación de estudiantes y
otros cargos de corto plazo ocasionales.
Dichos acuerdos pueden ayudar a reducir los
riesgos asociados con las partes externas.
6.2.2 Tener en cuenta la seguridad cuando se
trata con clientes
Control
Todos los requisitos de seguridad identificados
deberían ser tratados antes de brindarle a los
clientes acceso a activos o información de la
organización.
Guía de implementación
Los siguientes términos deberían ser
considerados para tratar la seguridad antes de
brindarle a los clientes acceso a cualquiera de los
activos de la organización (dependiendo del tipo y
la extensión del acceso brindado, no todos ellos
podrían aplicarse):
a) protección de activos, incluyendo:
1) procedimiento para proteger los activos de
la organización, incluyendo información y
software, y gestión de las vulnerabilidades
conocidas;
2) procedimientos para determinar si se han
comprometido en algún momento los
activos, por ejemplo, pérdida o modificación
de datos;
3) integridad;
4) restricción en la copia y la divulgación de
información;
b) descripción del producto y servicio a ser
provisto;
c) las diferentes razones, requisitos y beneficios
22
d) operações e/ou recursos de terceirização, como,
por exemplo, sistemas de TI, serviços de coleta de
dados, operação de call center;
e) consultores em negócios e em gestão, e
auditores;
f) desenvolvedores e fornecedores, como, por
exemplo, de produtos de software e sistemas de TI;
g) pessoal de limpeza, serviços de bufês e outros
serviços de apoio terceirizados;
h) pessoal temporário, estagiário e outras
contratações de curta duração.
Tais acordos podem ajudar a reduzir o risco
associado com as partes externas.
6.2.2 Identificando a segurança da informação,
quando tratando com os clientes
Controle
Convém que todos os requisitos de segurança da
informação identificados sejam considerados antes
de conceder aos clientes o acesso aos ativos ou às
informações da organização.
Diretrizes para implementação
Convém que os seguintes termos sejam
considerados para contemplar a segurança da
informação antes de conceder aos clientes o
acesso a quaisquer ativos da organização
(dependendo do tipo e extensão do acesso
concedido, nem todos os itens são aplicáveis):
a) proteção dos ativos, incluindo:
1) procedimentos para proteger os ativos da
organização, incluindo informação e
software, e a gestão de vulnerabilidades
conhecidas;
2) procedimentos para determinar se ocorreu
qualquer comprometimento de ativos, por
exemplo, perda ou modificação de dados;”
3) integridade;
4) restrições em relação a cópias e divulgação
de informações;
b) descrição do produto ou serviço a ser fornecido;
c) as diferentes razões, requisitos e benefícios para
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
del acceso del cliente;
d) política de control de acceso, que cubra:
1) métodos de acceso permitido, y de control y
uso de identificadores únicos tales como
identificación de usuario (IDs) y identificador de usuário e senhas de acesso;
contraseñas;
2) un proceso de autorización para el acceso
de los usuarios y los privilegios;
3) una declaración de que todo acceso que no
es explícitamente autorizado está
prohibido;
4) un proceso para revocar los derechos de
acceso o interrumpir la conexión entre
sistemas;
e) acuerdos para el reporte, la notificación y la
investigación de las inexactitudes en la
información (por ejemplo de detalles personales),
incidentes de seguridad de la información y
brechas de seguridad;
f) una descripción de cada servicio que va a estar
disponible;
g) el nivel a alcanzar por el servicio y los niveles
inaceptables del servicio;
h) el derecho al seguimiento, y revocar cualquier
actividad relacionada con los activos de la
organización;
i) las responsabilidades respectivas de la
organización y del cliente;
j) responsabilidades respecto a asuntos legales y
como se asegura que los requisitos legales son
alcanzados, por ejemplo, legislación de
protección de datos, especialmente teniendo en
cuenta los diferentes sistemas legales de cada
nación si el acuerdo involucra la cooperación con
clientes en otros países (véase el Apartado 15.1);
k) derechos de propiedad intelectual (DPI) y
asignación de derechos de copia (véase el
Apartado 15.1.2) y la protección de cualquier
trabajo en colaboración (véase el Apartado 6.1.5).
Información adicional
Los requisitos de seguridad relacionados con el
acceso del cliente a los activos de la organización
pueden variar considerablemente dependiendo de
las instalaciones de procesamiento de la
información y de la información a los cuales se
tiene acceso. Estos requisitos de seguridad
23
o acesso do cliente;
d) políticas de controle de acesso, cobrindo:
1) métodos de acesso permitido e o controle e
uso de identificadores únicos, tais como
2) um processo de autorização para acesso dos
usuários e privilégios;
3) uma declaração de que todo o acesso que
não seja explicitamente autorizado é
proibido;
4) um processo para revogar os direitos de
acesso ou interromper a conexão entre
sistemas;
e) procedimentos para relato, notificação e
investigação de informações imprecisas (por
exemplo, sobre pessoal), incidentes de segurança
da informação e violação da segurança da
informação;
f) descrição de cada serviço que deve estar
disponível;
g) os níveis de serviços acordados e os níveis de
serviços inaceitáveis;
h) direito de monitorar e revogar qualquer atividade
relacionada com os ativos da organização;
i) as respectivas responsabilidades legais da
organização e dos clientes;
j) responsabilidades com relação a aspectos legais
e como é assegurado que os requisitos legais são
atendidos, por exemplo, leis de proteção de dados,
especialmente levando-se em consideração os
diferentes sistemas legais nacionais se o acordo
envolver a cooperação com clientes em outros
países (ver 15.1);
k) direitos de propriedade intelectual e direitos
autorais (ver 15.1.2) e proteção de qualquer
trabalho colaborativo (ver 6.1.5).
Informações adicionais
Os requisitos de segurança da informação
relacionados com o acesso dos clientes aos ativos
da organização podem variar consideravelmente,
dependendo dos recursos de processamento da
informação e das informações que estão sendo
acessadas. Estes requisitos de segurança da
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
pueden tratarse utilizando acuerdos con el cliente,
que contengan todos los riesgos y requisitos de
seguridad identificados (véase el Apartado 6.2.1).
Los acuerdos con las partes externas también
pueden involucrar a otras partes. Los acuerdos
que permitan el acceso de una parte externa
deberían incluir permisos para la designación de
otras partes y las condiciones para su acceso y
participación.
6.2.3 Tener en cuenta la seguridad en los
acuerdos con terceras partes
Control
Los acuerdos con terceros que involucren acceso,
procesamiento, comunicación o gestión de la
información de la organización o de las
instalaciones de procesamiento de información, o
el agregado de productos o servicios a las
instalaciones de procesamiento de información
deberían cubrir todos los requisitos pertinentes de
seguridad.
Guía de implementación
El acuerdo debería asegurar que no hay
malentendidos entre la organización y los
terceros. Las organizaciones deberían estar
satisfechas en cuanto a la indemnidad de los
terceros.
Deberían tenerse en cuenta los siguientes
términos para su inclusión en los acuerdos con el
fin de satisfacer los requisitos de seguridad
identificados (véase el Apartado 6.2.1):
a) la política de seguridad de la información;
b) los controles que aseguren la protección del
activo, incluyendo:
1) procedimientos para proteger los activos de
la organización, incluyendo información,
software y hardware;
2) todos los controles y mecanismos de
protección física requeridos;
3) controles que aseguren la protección contra
software malicioso (véase el Apartado
10.4.1);
4) procedimientos para determinar si se han
comprometido en algún momento los
activos, por ejemplo, perdida o modificación
de información, software y hardware;
5) controles que aseguren el retorno o la
24
informação podem ser contemplados, usando-se os
acordos com o cliente, os quais contêm todos os
riscos identificados e os requisitos de segurança da
informação (ver 6.2.1).
Acordos com partes externas podem também
envolver outras partes. Convém que os acordos
que concedam o acesso a partes externas incluam
permissão para designação de outras partes
elegíveis e condições para os seus acessos e
envolvimento.
6.2.3 Identificando segurança da informação
nos acordos com terceiros
Controle
Convém que os acordos com terceiros envolvendo
o acesso, processamento, comunicação ou
gerenciamento dos recursos de processamento da
informação ou da informação da organização, ou o
acréscimo de produtos ou serviços aos recursos de
processamento da informação cubram todos os
requisitos de segurança da informação relevantes.
Diretrizes para implementação
Convém que o acordo assegure que não existe
mal-entendido entre a organização e o terceiro.
Convém que as organizações considerem a
possibilidade de indenização do terceiro.
Convém que os seguintes termos sejam
considerados para inclusão no acordo, com o
objetivo de atender aos requisitos de segurança da
informação identificados (ver 6.2.1):
a) política de segurança da informação;
b) controles para assegurar a proteção do ativo,
incluindo:
1) procedimentos para proteger os ativos da
organização, incluindo informação, software
e hardware;
2) quaisquer mecanismos e controles para a
proteção física requerida;
3) controles para assegurar proteção contra
software malicioso (ver 10.4.1);
4) procedimentos para determinar se ocorreu
qualquer comprometimento de ativos, por
exemplo, perda ou modificação de dados,
software e hardware;
5) controles para assegurar o retorno ou a
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002

destrucción de la información y los activos destruição da informação e dos ativos no

al finalizar el acuerdo o en un punto final do contrato, ou em um dado momento
acordado en el tiempo durante la duración definido no acordo;
del acuerdo;

6) confidencialidad, integridad, disponibilidad, 6) confidencialidade, integridade, disponibilidade

y cualquier otra propiedad relevante (véase e qualquer outra propriedade relevante (ver
el Apartado 2.1.5) de los activos; 2.1.5) dos ativos;

7) restricciones a la copia y a la divulgación de 7) restrições em relação a cópias e divulgação

información, y uso de acuerdos de de informações, e uso dos acordos de
confidencialidad (véase el Apartado 6.1.5); confidencialidade (ver 6.1.5).

c) capacitación de los usuarios y administradores c) treinamento dos usuários e administradores nos

en métodos, procedimientos y seguridad; métodos, procedimentos e segurança da
informação;

d) asegurar la concientización del usuario sobre d) assegurar a conscientização dos usuários nas
responsabilidades y aspectos de la seguridad de questões e responsabilidades pela segurança da
la información; informação;

e) disposición para la transferencia de personal, f) provisão para a transferência de pessoal, onde

cuando sea apropiado; necessário;

f) responsabilidades respecto a la instalación y f) responsabilidades com relação à manutenção e

mantenimiento del hardware y software; instalação de software e hardware;

g) una estructura de reportes clara y formatos de g) uma estrutura clara de notificação e formatos de
reporte convenidos; relatórios acordados;

h) un proceso claro y especificado para la gestión h) um processo claro e definido de gestão de

de cambios; mudanças;

i) políticas de control de acceso, que cubran: i) política de controle de acesso, cobrindo:

1) las diferentes razones, requisitos y 1) as diferentes razões, requisitos e benefícios

beneficios de la necesidad del acceso por que justificam a necessidade do acesso pelo
terceras partes; terceiro;

2) métodos de acceso permitidos y el control y 2) métodos de acesso permitido e o controle e

uso de identificadores únicos, tales como uso de identificadores únicos, tais como
las identificaciones de usuario (IDs) y identificadores de usuários e senhas de
contraseñas; acesso;

3) un proceso de autorización para el acceso 3) um processo de autorização de acesso e

de usuario y los privilegios; privilégios para os usuários;

4) el requisito de mantener una lista de 4) um requisito para manter uma lista de

individuos autorizados a utilizar los pessoas autorizadas a usar os serviços que
servicios habilitados, y cuáles son sus estão sendo disponibilizados, e quais os
derechos y privilegios respecto a dicho uso; seus direitos e privilégios com relação a tal
uso;

5) una declaración de que toda autorización 5) uma declaração de que todo o acesso que
cuyo acceso no está explicitado está não seja explicitamente autorizado é
prohibida; proibido;

6) un proceso para la revocación de derechos 6) um processo para revogar os direitos de

de acceso o la interrupción de la conexión acesso ou interromper a conexão entre

25 10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
entre sistemas;
j) las disposiciones para el reporte, la notificación
y la investigación de los incidentes de seguridad
de la información y las brechas de seguridad, así
como violaciones de los requisitos establecidos
en los acuerdos;
k) una descripción del productos o servicio a ser
provisto, y una descripción de la información a
habilitar con su clasificación de seguridad (véase
el Apartado 7.2.1);
l) el nivel a alcanzar por el servicio y los niveles
inaceptables del servicio;
m) la definición de criterios verificables de
rendimiento, su seguimiento y reporte;
n) el derecho al seguimiento y a revocar cualquier
actividad relacionada con los activos de la
organización;
o) el derecho a auditar responsabilidades
definidas en el acuerdo, a que dichas auditorías
sean realizadas por terceros, y a enumerar los
derechos estatutarios de los auditores;
p) el establecimiento de un proceso escalable
para la resolución de problemas;
q) requisitos de continuidad del servicio,
incluyendo medidas de disponibilidad y incluindo medições para disponibilidade e
confiabilidad, en concordancia con las prioridades
de negocio de la organización;
r) las respectivas responsabilidades de las partes
en el acuerdo;
s) responsabilidades respecto a asuntos legales y
como se asegura que los requisitos legales son
alcanzados, por ejemplo, legislación de
protección de datos, especialmente teniendo en
cuenta los diferentes sistemas legales de cada
nación si el acuerdo involucra la cooperación con
clientes en otros países (véase el Apartado 15.1);
t) derechos de propiedad intelectual (DPI) y
asignación de derechos de copia (véase el
Apartado 15.1.2) y la protección de cualquier
trabajo en colaboración (véase el Apartado 6.1.5);
u) participación de terceros con subcontratistas, y
los controles de seguridad que dichos
subcontratistas necesitan implementar;
v) condiciones para la renegociación/término de
acuerdos:
26
sistemas;
j) dispositivos para relato, notificação e
investigação de incidentes de segurança da
informação e violação da segurança, bem como as
violações dos requisitos definidos no acordo;
k) uma descrição do produto ou serviço que está
sendo fornecido e uma descrição da informação
que deve estar disponível, juntamente com a sua
classificação de segurança (ver 7.2.1);
l) níveis de serviços acordados e os níveis de
serviços inaceitáveis;
m) definição de critérios de desempenho
verificáveis, seu monitoramento e relato;
n) direito de monitorar e revogar qualquer atividade
relacionada com os ativos da organização;
o) direito de auditar as responsabilidades definidas
do acordo, para ter essas auditorias realizadas por
terceira parte para enumerar os direitos
regulamentares dos auditores;
p) estabelecimento de um processo escalonado
para resolução de problemas;
q) requisitos para a continuidade dos serviços,
confiabilidade, de acordo com as prioridades do
negócio da organização;
r) respectivas obrigações das partes com o acordo;
s) responsabilidades com relação a aspectos legais
e como é assegurado que os requisitos legais são
atendidos, por exemplo, leis de proteção de dados,
levando-se em consideração especialmente os
diferentes sistemas legais nacionais, se o acordo
envolver a cooperação com organizações em
outros países (ver 15.1);
t) direitos de propriedade intelectual e direitos
autorais (ver 15.1.2) e proteção de qualquer
trabalho colaborativo (ver 6.1.5);
u) envolvimento do terceiro com subfornecedores e
os controles de segurança da informação que
esses subfornecedores precisam implementar;
v) condições de renegociação ou encerramento de
acordos:
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
1) debería establecerse un plan de
contingencia en caso de que cualquier
parte desee terminar la relación antes de la
finalización de los acuerdos;
2) renegociación de los acuerdos si los
requisitos de seguridad de la organización
cambian;
3) documentación vigente de las listas de
activos, licencias, acuerdos o derechos
relacionados con ellos.
Información adicional
Los acuerdos pueden variar considerablemente
para diferentes organizaciones y entre distintos
tipos de terceros. Por lo tanto, debería tenerse
cuidado de incluir todos los riesgos y los
requisitos seguridad identificados (véase el
Apartado 6.2.1) en los acuerdos. Cuando sea
necesario, los procedimientos y controles
requeridos pueden ser expandidos en el plan de
gestión de la seguridad.
Si la gestión de la seguridad de la información se
contrata externamente, los acuerdos deberían
aclarar como los terceros garantizarán la
seguridad adecuada, tal como lo definió la
evaluación de riesgos, cómo será mantenida y
cómo será adaptada la seguridad para identificar
y tratar los cambios en los riesgos.
Algunas de las diferencias entre la contratación
externa y otras formas de provisión de servicio
por terceros incluyen cuestiones de
responsabilidad, planificación de períodos de
transición y potencial interrupción de operaciones
durante ese período, acuerdos sobre planificación
de contingencias y las debidas solicitudes de
revisión, así como la recolección y gestión de
información de los incidentes de seguridad. Por lo
tanto, es importante que la organización
planifique y gestione la transición hacia un
acuerdo contratado externamente y tenga
procesos adecuados establecidos para la gestión
de los cambios y la renegociación / el término de
acuerdos.
Los procedimientos para continuar procesando en
el caso en que el tercero se vuelva incapaz de
brindar sus servicios deberían considerase en el
acuerdo para evitar cualquier demora en la
disposición de los servicios de reemplazo.
Los acuerdos con terceros también pueden
involucrar a otras partes. Los acuerdos que
permitan el acceso de terceros deberían incluir
permisos para la designación de otras partes y las
condiciones para su acceso y participación.
27
1) um plano de contingência deve ser elaborado
no caso de uma das partes desejar encerrar
a relação antes do final do acordo;
2) renegociação dos acordos se os requisitos de
segurança da organização mudarem;
3) listas atualizadas da documentação dos
ativos, licenças, acordos ou direitos
relacionados aos ativos.
Informações adicionais
Os acordos podem variar consideravelmente para
diferentes organizações e entre os diferentes tipos
de terceiros. Portanto, convém que sejam tomados
cuidados para incluir nos acordos todos os riscos
identificados e os requisitos de segurança da
informação (ver 6.2.1). Onde necessário, os
procedimentos e controles requeridos podem ser
incluídos em um plano de gestão de segurança da
informação.
Se a gestão da segurança da informação for
terceirizada, convém que os acordos definam como
os terceiros irão garantir que a segurança da
informação, conforme definida na análise/avaliação
de riscos, será mantida e como a segurança da
informação será adaptada para identificar e tratar
com as mudanças aos riscos.
Algumas das diferenças entre as terceirizações e
as outras formas de provisão de serviços de
terceiros incluem a questão das obrigações legais,
o planejamento do período de transição e de
descontinuidade da operação durante este período,
planejamento de contingências e análise crítica de
investigações, e coleta e gestão de incidentes de
segurança da informação. Portanto, é importante
que a organização planeje e gerencie a transição
para um terceirizado e tenha processos adequados
implantados para gerenciar as mudanças e
renegociar ou encerrar os acordos.
Os procedimentos para continuar processando no
caso em que o terceiro se torne incapaz de prestar
o serviço precisam ser considerados no acordo
para evitar qualquer atraso nos serviços de
substituição.
Acordos com terceiros podem também envolver
outras partes. Convém que os acordos que
concedam o acesso a terceiros incluam permissão
para designação de outras partes elegíveis e
condições para os seus acessos e envolvimento.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Generalmente los acuerdos son desarrollados en
primer término por la organización. Puede haber
ocasiones en algunas circunstancias donde un
acuerdo puede ser desarrollado e impuesto sobre
una organización por un tercero. La organización
necesita asegurarse que su propia seguridad no
es impactada innecesariamente por los requisitos
del tercero estipulados en los acuerdos
impuestos.
7 Gestión de activos
7.1 Responsabilidad sobre los activos
OBJETIVO: Implementar y mantener una
adecuada protección sobre los activos de la
organización.
Todos los activos deberían tener un responsable
y debería asignarse un propietario a cada uno de
ellos.
Deberían identificarse los propietarios para todos
los activos y se debería asignar la
responsabilidad del mantenimiento de los
controles apropiados. La implementación de
controles sobre un activo podría ser delegada por
su propietario pero éste continúa manteniendo la
responsabilidad por la protección del mismo.
7.1.1 Inventario de activos
Control
Todos los activos deberían ser claramente
identificados y debería realizarse y mantenerse
un inventario de los activos importantes.
Guía de implementación
La organización debería identificar todos sus
activos y documentar la importancia de ellos. El
inventario de activos debería incluir toda la
información necesaria en caso de tener que
recuperar el activo luego de un desastre. Esto
incluye tipo de activo, formato, localización,
información del respaldo, información de licencias
e importancia para el negocio. Este inventario no
debería duplicar innecesariamente otros
inventarios, pero debería garantizarse que el
contenido esté alineado.
Asimismo, la propiedad (véase el Apartado 7.1.2)
y la clasificación (véase el Apartado 7.2) de la
información debería ser acordada y documentada
para cada uno de los activos. Deberían definirse
niveles de protección acordes a la importancia del
activo, su relevancia en el negocio y su
28
De um modo geral os acordos são geralmente
elaborados pela organização. Podem existir
situações onde, em algumas circunstâncias, um
acordo possa ser elaborado e imposto à
organização pelo terceiro. A organização precisa
assegurar que a sua própria segurança da
informação não é afetada desnecessariamente
pelos requisitos do terceiro, estipulados no acordo
imposto.
7 Gestão de ativos
7.1 Responsabilidade pelos ativos
Objetivo: Alcançar e manter a proteção adequada
dos ativos da organização.
Convém que todos os ativos sejam inventariados e
tenham um proprietário responsável.
Convém que os proprietários dos ativos sejam
identificados e a eles seja atribuída a
responsabilidade pela manutenção apropriada dos
controles. A implementação de controles
específicos pode ser delegada pelo proprietário,
conforme apropriado, porém o proprietário
permanece responsável pela proteção adequada
dos ativos.
7.1.1 Inventário dos ativos
Controle
Convém que todos os ativos sejam claramente
identificados e um inventário de todos os ativos
importantes seja estruturado e mantido.
Diretrizes para implementação
Convém que a organização identifique todos os
ativos e documente a importância destes ativos.
Convém que o inventário do ativo inclua todas as
informações necessárias que permitam recuperar
de um desastre, incluindo o tipo do ativo, formato,
localização, informações sobre cópias de
segurança, informações sobre licenças e a
importância do ativo para o negócio. Convém que o
inventário não duplique outros inventários
desnecessariamente, porém ele deve assegurar
que o seu conteúdo está coerente.
Adicionalmente, convém que o proprietário (ver
7.1.2) e a classificação da informação (ver 7.2)
sejam acordados e documentados para cada um
dos ativos. Convém que, com base na importância
do ativo, seu valor para o negócio e a sua
classificação de segurança, níveis de proteção
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
clasificación en relación a la seguridad. (Más
información de cómo valorar los activos para
representar su importancia puede ser encontrada
en ISO/IEC TR 13335-3).
Información adicional
Existen muchos tipos de activos, incluyendo:
a) información: archivos y bases de datos,
contratos y acuerdos, documentación de
sistemas, información de investigaciones,
manuales de usuario, material de entrenamiento,
procedimientos operativos o de soportes, planes
de continuidad del negocio, procedimientos de
vuelta atrás (fallback), pistas de auditoría e
información archivada;
b) activos de software: software de aplicación,
software de sistemas, herramientas de desarrollo
y utilitarios;
c) activos físicos: computadoras, equipos de
comunicaciones, medios removibles y otros
equipos;
d) servicios: servicios de procesamiento y
comunicaciones, servicios generales por ejemplo:
calefacción, iluminación, suministro de energía y
aire acondicionado;
e) recursos humanos, y su calificación,
habilidades y experiencia;
f) intangibles, tales como reputación e imagen de
la organización.
Los inventarios de activos ayudan a garantizar
que se logra la protección eficaz de los activos
pero también pueden ser requeridos para otros
propósitos del negocio, como por ejemplo por
razones de salud y seguridad, financieras o de
seguros (gestión de activos). El proceso de
compilar un inventario de activos es un
prerrequisito importante de la gestión de riesgos
(véase también Cláusula 4).
7.1.2 Propiedad de los activos
Control
Toda la información y los activos asociados con
las instalaciones de procesamiento de la
información deberían pertenecer a un propietario1)
designado por la organización.
_______________
1)
El término propietario identifica un individuo o entidad que ha
probado habilidades de gestión para controlar la producción,
desarrollo, mantenimiento, uso y seguridad de un activo. El
término propietario no significa que la persona tiene
efectivamente derechos de propiedad sobre el activo.
29
proporcionais à importância dos ativos sejam
identificados (mais informações sobre como valorar
os ativos para indicar a sua importância podem ser
encontradas na ISO IEC TR 13335-3).
Informações adicionais
Existem vários tipos de ativos, incluindo:
a) ativos de informação: base de dados e arquivos,
contratos e acordos, documentação de sistema,
informações sobre pesquisa, manuais de usuário,
material de treinamento, procedimentos de suporte
ou operação, planos de continuidade do negócio,
procedimentos de recuperação, trilhas de auditoria
e informações armazenadas;
b) ativos de software: aplicativos, sistemas,
ferramentas de desenvolvimento e utilitários;
c) ativos físicos: equipamentos computacionais,
equipamentos de comunicação, mídias removíveis
e outros equipamentos;
d) serviços: serviços de computação e
comunicações, utilidades gerais, por exemplo
aquecimento, iluminação, eletricidade e
refrigeração;
e) pessoas e suas qualificações, habilidades e
experiências;
f) intangíveis, tais como a reputação e a imagem da
organização.
Os inventários de ativos ajudam a assegurar que a
proteção efetiva do ativo pode ser feita e também
pode ser requerido para outras finalidades do
negócio, como saúde e segurança, seguro ou
financeira (gestão de ativos). O processo de
compilação de um inventário de ativos é um pré-
requisito importante no gerenciamento de riscos
(ver Seção 4).
7.1.2 Proprietário dos ativos
Controle
Convém que todas as informações e ativos
associados com os recursos de processamento da
informação tenham um proprietário1) designado por
uma parte definida da organização.
__________________
1)
O termo “proprietário” identifica uma pessoa ou organismo que
tenha uma responsabilidade autorizada para controlar a
produção, o desenvolvimento, a manutenção, o uso e a
segurança dos ativos. O termo "proprietário" não significa que a
pessoa realmente tenha qualquer direito de propriedade ao
ativo.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Guía de implementación
El propietario de un activo debería ser
responsable de:
a) asegurar que la información y los activos
asociados con las instalaciones de procesamiento
de la información son clasificados en forma
apropiada;
b) definir y revisar periódicamente restricciones y
clasificación del acceso al activo teniendo en
cuenta las políticas aplicables de control de
acceso.
La propiedad puede ser asignada a:
a) a un procesos de negocio;
b) a un conjuntos definido de actividades;
c) a una aplicación;
d) a un conjunto definido de datos.
Información adicional
Las tareas rutinarias pueden ser delegadas, por
ejemplo, a un guardia que vigile el activo
diariamente, pero la responsabilidad continua
siendo del propietario.
En sistemas de información complejos puede
resultar útil designar un grupo de activos, los
cuales actúan en forma conjunta para proveer
una función particular como un “servicio”. En este
caso el propietario del servicio es responsable por
la entrega del mismo, incluido el funcionamiento
de los activos que lo proveen.
7.1.3 Uso aceptable de los activos
Control
Deberían ser identificadas, documentadas e
implementadas reglas para el uso aceptable de la
información y de los activos asociados con las
instalaciones de procesamiento de la información.
Guía de implementación
Todos los empleados, contratistas, y usuarios de
terceras partes deberían seguir las reglas para el
uso aceptable de la información y de los activos
asociados con las instalaciones de procesamiento
de la información, incluyendo:
a) reglas para el uso del correo electrónico e
Internet (véase el Apartado 10.8);
b) directrices para el uso de dispositivos móviles,
especialmente para el uso fuera del la
30
Diretrizes para implementação
Convém que o proprietário do ativo seja
responsável por:
a) assegurar que as informações e os ativos
associados com os recursos de processamento da
informação estejam adequadamente classificados;
b) definir e periodicamente analisar criticamente as
classificações e restrições ao acesso, levando em
conta as políticas de controle de acesso, aplicáveis.
O proprietário pode ser designado para:
a) um processo do negócio;
b) um conjunto de atividades definidas;
c) uma aplicação; ou
d) um conjunto de dados definido.
Informações adicionais
As tarefas de rotina podem ser delegadas, por
exemplo, para um custodiante que cuida do ativo
no dia-a-dia, porém a responsabilidade permanece
com o proprietário.
Em sistemas de informação complexos pode ser
útil definir grupos de ativos que atuem juntos para
fornecer uma função particular, como serviços.
Neste caso, o proprietário do serviço é o
responsável pela entrega do serviço, incluindo o
funcionamento dos ativos, que provê os serviços.
7.1.3 Uso aceitável dos ativos
Controle
Convém que sejam identificadas, documentadas e
implementadas regras para que sejam permitidos o
uso de informações e de ativos associados aos
recursos de processamento da informação.
Diretrizes para implementação
Convém que todos os funcionários, fornecedores e
terceiros sigam as regras para o uso permitido de
informações e de ativos associados aos recursos
de processamento da informação, incluindo:
a) regras para o uso da internet e do correio
eletrônico (ver 10.8);
b) diretrizes para o uso de dispositivos móveis,
especialmente para o uso fora das instalações da
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
organización (véase el Apartado 11.7.1).
El director correspondiente debería suministrar
las reglas o directrices específicas. Los
empleados, contratistas y usuarios de terceras
partes que utilicen o tengan acceso a los activos
de la organización deberían estar conscientes de
los límites que existen para el uso de la
información y de los activos de la organización
asociados con las instalaciones de procesamiento
de información, así como de los recursos.
Deberían responsabilizarse del uso que hagan de
los recursos de procesamiento de información y
de cualquier uso efectuado bajo su
responsabilidad.
7.2 Clasificación de la información
OBJETIVO: Asegurar que la información recibe el
nivel de protección adecuado.
La información debería clasificarse para indicar la
necesidad, prioridades y grado de protección
esperado en el manejo de la misma.
La información tiene grados variables de
sensibilidad y criticidad. Algunos elementos de
información pueden requerir un nivel adicional de
protección o un manejo especial. Debería
utilizarse un sistema de clasificación de la
información para definir un conjunto de niveles de
protección adecuados, y comunicar la necesidad
de medidas especiales de manejo.
7.2.1 Directrices de clasificación
Control
La información debería clasificarse en términos
de su valor, requisitos legales, sensibilidad y
criticidad para la organización.
Guía de implementación
La clasificación de información y otros controles
de protección asociados deberían tener en cuenta
que el negocio necesita compartir o restringir la
información, así como los impactos en el negocio
asociados a esas necesidades.
Las directrices de clasificación deberían incluir
convenciones para la clasificación inicial y
reclasificación a lo largo del tiempo, de acuerdo
con políticas predeterminadas de control de
acceso (véase el Apartado 11.1.1).
Debería ser responsabilidad del propietario del
activo (véase el Apartado 7.2.1) definir la
clasificación del activo, revisarla periódicamente y
31
organização (ver 11.7.1).
Convém que regras específicas ou diretrizes sejam
fornecidas pelo gestor relevante. Convém que
funcionários, fornecedores e terceiros que usem ou
tenham acesso aos ativos da organização estejam
conscientes dos limites que existem para os usos
das informações e ativos associados da
organização aos recursos de processamento da
informação. Convém que eles sejam responsáveis
pelo uso de quaisquer recursos de processamento
da informação e de quaisquer outros usos
conduzidos sob a suas responsabilidades.
7.2 Classificação da informação
Objetivo: Assegurar que a informação receba um
nível adequado de proteção.
Convém que a informação seja classificada para
indicar a necessidade, prioridades e o nível
esperado de proteção quando do tratamento da
informação.
A informação possui vários níveis de sensibilidade
e criticidade. Alguns itens podem necessitar um
nível adicional de proteção ou tratamento especial.
Convém que um sistema de classificação da
informação seja usado para definir um conjunto
apropriado de níveis de proteção e determinar a
necessidade de medidas especiais de tratamento.
7.2.1 Recomendações para classificação
Controle
Convém que a informação seja classificada em
termos do seu valor, requisitos legais, sensibilidade
e criticidade para a organização.
Diretrizes para implementação
Convém que a classificação da informação e seus
respectivos controles de proteção levem em
consideração as necessidades de
compartilhamento ou restrição de informações e os
respectivos impactos nos negócios, associados
com tais necessidades.
Convém que as diretrizes para classificação
incluam convenções para classificação inicial e
reclassificação ao longo do tempo, de acordo com
algumas políticas de controle de acesso
predeterminadas (ver 11.1.1).
Convém que seja de responsabilidade do
proprietário do ativo (ver 7.1.2) definir a
classificação de um ativo, analisando-o
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
asegurar que esté actualizada y en el nivel
apropiado. La clasificación debería tener en
cuanta el efecto de acumulación mencionado en
el Apartado 10.7.2.
Debería considerarse el número de categorías de
clasificación y los beneficios obtenidos con su
uso. Los esquemas demasiado complejos pueden
volverse engorrosos y de uso costoso o no ser
prácticos. Debería interpretarse cuidadosamente
las etiquetas de clasificación que aparezcan en
documentos de otras organizaciones que pueden
tener distintas definiciones para etiquetas iguales
o similares.
Información adicional
El nivel de protección se asegura mediante el
análisis de confidencialidad, integridad y
disponibilidad y otros requisitos relativos a la
información considerada.
La información suele dejar de tener importancia o
criticidad tras cierto tiempo, por ejemplo, cuando
se ha hecho pública. Estos aspectos deberían
considerarse, puesto que una sobre-clasificación
conllevaría un gasto adicional innecesario.
Cuando se asignan niveles de clasificación, la
consideración de documentos con similares
requisitos de seguridad en forma conjunta facilita
la tarea de clasificación.
En general, la clasificación dada a la información
constituye una forma práctica de determinar la
manera que la información debería ser tratada y
protegida.
7.2.2 Etiquetado y manejo de la información
Control
Debería desarrollarse e implementarse un
conjunto apropiado de procedimientos para el
etiquetado y manejo de la información de acuerdo
al esquema de clasificación adoptado por la
organización.
Guía de implementación
Los procedimientos para el etiquetado de la
información han de cubrir los activos de
información en formato físico y electrónico.
La salida procedente de los sistemas que traten
información clasificada como sensible o crítica
deberían llevar una etiqueta de clasificación
adecuada (en la salida). El etiquetado debería
32
criticamente a intervalos regulares, e assegurar que
ele está atualizado e no nível apropriado. Convém
que a classificação leve em consideração a
agregação do efeito mencionado em 10.7.2.
Convém que cuidados sejam tomados com a
quantidade de categorias de classificação e com os
benefícios obtidos pelo seu uso. Esquemas
excessivamente complexos podem tornar o uso
incômodo e ser inviáveis economicamente ou
impraticáveis. Convém que atenção especial seja
dada na interpretação dos rótulos de classificação
sobre documentos de outras organizações, que
podem ter definições diferentes para rótulos iguais
ou semelhantes aos usados.
Informações adicionais
O nível de proteção pode ser avaliado analisando a
confidencialidade, a integridade e a disponibilidade
da informação, bem como quaisquer outros
requisitos que sejam considerados.
A informação freqüentemente deixa de ser sensível
ou crítica após um certo período de tempo, por
exemplo quando a informação se torna pública.
Convém que estes aspectos sejam levados em
consideração, pois uma classificação
superestimada pode levar à implementação de
custos desnecessários, resultando em despesas
adicionais.
Considerar, conjuntamente, documentos com
requisitos de segurança similares, quando da
atribuição dos níveis de classificação, pode ajudar
a simplificar a tarefa de classificação.
Em geral, a classificação dada à informação é uma
maneira de determinar como esta informação vai
ser tratada e protegida.
7.2.2 Rótulos e tratamento da informação
Controle
Convém que um conjunto apropriado de
procedimentos para rotulação e tratamento da
informação seja definido e implementado de acordo
com o esquema de classificação adotado pela
organização.
Diretrizes para implementação
Os procedimentos para rotulação da informação
precisam abranger tanto os ativos de informação
no formato físico quanto no eletrônico.
Convém que as saídas de sistemas que contêm
informações classificadas como sensíveis ou
críticas tenham o rótulo apropriado da classificação
da informação (na saída). Convém que o rótulo
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
reflejar la clasificación de acuerdo con las reglas
establecidas en el Apartado 7.2.1. Los elementos
a considerar incluyen informes impresos,
presentaciones en pantalla, medios de
almacenamiento (cintas, discos, CDs), mensajes
electrónicos y transferencias de archivos.
Para cada nivel de clasificación deberían definirse
procedimientos para el manejo de la información,
incluyendo procedimientos seguros de,
almacenamiento, transmisión, desclasificación y
destrucción. Esto debería incluir los
procedimientos para la cadena de custodia y el
registro de cualquier evento relevante en cuanto a
su seguridad.
Los acuerdos con otras organizaciones que
impliquen compartir información deberían incluir
procedimientos para identificar la clasificación de
dicha información y para interpretar las etiquetas
de clasificación de otras organizaciones.
Información adicional
El etiquetado y manejo seguro de la información
es un requisito clave para acuerdos que impliquen
compartir información. Las etiquetas físicas
suelen ser la forma más común de etiquetado. Sin
embargo, ciertos activos de información, como los
documentos en formato electrónico no pueden
marcarse físicamente y hay que usar medios
electrónicos de marcado, por ejemplo,
desplegando marcas de notificación en la
pantalla. En donde el marcado no es posible,
pueden aplicarse otras maneras para la
clasificación, por ejemplo, por la vía de
procedimientos o meta-data.
8 Seguridad ligada a los recursos
humanos
8.1 Previo al empleo1)
OBJETIVO: Asegurar que los empleados,
contratistas y usuarios de terceras partes
entiendan sus responsabilidades, y que sean
aptos para los roles para los cuales están siendo
considerados, y para reducir el riesgo de hurto,
fraude o mal uso de las instalaciones.
Las responsabilidades de seguridad deberían ser
tratadas antes de tomar personal en
descripciones adecuadas de tareas y en términos
y condiciones de empleo.
1) Explicación: La palabra "empleo" se utiliza aquí para cubrir
todas las diferentes situaciones siguientes: empleo de
personas (temporales o a largo plazo), nombramiento de roles
de trabajo, cambio de roles de trabajo, asignaciones de
contratistas, y la terminación de cualquiera de estos acuerdos.
33
reflita a classificação de acordo com as regras
estabelecidas em 7.2.1. Itens que devem ser
considerados incluem relatórios impressos, telas,
mídias magnéticas (fitas, discos, CD), mensagens
eletrônicas e transferências de arquivos.
Convém que sejam definidos, para cada nível de
classificação, procedimentos para o tratamento da
informação que contemplem o processamento
seguro, a armazenagem, a transmissão, a
reclassificação e a destruição. Convém que isto
também inclua os procedimentos para a cadeia de
custódia e registros de qualquer evento de
segurança relevante.
Convém que acordos com outras organizações,
que incluam o compartilhamento de informações,
considerem procedimentos para identificar a
classificação daquela informação e para interpretar
os rótulos de classificação de outras organizacões.
Informações adicionais
A rotulação e o tratamento seguro da classificação
da informação é um requisito-chave para os
procedimentos de compartilhamento da
informação. Os rótulos físicos são uma forma usual
de rotulação. Entretanto, alguns ativos de
informação, como documentos em forma
eletrônica, não podem ser fisicamente rotulados,
sendo necessário usar um rótulo eletrônico. Por
exemplo, a notificação do rótulo pode aparecer na
tela ou no display. Onde a aplicação do rótulo não
for possível, outras formas de definir a classificação
da informação podem ser usadas, por exemplo, por
meio de procedimentos ou metadados.
8 Segurança em recursos humanos
8.1 Antes da contratação1)
Objetivo: Assegurar que os funcionários,
fornecedores e terceiros entendam suas
responsabilidades e estejam de acordo com os
seus papéis, e reduzir o risco de furto ou roubo,
fraude ou mau uso de recursos.
Convém que as responsabilidades pela segurança
da informação sejam atribuídas antes da
contratação, de forma adequada, nas descrições
de cargos e nos termos e condições de
contratação.
1) Explicação: A palavra “contratação”, neste contexto, visa
cobrir todas as seguintes diferentes situações: contratação de
pessoas (temporárias ou por longa duração), nomeação de
funções, mudança de funções, atribuições de contratos e
encerramento de quaisquer destas situações.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Todos los candidatos para el empleo, contratistas
y usuarios de terceras partes deberían ser
filtrados adecuadamente, especialmente para
tareas sensibles.
Usuarios de instalaciones de procesamiento de
información, ya sea empleados, contratistas y de
terceras partes deberían firmar un acuerdo sobre
sus roles y responsabilidades de seguridad.
8.1.1 Roles y responsabilidades
Control
Los roles y responsabilidades de seguridad de
usuarios empleados, contratistas y de terceras
partes deberían ser definidos y documentados de
acuerdo con la política de seguridad de la
información de la organización.
Guía de implementación
Los roles y responsabilidades de seguridad
deberían incluir la exigencia de:
a) implementar y actuar de acuerdo con las
políticas de seguridad de la información de la
organización (véase Apartado 5.1);
b) proteger los activos de accesos no autorizados,
divulgación, modificación, destrucción o divulgação,
interferencia;
c) ejecutar procesos o actividades particulares de
seguridad;
d) asegurar que la responsabilidad sea asignada
al individuo por acciones tomadas;
e) reportar eventos de seguridad o eventos
potenciales u otros riesgos de seguridad para la
organización.
Los roles y responsabilidades de seguridad
deberían ser definidos y claramente comunicados
a los candidatos al puesto durante el proceso de
pre-empleo.
Información adicional
Las descripciones de tareas pueden ser usadas
para documentar roles y responsabilidades de
seguridad. Los roles y responsabilidades de
seguridad para individuos no involucrados vía el
proceso de empleo de la organización, por
ejemplo involucrados vía una organización de
terceras partes, deberían también ser claramente
definidos y comunicados.
34
Convém que todos os candidatos ao emprego,
fornecedores e terceiros sejam adequadamente
analisados, especialmente em cargos com acesso
a informações sensíveis.
Convém que todos os funcionários, fornecedores e
terceiros, usuários dos recursos de processamento
da informação, assinem acordos sobre seus papéis
e responsabilidades pela segurança da informação.
8.1.1 Papéis e responsabilidades
Controle
Convém que papéis e responsabilidades pela
segurança da informação de funcionários,
fornecedores e terceiros sejam definidos e
documentados de acordo com a política de
segurança da informação da organização.
Diretrizes para implementação
Convém que os papéis e responsabilidades pela
segurança da informação incluam requisitos para:
a) implementar e agir de acordo com as políticas de
segurança da informação da organização (ver 5.1);
b) proteger ativos contra acesso não autorizado,
modificação, destruição ou
interferência;
c) executar processos ou atividades particulares de
segurança da informação;
d) assegurar que a responsabilidade é atribuída à
pessoa para tomada de ações;
e) relatar eventos potenciais ou reais de segurança
da informação ou outros riscos de segurança para
a organização.
Convém que papéis e responsabilidades de
segurança da informação sejam definidos e
claramente comunicados aos candidatos a cargos,
durante o processo de pré-contratação.
Informações adicionais
Descrições de cargos podem ser usadas para
documentar responsabilidades e papéis pela
segurança da informação. Convém que papéis e
responsabilidades pela segurança da informação
para pessoas que não estão engajadas por meio
do processo de contratação da organização, como,
por exemplo, através de uma organização
terceirizada, sejam claramente definidos e
comunicados.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
8.1.2 Selección
Control
Debería realizarse la verificación de antecedentes
en todos los candidatos al empleo, contratistas, y
usuarios de terceras partes de acuerdo con las
leyes, regulaciones y normas éticas relevantes y
en proporción a los requisitos del negocio, la
clasificación de la información a ser accedida, y
los riesgos percibidos.
Guía de implementación
Los chequeos de verificación deberían tener en
cuenta toda la legislación relevante sobre
privacidad, protección de datos personales y/o
relativa a empleo, y debería, donde sea permitido,
incluir lo siguiente:
a) disponibilidad de referencias satisfactorias, por
ejemplo una de negocios y una personal;
b) una comprobación (para integridad y exactitud)
del currículum vitae del postulante;
c) confirmación de las calificaciones académicas
y profesionales declaradas;
d) comprobación independiente de identidad
(pasaporte o documento similar);
e) comprobaciones más detalladas, tales como
verificación de crédito o antecedentes criminales.
Cuando una tarea, tanto en un nombramiento
inicial o en un ascenso, involucre que la persona
tenga acceso a instalaciones de procesamiento
de información, y en particular si éstas están
manejando información sensible, por ejemplo
información financiera o altamente confidencial, la
organización debería también considerar
comprobaciones adicionales más detalladas.
Los procedimientos deberían definir criterios y
limitaciones para comprobaciones de verificación,
por ejemplo, quién es elegible para seleccionar
personal, y cómo, cuándo y por qué se han de
realizar las comprobaciones de verificación.
Debería también realizarse un proceso de
selección para contratistas, y usuarios de terceras
partes. Donde los contratistas sean provistos a
través de una agencia, el contrato con la agencia
debería especificar claramente las
responsabilidades de la agencia para selección y
los procedimientos de notificación que ellos
necesitan seguir si la selección no ha sido
35
8.1.2 Seleção
Controle
Convém que verificações do histórico de todos os
candidatos a emprego, fornecedores e terceiros
sejam realizadas de acordo com a ética, as leis e
as regulamentações pertinentes, e proporcionais
aos requisitos do negócio, à classificação das
informações a serem acessadas e aos riscos
percebidos.
Diretrizes para implementação
Convém que as verificações levem em
consideração toda a legislação pertinente relativa à
privacidade, proteção de dados pessoais e/ou
emprego, e onde permitido, incluam os seguintes
itens:
a) disponibilidade de referências de caráter
satisfatórias, por exemplo uma profissional e uma
pessoal;
b) uma verificação (da exatidão e inteireza) das
informações do curriculum vitae do candidato;
c) confirmação das qualificações acadêmicas e
profissionais;
d) verificação independente da identidade
(passaporte ou documento similar);
e) verificações mais detalhadas, tais como
verificações financeiras (de crédito) ou verificações
de registros criminais.
Convém que a organização também faça
verificações mais detalhadas, onde um trabalho
envolver pessoas, tanto por contratação como por
promoção, que tenham acesso aos recursos de
processamento da informação, em particular
aquelas que tratam de informações sensíveis, tais
como informações financeiras ou informações
altamente confidenciais.
Convém que os procedimentos definam critérios e
limitações para as verificações de controle, por
exemplo, quem está qualificado para selecionar as
pessoas, e como, quando e por que as verificações
de controle são realizadas.
Convém que um processo de seleção também seja
feito para fornecedores e terceiros. Quando essas
pessoas vêm por meio de uma agência, convém
que o contrato especifique claramente as
responsabilidades da agência pela seleção e os
procedimentos de notificação que devem ser
seguidos se a seleção não for devidamente
concluída ou quando os resultados obtidos forem
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
completada o si los resultados ocasionan duda o
preocupación. De la misma manera, el acuerdo
con terceras partes (véase también el Apartado
6.2.3) debería especificar claramente todas las
responsabilidades y procedimientos de
notificación para selección.
Debería recopilarse la información de todos los
candidatos a ser considerados para posiciones
dentro de la organización y debería ser manejada
de acuerdo con toda legislación apropiada
existente en la jurisdicción relevante.
Dependiendo de la legislación aplicable, los
candidatos deberían ser informados con
antelación sobre las actividades de selección.
8.1.3 Términos y condiciones de empleo
Control
Como parte de su obligación contractual, los
empleados, contratistas y usuarios de terceras
partes deberían acordar y firmar los términos y
condiciones de su contrato de empleo, el cual
debería declarar las responsabilidades de él y de
la organización para la seguridad de la
información.
Guía de implementación
Los términos y condiciones de empleo deberían
reflejar la política de seguridad de la organización
además de aclarar y enunciar:
a) que todos los empleados, contratistas y
usuarios de terceras partes a los cuales se le de
acceso a información sensible deberían firmar un
acuerdo de confidencialidad o de no-divulgación
previamente a ser otorgado el acceso a las
instalaciones de procesamiento de información;
b) las responsabilidades y derechos legales de
empleados, contratistas y todo otro usuario, como
por ejemplo relativas a derechos de copia o
legislación de protección de datos (véase también
los Apartados 15.1.1 y 15.1.2);
c) responsabilidades para la clasificación de
información y gestión de activos de la
organización asociados a sistemas y servicios de
información manejados por el empleado, el
contratista o el usuario de terceras partes (véase
también los Apartados 7.2.1 y 10.7.3);
d) responsabilidades del empleado, contratista o
usuario de terceras partes por el manejo de
información recibida de otras organizaciones o
partes externas;
e) responsabilidades de la organización para el
manejo de información personal, incluyendo
36
motivos de dúvidas ou preocupações.
Do mesmo modo, convém que acordos com
terceiros (ver 6.2.3) especifiquem claramente todas
as responsabilidades e procedimentos de
notificação para a seleção.
Convém que informações sobre todos os
candidatos que estão sendo considerados para
certas posições dentro da organização sejam
levantadas e tratadas de acordo com qualquer
legislação apropriada existente na jurisdição
pertinente. Dependendo da legislação aplicável,
convém que os candidatos sejam previamente
informados sobre as atividades de seleção.
8.1.3 Termos e condições de contratação
Controle
Como parte das suas obrigações contratuais,
convém que os funcionários, fornecedores e
terceiros concordem e assinem os termos e
condições de sua contratação para o trabalho, os
quais devem declarar as suas responsabilidades e
a da organização para a segurança da informação.
Diretrizes para implementação
Convém que os termos e condições de trabalho
reflitam a política de segurança da organização,
esclarecendo e declarando:
a) que todos os funcionários, fornecedores e
terceiros que tenham acesso a informações
sensíveis assinem um termo de confidencialidade
ou de não divulgação antes de lhes ser dado o
acesso aos recursos de processamento da
informação;
b) as responsabilidades legais e direitos dos
funcionários, fornecedores e quaisquer outros
usuários, por exemplo, com relação às leis de
direitos autorais ou à legislação de proteção de
dados (ver 15.1.1 e 15.1.2);
c) as responsabilidades pela classificação da
informação e pelo gerenciamento dos ativos da
organização associados com os sistemas de
informação e com os serviços conduzidos pelos
funcionários, fornecedores ou terceiros (ver 7.2.1 e
10.7.3);
d) as responsabilidades dos funcionários,
fornecedores e terceiros pelo tratamento da
informação recebida de outras companhias ou de
partes externas;
e) responsabilidades da organização pelo
tratamento das informações pessoais, incluindo
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
información personal creada como resultado o
durante el contrato laboral con la organización
(véase también el Apartado 15.1.4);
f) responsabilidades que se extiendan fuera de
las instalaciones de la organización y fuera del
horario normal de trabajo, por ejemplo en el caso
de trabajo en el domicilio (véase también los
Apartados 9.2.5 y 11.7.1);
g) acciones a ser tomadas si el empleado,
contratista o usuario de terceras partes
desatiende los requisitos de seguridad de la
organización (véase también el Apartado 8.2.3).
h) La organización debería asegurar que los
empleados, contratistas y usuarios de terceras
partes acuerden en los términos y condiciones
concernientes a la seguridad de la información
apropiada a la naturaleza y extensión de acceso
que ellos tendrán a los activos de la organización
asociados con los sistemas y servicios de
información.
Cuando sea apropiado, las responsabilidades
contenidas dentro de los términos y condiciones
de empleo deberían continuar por un período
definido luego de la finalización del empleo
(véase también el Apartado 8.3).
Información adicional
Se puede usar un código de conducta para cubrir
las responsabilidades de los empleados,
contratistas y usuarios de terceras partes
referentes a confidencialidad, protección de
datos, normas éticas, uso apropiado de los
equipos e instalaciones de la organización,
además de prácticas honestas esperadas por la
organización. Los usuarios contratistas o de
terceras partes pueden estar asociados con una
organización externa que a su vez puede requerir
ingresar en acuerdos contractuales en nombre del
individuo contratado.
8.2 Durante el empleo
OBJETIVO: Asegurar que los empleados,
contratistas y usuarios de terceras partes sean
conscientes de las amenazas y la pertinencia de
la seguridad de la información, de sus
responsabilidades y obligaciones, y estén
equipados para sustentar la política de seguridad
de la organización en el curso de su trabajo
normal, y para reducir el riesgo de errores
humanos.
Las responsabilidades de la dirección deberían
ser definidas para asegurar que la seguridad se
aplica a lo largo del empleo de un individuo dentro
37
informações pessoais criadas como resultado de,
ou em decorrência da, contratação com a
organização (ver 15.1.4);
f) responsabilidades que se estendem para fora
das dependências da organização e fora dos
horários normais de trabalho, como, por exemplo,
nos casos de execução de trabalhos em casa (ver
9.2.5 e 11.7.1);
g) ações a serem tomadas no caso de o
funcionário, fornecedor ou terceiro desrespeitar os
requisitos de segurança da informação da
organização (ver 8.2.3).
h) Convém que a organização assegure que os
funcionários, fornecedores e terceiros concordam
com os termos e condições relativas à segurança
da informação adequados à natureza e extensão
do acesso que eles terão aos ativos da
organização associados com os sistemas e
serviços de informação.
Convém que as responsabilidades contidas nos
termos e condições de contratação continuem por
um período de tempo definido, após o término da
contratação (ver 8.3), onde apropriado.
Informações adicionais
Um código de conduta pode ser usado para
contemplar as responsabilidades dos funcionários,
fornecedores ou terceiros, em relação à
confidencialidade, proteção de dados, éticas, uso
apropriado dos recursos e dos equipamentos da
organização, bem como práticas de boa conduta
esperada pela organização. O fornecedor ou o
terceiro pode estar associado com uma
organização externa que possa, por sua vez, ser
solicitada a participar de acordos contratuais, em
nome do contratado.
8.2 Durante a contratação
Objetivo: Assegurar que os funcionários,
fornecedores e terceiros estão conscientes das
ameaças e preocupações relativas à segurança da
informação, suas responsabilidades e obrigações,
e estão preparados para apoiar a política de
segurança da informação da organização durante
os seus trabalhos normais, e para reduzir o risco de
erro humano.
Convém que as responsabilidades pela direção
sejam definidas para garantir que a segurança da
informação é aplicada em todo trabalho individual
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
de una organización.
Debería proveerse a todos los empleados,
contratistas y usuarios de terceras partes un nivel
adecuado de concientización, educación, y
formación en procedimientos de seguridad y en el
uso correcto de instalaciones de procesamiento
de información, para minimizar los posibles
riesgos de seguridad. Debería establecerse un
proceso disciplinario formal para manejar brechas
de seguridad.
8.2.1 Responsabilidades de la dirección
Control
La dirección debería requerir a los empleados,
contratistas y usuarios de terceras partes que
apliquen la seguridad de acuerdo a las políticas y
los procedimientos establecidos por la
organización.
Guía de implementación
Las responsabilidades de la dirección deberían
incluir asegurar que los empleados, contratistas y
usuarios de terceras partes:
a) sean apropiadamente instruidos sobre sus
roles y responsabilidades de seguridad antes de
que se les otorgue acceso a información sensible
o a sistemas de información;
b) se les proporcione orientaciones para hacer
constar las expectativas sobre la seguridad de su
rol dentro de la organización;
c) sean motivados a cumplir con las políticas de
seguridad de la organización;
d) logren un nivel de conciencia sobre seguridad
relevante a sus roles y responsabilidades dentro
de la organización (véase también el Apartado
8.2.2);
e) convengan con los términos y condiciones del
empleo, lo cual incluye la política de seguridad de
la información de la organización y métodos
apropiados de trabajo;
f) continúen teniendo aptitudes y calificaciones
apropiadas.
Información adicional
Si los empleados, contratistas y usuarios de
terceras partes no son concientizados de sus
responsabilidades de seguridad, pueden causar
un daño considerable a la organización. El
personal motivado es probable que sea más
38
dentro da organização.
Convém que um nível adequado de
conscientização, educação e treinamento nos
procedimentos de segurança da informação e no
uso correto dos recursos de processamento da
informação seja fornecido para todos os
funcionários, fornecedores e terceiros, para
minimizar possíveis riscos de segurança da
informação. Convém que um processo disciplinar
formal para tratar das violações de segurança da
informação seja estabelecido.
8.2.1 Responsabilidades da direção
Controle
Convém que a direção solicite aos funcionários,
fornecedores e terceiros que pratiquem a
segurança da informação de acordo com o
estabelecido nas políticas e procedimentos da
organização.
Diretrizes para implementação
Convém que as responsabilidades da direção
assegurem que os funcionários, fornecedores e
terceiros:
a) estão adequadamente instruídos sobre as suas
responsabilidades e papéis pela segurança da
informação antes de obter acesso às informações
sensíveis ou aos sistemas de informação;
b) recebam diretrizes que definam quais as
expectativas sobre a segurança da informação de
suas atividades dentro da organização;
c) estão motivados para cumprir com as políticas
de segurança da informação da organização;
d) atinjam um nível de conscientização sobre
segurança da informação que seja relevante para
os seus papéis e responsabilidades dentro da
organização (ver 8.2.2);
e) atendam aos termos e condições de
contratação, que incluam a política de segurança
da informação da organização e métodos
apropriados de trabalho;
f) tenham as habilidades e qualificações
apropriadas.
Informações adicionais
Se os funcionários, fornecedores e terceiros não
forem conscientizados das suas responsabilidades,
eles podem causar consideráveis danos para a
organização. Pessoas motivadas têm uma maior
probabilidade de serem mais confiáveis e de
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002

confiable y ocasione menos incidentes de causar menos incidentes de segurança da

seguridad de la información. informação.

Una gestión pobre puede causar que el personal
se sienta subvaluado resultando en un impacto
negativo en la seguridad para la organización. Por
ejemplo, una gestión pobre puede conducir a
negligencias en la seguridad o mal uso potencial
de los activos de la organización.
Uma má gestão pode causar às pessoas o
sentimento de sub-valorização, resultando em um
impacto de segurança da informação negativo para
a organização. Por exemplo, uma má gestão pode
levar a segurança da informação a ser
negligenciada ou a um potencial mau uso dos
ativos da organização.

8.2.2 Concientización, educación y formación 8.2.2 Conscientização, educação e treinamento

en seguridad de la información em segurança da informação

Control Controle
Todos los empleados de la organización y, donde Convém que todos os funcionários da organização
sea relevante, contratistas y usuarios de terceras e, onde pertinente, fornecedores e terceiros
partes deberían recibir formación adecuada en recebam treinamento apropriados em
concientización y actualizaciones regulares en conscientização, e atualizações regulares nas
políticas y procedimientos organizacionales, políticas e procedimentos organizacionais,
relevantes para su función laboral. relevantes para as suas funções.

Guía de implementación Diretrizes para implementação

La formación en concientización debería Convém que o treinamento
comenzar con un proceso de inducción formal comece com um processo
ideado para introducir las políticas y expectativas concebido para introduzir
de la organización antes de otorgar acceso a expectativas de segurança
información o servicios. organização, antes que seja
informações ou serviços.
em conscientização
formal de indução
as políticas e
da informação da
dado o acesso às

La formación en curso debería incluir requisitos
de seguridad, responsabilidades legales y
controles del negocio, así como también
formación en el uso correcto de instalaciones de
procesamiento de información, como por ejemplo
procedimiento de conexión (log-on), uso de
paquetes de software e información sobre el
proceso disciplinario (véase el Apartado 8.2.3).
Convém que os treinamentos em curso incluam
requisitos de segurança da informação,
responsabilidades legais e controles do negócio,
bem como o treinamento do uso correto dos
recursos de processamento da informação, como,
por exemplo, procedimentos de log-on, o uso de
pacotes de software e informações sobre o
processo disciplinar (ver 8.2.3).

Información adicional Informações adicionais

Las actividades de concientización, educación y
formación en seguridad deberían ser adecuadas y
relevantes al rol de la persona, responsabilidades
y habilidades, y deberían incluir información sobre
amenazas conocidas, a quién contactar para
consejos sobre seguridad adicionales y los
canales apropiados para reportar incidentes de
seguridad de la información (véase también el
Apartado 13.1).
Convém que a conscientização, educação e
treinamento nas atividades de segurança da
informação sejam adequados e relevantes para os
papéis, responsabilidades e habilidades da pessoa,
e que incluam informações sobre conhecimento de
ameaças, quem deve ser contatado para
orientações sobre segurança da informação e os
canais adequados para relatar os incidentes de
segurança da informação (ver 13.1).

La formación para promover la concientización O treinamento para aumentar a conscientização

tiene como objetivo permitir a los individuos visa permitir que as pessoas reconheçam os
reconocer problemas e incidentes de seguridad problemas e incidentes de segurança da
de la información, y responder de acuerdo a las informação, e respondam de acordo com as
necesidades de su rol laboral. necessidades do seu trabalho.

8.2.3 Proceso disciplinario 8.2.3 Processo disciplinar

Control Controle

39 10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Debería existir un proceso disciplinario formal
para empleados que han perpetrado una violación
a la seguridad.
Guía de implementación
El proceso disciplinario no debería comenzar sin
una verificación previa de que la violación a la
seguridad ha ocurrido (véase también el Apartado
13.2.3 por recolección de evidencia).
El proceso disciplinario formal debería asegurar
un tratamiento correcto y justo para los
empleados de los cuales se sospecha que han
violado la seguridad. El proceso disciplinario
formal debería proveer una respuesta graduada
que tome en consideración factores tales como la
naturaleza y gravedad de la violación y su
impacto en el negocio, si es la primera ofensa o
una repetición, si el violador fue apropiadamente
entrenado, legislación relevante, contratos del
negocio y otros factores que se requieran. En
casos serios de mal comportamiento el proceso
debería permitir remoción instantánea de tareas,
derechos de acceso y privilegios, e inmediata
escolta fuera del sitio, si es necesario.
Información adicional
El proceso disciplinario debería también ser
usado como disuasión para prevenir que los
empleados, contratistas y usuarios de terceras
partes violen las políticas y procedimientos de
seguridad organizacionales, y cualquier otra
violación de seguridad.
8.3 Finalización o cambio de la relación laboral
o empleo
OBJETIVO: Asegurar que los empleados,
contratistas o usuarios de terceras partes se
desvinculen de una organización o cambien su
relación laboral de una forma ordenada.
Deberían existir responsabilidades para asegurar
que la desvinculación de la organización por parte
de un empleado, contratista o usuarios de
terceras partes sea gestionada, y que sea
completada la devolución de todo equipamiento y
la remoción de todos los derechos de acceso.
Los cambios en las responsabilidades y en las
relaciones laborales dentro de una organización
deberían ser gestionados como la finalización de
la respectiva responsabilidad o relación laboral en
línea con esta sección, y toda nueva contratación
debería ser gestionada como se describe en el
Apartado 8.1.
40
Convém que exista um processo disciplinar formal
para os funcionários que tenham cometido uma
violação da segurança da informação.
Diretrizes para implementação
Convém que o processo disciplinar não inicie sem
uma verificação prévia de que a violação da
segurança da informação realmente ocorreu (ver
13.2.3 em coleta de evidências).
Convém que o processo discipline formal assegure
um tratamento justo e correto aos funcionários que
são suspeitos de cometer violações de segurança
da informação. O processo disciplinar formal deve
dar uma resposta de forma gradual, que leve em
consideração fatores como a natureza e a
gravidade da violação e o seu impacto no negócio,
se este é ou não o primeiro delito, se o infrator foi
ou não adequadamente treinado, as legislações
relevantes, os contratos do negócio e outros fatores
conforme requerido. Em casos sérios de má
conduta, convém que o processo permita a
imediata remoção das atribuições, direitos de
acesso e privilégios e, dependendo da situação,
solicitar à pessoa, a saída imediata das
dependências da organização, escoltando-a.
Informações adicionais
Convém que o processo discipline também seja
usado como uma forma de dissuasão, para evitar
que os funcionários, fornecedores e terceiros
violem os procedimentos e as políticas de
segurança da informação da organização, e
quaisquer outras violações na segurança.
8.3 Encerramento ou mudança da contratação
Objetivo: Assegurar que funcionários, fornecedores
e terceiros deixem a organização ou mudem de
trabalho de forma ordenada.
Convém que responsabilidades sejam definidas
para assegurar que a saída de funcionários,
fornecedores e terceiros da organização seja feita
de modo controlado e que a devolução de todos os
equipamentos e a retirada de todos os direitos de
acesso estão concluídas.
Convém que as mudanças de responsabilidades e
de trabalhos dentro de uma organização sejam
gerenciadas quando do encerramento da
respectiva responsabilidade ou trabalho de acordo
com esta Seção, e quaisquer novos trabalhos
sejam gerenciados conforme descrito em 8.1.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
8.3.1 Responsabilidades en la desvinculación
Control
Las responsabilidades para realizar la
desvinculación o el cambio de la relación laboral
deberían ser claramente definas y asignadas.
Guía de implementación
La comunicación de las responsabilidades en la
desvinculación debería incluir los requisitos de
seguridad y responsabilidades legales en curso y,
donde sea apropiado, responsabilidades
contenidas dentro de algún acuerdo de
confidencialidad (véase el Apartado 6.1.5), y los
términos y condiciones de empleo (véase el
Apartado 8.1.3) deberían continuar por un período
de tiempo luego de la desvinculación del
empleado, contratista o usuario de terceras
partes.
Las responsabilidades y deberes válidos aún
luego de la desvinculación deberían estar
contenidas en el contrato del empleado,
contratista o usuario de terceras partes.
Los cambios en las responsabilidades o en la
relación laboral deberían manejarse de la misma
manera que la desvinculación, y la nueva
responsabilidad o relación laboral deberían ser
controladas como se describe en el Apartado 8.1.
Información adicional
La función de recursos humanos generalmente es
responsable por el proceso completo de
desvinculación laboral y trabaja junto con el
supervisor de la persona que egresa para
gestionar los aspectos de seguridad de los
procedimientos relevantes. En el caso de un
contratista, este proceso de responsabilidad en la
finalización puede ser llevado a cabo por una
agencia responsable por el contratista, y en el
caso de otro usuario esto puede ser gestionado
por su organización.
Puede ser necesario informar a los empleados,
clientes, contratistas, o usuarios de terceras
partes de los cambios en los acuerdos operativos
y de personal.
8.3.2 Devolución de activos
Control
Todos los empleados, contratistas y usuarios de
terceras partes deberían devolver todos los
activos pertenecientes a la organización que
estén en su poder como consecuencia de la
finalización de su relación laboral, contrato o
acuerdo.
41
8.3.1 Encerramento de atividades
Controle
Convém que responsabilidades para realizar o
encerramento ou a mudança de um trabalho sejam
claramente definidas e atribuídas.
Diretrizes para implementação
Convém que a comunicação de encerramento de
atividades inclua requisitos de segurança e
responsabilidades legais existentes e, onde
apropriado, responsabilidades contidas em
quaisquer acordos de confidencialidade (ver 6.1.5)
e os termos e condições de trabalho (ver 8.1.3) que
continuem por um período definido após o fim do
trabalho do funcionário, do fornecedor ou do
terceiro.
Convém que as responsabilidades e obrigações
contidas nos contratos dos funcionários,
fornecedores ou terceiros permaneçam válidas
após o encerramento das atividades.
Convém que as mudanças de responsabilidades ou
do trabalho sejam gerenciadas quando do
encerramento da respectiva responsabilidade ou do
trabalho, e que novas responsabilidades ou
trabalho sejam controladas conforme descrito em
8.1.
Informações adicionais
A função de Recursos Humanos é geralmente
responsável pelo processo global de encerramento
e trabalha em conjunto com o gestor responsável
pela pessoa que está saindo, para gerenciar os
aspectos de segurança da informação dos
procedimentos pertinentes. No caso de um
fornecedor, o processo de encerramento de
atividades pode ser realizado por uma agência
responsável pelo fornecedor e, no caso de um
outro usuário, isto pode ser tratado pela sua
organização.
Pode ser necessário informar aos funcionários,
clientes, fornecedores ou terceiros sobre as
mudanças de pessoal e procedimentos
operacionais.
8.3.2 Devolução de ativos
Controle
Convém que todos os funcionários, fornecedores e
terceiros devolvam todos os ativos da organização
que estejam em sua posse, após o encerramento
de suas atividades, do contrato ou acordo.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Guía de implementación
El proceso de desvinculación debería ser
formalizado para incluir la devolución de todo
software, documentos corporativos, y devolução de todos os equipamentos, documentos
equipamiento proporcionados previamente. Otros
activos organizacionales tales como dispositivos
móviles de computación, tarjetas de crédito,
tarjetas de acceso, software, manuales, e
información almacenada en medios electrónicos
también deben ser devueltos.
En casos en que el empleado, contratista o
usuario de terceras partes compra el
equipamiento de la organización o utiliza su
equipamiento personal, se deben seguir
procedimientos para asegurar que toda
información relevante sea transferida a la
organización y eliminada de forma confiable del
equipamiento (véase también el Apartado 10.7.1).
En casos en que el empleado, contratista o
usuario de terceras partes tiene un conocimiento
que es importante para las operaciones en curso,
esa información debería ser documentada y
transferida a la organización.
8.3.3 Remoción de derechos de acceso
Control
Los derechos de acceso de todo empleado,
contratista o usuario de terceras partes a
información e instalaciones de procesamiento de
información deberían ser removidos como
consecuencia de la desvinculación de su empleo,
contrato o acuerdo, o ajustado cuando cambia.
Guía de implementación
Cuando ocurre la desvinculación, los derechos de
acceso de un individuo a activos asociados con
sistemas y servicios de información deberían ser
reconsiderados. Esto determinará si es necesario
remover los derechos de acceso. Los cambios en
la relación laboral deberían ser reflejados en la
remoción de todos los derechos de acceso que
no fueron aprobados para el nuevo puesto. Los
derechos de acceso que deberían ser removidos
o adaptados incluyen acceso físico y lógico,
llaves, tarjetas de identificación, instalaciones de
procesamiento de información (véase también el
Apartado 11.2.4), suscripciones, y remoción de
toda documentación que los identifique como un
miembro actual de la organización. Si el
empleado, contratista o usuario de terceras partes
conoce contraseñas de claves que permanecen
activas, estas deberían ser cambiadas al
momento de la desvinculación o cambio de cargo,
contrato o acuerdo.
42
Diretrizes para implementação
Convém que o processo de encerramento de
atividades seja formalizado para contemplar a
corporativos e software entregues à pessoa. Outros
ativos da organização, tais como dispositivos de
computação móvel, cartões de créditos, cartões de
acesso, software, manuais e informações
armazenadas em mídia eletrônica, também
precisam ser devolvidos.
No caso em que um funcionário, fornecedor ou
terceiro compre o equipamento da organização ou
use o seu próprio equipamento pessoal, convém
que procedimentos sejam adotados para assegurar
que toda a informação relevante seja transferida
para a organização e que seja apagada de forma
segura do equipamento (ver 10.7.1).
Nos casos em que o funcionário, fornecedor ou
terceiro tenha conhecimento de que seu trabalho é
importante para as atividades que são executadas,
convém que este conhecimento seja documentado
e transferido para a organização.
8.3.3 Retirada de direitos de acesso
Controle
Convém que os direitos de acesso de todos os
funcionários, fornecedores e terceiros às
informações e aos recursos de processamento da
informação sejam retirados após o encerramento
de suas atividades, contratos ou acordos, ou
ajustado após a mudança destas atividades.
Diretrizes para implementação
Convém que os direitos de acesso da pessoa aos
ativos associados com os sistemas de informação
e serviços sejam reconsiderados, após o
encerramento das atividades. Isto irá determinar se
é necessário retirar os direitos de acesso. Convém
que mudanças de uma atividade sejam refletidas
na retirada de todos os direitos de acesso que não
foram aprovados para o novo trabalho. Convém
que os direitos de acesso que sejam retirados ou
adaptados incluam o acesso lógico e físico, chaves,
cartões de identificação, recursos de
processamento da informação (ver 11.2.4),
subscrições e retirada de qualquer documentação
que os identifiquem como um membro atual da
organização. Caso o funcionário, fornecedor ou
terceiro que esteja saindo tenha conhecimento de
senhas de contas que permanecem ativas, convém
que estas sejam alteradas após um encerramento
das atividades, mudança do trabalho, contrato ou
acordo.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Los derechos de acceso a activos de información
e instalaciones de procesamiento de información
deberían ser reducidos o removidos antes de que
el empleo termine o cambie, dependiendo de la
evaluación de los factores de riesgo tales como:
a) si la desvinculación o cambio es iniciado por el
empleado, contratista o usuario de terceras
partes, o por la dirección y la razón de la
desvinculación;
b) las responsabilidades actuales del empleado,
contratista o cualquier otro usuario;
c) el valor de los activos accesibles actualmente.
Información adicional
En ciertas circunstancias los derechos de acceso
pueden ser asignados sobre la base de estar
disponibles a más personas que la persona que
egresa, contratista o usuario de terceras partes,
por ejemplo IDs de grupo. En tal circunstancia, los
individuos que egresan deberían ser removidos
de toda lista de acceso de grupo y deberían
realizarse acuerdos para recomendar a todos los
otros empleados, contratistas y usuarios de
terceras partes involucrados, que no compartan
más la información con la persona que egresa.
En casos que la desvinculación sea iniciada por la
dirección, los empleados, contratistas o usuarios
de terceras partes contrariados pueden
deliberadamente dañar información o sabotear
equipamiento de procesamiento de información.
En casos de personas que renuncian, podrían
estar tentados a recoger información para uso
futuro.
9 Seguridad física y del ambiente
9.1 Áreas Seguras
OBJETIVO: Evitar accesos físicos no autorizados,
daños e interferencias contra las instalaciones y
la información de la organización.
Las instalaciones de procesamiento de
información crítica o sensible de la organización
deberían estar ubicadas en áreas seguras y
resguardadas por un perímetro de seguridad
definido, con barreras de seguridad y controles de
acceso apropiados. Deberían estar físicamente
protegidas contra accesos no autorizados, daños
e interferencias.
La protección provista debería ser proporcional a
los riesgos identificados.
43
Convém que os direitos de acesso aos ativos de
informação e aos recursos de processamento da
informação sejam reduzidos ou retirados antes que
a atividade se encerre ou altere, dependendo da
avaliação de fatores de risco, tais como:
a) se o encerramento da atividade ou a mudança é
iniciada pelo funcionário, fornecedor ou terceiro, ou
pelo gestor e a razão do encerramento da
atividade;
b) as responsabilidades atuais do funcionário,
fornecedor ou qualquer outro usuário;
c) valor dos ativos atualmente acessíveis.
Informações adicionais
Em certas circunstâncias os direitos de acesso
podem ser alocados com base no que está sendo
disponibilizado para mais pessoas do que as que
estão saindo (funcionário, fornecedor ou terceiro),
como, por exemplo, grupos de ID. Convém que, em
tais casos, as pessoas que estão saindo da
organização sejam retiradas de quaisquer listas de
grupos de acesso e que sejam tomadas
providências para avisar aos outros funcionários,
fornecedores e terceiros envolvidos para não mais
compartilhar estas informações com a pessoa que
está saindo.
Nos casos em que o encerramento da atividade
seja da iniciativa do gestor, os funcionários,
fornecedores ou terceiros descontentes podem
deliberadamente corromper a informação ou
sabotar os recursos de processamento da
informação. No caso de pessoas demitidas ou
exoneradas, elas podem ser tentadas a coletar
informações para uso futuro.
9 Segurança física e do ambiente
9.1 Áreas seguras
Objetivo: Prevenir o acesso físico não autorizado,
danos e interferências com as instalações e
informações da organização.
Convém que as instalações de processamento da
informação críticas ou sensíveis sejam mantidas
em áreas seguras, protegidas por perímetros de
segurança definidos, com barreiras de segurança e
controles de acesso apropriados. Convém que
sejam fisicamente protegidas contra o acesso não
autorizado, danos e interferências.
Convém que a proteção oferecida seja compatível
com os riscos identificados.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
9.1.1 Perímetro de seguridad física
Control
Deberían utilizarse perímetros de seguridad
(barreras tales como paredes, puertas de entrada
controladas por tarjeta o recepcionista) para
proteger las áreas que contienen información e
instalaciones de procesamiento de información.
Guía de implementación
Se deberían considerar e implementar las
siguientes recomendaciones sobre el perímetro
de seguridad física, según corresponda:
a) el perímetro de seguridad debería estar
claramente definido, la ubicación y la resistencia
de cada uno de los perímetros deberían depender
de los requisitos de la seguridad de los activos
dentro del perímetro y de los resultados de una
evaluación de riesgos;
b) el perímetro de un edificio o un lugar que
contenga instalaciones de procesamiento de
información debería tener solidez física (por
ejemplo no tendrá zonas que puedan derribarse
fácilmente); los muros externos del lugar deberían
ser sólidos y todas las puertas exteriores
deberían estar convenientemente protegidas
contra accesos no autorizados, mediante
mecanismos de control, por ejemplo, vallas,
alarmas, cerraduras, etc; puertas y ventanas
deberían ser bloqueadas cuando se encuentren
descuidadas y se debería considerar protección
externa para las ventanas, particularmente en
niveles bajos;
c) debería existir un área de recepción atendida
por personal u otros medios de control de acceso
físico al área o edificio; dicho acceso se debería
restringir sólo al personal autorizado;
d) donde sea aplicable, se deberían construir
barreras físicas para evitar el acceso físico no
autorizado y la contaminación del entorno;
e) todas las puertas contra incendios del
perímetro de seguridad deberían tener alarma,
ser supervisadas y probadas conjuntamente con
las paredes para establecer el nivel requerido de
resistencia de acuerdo a las normas regionales,
nacionales, e internacionales apropiadas;
deberían funcionar de acuerdo con las
disposiciones locales de protección contra el
fuego de modo de garantizar la seguridad;
f) se deberían instalar sistemas de detección de
44
9.1.1 Perímetro de segurança física
Controle
Convém que sejam utilizados perímetros de
segurança (barreiras tais como paredes, portões de
entrada controlados por cartão ou balcões de
recepção com recepcionistas) para proteger as
áreas que contenham informações e instalações de
processamento da informação.
Diretrizes para a implementação
Convém que sejam levadas em consideração e
implementadas as seguintes diretrizes para
perímetros de segurança física, quando apropriado:
a) os perímetros de segurança sejam claramente
definidos e que a localização e a capacidade de
resistência de cada perímetro dependam dos
requisitos de segurança dos ativos existentes no
interior do perímetro, e dos resultados da
análise/avaliação de riscos;
b) os perímetros de um edifício ou de um local que
contenha instalações de processamento da
informação sejam fisicamente sólidos (ou seja, o
perímetro não deve ter brechas nem pontos onde
poderia ocorrer facilmente uma invasão); convém
que as paredes externas do local sejam de
construção robusta e todas as portas externas
sejam adequadamente protegidas contra acesso
não autorizado por meio de mecanismos de
controle, por exemplo, barras, alarmes, fechaduras
etc.; convém que as portas e janelas sejam
trancadas quando estiverem sem monitoração, e
que uma proteção externa para as janelas seja
considerada, principalmente para as que estiverem
situadas no andar térreo;
c) seja implantada uma área de recepção, ou um
outro meio para controlar o acesso físico ao local
ou ao edifício; o acesso aos locais ou edifícios deve
ficar restrito somente ao pessoal autorizado;
d) sejam construídas barreiras físicas, onde
aplicável, para impedir o acesso físico não
autorizado e a contaminação do meio ambiente;
e) todas as portas corta-fogo do perímetro de
segurança sejam providas de alarme, monitoradas
e testadas juntamente com as paredes, para
estabelecer o nível de resistência exigido, de
acordo com normas regionais, nacionais e
internacionais aceitáveis; elas devem funcionar de
acordo com os códigos locais de prevenção de
incêndios e prevenção de falhas;
f) sistemas adequados de detecção de intrusos, de
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
intrusos adecuados según las normas nacionales,
regionales o internacionales y probar
regularmente para cubrir todas las puertas
externas y ventanas accesibles; las áreas
vacantes se deberían alarmar siempre; también
se debería proporcionar protección para otras
áreas, por ejemplo, sala de computadoras o
cuartos de comunicaciones;
g) las instalaciones de procesamiento de
información gestionadas por la organización se
deben separar físicamente de aquellas
gestionadas por terceras partes.
Información adicional
La protección física puede ser alcanzada creando
una o más barreras físicas alrededor de las
premisas de la organización y de las instalaciones
de procesamiento de la información. El uso de
múltiples barreras brinda protección adicional,
mientras que la falta de una barrera no significa
que la seguridad se vea comprometida
inmediatamente.
Un área segura puede ser una oficina bloqueable,
o varios cuartos rodeados por una barrera física
continua interna de seguridad. Las barreras
adicionales y los perímetros para controlar el
acceso físico pueden ser necesarios entre áreas
con diferentes requisitos de seguridad dentro del
perímetro de seguridad.
Se deberían tener consideraciones especiales de
seguridad de acceso físico en los edificios donde
funcionan múltiples organizaciones.
9.1.2 Controles de accesos físico
Controles
Las áreas de seguridad deberían estar protegidas
por controles de entrada adecuados que
aseguren el acceso sólo al personal autorizado.
Guía de implementación
Deberían considerarse las siguientes
recomendaciones:
a) la fecha y hora de entrada y salida de visitantes
deberían ser registradas, y todos los visitantes
deberían ser supervisados a menos que su
acceso se haya aprobado previamente; el acceso
debería ser concedido sólo para propósitos
especificados y autorizados, proporcionándoles
instrucciones sobre los requisitos de seguridad
del área y los procedimientos de emergencia;
b) el acceso a las áreas donde se procesa o se
45
acordo com normas regionais, nacionais e
internacionais, sejam instalados e testados em
intervalos regulares, e cubram todas as portas
externas e janelas acessíveis; as áreas não
ocupadas devem ser protegidas por alarmes o
tempo todo; também deve ser dada proteção a
outras áreas, por exemplo, salas de computadores
ou salas de comunicações;
g) as instalações de processamento da informação
gerenciadas pela organização devem ficar
fisicamente separadas daquelas que são
gerenciadas por terceiros.
Informações adicionais
Pode-se obter proteção física criando uma ou mais
barreiras físicas ao redor das instalações e dos
recursos de processamento da informação da
organização. O uso de barreiras múltiplas
proporciona uma proteção adicional, uma vez que
neste caso a falha de uma das barreiras não
significa que a segurança fique comprometida
imediatamente.
Uma área segura pode ser um escritório trancável
ou um conjunto de salas rodeado por uma barreira
física interna contínua de segurança. Pode haver
necessidade de barreiras e perímetros adicionais
para o controle do acesso físico, quando existem
áreas com requisitos de segurança diferentes
dentro do perímetro de segurança.
Convém que sejam tomadas precauções especiais
para a segurança do acesso físico no caso de
edifícios que alojam diversas organizações.
9.1.2 Controles de entrada física
Controle
Convém que as áreas seguras sejam protegidas
por controles apropriados de entrada para
assegurar que somente pessoas autorizadas
tenham acesso.
Diretrizes para implementação
Convém que sejam levadas em consideração as
seguintes diretrizes:
a) a data e hora da entrada e saída de visitantes
sejam registradas, e todos os visitantes sejam
supervisionados, a não ser que o seu acesso tenha
sido previamente aprovado; convém que as
permissões de acesso sejam concedidas somente
para finalidades específicas e autorizadas, e sejam
emitidas com instruções sobre os requisitos de
segurança da área e os procedimentos de
emergência;
b) acesso às áreas em que são processadas ou
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
almacena la información sensible debería ser
controlado y restringido sólo a las personas
autorizadas; e deberían usar controles de
autenticación, por ejemplo, tarjetas con número
de identificación personal (PIN), para autorizar y
validar el acceso; debería mantenerse una pista
auditable de todos los accesos, con las debidas
medidas de seguridad;
c) para todos los empleados, contratistas y
usuarios de terceras partes así como para todos
los visitantes debería requerirse el uso de algún
tipo de identificación visible y deberían notificar
inmediatamente al personal de seguridad si
encuentran a visitantes no acompañados y a
cualquier persona que no lleve la identificación
visible;
d) debería concederse el acceso restringido del
personal de soporte de terceras partes a las
áreas seguras o a las instalaciones sensibles de
procesamiento de la información sólo cuando sea
requerido; este acceso debería ser autorizado y
supervisado;
e) los derechos de acceso a las áreas seguras
deberían ser regularmente revisados y revistos e atualizados em intervalos regulares, e
actualizados, y revocados cuando sea necesario
(véase el Apartado 8.3.3).
9.1.3 Seguridad de oficinas, despachos e
instalaciones
Control
Debería diseñarse y aplicarse la seguridad física
para oficinas, despachos e instalaciones.
Guía de implementación
Se deberían considerar las siguientes
recomendaciones para asegurar oficinas,
despachos, e instalaciones:
a) se deberían tomar en cuenta las regulaciones y
normativas relevantes en materia de salud y
seguridad;
b) las instalaciones claves se deberían situarse
de manera de evitar el acceso público;
c) los edificios deberían ser discretos y dar el
mínimo indicio de su propósito, cuando sea
posible, sin dar muestras obvias, fuera o dentro
del edificio, que identifiquen la presencia de las
actividades de procesamiento de la información;
d) los directorios y libros de teléfonos internos que
identifican ubicaciones de instalaciones sensibles
de procesamiento de la información no deberían
46
armazenadas informações sensíveis seja
controlado e restrito às pessoas autorizadas;
convém que sejam utilizados controles de
autenticação, por exemplo, cartão de controle de
acesso mais PIN (personal identification number),
para autorizar e validar todos os acessos; deve ser
mantido de forma segura um registro de todos os
acessos para fins de auditoria;
c) seja exigido que todos os funcionários,
fornecedores e terceiros, e todos os visitantes,
tenham alguma forma visível de identificação, e
eles devem avisar imediatamente o pessoal de
segurança caso encontrem visitantes não
acompanhados ou qualquer pessoa que não esteja
usando uma identificação visível;
d) aos terceiros que realizam serviços de suporte,
seja concedido acesso restrito às áreas seguras ou
às instalações de processamento da informação
sensível somente quando necessário; este acesso
deve ser autorizado e monitorado;
e) os direitos de acesso a áreas seguras sejam
revogados quando necessário (ver 8.3.3).
9.1.3 Segurança em escritórios, salas e
instalações
Controle
Convém que seja projetada e aplicada segurança
física para escritórios, salas e instalações.
Diretrizes para implementação
Convém que sejam levadas em consideração as
seguintes diretrizes para proteger escritórios, salas
e instalações:
a) sejam levados em conta os regulamentos e
normas de saúde e segurança aplicáveis;
b) as instalações-chave sejam localizadas de
maneira a evitar o acesso do público;
c) os edifícios sejam discretos e dêem a menor
indicação possível da sua finalidade, sem letreiros
evidentes, fora ou dentro do edifício, que
identifiquem a presença de atividades de
processamento de informações, quando for
aplicável;
d) as listas de funcionários e guias telefônicos
internos que identifiquem a localização das
instalações que processam informações sensíveis
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
ser fácilmente accesibles por el público.
9.1.4 Protección contra amenazas externas y
del ambiente
Control
Debería diseñarse y aplicarse medios de
protección física contra daños por incendio,
inundación, terremoto, explosión, disturbios
civiles, y otras formas de desastre natural o
artificial.
Guia de implementación
Debería tomarse en consideración cualquier
amenaza de seguridad presentada por las
instalaciones vecinas, por ejemplo, un incendio en
un edificio vecino, agua proveniente de la azotea
o en pisos a niveles subterráneos o una explosión
en la calle.
Deberían considerarse las siguientes
recomendaciones para evitar daños ocasionados
por incendios, inundaciones, terremotos,
explosiones, disturbios civiles, y por otras formas
de desastre natural o artificial:
a) los materiales peligrosos o combustibles
deberían almacenarse a una distancia prudente
de un área segura. Los suministros a granel tales
como los materiales de oficina no deberían
almacenarse dentro de un área segura;
b) el equipamiento de reserva y los medios de
respaldo deberían localizarse a una distancia
prudente para evitar daños producto de un
desastre que afecten al emplazamiento principal;
c) debería proporcionarse y colocarse
convenientemente el equipo apropiado de lucha
contra incendios.
9.1.5 El trabajo en las áreas seguras
Control
Debería diseñarse y aplicarse la protección física
y las directrices para trabajar en áreas seguras.
Guía de implementación
Deberían considerarse las siguientes
recomendaciones:
a) El personal sólo debería conocer la existencia
de un área segura, o de sus actividades, si lo
necesitara para su trabajo.
b) Se debería evitar el trabajo no supervisado en
áreas seguras tanto por motivos de seguridad
como para evitar ocasiones de actividades
47
não fiquem facilmente acessíveis ao público.
9.1.4 Proteção contra ameaças externas e do
meio ambiente
Controle
Convém que sejam projetadas e aplicadas
proteção física contra incêndios, enchentes,
terremotos, explosões, perturbações da ordem
pública e outras formas de desastres naturais ou
causados pelo homem.
Diretrizes para implementação
Convém que sejam levadas em consideração todas
as ameaças à segurança representadas por
instalações vizinhas, por exemplo, um incêndio em
um edifício vizinho, vazamento de água do telhado
ou em pisos do subsolo ou uma explosão na rua.
Convém que sejam levadas em consideração as
seguintes diretrizes para evitar danos causados por
incêndios, enchentes, terremotos, explosões,
perturbações da ordem pública e outras formas de
desastres naturais ou causados pelo homem:
a) os materiais perigosos ou combustíveis sejam
armazenados a uma distância segura da área de
segurança. Suprimentos em grande volume, como
materiais de papelaria, não devem ser
armazenados dentro de uma área segura;
b) os equipamentos para contingência e mídia de
backup fiquem a uma distância segura, para que
não sejam danificados por um desastre que afete o
local principal;
c) os equipamentos apropriados de detecção e
combate a incêndios sejam providenciados e
posicionados corretamente.
9.1.5 Trabalhando em áreas seguras
Controle
Convém que seja projetada e aplicada proteção
física, bem como diretrizes para o trabalho em
áreas seguras.
Diretrizes para implementação
Convém que sejam levadas em consideração as
seguintes diretrizes:
a) pessoal só tenha conhecimento da existência de
áreas seguras ou das atividades nelas realizadas,
apenas se for necessário;
b) seja evitado o trabalho não supervisionado em
áreas seguras, tanto por motivos de segurança
como para prevenir as atividades mal
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
maliciosas.
c) Las áreas seguras desocupadas deberían estar
cerradas y controlarse periódicamente.
d) No debería permitirse la presencia de equipos
de fotografía, video, audio u otros formas de
registro, salvo autorización expresa.
Los acuerdos para trabajar en áreas seguras
incluyen controles para los empleados, los
contratistas y los usuarios de terceras partes que
trabajan en el área segura, así como otras
actividades de terceros que ocurren allí.
9.1.6 Áreas de de acceso público, de entrega y
de carga
Control
Los puntos de acceso tales como áreas de
entrega y de cargamento y otros puntos donde las
personas no autorizadas puedan acceder a las
instalaciones deberían controlarse, y si es
posible, aislarlos de instalaciones de
procesamiento de la información para evitar el
acceso no autorizado.
Guía de implementación
Deberían considerarse las siguientes
recomendaciones:
a) debería restringirse el acceso al área de
depósito desde el exterior únicamente al personal
autorizado e identificado;
b) el área debería diseñarse para que los
suministros puedan descargarse sin que el
personal de depósito tenga acceso a otras zonas
del edificio;
c) la puerta externa del área debería estar
cerrada cuando la interna esté abierta;
d) el material entrante se debería inspeccionar
para evitar posibles amenazas (véase el Apartado
9.2.1d) antes de llevarlo a su lugar de utilización;
e) el material entrante debería registrarse de
acuerdo con el procedimiento de gestión de
activos (véase el Apartado 7.1) al entrar en el
lugar.
f) cuando sea posible, los envíos entrantes y
salientes deberían segregarse físicamente.
9.2 Seguridad del equipamiento
48
intencionadas;
c) as áreas seguras não ocupadas sejam
fisicamente trancadas e periodicamente verificadas;
não seja permitido o uso de máquinas fotográficas,
gravadores de vídeo ou áudio ou de outros
equipamentos de gravação, tais como câmeras em
dispositivos móveis, salvo se for autorizado.
As normas para o trabalho em áreas seguras
incluem o controle dos funcionários, fornecedores e
terceiros que trabalham em tais áreas, bem como o
controle de outras atividades de terceiros nestas
áreas.
9.1.6 Acesso do público, áreas de entrega e de
carregamento
Controle
Convém que os pontos de acesso, tais como áreas
de entrega e de carregamento e outros pontos em
que pessoas não autorizadas possam entrar nas
instalações, sejam controlados e, se possível,
isolados das instalações de processamento da
informação, para evitar o acesso não autorizado.
Diretrizes para implementação
Convém que sejam levadas em consideração as
seguintes diretrizes:
a) acesso a uma área de entrega e carregamento a
partir do exterior do prédio fique restrito ao pessoal
identificado e autorizado;
b) as áreas de entrega e carregamento sejam
projetadas de tal maneira que seja possível
descarregar suprimentos sem que os entregadores
tenham acesso a outras partes do edifício;
c) as portas externas de uma área de entrega e
carregamento sejam protegidas enquanto as portas
internas estiverem abertas;
d) os materiais entregues sejam inspecionados
para detectar ameaças potenciais (ver 9.2.1d)
antes de serem transportados da área de entrega e
carregamento para o local de utilização;
e) os materiais entregues sejam registrados por
ocasião de sua entrada no local, usando-se
procedimentos de gerenciamento de ativos (ver
7.1.1);
f) as remessas entregues sejam segregadas
fisicamente das remessas que saem, sempre que
possível.
9.2 Segurança de equipamentos
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
OBJETIVO: Prevenir pérdidas, daños, hurtos o
comprometer los activos así como la interrupción
de las actividades de la organización.
El equipo debería protegerse contra las
amenazas físicas y ambientales.
Es necesaria la protección del equipamiento
(incluyendo aquel utilizado fuera del local y la
eliminación de la propiedad) para reducir el riesgo
de accesos no autorizados a la información y para
protegerlo contra pérdidas o daños. Esto también
debería considerar la ubicación y la disposición
del equipamiento. Se pueden requerir controles
especiales para proteger contra amenazas
físicas, y para salvaguardar las instalaciones de
soporte, tales como el suministro eléctrico y la
infraestructura de cableado.
9.2.1 Ubicación y protección del equipamiento
Control
El equipamiento debería ubicarse o protegerse
para reducir los riesgos ocasionados por
amenazas y peligros ambientales, y ameaças e perigos do meio ambiente, bem como
oportunidades de acceso no autorizado.
Guía de implementación
Deberían considerarse las siguientes
recomendaciones para proteger el equipamiento:
a) el equipamiento debería situarse de manera de
minimizar el acceso innecesario a las áreas de
trabajo;
b) las instalaciones de procesamiento de la
información que manejan datos sensibles
deberían ser colocadas y su ángulo de visión
restringido para reducir el riesgo de que la
información sea vista por personas no
autorizadas durante su uso, y las instalaciones de
almacenamiento aseguradas para evitar el
acceso no autorizado;
c) los elementos que requieran protección
especial deberían aislarse para reducir el nivel
general de protección requerida;
d) se deberían adoptar controles para reducir al
mínimo el riesgo de amenazas físicas
potenciales, como ser: hurto, fuego, explosivos,
humo, inundaciones (o falta de suministro de
agua), polvo, vibraciones, efectos químicos,
interferencias en el suministro eléctrico,
interferencia de las comunicaciones, radiación
electromagnética, y vandalismo;
49
Objetivo: Impedir perdas, danos, furto ou roubo, ou
comprometimento de ativos e interrupção das
atividades da organização.
Convém que os equipamentos sejam protegidos
contra ameaças físicas e do meio ambiente.
A proteção dos equipamentos (incluindo aqueles
utilizados fora do local, e a retirada de ativos) é
necessária para reduzir o risco de acesso não
autorizado às informações e para proteger contra
perdas ou danos. Convém que também seja levado
em consideração a introdução de equipamentos no
local, bem como sua remoção. Podem ser
necessários controles especiais para a proteção
contra ameaças físicas e para a proteção de
instalações de suporte, como a infra-estrutura de
suprimento de energia e de cabeamento.
9.2.1 Instalação e proteção do equipamento
Controle
Convém que os equipamentos sejam colocados no
local ou protegidos para reduzir os riscos de
as oportunidades de acesso não autorizado.
Diretrizes para implementação
Convém que sejam levadas em consideração as
seguintes diretrizes para proteger os
equipamentos:
a) os equipamentos sejam colocados no local, a fim
de minimizar o acesso desnecessário às áreas de
trabalho;
b) as instalações de processamento da informação
que manuseiam dados sensíveis sejam
posicionadas de forma que o ângulo de visão seja
restrito, de modo a reduzir o risco de que as
informações sejam vistas por pessoal não
autorizado durante a sua utilização, e os locais de
armazenagem sejam protegidos, a fim de evitar o
acesso não autorizado;
c) os itens que exigem proteção especial devem
ser isolados para reduzir o nível geral de proteção
necessário;
d) sejam adotados controles para minimizar o risco
de ameaças físicas potenciais, tais como furto ou
roubo, incêndio, explosivos, fumaça, água (ou falha
do suprimento de água), poeira, vibração, efeitos
químicos, interferência com o suprimento de
energia elétrica, interferência com as
comunicações, radiação eletromagnética e
vandalismo;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
e) deberían establecerse pautas para comer,
beber, y fumar en proximidad de las instalaciones
de procesamiento de la información;
f) las condiciones ambientales, tales como
temperatura y humedad, deberían supervisarse
para verificar que las mismas no afectan
negativamente el funcionamiento de las
instalaciones de procesamiento de la información;
g) deberían colocarse pararrayos sobre todos los
edificios y deberían aplicarse filtros de protección
contra rayos a todas las lineas entrantes de
energía y de comunicaciones;
h) debería considerarse el uso de métodos de
protección especial, como las cubiertas de
teclados, para el equipamiento ubicado en
ambientes industriales;
i) debería protegerse el equipamiento que
procese información sensible para reducir al
mínimo el riesgo de fuga de información debido a
filtraciones.
9.2.2 Elementos de soporte
Control
Debería protegerse el equipamiento contra
posibles fallas en el suministro de energía y otras
interrupciones causados por fallas en elementos
de soporte.
Guía de implementación
Todos los elementos de soporte, tales como
electricidad, abastecimiento de agua, aguas
residuales, calefacción/ventilación, y aire
acondicionado deberían adecuarse para los
sistemas que están apoyando. Los elementos de
soporte deberían examinarse regularmente y
probarse adecuadamente de manera de asegurar
su funcionamiento apropiado y reducir cualquier
riesgo de mal funcionamiento o falla. Debería
proveerse un suministro eléctrico apropiado
conforme con las especificaciones del fabricante
del equipo.
Se recomienda contar con una fuente de energía
ininterrumpida (UPS) para asegurar el correcto
apagado o el funcionamiento continuo del
equipamiento que soporta las operaciones críticas
del negocio. Los planes de contingencia
energéticos deberían contemplar las acciones a
tomar en caso de falla de la UPS. Debería
tenerse en cuenta el empleo de un generador de
reserva si el procesamiento ha de continuar en
caso de una falla prolongada en el suministro
eléctrico. Debería disponerse de un adecuado
50
e) sejam estabelecidas diretrizes quanto a comer,
beber e fumar nas proximidades das instalações de
processamento da informação;
f) as condições ambientais, como temperatura e
umidade, sejam monitoradas para a detecção de
condições que possam afetar negativamente os
recursos de processamento da informação;
g) todos os edifícios sejam dotados de proteção
contra raios e todas as linhas de entrada de força e
de comunicações tenham filtros de proteção contra
raios;
h) para equipamentos em ambientes industriais, o
uso de métodos especiais de proteção, tais como
membranas para teclados, deve ser considerado;
i) os equipamentos que processam informações
sensíveis sejam protegidos, a fim de minimizar o
risco de vazamento de informações em decorrência
de emanações.
9.2.2 Utilidades
Controle
Convém que os equipamentos sejam protegidos
contra falta de energia elétrica e outras
interrupções causadas por falhas das utilidades.
Diretrizes para implementação
Convém que todas as utilidades, tais como
suprimento de energia elétrica, suprimento de
água, esgotos, calefação/ventilação e ar-
condicionado sejam adequados para os sistemas
que eles suportam. Convém que as utilidades
sejam inspecionadas em intervalos regulares e
testadas de maneira apropriada para assegurar seu
funcionamento correto e reduzir os riscos de
defeitos ou interrupções do funcionamento.
Convém que seja providenciado um suprimento
adequado de energia elétrica, de acordo com as
especificações do fabricante dos equipamentos.
Recomenda-se o uso de UPS para suportar as
paradas e desligamento dos equipamentos ou para
manter o funcionamento contínuo dos
equipamentos que suportam operações críticas dos
negócios. Convém que hajam planos de
contingência de energia referentes às providências
a serem tomadas em caso de falha do UPS.
Convém que seja considerado um gerador de
emergência caso seja necessário que o
processamento continue mesmo se houver uma
interrupção prolongada do suprimento de energia.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
suministro de combustible para asegurarse que el
generador pueda funcionar por un período
prolongado. Los equipos de UPS y los
generadores deberían inspeccionarse
regularmente para asegurar que tienen la
capacidad requerida y probarlos de acuerdo con
las recomendaciones del fabricante. Además, se
podría considerar el uso de fuentes de energía
múltiples o, si el sitio es grande, una subestación
energética separada.
Los interruptores de emergencia deberían
situarse cerca de las salidas de emergencia en
las salas donde se encuentra el equipamiento a
fin de facilitar un corte rápido de la energía en
caso de producirse una situación crítica. Se
debería proveer de iluminación de emergencia en
caso de producirse una falla en el suministro
principal de energía.
El suministro de agua debería ser estable y
adecuado para abastecer los sistemas de aire
acondicionado, de humectación y de supresión
del fuego (cuando sean utilizados).
El mal funcionamiento del sistema de
abastecimiento de agua pueden dañar el
equipamiento o evitar que la supresión del fuego
actúe con eficacia. Si es requerido debería
evaluarse e instalarse un sistema de alarma para
detectar un mal funcionamiento en los elementos
de soporte.
El equipamiento de telecomunicaciones debería
conectarse con el proveedor al menos a través de
dos rutas distintas para prevenir fallas en el
servicio de una de las rutas de conexión
imposibilitando los servicios de voz. Los servicios
de voz deberían adecuarse para alcanzar los
requisitos legales locales para comunicaciones de
emergencia.
Información adicional
Como opción para alcanzar la continuidad en el
suministro energético se pueden incluir redes
múltiples de alimentación a fin de evitar un único
punto de falla en el suministro.
9.2.3 Seguridad en el cableado
Control
Debería protegerse contra interceptación o daños
el cableado de energía y de telecomunicaciones
que transporta datos o brinda soporte a servicios
de información.
Guía para la implementación
51
Convém que esteja disponível um suprimento
adequado de combustível para garantir a operação
prolongada do gerador. Convém que os
equipamentos UPS e os geradores sejam
verificados em intervalos regulares para assegurar
que eles tenham capacidade adequada, e sejam
testados de acordo com as recomendações do
fabricante. Além disto, deve ser considerado o uso
de múltiplas fontes de energia ou de uma
subestação de força separada, se o local for
grande.
Convém que as chaves de emergência para o
desligamento da energia fiquem localizadas na
proximidade das saídas de emergência das salas
de equipamentos, para facilitar o desligamento
rápido da energia em caso de uma emergência.
Convém que seja providenciada iluminação de
emergência para o caso de queda da força.
Convém que o suprimento de água seja estável e
adequado para abastecer os equipamentos de
ar-condicionado e de umidificação, bem como os
sistemas de extinção de incêndios (quando
usados).
Falhas de funcionamento do abastecimento de
água podem danificar o sistema ou impedir uma
ação eficaz de extinção de incêndios. Convém que
seja analisada a necessidade de sistemas de
alarme para detectar falhas de funcionamento das
utilidades, instalando os alarmes, se necessário.
Convém que os equipamentos de
telecomunicações sejam conectados à rede pública
de energia elétrica através de pelo menos duas
linhas separadas, para evitar que a falha de uma
das conexões interrompa os serviços de voz.
Convém que os serviços de voz sejam adequados
para atender às exigências legais locais relativas a
comunicações de emergência.
Informações adicionais
As opções para assegurar a continuidade do
suprimento de energia incluem múltiplas linhas de
entrada, para evitar que uma falha em um único
ponto comprometa o suprimento de energia.
9.2.3 Segurança do cabeamento
Controle
Convém que o cabeamento de energia e de
telecomunicações que transporta dados ou dá
suporte aos serviços de informações seja protegido
contra interceptação ou danos.
Diretrizes para implementação
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Deberían considerarse las siguientes
recomendaciones para la seguridad en el
cableado:
a) las líneas de energía y telecomunicaciones en
instalaciones de procesamiento de la información
deben ser subterráneas, siempre que sea posible,
o sujetas a una adecuada protección alternativa;
b) el cableado de red debería estar protegido
contra interceptación no autorizada o daño, por
ejemplo, mediante el uso de conductos o evitando
trayectos que atraviesen áreas públicas;
c) los cables de energía deben estar separados
de los cables de comunicaciones para evitar
interferencias;
d) deberían utilizarse marcas claramente
identificables en cables y equipamiento para
reducir al mínimo los errores de manejo, tales
como conexiones accidentales erróneas de los
cables de red;
e) debería utilizarse una lista documentada de las
conexiones para reducir la posibilidad de errores;
f) entre los controles adicionales a considerar
para los sistemas sensibles o críticos se
encuentran los siguientes:
1) instalación de conductos blindados y
recintos o cajas con cerradura en los
puntos terminales y de inspección;
2) uso de rutas y/o medios de transmisión
alternativos que proporcionen una
adecuada seguridad;
3) uso de cableado de fibra óptica;
4) uso de escudos electromagnéticos para
proteger los cables;
5) iniciar barridos técnicos e inspecciones
físicas contra dispositivos no autorizados
conectados a los cables;
6) acceso controlado a los paneles de
conexión (patcheras) y a las salas de cable.
9.2.4 Mantenimiento del equipamiento
Control
El equipamiento debería mantenerse
adecuadamente para asegurar su continua
disponibilidad e integridad.
52
Convém que sejam levadas em consideração as
seguintes diretrizes para a segurança do
cabeamento:
a) as linhas de energia e de telecomunicações que
entram nas instalações de processamento da
informação sejam subterrâneas (ou fiquem abaixo
do piso), sempre que possível, ou recebam uma
proteção alternativa adequada;
b) cabeamento de redes seja protegido contra
interceptação não autorizada ou danos, por
exemplo, pelo uso de conduítes ou evitando
trajetos que passem por áreas públicas;
c) os cabos de energia sejam segregados dos
cabos de comunicações, para evitar interferências;
d) nos cabos e nos equipamentos, sejam utilizadas
marcações claramente identificáveis, a fim de
minimizar erros de manuseio, como, por exemplo,
fazer de forma acidental conexões erradas em
cabos da rede;
e) seja utilizada uma lista de documentação das
conexões para reduzir a possibilidade de erros;
f) para sistemas sensíveis ou críticos, os seguintes
controles adicionais devem ser considerados:
1) instalação de conduítes blindados e salas ou
caixas trancadas em pontos de inspeção e
pontos terminais;
2) uso de rotas alternativas e/ou meios de
transmissão alternativos que proporcionem
segurança adequada;
3) utilização de cabeamento de fibras ópticas;
4) utilização de blindagem eletromagnética para
a proteção dos cabos;
5) realização de varreduras técnicas e
inspeções físicas para detectar a presença
de dispositivos não autorizados conectados
aos cabos;
6) acesso controlado aos painéis de conexões e
às salas de cabos.
9.2.4 Manutenção dos equipamentos
Controle
Convém que os equipamentos tenham uma
manutenção correta para assegurar sua
disponibilidade e integridade permanentes.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Guía de implementación
Deberían considerarse las siguientes
recomendaciones para el mantenimiento del
equipamiento:
a) el equipamiento debería mantenerse de
acuerdo a las recomendaciones de intervalos y
especificaciones de servicio del proveedor;
b) sólo el personal de mantenimiento
debidamente autorizado debería realizar
reparaciones y realizar el mantenimiento a los
equipos;
c) se deberían mantener registros de todos los
fallos, reales o sospechados, así como de todo el
mantenimiento preventivo y correctivo;
d) deberían implementarse controles apropiados
cuando el equipamiento sea dispuesto para
mantenimiento, considerando si este
mantenimiento es realizado por personal interno o
externo a la organización; la información sensible
debería ser removida del equipo, cuando sea
necesario, o el personal de mantenimiento
debería ser suficientemente transparente;
e) debería cumplirse con todos los requisitos
impuestos por pólizas de seguros.
9.2.5 Seguridad del equipamiento fuera de las
instalaciones de la organización
Control
Debería asegurarse todo el equipamiento fuera
de los locales de la organización, teniendo en
cuenta los diferentes riesgos de trabajar fuera de
las instalaciones de la organización.
Guía de implementación
El uso de equipamiento destinado al
procesamiento de información, fuera de las
instalaciones de la organización, debería ser
autorizado por la dirección, sin importar quien sea
su propietario.
Deberían considerarse las siguientes
recomendaciones para la protección del
equipamiento fuera de los locales de la
organización:
a) los equipos y soportes que contengan datos
con información y sean sacados de su entorno
habitual no deberían dejarse desatendidos en
sitios públicos; cuando viajen, las computadoras
portátiles deberían, cuando sea posible,
transportarse como equipaje de mano y de forma
53
Diretrizes para implementação
Convém que sejam levadas em consideração as
seguintes diretrizes para a manutenção dos
equipamentos:
a) a manutenção dos equipamentos seja realizada
nos intervalos recomendados pelo fornecedor, e de
acordo com as suas especificações;
b) a manutenção e os consertos dos equipamentos
sejam realizados somente por pessoal de
manutenção autorizado;
c) sejam mantidos os registros de todas as falhas,
suspeitas ou reais, e de todas as operações de
manutenção preventiva e corretiva realizadas;
d) sejam implementados controles apropriados, na
época programada para a manutenção do
equipamento, dependendo de a manutenção ser
realizada pelo pessoal do local ou por pessoal
externo à organização; onde necessário, as
informações sensíveis sejam eliminadas do
equipamento, ou o pessoal de manutenção seja de
absoluta confiança;
e) sejam atendidas todas as exigências
estabelecidas nas apólices de seguro.
9.2.5 Segurança de equipamentos fora das
dependências da organização
Controle
Convém que sejam tomadas medidas de
segurança para equipamentos que operem fora do
local, levando em conta os diferentes riscos
decorrentes do fato de se trabalhar fora das
dependências da organização.
Diretrizes para implementação
Convém que, independentemente de quem seja o
proprietário, a utilização de quaisquer
equipamentos de processamento de informações
fora das dependências da organização seja
autorizada pela gerência.
Convém que sejam levadas em consideração as
seguintes diretrizes para a proteção de
equipamentos usados fora das dependências da
organização:
a) os equipamentos e mídias removidos das
dependências da organização não fiquem sem
supervisão em lugares públicos; os computadores
portáteis sejam carregados como bagagem de mão
e disfarçados, sempre que possível, quando se
viaja;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
disimulada;
b) deberían observarse siempre las instrucciones
del fabricante para proteger los equipos, por
ejemplo, contra exposiciones a campos
electromagnéticos intensos;
c) los controles para el trabajo en el domicilio se
deberían determinar mediante una evaluación de
los riesgos y aplicarse los controles convenientes
según sea apropiado, por ejemplo, gabinetes para
archivos con cerradura, una política de escritorios
limpios, controles de acceso a las computadoras
y comunicaciones seguras con la oficina (véase
también ISO/IEC 18028, Network Security);
d) deberían cubrirse con un seguro adecuado los
equipos fuera de su lugar de trabajo.
Los riesgos de seguridad, por ejemplo, de daño,
robo y escucha, pueden variar mucho según la
ubicación y esto debería tenerse en cuenta al
determinar los controles más apropiados.
Información adicional
El equipamiento de almacenamiento y Os
procesamiento de la información comprende todo
tipo de computadoras personales, organizadores,
teléfonos móviles, tarjetas inteligentes,
documentos u otros, que se lleven al domicilio o
fuera del lugar habitual de trabajo.
Puede encontrarse en el Apartado 11.7.1 más
información sobre otros aspectos de la protección
de equipos móviles.
9.2.6 Seguridad en la reutilización o 9.2.6 Reutilização
eliminación de equipos
Control
Todos aquel equipamiento que contenga medios
de almacenamiento debería revisarse para
asegurar que todo los datos sensibles y software
licenciado se haya removido o se haya
sobreescrito con seguridad antes de su
disposición.
Guía de implementación
Los dispositivos de almacenamiento con
información sensible deberían destruirse
físicamente o la información debería destruirse,
suprimirse o sobreescribirse usando técnicas para
hacer la información original no recuperable, en
lugar de utilizar las funciones de borrado o
formateado estándar.
54
b) sejam observadas a qualquer tempo as
instruções do fabricante para a proteção do
equipamento, por exemplo, proteção contra a
exposição a campos eletromagnéticos intensos;
c) os controles para o trabalho em casa sejam
determinados por uma análise/avaliação de riscos,
sendo aplicados controles adequados para cada
caso, por exemplo, arquivos trancáveis, política de
"mesa limpa", controles de acesso a computadores,
e comunicação segura com o escritório
(ver ISO/IEC 18028, Network security);
d) haja uma cobertura adequada de seguro para
proteger os equipamentos fora das dependências
da organização.
Os riscos de segurança, por exemplo, de danos,
furto ou espionagem, podem variar
consideravelmente de um local para outro e
convém que sejam levados em conta para
determinar os controles mais apropriados.
Informações adicionais
equipamentos de armazenagem e
processamento de informações incluem todas as
formas de computadores pessoais, agendas
eletrônicas, telefones celulares, cartões
inteligentes, papéis e outros tipos, utilizados no
trabalho em casa, ou que são removidos do local
normal de trabalho.
Mais informações sobre outros aspectos da
proteção de equipamentos móveis podem ser
encontradas em 11.7.1.
e alienação segura de
equipamentos
Controle
Convém que todos os equipamentos que
contenham mídias de armazenamento de dados
sejam examinados antes do descarte, para
assegurar que todos os dados sensíveis e
softwares licenciados tenham sido removidos ou
sobregravados com segurança.
Diretrizes para implementação
Convém que os dispositivos que contenham
informações sensíveis sejam destruídos
fisicamente ou as informações sejam destruídas,
apagadas ou sobregravadas por meio de técnicas
que tornem as informações originais irrecuperáveis,
em vez de se usarem as funções-padrão de apagar
ou formatar.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Información adicional
Los dispositivos de almacenamiento dañados que
contengan datos sensibles pueden requerir una
evaluación de riesgo para determinar si estos
deberían destruirse físicamente, antes que ser
enviados para su reparación o desecho.
La información puede verse comprometida si la
reutilización o eliminación de los equipos se
realiza de manera descuidada (véase también el
Apartado 10.7.2)
9.2.7 Retiro de bienes
Control
El equipamiento, la información o el software no
deberían retirarse del local de la organización sin
previa autorización.
Guía de implementación
Deberían considerarse las siguientes
recomendaciones:
a) el equipamiento, la información o el software
no deberían retirarse del local de la organización
sin previa autorización;
b) deberían identificarse claramente aquellos
empleados, contratistas y usuarios de terceras
partes que tengan autoridad para permitir el retiro
de activos fuera de los locales de la organización;
c) debería fijarse un límite de tiempo para el
equipamiento retirado y verificar el cumplimiento
del retorno;
d) cuando sea necesario y procedente, debería
registrarse tanto la salida del equipamiento del
local, como el retorno del mismo.
Información adicional
Las instancias de inspección, emprendidas para
detectar el retiro de bienes no autorizados, se
pueden también realizar para detectar y prevenir
el ingreso no autorizado a las instalaciones, de
dispositivos de grabación, armas, etc. Tales
instancias de inspección deberían realizarse de
acuerdo con la legislación y las regulaciones
relevantes. Los individuos deberían estar en
conocimiento de que estas instancias de
inspección serán llevadas a cabo, y las mismas
deberían realizarse solamente con la autorización
apropiada según los requisitos legales y
reguladores.
10 Gestión de comunicaciones y 10 Gerenciamento
operaciones
55
Informações adicionais
No caso de dispositivos defeituosos que
contenham informações sensíveis, pode ser
necessária uma análise/avaliação de riscos para
determinar se convém destruir fisicamente o
dispositivo em vez de mandá-lo para o conserto ou
descartá-lo.
As informações podem ser comprometidas por um
descarte feito sem os devidos cuidados ou pela
reutilização do equipamento (ver 10.7.2).
9.2.7 Remoção de propriedade
Controle
Convém que equipamentos, informações ou
software não sejam retirados do local sem
autorização prévia.
Diretrizes para implementação
Convém que sejam levadas em consideração as
seguintes diretrizes:
a) os equipamentos, informações ou software não
sejam retirados do local sem autorização prévia;
b) os funcionários, fornecedores e terceiros que
tenham autoridade para permitir a remoção de
ativos para fora do local sejam claramente
identificados;
c) sejam estabelecidos limites de tempo para a
retirada de equipamentos do local, e a devolução
seja controlada;
d) sempre que necessário ou apropriado, seja feito
um registro da retirada e da devolução de
equipamentos, quando do seu retorno.
Informações adicionais
Podem ser feitas inspeções aleatórias para
detectar a retirada não autorizada de bens e a
existência de equipamentos de gravação não
autorizados, armas etc., e impedir sua entrada no
local. Convém que tais inspeções aleatórias sejam
feitas de acordo com a legislação e as normas
aplicáveis. Convém que as pessoas sejam
avisadas da realização das inspeções, e elas só
podem ser feitas com a devida autorização,
levando em conta as exigências legais e
regulamentares.
das operações e
comunicações
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002

10.1 Procedimientos operacionales y 10.1 Procedimentos e responsabilidades

responsabilidades operacionais

OBJETIVO: Asegurar la operación correcta y Objetivo: Garantir a operação segura e correta dos
segura de las instalaciones de procesamiento de recursos de processamento da informação.
información.

Se deberían establecer todas las Convém que os procedimentos e responsabilidades

responsabilidades y los procedimientos para la pela gestão e operação de todos os recursos de
gestión y operación de todas las instalaciones de processamento das informações sejam definidos.
procesamiento de información. Esto incluye el Isto abrange o desenvolvimento de procedimentos
desarrollo de procedimientos operativos operacionais apropriados.
apropiados.

Cuando sea conveniente, se debería implementar Convém que seja utilizada a segregação de
la separación de funciones para reducir el riesgo funções quando apropriado, para reduzir o risco de
de uso inadecuado deliberado o negligente del mau uso ou uso doloso dos sistemas.
sistema.

10.1.1 Procedimientos documentados de 10.1.1 Documentação dos procedimentos de

operación operação

Control
Los procedimientos de operación deberían
documentarse, mantenerse y ponerse a
disposición de todos los usuarios que los
necesiten.
Controle
Convém que os procedimentos de operação sejam
documentados, mantidos atualizados e disponíveis
a todos os usuários que deles necessitem.

Guía de implementación Diretrizes para implementação

Deberían elaborarse procedimientos Convém que procedimentos documentados sejam
documentados para las actividades del sistema preparados para as atividades de sistemas
asociadas con la instalaciones de associadas a recursos de processamento e
comunicaciones y de procesamiento de comunicação de informações, tais como
información, tales como procedimientos de procedimentos de inicialização e desligamento de
arranque y apagado del computador, respaldo, computadores, geração de cópias de segurança
mantenimiento de equipos, manejo de medios, (backup), manutenção de equipamentos,
sala de cómputos, utilización de correo, y tratamento de mídias, segurança e gestão do
seguridad. tratamento das correspondências e das salas de
computadores.

Dichos procedimientos deberían especificar las Convém que os procedimentos de operação

instrucciones necesarias para la ejecución especifiquem as instruções para a execução
detallada de cada tarea, incluyendo: detalhada de cada tarefa, incluindo:

a) procesamiento y utilización de la información; a) processamento e tratamento da informação;

b) respaldo (véase el Apartado 10.5); b) backup (ver 10.5);

c) requisitos programables, incluyendo c) requisitos de agendamento, incluindo

interdependencias con otros sistemas, tiempos de interdependências com outros sistemas, a primeira
comienzo y finalización de tareas; hora para início da tarefa e a última hora para o
término da tarefa;

d) instrucciones para el manejo de errores u otras d) instruções para tratamento de erros ou outras
condiciones excepcionales, que pudieran condições excepcionais, que possam ocorrer
presentarse durante la ejecución de la tarea, durante a execução de uma tarefa, incluindo
incluyendo restricciones en el uso de las restrições de uso dos utilitários do sistema (ver

56 10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
utilidades de sistema (véase el Apartado 11.5.4);
e) soporte en caso de inesperadas dificultades
operacionales o técnicas;
f) instrucciones para salida de información y
manejo de medios, tales como la utilización de
papelería especial o la gestión de salidas
confidenciales incluyendo los procedimientos para
la disposición segura de la salida de trabajos
fallidos (véase los Apartados 10.7.2 y 10.7.3);
g) procedimientos de reinicio y recuperación del
sistema en caso de falla;
h) la gestión de las pistas de auditoría y de la
información del registro del sistema (véase el
Apartado 10.10).
Los procedimientos de operación, y los
procedimientos documentados para las
actividades del sistema, deberían tratarse como
documentos formales y los cambios autorizados
por la dirección. Cuando sea técnicamente
posible, los sistemas de información deberían
gestionarse de forma consistente, usando los
mismos procedimientos, herramientas, y ferramentas e utilitários.
utilidades.
10.1.2 Gestión de cambios
Control
Deberían controlarse los cambios en los sistemas
e instalaciones de procesamiento de información.
Guía de implementación
Los sistemas operacionales y el software en
producción deberían ajustarse a un estricto
control de gestión de cambios.
En particular debería considerarse:
a) identificación y registro de cambios
significativos;
b) planificación y pruebas de los cambios;
c) evaluación de los impactos potenciales de tales
cambios, incluyendo los impactos en la seguridad;
d) procedimiento formal de aprobación para los
cambios propuestos;
e) comunicación de los detalles del cambio a
todas las personas involucradas en los mismos;
57
11.5.4);
e) dados para contatos de suporte para o caso de
eventos operacionais inesperados ou dificuldades
técnicas;
f) instruções especiais quanto ao manuseio e saída
de mídias, tais como o uso de formulários especiais
ou o gerenciamento de saídas confidenciais,
incluindo procedimentos para o descarte seguro de
resultados provenientes de rotinas com falhas (ver
10.7.2 e 10.7.3);
g) procedimento para o reinício e recuperação em
caso de falha do sistema;
h) gerenciamento de trilhas de auditoria e
informações de registros (log) de sistemas (ver
10.10).
Convém que procedimentos operacionais e os
procedimentos documentados para atividades de
sistemas sejam tratados como documentos formais
e as mudanças sejam autorizadas pela direção.
Quando tecnicamente possível, convém que os
sistemas de informação sejam gerenciados
uniformemente, usando os mesmos procedimentos,
10.1.2 Gestão de mudanças
Controle
Convém que modificações nos recursos de
processamento da informação e sistemas sejam
controladas.
Diretrizes para implementação
Convém que sistemas operacionais e aplicativos
estejam sujeitos a rígido controle de gestão de
mudanças.
Em particular, convém que os seguintes itens
sejam considerados:
a) identificação e registro das mudanças
significativas;
b) planejamento e testes das mudanças;
c) avaliação de impactos potenciais, incluindo
impactos de segurança, de tais mudanças;
d) procedimento formal de aprovação das
mudanças propostas;
e) comunicação dos detalhes das mudanças para
todas as pessoas envolvidas;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
f) procedimientos de vuelta atrás (fallback),
incluyendo procedimientos y responsabilidades
para abortar y recuperar los cambios sin éxito y
de acontecimientos imprevistos.
Se deberían establecer las responsabilidades y
los procedimientos formales de gestión para
asegurar el control satisfactorio de todos los
cambios al equipamiento, software o
procedimientos. Cuando se realizan los cambios,
debería conservarse un registro de auditoría
conteniendo toda la información relevante.
Información adicional
El control inadecuado de cambios en las
instalaciones y los sistemas de procesamiento de
la información es una causa común de las fallas
del sistema o de la seguridad. Cambios al
ambiente operacional, especialmente al transferir
un sistema en desarrollo al estado operacional,
pueden afectar la confiabilidad de las aplicaciones
(véase también el Apartado 12.5.1).
Los cambios a los sistemas operacionales
deberían realizarse solamente cuando existe una
razón válida para el negocio, por ejemplo un
aumento en el riesgo al sistema. La actualización
de los sistemas con las últimas versiones del
sistema operativo o de la aplicación no siempre
favorece el interés del negocio, pues podría
introducir más vulnerabilidades e inestabilidad
que la versión vigente. Puede también haber una
necesidad de capacitación adicional, costos de
licencia, soporte, gastos indirectos de
mantenimiento y de administración, y hardware
nuevo, especialmente durante la migración.
10.1.3 Segregación de tareas
Control
Deberían segregarse las tareas y las áreas de
responsabilidad para reducir las oportunidades de
modificación no autorizada o no intencional, o el
uso inadecuado de los activos de la organización.
Guía de implementación
La segregación de tareas es un método para
reducir el riesgo del uso erróneo accidental o
deliberado del sistema. Debería verificarse que
ninguna persona pueda tener acceso, modificar o
utilizar activos sin autorización o detección. La
iniciación de un evento debería separarse de su
autorización. La posibilidad de fraude debería
considerarse al diseñar los controles.
58
f) procedimentos de recuperação, incluindo
procedimentos e responsabilidades pela
interrupção e recuperação de mudanças em caso
de insucesso ou na ocorrência de eventos
inesperados.
Convém que sejam estabelecidos os
procedimentos e responsabilidades gerenciais
formais para garantir que haja um controle
satisfatório de todas as mudanças em
equipamentos, software ou procedimentos.
Quando mudanças forem realizadas, convém que
seja mantido um registro de auditoria contendo
todas as informações relevantes.
Informações adicionais
O controle inadequado de modificações nos
sistemas e nos recursos de processamento da
informação é uma causa comum de falhas de
segurança ou de sistema. Mudanças a ambientes
operacionais, especialmente quando da
transferência de um sistema em desenvolvimento
para o estágio operacional, podem trazer impactos
à confiabilidade de aplicações (ver 12.5.1).
Convém que mudanças em sistemas operacionais
sejam apenas realizadas quando houver uma razão
de negócio válida para tal, como um aumento no
risco do sistema. A atualização de sistemas às
versões mais atuais de sistemas operacionais ou
aplicativos nem sempre é do interesse do negócio,
pois pode introduzir mais vulnerabilidades e
instabilidades ao ambiente do que a versão
corrente. Pode haver ainda a necessidade de
treinamento adicional, custos de licenciamento,
suporte, manutenção e sobrecarga de
administração, bem como a necessidade de novos
equipamentos, especialmente durante a fase de
migração.
10.1.3 Segregação de funções
Controle
Convém que funções e áreas de responsabilidade
sejam segregadas para reduzir as oportunidades
de modificação ou uso indevido não autorizado ou
não intencional dos ativos da organização.
Diretrizes para implementação
A segregação de funções é um método para
redução do risco de uso indevido acidental ou
deliberado dos sistemas. Convém que sejam
tomados certos cuidados para impedir que uma
única pessoa possa acessar, modificar ou usar
ativos sem a devida autorização ou detecção.
Convém que o início de um evento seja separado
de sua autorização. Convém que a possibilidade de
existência de conluios seja considerada no projeto
dos controles.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Las organizaciones pequeñas pueden considerar
que este método de control es difícil de lograr,
pero el principio debería aplicarse en la medida
en que sea posible y practicable. Cuando la
segregación sea difícil, deberían considerarse
otros controles como la supervisión de las
actividades, las pistas de auditoría y la
supervisión de la gestión. Es importante que la
auditoría de seguridad permanezca
independiente.
10.1.4 Separación de los recursos para
desarrollo, prueba y producción
Control
Los recursos para desarrollo, prueba y producción
deberían separarse para reducir los riesgos de
acceso no autorizado o los cambios al sistema
operacional.
Guía de implementación
Debería identificarse el grado de separación entre
los ambientes de desarrollo, prueba y producción
que es necesario para prevenir problemas
operativos e implementar los controles
adecuados.
Los siguientes puntos deberían ser considerados:
a) deberían definirse y documentarse las reglas
para transferir el software del ambiente de
desarrollo al de producción;
b) el software de desarrollo y el de producción
deberían, si es posible, funcionar en sistemas y
procesadores diferentes, y en dominios o
directorios distintos;
c) Los compiladores, editores y otras
herramientas de desarrollo o utilidades del
sistema no deberían accederse desde los
sistemas en producción, cuando no sea
necesario;
d) el ambiente del sistema de prueba debería
emular el ambiente del sistema operacional tan
real como sea posible;
e) los usuarios deberían emplear perfiles de
usuario diferentes para los sistemas en
producción y prueba, y los menús deberían
exhibir los mensajes de identificación apropiados
para reducir el riesgo a errores;
f) los datos sensibles no deberían utilizarse en el
ambiente del sistema de prueba (véase el
Apartado 12.4.2).
59
As pequenas organizações podem considerar a
segregação de funções difícil de ser implantada,
mas convém que o seu princípio seja aplicado
sempre que possível e praticável. Onde for difícil a
segregação, convém que outros controles, como a
monitoração das atividades, trilhas de auditoria e o
acompanhamento gerencial, sejam considerados. É
importante que a auditoria da segurança
permaneça como uma atividade independente.
10.1.4 Separação dos recursos de
desenvolvimento, teste e de produção
Controle
Convém que recursos de desenvolvimento, teste e
produção sejam separados para reduzir o risco de
acessos ou modificações não autorizadas aos
sistemas operacionais.
Diretrizes para implementação
Convém que o nível de separação dos ambientes
de produção, testes e desenvolvimento que é
necessário para prevenir problemas operacionais
seja identificado e os controles apropriados sejam
implementados.
Convém que os seguintes itens sejam
considerados:
a) as regras para a transferência de software da
situação de desenvolvimento para a de produção
sejam definidas e documentadas;
b) software em desenvolvimento e o software em
produção sejam, sempre que possível, executados
em diferentes sistemas ou processadores e em
diferentes domínios ou diretórios;
c) os compiladores, editores e outras ferramentas
de desenvolvimento ou utilitários de sistemas não
sejam acessíveis a partir de sistemas operacionais,
quando não for necessário;
d) os ambientes de testes emulem o ambiente de
produção o mais próximo possível;
e) os usuários tenham diferentes perfis para
sistemas em testes e em produção, e que os
menus mostrem mensagens apropriadas de
identificação para reduzir o risco de erro;
f) os dados sensíveis não sejam copiados para os
ambientes de testes (ver 12.4.2).
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Información adicional
Las actividades de desarrollo y prueba pueden
causar serios problemas, por ejemplo
modificación indeseada de archivos o del
ambiente del sistema, o fallo del sistema. En este
caso, hay una necesidad de mantener un
ambiente estable en el cual realizar la prueba
significativa y prevenir el inadecuado acceso del
desarrollador.
Si el personal de desarrollo y de prueba tiene
acceso al sistema operacional y a su información,
puede introducir código no autorizado y no
comprobado o alterar datos operacionales. En
algunos sistemas esta capacidad podría ser mal
utilizada para realizar fraude, o introducir código
no comprobado o malicioso, que puede causar
problemas operacionales serios.
Quienes desarrollan y realizan las pruebas
imponen una amenaza a la confidencialidad de la
información operativa. Las actividades de
desarrollo y de prueba pueden causar cambios
involuntarios al software o a la información si
comparten el mismo ambiente. Por lo tanto, es
conveniente separar los recursos para desarrollo,
prueba y producción para reducir el riesgo de
cambio accidental o acceso no autorizado al
software operacional o los datos del negocio
(véase el Apartado 12.4.2 para la protección de
los datos de prueba).
10.2 Gestión de la entrega del servicio por
terceras partes
OBJETIVO: Implementar y mantener un nivel
apropiado de la seguridad de la información y la
entrega del servicio, acorde con los acuerdos de
entrega del servicio por terceras partes.
La organización debería verificar la
implementación de acuerdos, supervisar el
cumplimiento de ellos y gestionar los cambios
para asegurar que los servicios entregados
cumplen los requisitos acordados con la tercera
parte.
10.2.1 Entrega del servicio
Control
Debería asegurarse que los controles de
seguridad, las definiciones del servicio y los
niveles de entrega incluidos en el acuerdo de
entrega del servicio por terceras partes son
implementados, operados, y mantenidos por las
60
Informações adicionais
As atividades de desenvolvimento e teste podem
causar sérios problemas, como, por exemplo,
modificações inesperadas em arquivos ou sistemas
ou falhas de sistemas. Nesse caso, é necessária a
manutenção de um ambiente conhecido e estável,
no qual possam ser executados testes significativos
e que seja capaz de prevenir o acesso indevido do
pessoal de desenvolvimento.
Quando o pessoal de desenvolvimento e teste
possui acesso ao ambiente de produção e suas
informações, eles podem introduzir códigos não
testados e não autorizados, ou mesmo alterar os
dados do sistema. Em alguns sistemas essa
capacidade pode ser mal utilizada para a execução
de fraudes, ou introdução de códigos maliciosos ou
não testados, que podem causar sérios problemas
operacionais.
O pessoal de desenvolvimento e testes também
representa uma ameaça à confidencialidade das
informações de produção. As atividades de
desenvolvimento e teste podem causar
modificações não intencionais no software e
informações se eles compartilharem o mesmo
ambiente computacional. A separação dos
ambientes de desenvolvimento, teste e produção
são, portanto, desejável para reduzir o risco de
modificações acidentais ou acessos não
autorizados aos sistemas operacionais e aos dados
do negócio (ver 12.4.2 para a proteção de dados de
teste).
10.2 Gerenciamento de serviços terceirizados
Objetivo: Implementar e manter o nível apropriado
de segurança da informação e de entrega de
serviços em consonância com acordos de entrega
de serviços terceirizados.
Convém que a organização verifique a
implementação dos acordos, monitore a
conformidade com tais acordos e gerencie as
mudanças para garantir que os serviços entregues
atendem a todos os requisitos acordados com os
terceiros.
10.2.1 Entrega de serviços
Controle
Convém que seja garantido que os controles de
segurança, as definições de serviço e os níveis de
entrega incluídos no acordo de entrega de serviços
terceirizados sejam implementados, executados e
mantidos pelo terceiro.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
terceras partes.
Guía de implementación
La entrega del servicio por una tercera parte
debería incluir los acuerdos de seguridad, las
definiciones del servicio, y los aspectos de la
gestión del servicio convenidos. En caso de
acuerdos de contratación externa, la organización
debería planificar las transiciones necesarias (de
información, instalaciones de procesamiento de la
información, y cualquier cosa que necesite ser
desplazada) y debería garantizar el
mantenimiento de la seguridad durante el período
de transición.
La organización debería asegurarse que la
tercera parte conserva una capacidad de servicio
suficiente acorde con los planes realizables,
diseñados para asegurarse que los niveles
convenidos de la continuidad del servicio están
mantenidos ante fallas del servicio o de desastre
(véase el Apartado 14.1).
10.2.2 Supervisión y revisión de los servicios
por terceras partes
Control
Deberían supervisarse y revisarse regularmente
los servicios, informes y registros proporcionados
por las terceras partes, y deberían realizarse
regularmente auditorías.
Guía de implementación
El seguimiento y la revisión de los servicios por
terceras partes deberían asegurar el
cumplimiento de los términos y condiciones de
seguridad de la información de los acuerdos, y
que los incidentes y los problemas de la
seguridad de la información estén manejados
correctamente. Esto debería implicar una relación
y un proceso de gestión del servicio entre la
organización y la tercera parte para:
a) supervisar niveles de desempeño del servicio
para comprobar adherencia a los acuerdos;
b) revisar los informes del servicio producidos por
las terceras partes y realizar reuniones de
evaluación según los requisitos de los acuerdos;
c) entregar información sobre incidentes de la
seguridad de la información y revisión de esta
información por las terceras partes y la
organización según los requisitos de los acuerdos
y las pautas y procedimientos de soporte;
d) revisar pistas de auditoría confeccionadas por
61
Diretrizes para implementação
Convém que a entrega de serviços por um terceiro
inclua os arranjos de segurança acordados,
definições de serviço e aspectos de gerenciamento
de serviços. No caso de acordos de terceirização,
convém que a organização planeje as transições
necessárias (de informação, recursos de
processamento de informações e quaisquer outros
que necessitem de movimentação) e garanta que a
segurança seja mantida durante todo o período de
transição.
Convém que a organização garanta que o terceiro
mantenha capacidade de serviço suficiente,
juntamente com planos viáveis projetados para
garantir que os níveis de continuidade de serviços
acordados sejam mantidos após falhas de serviços
severas ou desastres (ver 14.1).
10.2.2 Monitoramento e análise crítica de
serviços terceirizados
Controle
Convém que os serviços, relatórios e registros
fornecidos por terceiro sejam regularmente
monitorados e analisados criticamente, e que
auditorias sejam executadas regularmente.
Diretrizes para implementação
Convém que a monitoração e análise crítica dos
serviços terceirizados garantam a aderência entre
os termos de segurança de informação e as
condições dos acordos, e que problemas e
incidentes de segurança da informação sejam
gerenciados adequadamente. Convém que isto
envolva processos e relações de gerenciamento de
serviço entre a organização e o terceiro para:
a) monitorar níveis de desempenho de serviço para
verificar aderência aos acordos;
b) analisar criticamente os relatórios de serviços
produzidos por terceiros e agendamento de
reuniões de progresso conforme requerido pelos
acordos;
c) fornecer informações acerca de incidentes de
segurança da informação e análise crítica de tais
informações tanto pelo terceiro quanto pela
organização, como requerido pelos acordos e por
quaisquer procedimentos e diretrizes que os
apóiem;
d) analisar criticamente as trilhas de auditoria do
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
las terceras partes y registros de los incidentes de
seguridad, de los problemas operacionales, de las
fallas, y de interrupciones relacionadas con el
servicio entregado;
e) resolver y gestionar cualquier problema
identificado.
La responsabilidad de gestionar la relación con
terceras partes debería asignarse a un individuo o
a un equipo designado de gestión del servicio.
Además, la organización debería asegurarse de
que las terceras partes asignen responsabilidades
de verificación para evaluar la conformidad y
hacer cumplir los requisitos de los acuerdos. Los
recursos técnicos deberían estar disponibles para
supervisar que los requisitos del acuerdo (véase
el Apartado 6.2.3), en particular los requisitos de
seguridad de la información, se estén cumpliendo.
Se deberían tomar las acciones adecuadas
cuando se observen deficiencias en el servicio de
las terceras partes.
La organización debería mantener suficiente
control y supervisión en todos los aspectos de la
seguridad de la información sensible o crítica, o
de las instalaciones de procesamiento de la
información accedidas, procesadas o gestionadas
por terceras partes. La organización debería
asegurar el control sobre actividades de la
seguridad tales como gestión del cambio,
identificación de las vulnerabilidades, y reportes
de incidentes y respuestas de la seguridad de la
información mediante una estructura, formato y
proceso claramente definido.
Información adicional
En caso de contratación externa, es necesario
que la organización sepa que la máxima
responsabilidad por la información procesada por
una parte contratada externamente sigue siendo
de la organización.
10.2.3 Gestión de cambios en los servicios de
terceras partes
Control
Los cambios a la prestación de los servicios,
incluyendo mantenimiento y mejora de las
políticas existentes de la seguridad de la
información, procedimientos y controles, deberían
gestionarse tomando en cuenta la importancia de
los sistemas y procesos de negocio que impliquen
una nueva valoración de riesgos.
Guía de implementación
El proceso de gestión de cambios a un servicio de
terceras partes necesita tomar en cuenta:
62
terceiro e registros de eventos de segurança,
problemas operacionais, falhas, investigação de
falhas e interrupções relativas ao serviço entregue;
e) resolver e gerenciar quaisquer problemas
identificados.
Convém que a responsabilidade do gerenciamento
de relacionamento com o terceiro seja atribuída a
um indivíduo designado ou equipe de
gerenciamento de serviço. Adicionalmente, convém
que a organização garanta que o terceiro atribua
responsabilidades pela verificação de conformidade
e reforço aos requisitos dos acordos. Convém que
habilidades técnicas suficientes e recursos sejam
disponibilizados para monitorar se os requisitos dos
acordos (ver 6.2.3), em particular os requisitos de
segurança da informação, estão sendo atendidos.
Convém que ações apropriadas sejam tomadas
quando deficiências na entrega dos serviços forem
observadas.
Convém que a organização mantenha suficiente
controle geral e visibilidade em todos os aspectos
de segurança para as informações sensíveis ou
críticas ou para os recursos de processamento da
informação acessados, processados ou
gerenciados por um terceiro. Convém que a
organização garanta a retenção da visibilidade nas
atividades de segurança como gerenciamento de
mudanças, identificação de vulnerabilidades e
relatório/resposta de incidentes de segurança da
informação através de um processo de notificação,
formatação e estruturação claramente definido.
Informações adicionais
Em caso de terceirização, a organização precisa
estar ciente de que a responsabilidade final pela
informação processada por um parceiro de
terceirização permanece com a organização.
10.2.3 Gerenciamento de mudanças para
serviços terceirizados
Controle
Convém que mudanças no provisionamento dos
serviços, incluindo manutenção e melhoria da
política de segurança da informação,
procedimentos e controles existentes, sejam
gerenciadas levando-se em conta a criticidade dos
sistemas e processos de negócio envolvidos e a
reanálise/reavaliação de riscos.
Diretrizes para implementação
O processo de gerenciamento de mudanças para
serviços terceirizados precisa levar em conta:
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002

a) cambios realizados por la organización para a) mudanças feitas pela organização para a
implementar: implementação de:

1) mejoras a los servicios actuales ofrecidos; 1) melhorias dos serviços correntemente

oferecidos;

2) desarrollo de nuevos sistemas y 2) desenvolvimento de quaisquer novas

aplicaciones; aplicações ou sistemas;

3) modificaciones o actualizaciones de las 3) modificações ou atualizações das políticas e

políticas y de los procedimientos de la procedimentos da organização;
organización;

4) nuevos controles para resolver incidentes 4) novos controles para resolver os incidentes
de la seguridad de la información y para de segurança da informação e para melhorar
mejorar la seguridad; a segurança;

b) cambios en servicios de las terceras partes b) mudanças em serviços de terceiros para

para implementar: implementação de:

1) cambios y mejoras en las redes; 1) mudanças e melhorias em redes;

2) uso de nuevas tecnologías; 2) uso de novas tecnologias;

3) adopción de nuevos productos o versiones; 3) adoção de novos produtos ou novas versões;

4) nuevas herramientas y ambientes de 4) novas ferramentas e ambientes de

desarrollo; desenvolvimento;

5) cambios a la localización física de las 5) mudanças de localização física dos recursos

instalaciones del servicio; de serviços;

6) cambio de vendedores. 6) mudanças de fornecedores.

10.3 Planificación y aceptación del sistema 10.3 Planejamento e aceitação dos sistemas

OBJETIVO: Minimizar el riesgo de fallos de los Objetivo: Minimizar o risco de falhas nos sistemas.
sistemas.

Se requiere una planificación y preparación O planejamento e a preparação prévios são

avanzada para asegurar la disponibilidad de requeridos para garantir a disponibilidade
capacidad y recursos adecuados para el adequada de capacidade e recursos para entrega
desempeño requerido del sistema. do desempenho desejado ao sistema.

Deberían realizarse proyecciones de los Convém que projeções de requisitos de capacidade

requisitos futuros de capacidad para reducir el futura sejam feitas para reduzir o risco de
riesgo de sobrecarga del sistema. sobrecarga dos sistemas.

Deberían establecerse, documentarse y probarse Convém que os requisitos operacionais dos novos
los requisitos operativos de nuevos sistemas sistemas sejam estabelecidos, documentados e
antes de su aprobación y utilización. testados antes da sua aceitação e uso.

10.3.1 Gestión de la capacidad 10.3.1 Gestão de capacidade

Control Controle
Debería supervisarse y adaptarse el uso de Convém que a utilização dos recursos seja
recursos, así como proyecciones de los futuros monitorada e ajustada, e as projeções feitas para
requisitos de capacidad para asegurar el necessidades de capacidade futura, para garantir o

63 10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
desempeño requerido del sistema.
Guía de implementación
Para cada actividad nueva y en curso, deberían
identificarse los requisitos de capacidad.
Debería supervisarse y adaptarse el sistema para
asegurar, y cuando sea necesario, mejorar la
disponibilidad y la eficacia de los sistemas.
Deberían ejecutarse controles exhaustivos para
indicar problemas a su debido tiempo. Las
proyecciones de los requisitos de capacidad
futura deberían tomar en cuenta los nuevos
requisitos del negocio y del sistema, así como
tendencias actuales y proyectadas en la
capacidad de procesamiento de la información de
la organización.
Es necesario poner atención a los recursos cuya
adquisición toma mucho tiempo o requiere costos
elevados; por lo tanto los responsables deberían
supervisar la utilización de los recursos clave del
sistema. Deberían identificar tendencias en uso,
particularmente en lo referente a las aplicaciones
del negocio o herramientas de administración de
sistemas de información.
Los responsables deberían utilizar esta
información para identificar y evitar posibles
embotellamientos, así como dependencia de
personal clave que pudiera presentar una
amenaza a la seguridad o a los servicios del
sistema, y planificar la acción apropiada.
10.3.2 Aceptación del sistema
Control
Deberían establecerse criterios de aceptación
para sistemas de información nuevos,
actualizaciones y nuevas versiones y llevar a
cabo las pruebas adecuadas del sistema durante
el desarrollo y antes de la aceptación.
Guía de implementación
Los directores deberían asegurarse que los
requisitos y criterios de aceptación de los nuevos
sistemas estén claramente definidos, acordados,
documentados y probados. Los nuevos sistemas
de información, actualizaciones y nuevas
versiones deberían migrarse a producción luego
de obtenerse una aceptación formal. Deberían
considerarse los siguientes elementos antes de la
aceptación formal:
a) requisitos de rendimiento y capacidad de las
computadoras;
64
desempenho requerido do sistema.
Diretrizes para implementação
Convém que requisitos de capacidade sejam
identificados para cada atividade nova ou em
andamento.
Convém que o ajuste e o monitoramento dos
sistemas sejam aplicados para garantir e, quando
necessário, melhorar a disponibilidade e eficiência
dos sistemas. Convém que controles detectivos
sejam implantados para identificar problemas em
tempo hábil. Convém que projeções de capacidade
futura levem em consideração os requisitos de
novos negócios e sistemas e as tendências atuais
e projetadas de capacidade de processamento de
informação da organização.
Atenção particular precisa ser dada a qualquer
recurso que possua um ciclo de renovação ou
custo maior, sendo responsabilidade dos gestores
monitorar a utilização dos recursos-chave dos
sistemas. Convém que eles identifiquem as
tendências de utilização, particularmente em
relação às aplicações do negócio ou às
ferramentas de gestão de sistemas de informação.
Convém que os gestores utilizem essas
informações para identificar e evitar os potenciais
gargalos e a dependência em pessoas-chave que
possam representar ameaças à segurança dos
sistemas ou aos serviços, e planejar ação corretiva
apropriada.
10.3.2 Aceitação de sistemas
Controle
Convém que sejam estabelecidos critérios de
aceitação para novos sistemas, atualizações e
novas versões, e que sejam efetuados testes
apropriados do(s) sistema(s) durante seu
desenvolvimento e antes da sua aceitação.
Diretrizes para implementação
Convém que os gestores garantam que os
requisitos e critérios para aceitação de novos
sistemas estejam claramente definidos, acordados,
documentados e testados. Convém que novos
sistemas de informação, atualizações e novas
versões só sejam migrados para produção após a
obtenção de aceitação formal.
Convém que os seguintes itens sejam
considerados antes que a aceitação formal seja
emitida:
a) requisitos de desempenho e de capacidade
computacional;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
b) procedimientos de recuperación de errores y
reinicio, y planes de contingencia;
c) preparación y prueba de procedimientos
operativos de rutina según las normas definidas;
d) conjunto acordado de controles y medidas de
seguridad instalados;
e) procedimientos manuales efectivos;
f) disposiciones de continuidad del negocio.
(véase el Apartado 14.1);
g) evidencia de que la instalación del nuevo
sistema no producirá repercusiones negativas
sobre los existentes, particularmente en los
períodos picos de proceso como a fin de mes;
h) evidencia de que se ha tenido en cuenta el
efecto que tendrá el nuevo sistema en la
seguridad global de la organización;
i) formación en la operación o utilización de los
sistemas nuevos;
j) facilidad de empleo, y como esto afecta el
funcionamiento del usuario y evita el error
humano.
Para nuevos desarrollos importantes, se debería
consultar al responsable de operaciones y a los
usuarios en todos las etapas del proceso de
desarrollo para asegurar la eficacia operacional
del diseño del sistema propuesto. Deberían
realizarse pruebas apropiadas para confirmar que
se han satisfecho completamente todos los
criterios de aceptación.
Información adicional
La aceptación puede incluir un proceso formal de
certificación y acreditación para verificar que los
requisitos de la seguridad se han tratado
correctamente.
10.4 Protección contra código malicioso y
código móvil
OBJETIVO: Proteger la integridad del software y
de la información.
Se requieren ciertas precauciones para prevenir y
detectar la introducción de código malicioso y
código móvil no autorizado.
65
b) recuperação de erros, procedimentos de
reinicialização e planos de contingência;
c) preparação e teste de procedimentos
operacionais de rotina, com base em normas
definidas;
d) concordância sobre o conjunto de controles de
segurança utilizados;
e) procedimentos manuais eficazes;
f) requisitos de continuidade dos negócios (ver
14.1);
g) evidência de que a instalação do novo sistema
não afetará de forma adversa os sistemas
existentes, particularmente nos períodos de pico de
processamento, como, por exemplo, em final de
mês;
h) evidência de que tenha sido considerado o
impacto do novo sistema na segurança da
organização como um todo;
i) treinamento na operação ou uso de novos
sistemas;
j) facilidade de uso, uma vez que afeta o
desempenho do usuário e evita falhas humanas.
Para os principais novos desenvolvimentos,
convém que os usuários e as funções de operação
sejam consultados em todos os estágios do
processo de desenvolvimento, de forma a garantir
a eficiência operacional do projeto de sistema
proposto. Convém que os devidos testes sejam
executados para garantir que todos os critérios de
aceitação tenham sido plenamente satisfeitos.
Informações adicionais
A aceitação pode incluir um processo formal de
certificação e reconhecimento para garantir que os
requisitos de segurança tenham sido devidamente
endereçados.
10.4 Proteção contra códigos maliciosos e
códigos móveis
Objetivo: Proteger a integridade do software e da
informação.
Precauções são requeridas para prevenir e
detectar a introdução de códigos maliciosos e
códigos móveis não autorizados.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
El software y las instalaciones de procesamiento
de información son vulnerables a la introducción
de código malicioso como virus informáticos,
gusanos de la red, caballos de Troya y bombas
lógicas. Los usuarios deberían conocer los
peligros que puede ocasionar el código malicioso
y el código móvil no autorizado. Los responsables
deberían, cuando sea apropiado, introducir
controles para prevenir, detectar y remover el
código malicioso y controlar el código móvil.
10.4.1 Controles contra código malicioso
Control
Deberían implantarse controles de detección,
prevención y recuperación para protegerse contra
códigos maliciosos, junto a procedimientos
adecuados para concientizar a los usuarios.
Guía de implementación
La protección contra el código malicioso debería
basarse en el empleo de sistemas de detección y
reparación, en la conciencia de la seguridad, y en
apropiados controles de acceso al sistema y
gestión de cambios. Las siguientes directrices
deberían considerarse:
a) establecimiento de una política formal que
establezca la prohibición del uso de software no
autorizado (véase el Apartado 15.1.2);
b) establecimiento de una política formal de
protección contra los riesgos asociados a la
obtención de archivos y software por redes
externas o cualquier otro medio, indicando las
medidas protectoras a adoptar;
c) revisiones regulares del contenido de datos y
software que soportan los procesos del negocio;
la presencia de archivos no aprobados o arreglos
no autorizados debería investigarse formalmente;
d) la instalación y actualización regular de
antivirus para detección y reparación de software
que exploren las computadoras y los soportes de
forma rutinaria o como un control preventivo; las
verificaciones deberían incluir:
1) comprobación de archivos en medios
electrónicos u ópticos, y archivos recibidos
a través de redes, para verificar la
existencia de código malicioso, antes de su
uso;
2) la comprobación para buscar software
66
Os recursos de processamento da informação e os
softwares são vulneráveis à introdução de código
malicioso, tais como vírus de computador, worms
de rede, cavalos de Tróia e bombas lógicas.
Convém que os usuários estejam conscientes dos
perigos do código malicioso. Convém que os
gestores, onde apropriado, implantem controles
para prevenir, detectar e remover código malicioso
e controlar códigos móveis.
10.4.1 Controles contra códigos maliciosos
Controle
Convém que sejam implantados controles de
detecção, prevenção e recuperação para proteger
contra códigos maliciosos, assim como
procedimentos para a devida conscientização dos
usuários.
Diretrizes para implementação
Convém que a proteção contra códigos maliciosos
seja baseada em softwares de detecção de códigos
maliciosos e reparo, na conscientização da
segurança da informação, no controle de acesso
adequado e nos controles de gerenciamento de
mudanças. Convém que as seguintes diretrizes
sejam consideradas:
a) estabelecer uma política formal proibindo o uso
de softwares não autorizados (ver 15.1.2);
b) estabelecer uma política formal para proteção
contra os riscos associados com a importação de
arquivos e softwares, seja de redes externas, ou
por qualquer outro meio, indicando quais medidas
preventivas devem ser adotadas;
c) conduzir análises críticas regulares dos
softwares e dados dos sistemas que suportam
processos críticos de negócio; convém que a
presença de quaisquer arquivos não aprovados ou
atualização não autorizada seja formalmente
investigada;
d) instalar e atualizar regularmente softwares de
detecção e remoção de códigos maliciosos para o
exame de computadores e mídias magnéticas, de
forma preventiva ou de forma rotineira; convém que
as verificações realizadas incluam:
1) verificação, antes do uso, da existência de
códigos maliciosos nos arquivos em mídias
óticas ou eletrônicas, bem como nos
arquivos transmitidos através de redes;
2) verificação, antes do uso, da existência de
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
malicioso, antes de usarlo, de todo archivo
adjunto a un correo electrónico o de toda
descarga. Esta comprobación que se hará
en distintos lugares, por ejemplo, en los
servidores de correo, en las computadoras
terminales o a la entrada en la red de la
organización;
3) comprobación de páginas web para saber si
hay código malicioso;
e) definición de procedimientos y e) definir procedimentos de gerenciamento e
responsabilidades de gestión para la protección
de los sistemas contra código malicioso, la
capacitación para su uso, la información de los
ataques de los virus y la recuperación de éstos
(véase los Apartados 13.1 y 13.2);
f) preparación de planes de continuidad del
negocio apropiados para la recuperación ante los
ataques de código malicioso, incluyendo todos los
datos y software necesarios de respaldo y las
disposiciones para la recuperación (véase la
Clausula 14);
g) implementación de procedimientos para
recoger regularmente la información, tal como
suscripción a las listas de correo y/o
comprobación de los sitios web que brindan la
información sobre nuevo código malicioso;
h) implementación de procedimientos para
verificar toda la información relativa al software
malicioso y asegurarse que los boletines de alerta
son precisos e informativos. Los responsables
deberían asegurarse que se diferencian los
códigos maliciosos reales de los falsos avisos de
código malicioso, usando fuentes calificadas, por
ejemplo, revistas expertas, sitios de Internet
fiables o proveedores de software contra código
malicioso. Debería advertirse al personal sobre el
problema de los falsos avisos de código malicioso
y qué hacer en caso de recibirlos.
Información adicional
El uso de dos o más productos de software que
protegen contra código malicioso a través del
tratamiento de la información de diversos
vendedores puede mejorar la eficacia de la
protección contra el código malicioso.
El software a proteger contra código malicioso se
puede instalar para obtener actualizaciones
automáticas de los archivos y los motores de
búsqueda para asegurar la actualización de la
protección. Además, este software se puede
instalar en cada escritorio para realizar
verificaciones automáticas.
67
software malicioso em qualquer arquivo
recebido através de correio eletrônico ou
importado (download). Convém que essa
avaliação seja feita em diversos locais,
como, por exemplo, nos servidores de
correio eletrônico, nos computadores
pessoais ou quando da sua entrada na rede
da organização;
3) verificação da existência de códigos
maliciosos em páginas web;
respectivas responsabilidades para tratar da
proteção de código malicioso nos sistemas,
treinamento nesses procedimentos, reporte e
recuperação de ataques de códigos maliciosos (ver
13.1 e 13.2);
f) preparar planos de continuidade do negócio
adequados para a recuperação em caso de
ataques por códigos maliciosos, incluindo todos os
procedimentos necessários para a cópia e
recuperação dos dados e softwares (ver Seção 14);
g) implementar procedimentos para regularmente
coletar informações, tais como, assinaturas de
listas de discussão e visitas a sites informativos
sobre novos códigos maliciosos;
h) implementar procedimentos para a verificação
de informação relacionada a códigos maliciosos e
garantia de que os boletins com alertas sejam
precisos e informativos; convém que os gestores
garantam que fontes qualificadas, como, por
exemplo, jornais com reputação idônea, sites
confiáveis ou fornecedores de software de proteção
contra códigos maliciosos, sejam utilizadas para
diferenciar boatos de notícias reais sobre códigos
maliciosos; convém que todos os usuários estejam
cientes dos problemas decorrentes de boatos e
capacitados a lidar com eles.
Informações adicionais
A utilização de dois ou mais tipos de software de
controle contra códigos maliciosos de diferentes
fornecedores no ambiente de processamento da
informação pode aumentar a eficácia na proteção
contra códigos maliciosos.
Softwares de proteção contra código malicioso
podem ser instalados para prover atualizações
automáticas dos arquivos de definição e
mecanismos de varredura, para garantir que a
proteção esteja atualizada. Adicionalmente, estes
softwares podem ser instalados em todas as
estações de trabalho para a realização de
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Debería tenerse especial cuidado para protegerse
contra la introducción de código malicioso durante
los procedimientos de mantenimiento y de
emergencia, evitando que códigos maliciosos
puedan saltear los controles.
10.4.2 Controles contra código móvil
Control
Donde el uso de código móvil está autorizado, la
configuración debería asegurar que el código
móvil autorizado opera de acuerdo con una
política de seguridad definida, y debería evitarse
la ejecución de código móvil no autorizado.
Guía de implementación
Las siguientes acciones deberían considerarse
para protegerse contra las acciones del código
móvil no autorizado:
a) ejecución de código móvil en un entorno
lógicamente aislado;
b) bloqueo de cualquier utilización de código
móvil;
c) bloqueo de recepción de código móvil;
d) activación de medidas técnicas disponibles en
sistemas específicos para asegurar el control del
código móvil;
e) control de recursos disponibles sobre el acceso
del código móvil;
f) controles criptográficos para autenticar el
código móvil.
Información adicional
El código móvil es un software que se transfiere
de un computador a otro y se ejecuta
automáticamente y desarrolla una función
específica con poca o nula intervención del
usuario. El código móvil está asociado con un
número de servicios de software intermedio
(middleware).
Además para asegurar que el código móvil no
contiene otro código malicioso, el control del
código móvil es esencial para evitar su uso no
autorizado o la interrupción del sistema, red o
recursos de la aplicación y otras brechas de la
seguridad de la información.
10.5 Respaldo
68
verificações automáticas.
Convém que seja tomado cuidado quanto a
possível introdução de códigos maliciosos durante
manutenções e quando estão sendo realizados
procedimentos de emergência. Tais procedimentos
podem ignorar controles normais de proteção
contra códigos maliciosos.
10.4.2 Controles contra códigos móveis
Controle
Onde o uso de códigos móveis é autorizado,
convém que a configuração garanta que o código
móvel autorizado opere de acordo com uma política
de segurança da informação claramente definida e
códigos móveis não autorizados tenham sua
execução impedida.
Diretrizes para implementação
Convém que as seguintes ações sejam
consideradas para proteger contra ações não
autorizadas realizadas por códigos móveis:
a) executar códigos móveis em ambientes isolados
logicamente;
b) bloquear qualquer tipo de uso de código móvel;
c) bloquear o recebimento de códigos móveis;
d) ativar medidas técnicas disponíveis nos sistemas
específicos para garantir que o código móvel esteja
sendo administrado;
e) controlar os recursos disponíveis para acesso ao
código móvel;
f) estabelecer controles criptográficos de
autenticação exclusiva do código móvel.
Informações adicionais
Código móvel é um código transferido de um
computador a outro executando automaticamente e
realizando funções específicas com pequena ou
nenhuma interação por parte do usuário. Códigos
móveis são associados a uma variedade de
serviços middleware.
Além de garantir que os códigos móveis não
carreguem códigos maliciosos, manter o controle
deles é essencial na prevenção contra o uso não
autorizado ou interrupção de sistemas, redes ou
aplicativos, e na prevenção contra violações de
segurança da informação.
10.5 Cópias de segurança
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
OBJETIVO: Mantener la integridad y Objetivo: Manter a integridade e disponibilidade da
disponibilidad de la información y de las
instalaciones de procesamiento de la información.
Deberían establecerse procedimientos de rutina
para implementar una política y estrategia
acordada de respaldo (véase el Apartado 14.1)
haciendo copias de respaldo de datos y
ensayando sus tiempos de restauración.
10.5.1 Respaldo de la información
Control
Deberían hacerse regularmente copias de
seguridad de la información y del software y
probarse regularmente acorde con la política de
respaldo.
Guía de implementación
Deberían mantenerse adecuados soportes de
respaldo para asegurar que toda la información
esencial y el software puedan recuperarse tras un
desastre o fallo de los soportes.
Deberían considerarse los siguientes elementos
para el respaldo de la información:
a) debería definirse el nivel necesario de
información de respaldo;
b) deberían realizarse copias de seguridad de la
información seguras y completas, y producirse
documentos de restauración;
c) el grado (por ejemplo, respaldo completo o
diferencial) y la frecuencia de los respaldos
deberían reflejar los requisitos del negocio, los
requisitos de la seguridad de la información
implicada, y la importancia de la información que
permita la operación continua de la organización;
d) los respaldos deberían almacenarse en lugar
Apartado, a una suficiente distancia para la
salvaguarda de cualquier daño de un desastre en
el sitio principal;
e) la información de respaldo debería tener un
nivel apropiado de protección ambiental y físico
(véase la Cláusula 9) consistente con las normas
aplicadas en el sitio principal; los controles
aplicados a los soportes en el sitio principal se
deben ampliar para cubrir el sitio de respaldo;
69
informação e dos recursos de processamento de
informação.
Convém que procedimentos de rotina sejam
estabelecidos para implementar as políticas e
estratégias definidas para a geração de cópias de
segurança (ver 14.1) e possibilitar a geração das
cópias de segurança dos dados e sua recuperação
em um tempo aceitável.
10.5.1 Cópias de segurança das informações
Controle
Convém que as cópias de segurança das
informações e dos softwares sejam efetuadas e
testadas regularmente conforme a política de
geração de cópias de segurança definida.
Diretrizes para implementação
Convém que recursos adequados para a geração
de cópias de segurança sejam disponibilizados
para garantir que toda informação e software
essenciais possam ser recuperados após um
desastre ou a falha de uma mídia.
Convém que os seguintes itens para a geração das
cópias de segurança sejam considerados:
a) definição do nível necessário das cópias de
segurança das informações;
b) produção de registros completos e exatos das
cópias de segurança e documentação apropriada
sobre os procedimentos de restauração da
informação;
c) a extensão (por exemplo, completa ou
diferencial) e a freqüência da geração das cópias
de segurança reflita os requisitos de negócio da
organização, além dos requisitos de segurança da
informação envolvidos e a criticidade da informação
para a continuidade da operação da organização;
d) as cópias de segurança sejam armazenadas em
uma localidade remota, a uma distância suficiente
para escapar dos danos de um desastre ocorrido
no local principal;
e) deve ser dado um nível apropriado de proteção
física e ambiental das informações das cópias de
segurança (ver Seção 9), consistente com as
normas aplicadas na instalação principal; os
controles aplicados às mídias na instalação
principal sejam usados no local das cópias de
segurança;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
f) los soportes de respaldo deberían probarse
regularmente para asegurarse que pueden ser
confiables para el uso cuando sean necesarios;
g) los procedimientos de restauración deberían
comprobarse regularmente para asegurar que
son eficaces y que pueden ser utilizados dentro
del tiempo asignado en los procedimientos
operacionales para la recuperación;
h) en situaciones donde la confidencialidad es de
importancia, los respaldos deberían protegerse
por medio del cifrado.
Las disposiciones de respaldo para los sistemas
individuales deberían verificarse regularmente
para asegurar que resuelven los requisitos de los
planes para la continuidad del negocio (véase la
Cláusula 14). Para los sistemas críticos, las
disposiciones de respaldo deberían cubrir toda la
información, usos, y datos de los sistemas
necesarios para recuperar el sistema completo en
caso de un desastre.
Debería determinarse el periodo de validez para
la información esencial de la organización, y
también cualquier requisito para las copias de
archivo. (véase el Apartado 15.1.3).
Información adicional
Las disposiciones de respaldo se pueden
automatizar para facilitar el respaldo y los
procesos de restauración. Tales soluciones
automatizadas deberían probarse suficientemente
antes de la puesta en práctica y en intervalos
regulares.
10.6 Gestión de la seguridad de red
OBJETIVO: Asegurar la protección de la
información en redes y la protección de la
infraestructura de soporte.
La gestión segura de las redes, las cuales pueden
sobrepasar las fronteras de la organización,
requiere la consideración cuidadosa del flujo de
datos, las implicaciones legales, el seguimiento y
la protección.
También pueden ser necesarios los controles
adicionales para proteger la información sensible
que pasa por las redes públicas.
10.6.1 Controles de red
70
f) as mídias de cópias de segurança sejam
testadas regularmente para garantir que elas são
suficientemente confiáveis para uso de
emergência, quando necessário;
g) os procedimentos de recuperação sejam
verificados e testados regularmente, de forma a
garantir que estes são efetivos e que podem ser
concluídos dentro dos prazos definidos nos
procedimentos operacionais de recuperação;
h) em situações onde a confidencialidade é
importante, cópias de segurança sejam protegidas
através de encriptação.
Convém que as cópias de segurança de sistemas
específicos sejam testadas regularmente para
garantir que elas estão aderentes aos requisitos
definidos nos planos de continuidade do negócio
(ver Seção 14). Para sistemas críticos, convém que
os mecanismos de geração de cópias de
segurança abranjam todos os sistemas de
informação, aplicações e dados necessários para a
completa recuperação do sistema em um evento de
desastre.
Convém que o período de retenção para
informações essenciais ao negócio e também
qualquer requisito para que cópias de arquivo
sejam permanentemente retidas seja determinado
(ver 15.1.3).
Informações adicionais
Os mecanismos de cópias de segurança podem
ser automatizados para facilitar os processos de
geração e recuperação das cópias de segurança.
Convém que tais soluções automatizadas sejam
suficientemente testadas antes da implementação
e verificadas em intervalos regulares.
10.6 Gerenciamento da segurança em redes
Objetivo: Garantir a proteção das informações em
redes e a proteção da infra-estrutura de suporte.
O gerenciamento seguro de redes, que pode ir
além dos limites da organização, requer
cuidadosas considerações relacionadas ao fluxo de
dados, implicações legais, monitoramento e
proteção.
Controles adicionais podem ser necessários para
proteger informações sensíveis trafegando sobre
redes públicas.
10.6.1 Controles de redes
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Control
Las redes deberían gestionarse y controlarse
adecuadamente, para protegerlas contra
amenazas, y mantener la seguridad de los
sistemas, incluyendo la información en tránsito.
Guía de implementación
Los administradores de redes deberían implantar
los controles y medidas requeridas para
conservar la seguridad de los datos en las redes
de computadoras, así como la protección contra
servicios conectados no autorizados. En
particular, deberían considerarse los siguientes
elementos:
a) la responsabilidad operativa por las redes
debería separarse de las operaciones del
computador, según sea apropiado (véase el
Apartado 10.1.3);
b) deberían establecerse responsabilidades y
procedimientos para la gestión de los equipos
remotos, incluyendo los de las áreas de usuarios;
c) deberían establecerse, controles y medidas
especiales para salvaguardar la confidencialidad
y la integridad de los datos que circulen a través
de redes públicas, así como para proteger los
sistemas conectados (véase los Apartados 11.4 y
12.3); también deberían requerirse controles y
medidas especiales para mantener la
disponibilidad de los servicios de las redes y de
las computadoras conectadas;
d) debería utilizarse el registro y la supervisión
apropiada para permitir el registro de las acciones
relevantes para la seguridad;
e) deberían coordinarse estrechamente las
actividades de gestión tanto para optimizar el
servicio al negocio como para asegurar que los
controles y medidas se aplican coherentemente
en toda la infraestructura de tratamiento de la
información.
10.6.2 Seguridad de los servicios de red
Control
Las características de la seguridad, los niveles del
servicio, y los requisitos de la gestión de todos los
servicios de red se deberían identificar e incluir en
71
Controle
Convém que as redes sejam adequadamente
gerenciadas e controladas, de forma a protegê-las
contra ameaças e manter a segurança de sistemas
e aplicações que utilizam estas redes, incluindo a
informação em trânsito.
Diretrizes para implementação
Convém que gestores de redes implementem
controles para garantir a segurança da informação
nestas redes e a proteção dos serviços a elas
conectadas, de acesso não autorizado. Em
particular, convém que os seguintes itens sejam
considerados:
a) a responsabilidade operacional pelas redes seja
separada da operação dos recursos
computacionais onde for apropriado (ver 10.1.3);
b) as responsabilidades e procedimentos sobre o
gerenciamento de equipamentos remotos, incluindo
equipamentos em áreas de usuários, sejam
estabelecidos;
c) os controles especiais sejam estabelecidos para
proteção da confidencialidade e integridade dos
dados trafegando sobre redes públicas ou sobre as
redes sem fio (wireless) e para proteger os
sistemas e aplicações a elas conectadas (ver 11.4
e 12.3); controles especiais podem também ser
requeridos para manter a disponibilidade dos
serviços de rede e computadores conectados;
d) os mecanismos apropriados de registro e
monitoração sejam aplicados para habilitar a
gravação das ações relevantes de segurança;
e) as atividades de gerenciamento sejam
coordenadas para otimizar os serviços para a
organização e assegurar que os controles estejam
aplicados de forma consistente sobre toda a infra-
estrutura de processamento da informação.
Informações adicionais
Informações adicionais sobre segurança de redes
podem ser encontradas na ISO/IEC 18028,
Information technology - Security techniques - IT
network security.
10.6.2 Segurança dos serviços de rede
Controle
Convém que as características de segurança,
níveis de serviço e requisitos de gerenciamento dos
serviços de rede sejam identificados e incluídos em
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
cualquier acuerdo de servicios de red.
Guía de implementación
La capacidad del proveedor de servicio de red
para gestionar los servicios acordados de una
manera segura deberían ser establecidos y
supervisados regularmente, y debería acordarse
el derecho a auditar.
Deberían identificarse los acuerdos de seguridad
necesarios para servicios particulares, tales como
características de la seguridad, niveles de
servicio, y requisitos de gestión. La organización
debería asegurarse que los proveedores de
servicios de red implementen estas medidas.
Información adicional
Los servicios de red incluyen la provisión de
conexiones, los servicios de red privados, y las
redes con valor agregado, así como soluciones
de seguridad para la red tales como cortafuegos
(firewalls) y sistemas de detección de intrusos.
Las características de la seguridad de los
servicios de red podían ser:
a) la tecnología aplicada para los servicios de
seguridad de red, tales como autenticación,
cifrado, y controles de la conexión de red;
b) parámetros técnicos requeridos para la
conexión segura con los servicios de red de
acuerdo con las reglas de la seguridad y de la
conexión de red;
c) procedimientos para la utilización del servicio
de red para restringir el acceso a los servicios o a
los usos de red, cuando sea necesario.
10.7 Manejo de los medios
OBJETIVO: Evitar divulgación no autorizada,
modificación, borrado o destrucción de los activos
e interrupción de las actividades del negocio.
Los medios deberían controlarse y protegerse
físicamente.
Deberían establecerse los procedimientos
operativos adecuados para proteger los
documentos, medios informáticos (discos, cintas,
etc.), datos de entrada o salida y documentación
72
qualquer acordo de serviços de rede, tanto para
serviços de rede providos internamente ou
terceirizados.
Diretrizes para implementação
Convém que a capacidade do provedor dos
serviços de rede de gerenciar os serviços
acordados de maneira segura seja determinada e
monitorada regularmente, bem como que o direito
de auditá-los seja acordado.
Convém que as definições de segurança
necessárias para serviços específicos, como
características de segurança, níveis de serviço e
requisitos de gerenciamento, sejam identificadas.
Convém que a organização assegure que os
provedores dos serviços de rede implementam
estas medidas.
Informações adicionais
Serviços de rede incluem o fornecimento de
conexões, serviços de rede privados, redes de
valor agregado e soluções de segurança de rede
gerenciadas como firewalls e sistemas de detecção
de intrusos. Estes serviços podem abranger desde
o simples fornecimento de banda de rede não
gerenciada até complexas ofertas de soluções de
valor agregado.
Funcionalidades de segurança de serviços de rede
podem ser:
a) tecnologias aplicadas para segurança de
serviços de redes como autenticação, encriptação
e controles de conexões de rede;
b) parâmetro técnico requerido para uma conexão
segura com os serviços de rede de acordo com a
segurança e regras de conexão de redes;
c) procedimentos para o uso de serviços de rede
para restringir o acesso a serviços de rede ou
aplicações, onde for necessário.
10.7 Manuseio de mídias
Objetivo: Prevenir contra divulgação não
autorizada, modificação, remoção ou destruição
aos ativos, e interrupções das atividades do
negócio.
Convém que as mídias sejam controladas e
fisicamente protegidas.
Convém que procedimentos operacionais
apropriados sejam estabelecidos para proteger
documentos, mídias magnéticas de computadores
(fitas, discos), dados de entrada e saída e
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
del sistema contra daño, borrado y acceso no
autorizado.
10.7.1 Gestión de los medios removibles
Control
Debería haber implementados procedimientos
para la gestión de los medios removibles.
Guía de implementación
Deberían considerarse los siguientes controles:
a) deberían borrarse en forma irrecuperable,
cuando no se necesiten más, los contenidos
previos de todo medio reutilizable del que se
desprenda la organización;
b) cuando sea necesario y práctico, debería
requerirse autorización para liberar medios de la
organización y deberían registrarse las
remociones para mantener la pista de auditoría;
c) todos los medios deberían almacenarse a salvo
en un entorno seguro, de acuerdo con las
especificaciones de los fabricantes;
d) la información almacenada en medios que
necesite estar disponible mayor tiempo que la
vida útil del medio (de acuerdo con las
especificaciones del fabricante) debería también
almacenarse en otra parte para evitar la pérdida
de la información debido al deterioro del medio;
e) debería considerarse el registro de los medios
removibles para minimizar la oportunidad de
pérdida de datos;
f) las unidades de medios removibles sólo
deberían habilitarse si existen razones del
negocio para hacerlo.
Deberían documentarse claramente todos los
procedimientos y niveles de autorización.
Información adicional
Los medios removibles incluyen cintas, discos,
discos removibles (flash disks), CDs, DVDs y
medios impresos.
10.7.2 Eliminación de los medios
Control
Deberían eliminarse los medios de forma segura
y sin peligro cuando no se necesiten más, usando
procedimientos formales.
73
documentação dos sistemas contra divulgação não
autorizada, modificação, remoção e destruição.
10.7.1 Gerenciamento de mídias removíveis
Controle
Convém que existam procedimentos
implementados para o gerenciamento de mídias
removíveis.
Diretrizes para implementação
Convém que as seguintes diretrizes para o
gerenciamento de mídias removíveis sejam
consideradas:
a) quando não for mais necessário, o conteúdo de
qualquer meio magnético reutilizável seja
destruído, caso venha a ser retirado da
organização;
b) quando necessário e prático, seja requerida a
autorização para remoção de qualquer mídia da
organização e mantido o registro dessa remoção
como trilha de auditoria;
c) toda mídia seja guardada de forma segura em
um ambiente protegido, de acordo com as
especificações do fabricante;
d) informações armazenadas em mídias que
precisam estar disponíveis por muito tempo (em
conformidade com as especificações dos
fabricantes) sejam também armazenadas em outro
local para evitar perda de informações devido à
deterioração das mídias;
e) as mídias removíveis sejam registradas para
limitar a oportunidade de perda de dados;
f) as unidades de mídias removíveis estejam
habilitadas somente se houver uma necessidade
do negócio.
Convém que todos os procedimentos e os níveis de
autorização sejam explicitamente documentados.
Informações adicionais
Mídia removível inclui fitas, discos, flash disks,
discos removíveis, CD, DVD e mídia impressa.
10.7.2 Descarte de mídias
Controle
Convém que as mídias sejam descartadas de
forma segura e protegida quando não forem mais
necessárias, por meio de procedimentos formais.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Guía de implementación
Los procedimientos formales de eliminación
segura de los medios deberían minimizar el
riesgo que personas no autorizadas accedan a
información sensible. Deberían considerarse los
siguientes elementos:
a) los medios que contengan información sensible
deberían almacenarse y eliminarse de forma
segura, por ejemplo, incinerándolos
triturándolos, o borrando sus datos para evitar el
uso en otra aplicación dentro de la organización;
b) los procedimientos deberían estar disponibles
para identificar los controles que requieren la
remoción segura;
c) puede ser más fácil que todos los medios sean
recogidos y removidos con seguridad, que
intentar separar los elementos sensibles;
d) muchas organizaciones ofrecen servicios de
recolección y eliminación de papel, equipos y
medios; debería tenerse especial cuidado en
seleccionar un contratista conveniente con
controles y experiencia adecuados;
e) la disposición de artículos sensibles debería
registrarse en lo posible para mantener una pista
de auditoría.
Información adicional
La información sensible podría divulgarse con la
disposición inadecuada de medios (véase
también el Apartado 9.2.6 para información sobre
la eliminación del equipamiento).
10.7.3 Procedimientos para el manejo de la
información
Control
Deberían establecerse procedimientos de
utilización y almacenamiento de la información
para protegerla de su mal uso o divulgación no
autorizada.
Guía de implementación
74
Diretrizes para implementação
Convém que procedimentos formais para o
descarte seguro das mídias sejam definidos para
minimizar o risco de vazamento de informações
sensíveis para pessoas não autorizadas. Convém
que os procedimentos para o descarte seguro das
mídias, contendo informações sensíveis, sejam
relativos à sensibilidade das informações. Convém
que os seguintes itens sejam considerados:
a) mídias contendo informações sensíveis sejam
guardadas e destruídas de forma segura e
o protegida, como, por exemplo, através de
incineração ou trituração, ou da remoção dos
dados para uso por uma outra aplicação dentro da
organização;
b) procedimentos sejam implementados para
identificar os itens que requerem descarte seguro;
c) pode ser mais fácil implementar a coleta e
descarte seguro de todas as mídias a serem
inutilizadas do que tentar separar apenas aquelas
contendo informações sensíveis;
d) muitas organizações oferecem serviços de
coleta e descarte de papel, de equipamentos e de
mídias magnéticas; convém que se tenha o
cuidado na seleção de um fornecedor com
experiência e controles adequados;
e) descarte de itens sensíveis seja registrado em
controles sempre que possível para se manter uma
trilha de auditoria.
Quando da acumulação de mídias para descarte,
convém que se leve em consideração o efeito
proveniente do acúmulo, o que pode fazer com que
uma grande quantidade de informação não
sensível torne-se sensível.
Informações adicionais
Informações sensíveis podem ser divulgadas
através do descarte negligente das mídias (ver
9.2.6 para informações de descarte de
equipamentos).
10.7.3 Procedimentos para tratamento de
informação
Controle
Convém que sejam estabelecidos procedimentos
para o tratamento e o armazenamento de
informações, para proteger tais informações contra
a divulgação não autorizada ou uso indevido.
Diretrizes para implementação
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002

Deberían elaborarse procedimientos de manejo, Convém que procedimentos sejam estabelecidos

procesamiento, almacenamiento y comunicación para o tratamento, processamento,
de la información, de acuerdo con su clasificación armazenamento e transmissão da informação, de
(véase el Apartado 7.2). Los siguientes elementos acordo com a sua classificação (ver 7.2). Convém
deberían considerarse: que os seguintes itens sejam considerados:

a) manejo y etiquetado de todos los medios a) tratamento e identificação de todos os meios

según su nivel de clasificación indicado; magnéticos indicando o nível de classificação;

b) restricciones de acceso para evitar el acceso b) restrições de acesso para prevenir o acesso de
de personal no autorizado; pessoas não autorizadas;

c) mantenimiento de un registro formal de los c) manutenção de um registro formal dos

receptores autorizados de datos; destinatários de dados autorizados;

d) asegurar que los datos de entrada estén d) garantia de que a entrada de dados seja
completos, que el procesamiento se completa completa, de que o processamento esteja
adecuadamente y que se valide su salida; devidamente concluído e de que a validação das
saídas seja aplicada;

e) protección de los datos que están en cola para e) proteção dos dados preparados para expedição
su salida en un nivel coherente con su ou impressão de forma consistente com a sua
sensibilidad; criticidade;

f) almacenamiento de los medios en un entorno f) armazenamento das mídias em conformidade

acorde con las especificaciones del fabricante; com as especificações dos fabricantes;

g) mantener la distribución de los datos al g) manutenção da distribuição de dados no menor

mínimo; nível possível;

h) rotulado claro de todas las copias de los h) identificação eficaz de todas as cópias das
medios para cuidado de los receptores mídias, para chamar a atenção dos destinatários
autorizados; autorizados;

i) revisión de las listas de distribución y de i) análise crítica das listas de distribuição e das
receptores autorizados a intervalos regulares. listas de destinatários autorizados em intervalos
regulares.

Información adicional Informações adicionais

Estos procedimientos se aplican a la información Estes procedimentos são aplicados para
en documentos, sistemas de computación, redes, informações em documentos, sistemas de
sistemas de comunicaciones móviles, correo, computadores, redes de computadores,
correo de voz, comunicaciones de voz en general, computação móvel, comunicação móvel, correio
multimedia, servicio postal, el uso de facsímiles y eletrônico, correio de voz, comunicação de voz em
cualquier otro elemento sensible, por ejemplo, geral, multimídia, serviços postais, uso de
cheques en blanco, facturas. máquinas de fax e qualquer outro item sensível,
como, por exemplo, cheques em branco e faturas.

10.7.4 Seguridad de la documentación de 10.7.4 Segurança da documentação dos

sistemas sistemas

Control Controle
La documentación de sistemas debería Convém que a documentação dos sistemas seja
protegerse contra el acceso no autorizado. protegida contra acessos não autorizados.
Guía de implementación
Para asegurar la documentación de sistemas, Diretrizes para implementação
deberían considerarse los siguientes elementos: Para proteger a documentação dos sistemas,
convém que os seguintes itens sejam
a) la documentación de sistemas debería considerados:

75 10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
almacenarse en forma segura;
b) la lista de acceso a la documentación de
sistemas debería limitarse al máximo, y ser
autorizada por el propietario de la aplicación;
c) la documentación de sistemas mantenida en
una red pública, o suministrada vía una red
pública, debería protegerse adecuadamente.
Información adicional
La documentación de sistemas puede contener
variada información sensible, por ejemplo
descripciones de procesos de aplicaciones,
procedimientos, estructura de datos, procesos de
autorización.
10.8 Intercambio de información
OBJETIVO: Mantener la seguridad de la
información y software intercambiado dentro de
una organización y con cualquier otra entidad.
El intercambio de información y software entre
organizaciones debería estar basado en una
política de intercambio formal, llevándose a cabo
según los acuerdos de intercambio, y debería
cumplir con cualquier legislación relevante (véase
Cláusula 15).
Deberían establecerse procedimientos y normas
para proteger la información y los medios físicos
que contengan información en transito.
10.8.1 Políticas y procedimientos de
intercambio de información
Control
Deberían implementarse políticas formales de
intercambio, procedimientos y controles para
proteger el intercambio de información por medio
del uso de cualquier tipo de recurso de
comunicación.
Guía de implementación
Los procedimientos y controles a ser seguidos al
utilizar medios de comunicación electrónica para
el intercambio de información deberían de
considerar los siguientes elementos:
a) procedimientos diseñados para proteger el
intercambio de información de la intercepción,
copiado, modificación, desviación, y destrucción;
b) procedimientos para la detección de y
protección contra código malicioso que pueda ser
transmitido por medio del uso de comunicaciones
electrónicas. (véase el Apartado 10.4.1);
76
a) a documentação dos sistemas seja guardada de
forma segura;
b) a relação de pessoas com acesso autorizado à
documentação de sistemas seja a menor possível e
autorizada pelo proprietário do sistema;
c) a documentação de sistema mantida em uma
rede pública, ou fornecida através de uma rede
pública, seja protegida de forma apropriada.
Informações adicionais
A documentação dos sistemas pode conter uma
série de informações sensíveis, como, por
exemplo, descrições de processos da aplicação,
procedimentos, estruturas de dados e processos de
autorização.
10.8 Troca de informações
Objetivo: Manter a segurança na troca de
informações e softwares internamente à
organização e com quaisquer entidades externas.
Convém que as trocas de informações e softwares
entre organizações estejam baseadas numa
política formal específica, sejam efetuadas a partir
de acordos entre as partes e estejam em
conformidade com toda a legislação pertinente (ver
Seção 15).
Convém que sejam estabelecidos procedimentos e
normas para proteger a informação e a mídia física
que contém informação em trânsito.
10.8.1 Políticas e procedimentos para troca de
informações
Controle
Convém que políticas, procedimentos e controles
sejam estabelecidos e formalizados para proteger a
troca de informações em todos os tipos de recursos
de comunicação.
Diretrizes para implementação
Convém que os procedimentos e controles
estabelecidos para a troca de informações em
recursos eletrônicos de comunicação considerem
os tópicos a seguir:
a) procedimentos formulados para proteger a
informação em trânsito contra interceptação, cópia,
modificação, desvio e destruição;
b) procedimentos para detecção e proteção contra
código malicioso que pode ser transmitido através
do uso de recursos eletrônicos de comunicação
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
c) procedimientos para proteger la comunicación
de información electrónica sensible que se
encuentra en la forma de un adjunto;
d) políticas o directrices delineando el uso
aceptable de medios de comunicación electrónica
(véase el Apartado 7.1.3);
e) procedimientos para el uso de comunicaciones
inalámbricas, tomando en consideración los
riesgos particulares involucrados;
f) responsabilidades de empleados, contratistas y
cualquier otro usuario de no comprometer a la
organización, por ejemplo, por medio de la
difamación, acoso, engaño, reenvió de cadenas
de cartas, compra no autorizada, etc.;
g) uso de técnicas criptográficas, por ejemplo,
para proteger la confidencialidad, integridad y
autenticidad de la información (véase el Apartado
12.3);
h) directrices de retención y eliminación para toda
la correspondencia del negocio, incluyendo
mensajes, de acuerdo con la legislación y
regulaciones nacionales y locales relevantes;
i) no dejar información sensible o critica en el
equipamiento de impresión, por ejemplo,
fotocopiadoras, impresoras, facsímiles, en la
medida que estas pueden ser accedidas por
personal no autorizado;
j) controles y restricciones asociadas con el
reenvió de comunicaciones, por ejemplo, reenvió
automático de correo electrónico hacia
direcciones de correo externo;
k) recordarle al personal que deberían tomar las
precauciones apropiadas, por ejemplo no revelar
información sensible evitando el ser escuchados
o interceptados al realizar una llamada telefónica
por:
1) personas en los alrededores, en particular al
utilizar teléfonos móviles;
2) intercepción del cableado, y otras formas de
intercepción por medio del acceso físico al
aparato o cableado telefónico, o utilizando
dispositivos de búsqueda;
3) personas en el extremo del receptor;
l) no dejar mensajes conteniendo información
sensible en máquinas contestadoras en la medida
77
(ver 10.4.1);
c) procedimentos para proteção de informações
eletrônicas sensíveis que sejam transmitidas na
forma de anexos;
d) política ou diretrizes que especifiquem o uso
aceitável dos recursos eletrônicos de comunicação
(ver 7.1.3);
e) procedimentos para o uso de comunicação sem
fio (wireless), levando em conta os riscos
particulares envolvidos;
f) as responsabilidades de funcionários,
fornecedores e quaisquer outros usuários não
devem comprometer a organização através de, por
exemplo, difamação, assédio, falsa identidade,
retransmissão de "correntes", compras não
autorizadas etc.;
g) uso de técnicas de criptografia para, por
exemplo, proteger a confidencialidade, a
integridade e a autenticidade das informações (ver
12.3);
h) diretrizes de retenção e descarte para toda a
correspondência de negócios, incluindo
mensagens, de acordo com regulamentações e
legislação locais e nacionais relevantes;
i) não deixar informações críticas ou sensíveis em
equipamentos de impressão, tais como copiadoras,
impressoras e aparelhos de fax, de tal forma que
pessoas não autorizadas tenham acesso a elas;
j) controles e restrições associados à retransmissão
em recursos de comunicação como, por exemplo, a
retransmissão automática de correios eletrônicos
para endereços externos;
k) lembrar às pessoas que elas devem tomar
precauções adequadas como, por exemplo, não
revelar informações sensíveis, para evitar que
sejam escutadas ou interceptadas durante uma
ligação telefônica por:
1) pessoas em sua vizinhança, especialmente
quando estiver usando telefone celular;
2) grampo telefônico e outras formas de escuta
clandestina através do acesso físico ao
aparelho telefônico ou à linha, ou, ainda, pelo
uso de rastreadores;
3) pessoas ao lado do interlocutor;
l) não deixar mensagens contendo informações
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
que pueden ser escuchadas por personas no
autorizadas, almacenadas incorrectamente como
resultado de un error de discado;
m) recordarle al personal sobre los problemas de
utilizar máquinas de facsímil, llámese:
1) acceso no autorizado al almacenamiento de
mensajes para retirarlos;
2) programación deliberada o accidental de las
máquinas para enviar mensajes a números
específicos;
3) enviar documentos o mensajes a números
incorrectos, ya sea por discar
incorrectamente o utilizar un numero
almacenado incorrecto;
n) recordarle al personal el no registrar
información demográfica en cualquier software,
como la dirección de correo u otra información
personal, para evitar su recopilación para usos no
autorizados;
o) recordarle al personal que los equipos de
facsímil y fotocopiados actuales cuentan con
memorias para almacenar páginas en el caso de
fallas de papel o transmisión, que serán impresas
una vez sea solucionada la falla.
A su vez, al personal debería serle recordado que
no deberían tener conversaciones confidenciales
en lugares públicos u oficinas abiertas y lugares
de reunión que no cuenten con paredes a prueba
de sonido.
Los medio de intercambio de información
deberían de cumplir con todos los requisitos
legales relevantes (véase la Cláusula 15).
Información adicional
El intercambio de información puede ocurrir por
medio del uso de diferentes tipos de medios de
comunicación, incluyendo, correo electrónico,
voz, facsímil, y video.
El intercambio de software puede ocurrir por
medio de diferentes medios, incluyendo
descargas desde Internet y adquiriéndolo de
proveedores de productos.
Deberían considerarse las implicaciones de
negocios, legales y de seguridad asociadas con el
intercambio de datos electrónico, comercio
electrónico y comunicaciones electrónicas, y los
requisitos de controles.
78
sensíveis em secretárias eletrônicas, uma vez que
as mensagens podem ser reproduzidas por
pessoas não autorizadas, gravadas em sistemas
públicos ou gravadas indevidamente por erro de
discagem;
m) lembrar as pessoas sobre os problemas do uso
de aparelhos de fax, tais como:
1) acesso não autorizado a dispositivos para
recuperação de mensagens;
2) programação de aparelhos, deliberada ou
acidental, para enviar mensagens para
números específicos determinados;
3) envio de documentos e mensagens para
número errado, seja por falha na discagem
ou uso de número armazenado errado;
n) lembrar as pessoas para que evitem o
armazenamento de dados pessoais, como
endereços de correios eletrônicos ou informações
adicionais particulares, em qualquer software,
impedindo que sejam capturados para uso não
autorizado;
o) lembrar as pessoas sobre a existência de
aparelhos de fax e copiadoras que têm dispositivos
de armazenamento temporário de páginas para o
caso de falha no papel ou na transmissão, as quais
serão impressas após a correção da falha.
Adicionalmente, convém que as pessoas sejam
lembradas de que não devem manter conversas
confidenciais em locais públicos, escritórios abertos
ou locais de reunião que não disponham de
paredes à prova de som.
Convém que os recursos utilizados para a troca de
informações estejam de acordo com os requisitos
legais pertinentes (ver Seção 15).
Informações adicionais
A troca de informações pode ocorrer através do
uso de vários tipos diferentes de recursos de
comunicação, incluindo correios eletrônicos, voz,
fax e vídeo.
A troca de softwares pode ocorrer de diferentes
formas, incluindo a baixa (download) da internet ou
a aquisição junto a fornecedores que vendem
produtos em série.
Convém que sejam consideradas as possíveis
implicações nos negócios, nos aspectos legais e na
segurança, relacionadas com a troca eletrônica de
dados, com o comércio eletrônico, comunicação
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
La información puede verse comprometida debido
a la falta de concientización, políticas o
procedimientos en el uso de medios de
intercambio de información, por ejemplo ser
escuchado en un teléfono móvil en un área
publica, direccionamiento erróneo de un mensaje
de correo electrónico, escucha de máquinas
contestadoras, acceso no autorizado a sistemas
de menajes de vos o accidentalmente enviar
facsímiles a un equipo equivocado.
Las operaciones del negocio pueden ser
perturbadas y la información puede verse
comprometida si los medios de comunicación
fallan, son interrumpidas o sobrecargadas (véase
el Apartado 10.3 y la Cláusula 14). La información
puede verse comprometida si es accedida por
usuarios no autorizados (véase la Cláusula 11).
10.8.2 Acuerdos de intercambio
Control
Se deberían establecer acuerdos para el
intercambio de información y software entre la
organización y terceras partas.
Guía de implementación
Los acuerdos de intercambio deberían considerar
las siguientes condiciones de seguridad:
a) responsabilidades de gestión para controlar y
notificar la transmisión, el envió y recepción;
b) procedimientos para notificar el origen de la
transmisión, su envió y recepción;
c) procedimientos para asegurar la trazabilidad y
el no repudio;
d) normas técnicas mínimas para el empaquetado
y transmisión;
e) acuerdos de custodia (escrow);
f) normas para identificar los servicios de
mensajería;
g) responsabilidades en el caso de incidentes de
seguridad, tales como pérdida de datos;
h) uso de un sistema de etiquetado acordado
para la información sensible y crítica, asegurar
que el significado de las etiquetas es
inmediatamente comprendido y que la
información es apropiadamente protegida;
79
eletrônica e com os requisitos para controles.
As informações podem ser comprometidas devido
à falta de conscientização, de políticas ou de
procedimentos no uso de recursos de troca de
informações, como, por exemplo, a escuta de
conversas ao telefone celular em locais públicos,
erro de endereçamento de mensagens de correio
eletrônico, escuta não autorizada de mensagens
gravadas em secretárias eletrônicas, acesso não
autorizado a sistemas de correio de voz ou o envio
acidental de faxes para aparelhos errados.
As operações do negócio podem ser prejudicadas
e as informações podem ser comprometidas se os
recursos de comunicação falharem, forem
sobrecarregados ou interrompidos (ver 10.3 e
Seção 14). As informações podem ser
comprometidas se acessadas por usuários não
autorizados (ver Seção 11).
10.8.2 Acordos para a troca de informações
Controle
Convém que sejam estabelecidos acordos para a
troca de informações e softwares entre a
organização e entidades externas.
Diretrizes para implementação
Convém que os acordos de troca de informações
considerem as seguintes condições de segurança
da informação:
a) responsabilidades do gestor pelo controle e
notificação de transmissões, expedições e
recepções;
b) procedimentos para notificar o emissor da
transmissão, expedição e recepção;
c) procedimentos para assegurar a rastreabilidade
dos eventos e o não-repúdio;
d) padrões técnicos mínimos para embalagem e
transmissão;
e) acordos para procedimentos de custódia;
f) normas para identificação de portadores;
g) responsabilidades e obrigações na ocorrência de
incidentes de segurança da informação, como
perda de dados;
h) utilização de um sistema acordado de
identificação para informações críticas e sensíveis,
garantindo que o significado dos rótulos seja
imediatamente entendido e que a informação esteja
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
i) propiedad y responsabilidad por la protección
de datos, derechos de copia, cumplimiento con
licencias de software y consideraciones similares
(véase los Apartados 15.1.2 y 15.1.4);
j) normas técnicas para la grabación y lectura de
información y software;
k) cualquier control especial que puede ser
requerido para proteger elementos sensibles,
tales como claves criptográficas (véase el
Apartado 12.3).
Deberían establecerse y mantenerse políticas,
procedimientos, y normas para proteger la
información y los medios físicos en transito
(véase el Apartado 10.8.3), y deberían ser
referenciados en los acuerdos de intercambio.
El contenido sobre seguridad de cualquier
acuerdo debería reflejar la sensibilidad de la
información del negocio involucrada.
Información adicional
Los acuerdos pueden ser electrónicos o
manuales, y pueden tomar la forma de un
contrato formal o condiciones de empleo. Para la
información sensible, los mecanismos específicos
utilizados para el intercambio de dicha
información deberían ser consistentes para todas
las organizaciones y tipos de acuerdos.
10.8.3 Medio físico en transito
Control
Los medios conteniendo información deberían ser
protegidos contra accesos no autorizados, su mal
uso o corrupción durante el transporte fuera de
las fronteras físicas de la organización.
Guía de implementación
Deberían considerarse las siguientes directrices
para proteger los medios de información durante
su transporte entre sitios:
a) deberían ser utilizados transportistas
mensajeros confiables;
b) debería ser acordada una lista de mensajeros
autorizados con la dirección;
c) se deberían desarrollar procedimientos para
chequear la identificación del mensajero;
d) el empaquetado debería ser suficiente a los
efectos de proteger el contenido ante cualquier
daño físico que pueda ocurrir durante el transito,
80
devidamente protegida;
i) propriedade e responsabilidades sobre a
proteção dos dados, direitos de propriedade,
conformidade com as licenças dos softwares e
considerações afins (ver 15.1.2 e 15.1.4);
j) normas técnicas para a gravação e leitura de
informações e softwares;
k) quaisquer controles especiais que possam ser
necessários para proteção de itens sensíveis, tais
como chaves criptográficas (ver 12.3).
Convém que políticas, procedimentos e normas
para proteger as informações e as mídias em
trânsito (ver também 10.8.3) sejam estabelecidos e
mantidos, além de serem referenciados nos
mencionados acordos para a troca de informações.
Convém que os aspectos de segurança contidos
nos acordos reflitam a sensibilidade das
informações envolvidas no negócio.
Informações adicionais
Os acordos podem ser eletrônicos ou manuais, e
podem estar no formato de contratos formais ou
condições de contratação. Para informações
sensíveis, convém que os mecanismos específicos
usados para a troca de tais informações sejam
consistentes com todas as organizações e tipos de
acordos.
10.8.3 Mídias em trânsito
Controle
Convém que mídias contendo informações sejam
protegidas contra acesso não autorizado, uso
impróprio ou alteração indevida durante o
transporte externo aos limites físicos da
organização.
Diretrizes para implementação
Convém que as seguintes recomendações sejam
consideradas, para proteger as mídias que são
transportadas entre localidades:
o
a) meio de transporte ou o serviço de mensageiros
sejam confiáveis;
b) seja definida uma relação de portadores
autorizados em concordância com o gestor;
c) sejam estabelecidos procedimentos para a
verificação da identificação dos transportadores;
d) a embalagem seja suficiente para proteger o
conteúdo contra qualquer dano físico, como os que
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
de acuerdo con cualquier especificación del
fabricante (por ejemplo para el software), por
ejemplo protegiendo contra cualquier factor
ambiental que pueda afectar a los medios, tales
como exceso de calor, humedad o campos
electromagnéticos;
e) donde sea necesario, deberían ser adoptados
controles para proteger información sensible de
su divulgación o modificación no autorizada;
ejemplos:
1) uso de contenedores sellados;
2) entrega en mano;
3) paquetes que evidencian violaciones (que
revelan cualquier intento de obtener acceso
al contenido);
4) en casos excepcionales, distribuir el envió
en más de una entrega y el envió por
diferentes rutas.
Información adicional
La información puede ser vulnerable al acceso no
autorizado, uso incorrecto o corrupción durante su
transporte físico, por ejemplo al enviar medios por
el servicio postal o un mensajero.
10.8.4 Mensajería electrónica
Control
La información contenida en la mensajería
electrónica debería ser apropiadamente
protegida.
Guía de implementación
Las consideraciones de seguridad para la
mensajería electrónica deberían incluir lo
siguiente:
a) proteger mensajes del acceso no autorizado,
modificación o negación de servicio;
b) asegurar el correcto direccionamiento y
transporte de los mensajes;
c) confiabilidad y disponibilidad general del
servicio;
d) consideraciones legales, por ejemplo,
requisitos para firmas digitales;
e) obtener la aprobación antes de utilizar servicios
públicos externos, tales como mensajería
instantánea y compartir archivos;
81
podem ocorrer durante o transporte, e que seja
feita de acordo com as especificações dos
fabricantes (como no caso de softwares), por
exemplo, protegendo contra fatores ambientais que
possam reduzir a possibilidade de restauração dos
dados como a exposição ao calor, umidade ou
campos eletromagnéticos;
e) sejam adotados controles, onde necessário, para
proteger informações sensíveis contra divulgação
não autorizada ou modificação; como exemplo,
pode-se incluir o seguinte:
1) utilização de recipientes lacrados;
2) entrega em mãos;
3) lacre explícito de pacotes (que revele
qualquer tentativa de acesso);
4) em casos excepcionais, divisão do conteúdo
em mais de uma remessa e expedição por
rotas distintas.
Informações adicionais
As informações podem estar vulneráveis a acesso
não autorizado, uso impróprio ou alteração indevida
durante o transporte físico, por exemplo quando a
mídia é enviada por via postal ou sistema de
mensageiros.
10.8.4 Mensagens eletrônicas
Controle
Convém que as informações que trafegam em
mensagens eletrônicas sejam adequadamente
protegidas.
Diretrizes para implementação
Convém que as considerações de segurança da
informação sobre as mensagens eletrônicas
incluam o seguinte:
a) proteção das mensagens contra acesso não
autorizado, modificação ou negação de serviço;
b) assegurar que o endereçamento e o transporte
da mensagem estejam corretos;
c) confiabilidade e disponibilidade geral do serviço;
d) aspectos legais, como, por exemplo, requisitos
de assinaturas eletrônicas;
e) aprovação prévia para o uso de serviços
públicos externos, tais como sistemas de
mensagens instantâneas e compartilhamento de
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
f) fuertes niveles de autenticación controlando el
acceso desde redes de acceso público.
Información adicional
La mensajería electrónica, como el correo
electrónico, intercambio electrónico de datos
(EDI), y mensajería instantánea juegue un rol
cada vez más importante en las comunicaciones
del negocio. La mensajería electrónica tiene
diferentes riesgos que las comunicaciones en
base a papel.
10.8.5 Sistemas de Información de negocio
Control
Deberían desarrollarse y ponerse en práctica una
política de control y procedimientos para proteger
la información asociada con la interconexión de
sistemas de información de negocio.
Guía de implementación
Las consideraciones de las implicaciones que
tiene la interconexión de tales recursos para la
seguridad y para el negocio deberían incluir:
a) vulnerabilidades conocidas en los sistemas
administrativos y de la contabilidad donde la
información es compartida entre partes diferentes
de la organización;
b) las vulnerabilidades de información en
sistemas de comunicación de negocio, por
ejemplo registrando llamadas telefónicas o
teleconferencias, confidencialidad de llamadas,
almacenaje de facsímiles, abriendo correo,
distribución de correo;
c) política y controles apropiados para poder
gestionar la información compartida;
d) excluir las categorías de información sensibles
del negocio y documentos clasificados si el
sistema no provee un nivel apropiado de
protección (véase el Apartado 7.2);
e) restringir el acceso a información de bitácoras
relacionada con individuos seleccionados, por
ejemplo personal que trabaja sobre proyectos
sensibles;
f) las categorías de personal, contratistas o socios
de negocio permitidos para usar el sistema y las
posiciones desde las cuales puede ser tenido
acceso (véase los Apartados 6.2 y 6.3);
g) restricción de instalaciones a las categorías
específicas de usuario;
82
arquivos;
f) níveis mais altos de autenticação para controlar o
acesso a partir de redes públicas.
Informações adicionais
Mensagens eletrônicas como correio eletrônico,
Eletronic Data Interchange (EDI) e sistemas de
mensagens instantâneas cumprem um papel cada
vez mais importante nas comunicações do negócio.
A mensagem eletrônica tem riscos diferentes, se
comparada com a comunicação em documentos
impressos.
10.8.5 Sistemas de informações do negócio
Controle
Convém que políticas e procedimentos sejam
desenvolvidos e implementados para proteger as
informações associadas com a interconexão de
sistemas de informações do negócio.
Diretrizes para implementação
Convém que as considerações sobre segurança da
informação e implicações no negócio das
interconexões de sistemas incluam o seguinte:
a) vulnerabilidades conhecidas nos sistemas
administrativos e contábeis onde as informações
são compartilhadas com diferentes áreas da
organização;
b) vulnerabilidades da informação nos sistemas de
comunicação do negócio, como, por exemplo,
gravação de chamadas telefônicas ou
teleconferências, confidencialidade das chamadas,
armazenamento de faxes, abertura de correio e
distribuição de correspondência;
c) política e controles apropriados para gerenciar o
compartilhamento de informações;
d) exclusão de categorias de informações sensíveis
e documentos confidenciais, caso o sistema não
forneça o nível de proteção apropriado (ver 7.2);
e) restrição do acesso a informações de trabalho
relacionado com indivíduos específicos, como, por
exemplo, um grupo que trabalha com projetos
sensíveis;
f) categorias de pessoas, fornecedores ou
parceiros nos negócios autorizados a usar o
sistema e as localidades a partir das quais pode-se
obter acesso ao sistema (ver 6.2 e 6.3);
g) restrição aos recursos selecionados para
categorias específicas de usuários;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
h) identificación del estado de usuarios, por
ejemplo los empleados de la organización o
contratistas en directorios en beneficio de otros
usuarios;
i) la retención y el respaldo sostenido de
información del sistema (véase el Apartado
10.5.1);
j) requisitos y acuerdos de vuelta atrás (véase la
Cláusula 14).
Información adicional
Los sistemas de información de oficina permiten
diseminar y compartir más rápido información de
negocio utilizando una combinación de:
documentos, computadoras, informática móvil,
comunicaciones móviles, correo, correo de voz,
comunicaciones de voz en general, multimedia,
servicios / prestaciones postales y máquinas de
facsímil.
10.9 Servicios de comercio electrónico
OBJETIVO: Asegurar la seguridad de los
servicios de comercio electrónico, así como su
uso seguro.
Deberían considerarse las implicaciones de
seguridad asociadas con el uso de servicios de
comercio electrónico, incluyendo transacciones
en línea (on-line), y los requisitos de control.
Debería tambien considerarse la integridad y
disponibilidad de información electrónicamente
publicada por medio de sistemas públicos.
10.9.1 Comercio electrónico
Control
La información involucrada en el comercio
electrónico sobre redes públicas debería ser
protegida ante actividades fraudulentas, disputas
contractuales, y su divulgación o modificación no
autorizada.
Guía de implementación
Las consideraciones de seguridad para el
comercio electrónico deberían incluir las
siguientes:
a) el nivel de confianza que cada parte requiere
en la identidad declarada por los otros, por
ejemplo, por medio de autenticación;
b) proceso de autorización asociado con quien
puede establecer precios, emitir o firmar
documentos de comercio claves;
83
h) identificação da condição do usuário, como, por
exemplo,funcionários da organização ou
fornecedores na lista de catálogo de usuários em
benefício de outros usuários;
i) retenção e cópias de segurança das informações
mantidas no sistema (ver 10.5.1);
j) requisitos e procedimentos para recuperação e
contingência (ver Seção 14).
Informações adicionais
Os sistemas de informação de escritório
representam uma oportunidade de rápida
disseminação e compartilhamento de informações
do negócio através do uso de uma combinação de:
documentos, computadores, dispositivos móveis,
comunicação sem fio, correio, correio de voz,
comunicação de voz em geral, multimídia, serviços
postais e aparelhos de fax.
10.9 Serviços de comércio eletrônico
Objetivo: Garantir a segurança de serviços de
comércio eletrônico e sua utilização segura.
Convém que as implicações de segurança da
informação associadas com o uso de serviços de
comércio eletrônico, incluindo transações on-line e
os requisitos de controle, sejam consideradas.
Convém que a integridade e a disponibilidade da
informação publicada eletronicamente por sistemas
publicamente disponíveis sejam também
consideradas.
10.9.1 Comércio eletrônico
Controle
Convém que as informações envolvidas em
comércio eletrônico transitando sobre redes
públicas sejam protegidas de atividades
fraudulentas, disputas contratuais e divulgação e
modificações não autorizadas.
Diretrizes para implementação
Convém que as considerações de segurança da
informação para comércio eletrônico incluam os
seguintes itens:
a) nível de confiança que cada parte requer na
suposta identidade de outros, como, por exemplo,
por meio de mecanismos de autenticação;
b) processos de autorização com quem pode
determinar preços, emitir ou assinar documentos-
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
c) asegurar que los socios de negocios son
completamente informados sobre sus
autorizaciones;
d) determinar y cumplir los requisitos de
confidencialidad, integridad, prueba de envió y
recepción de documentos calves, y el no repudio
de contratos, por ejemplo, asociados con
procesos de ofrecimientos y contratos;
e) el nivel de confianza requerido en la integridad
de la lista de precios publicitada;
f) la confidencialidad de cualquier dato
información sensible;
g) la confidencialidad e integridad de cualquier
orden de transacción, información de pago,
detalles de dirección de envió, y confirmación de
recepción;
h) el grado de verificación apropiado para
chequear la información de pago brindada por un
cliente;
i) seleccionar la mejor forma de acuerdo del pago
para protegerse contra fraudes;
j) el nivel de protección requerido para mantener
la confidencialidad e integridad de la información
de la orden;
k) evitar la perdida o duplicación de la información
de la transacción;
l) responsabilidades asociadas a cualquier
transacción fraudulenta;
m) requisitos de seguros.
Muchas de las consideraciones anteriores pueden
ser logradas por medio del uso de controles
criptográficos (véase el Apartado 12.3), tomando
en consideración el cumplimiento de requisitos
legales (véase el Apartado 15.1, especialmente
15.1.6 por legislación sobre criptografía).
Acuerdos de comercio electrónico entre socios de
negocios deberían estar soportados por un
acuerdo documentado que comprometa a ambas
partes con los términos de comercio acordados,
incluyendo detalles de autorización (véase el
punto b). Otros acuerdos con servicios de
información y proveedores de redes de valor
agregado pueden ser necesarios.
Los sistemas de comercio públicos deberían
84
chave de negociação;
c) garantia de que parceiros comerciais estão
completamente informados de suas autorizações;
d) determinar e atender requisitos de
confidencialidade, integridade, evidências de
emissão e recebimento de documentos-chave, e a
não-repudiação de contratos, como, por exemplo,
os associados aos processos de licitações e
contratações;
e) nível de confiança requerido na integridade das
listas de preços anunciadas;
o
f) a confidencialidade de quaisquer dados ou
informações sensíveis;
g) a confidencialidade e integridade de quaisquer
transações de pedidos, informações de pagamento,
detalhes de endereço de entrega e confirmações
de recebimentos;
h) grau de investigação apropriado para a
verificação de informações de pagamento
fornecidas por um cliente;
i) seleção das formas mais apropriadas de
pagamento para proteção contra fraudes;
j) nível de proteção requerida para manter a
confidencialidade e integridade das informações de
pedidos;
k) prevenção contra perda ou duplicação de
informação de transação;
l) responsabilidades associados com quaisquer
transações fraudulentas;
m) requisitos de seguro.
Muitas das considerações acima podem ser
endereçadas pela aplicação de controles
criptográficos (ver 12.3), levando-se em conta a
conformidade com os requisitos legais (ver 15.1,
especialmente 15.1.6 para legislação sobre
criptografia).
Convém que os procedimentos para comércio
eletrônico entre parceiros comerciais sejam
apoiados por um acordo formal que comprometa
ambas as partes aos termos da transação,
incluindo detalhes de autorização (ver b) acima).
Outros acordos com fornecedores de serviços de
informação e redes de valor agregado podem ser
necessários.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
publicar los términos de negocios a sus clientes.
También debería considerarse la resistencia al
ataque del servidor central (host) utilizado para el
comercio electrónico, y las implicaciones de
seguridad de cualquier interconexión de redes
requerido para la implementación de los servicios
de comercio electrónico (véase el Apartado
11.4.6).
Información adicional
El comercio electrónico es vulnerable a un
número de amenazas de red que pueden resultar
en actividad fraudulenta, disputas de contratos, y
divulgación o modificación de la información.
El comercio electrónico puede hacer uso de
métodos de autenticación seguros, por ejemplo,
utilizando criptografía de clave publica y firmas
digitales (véase el Apartado 12.3) para reducir el
riesgo. También pueden ser utilizadas terceras
partes de confianza, donde sus servicios sean
necesarios.
10.9.2 Transacciones en línea
Control
La información implicada en transacciones en
línea debería protegerse para prevenir la
transmisión incompleta, la omisión de envío, la
alteración no autorizada del mensaje, la
divulgación no autorizada, la duplicación o
repetición no autorizada del mensaje.
Guía de implementación
Las consideraciones de seguridad para
transacciones en línea deberían incluir lo
siguiente:
a) el empleo de firmas electrónicas por cada una
de las partes implicadas en la transacción;
b) todos los aspectos de la transacción, por
ejemplo asegurar que:
1) las cartas credenciales de usuario de todas
las partes son válidas y verificadas;
2) la transacción permanece confidencial; y
3) la privacidad asociada con todas las partes
implicadas es conservada;
c) el canal de comunicación entre todas las partes
implicados es cifrada;
d) el protocolo utilizado para comunicarse entre
todas las partes implicadas es seguro;
85
Convém que sistemas comerciais públicos
divulguem seus termos comerciais a seus clientes.
Convém que sejam consideradas a capacidade de
resiliência dos servidores utilizados para comércio
eletrônico contra ataques e as implicações de
segurança de qualquer interconexão que seja
necessária na rede de telecomunicações para a
sua implementação (ver 11.4.6).
Informações adicionais
Comércio eletrônico é vulnerável a inúmeras
ameaças de rede que podem resultar em
atividades fraudulentas, disputas contratuais, e
divulgação ou modificação de informação.
Comércio eletrônico pode utilizar métodos seguros
de autenticação, como, por exemplo, criptografia de
chave pública e assinaturas digitais (ver 12.3) para
reduzir os riscos. Ainda, terceiros confiáveis podem
ser utilizados onde tais serviços forem necessários.
10.9.2 Transações on-line
Controle
Convém que informações envolvidas em
transações on-line sejam protegidas para prevenir
transmissões incompletas, erros de roteamento,
alterações não autorizadas de mensagens,
divulgação não autorizada, duplicação ou
reapresentação de mensagem não autorizada.
Diretrizes para implementação
Convém que as considerações de segurança para
transações on-line incluam os seguintes itens:
a) uso de assinaturas eletrônicas para cada uma
das partes envolvidas na transação;
b) todos os aspectos da transação, ou seja,
garantindo que:
1) credenciais de usuário para todas as partes
são válidas e verificadas;
2) a transação permaneça confidencial; e
3) a privacidade de todas as partes envolvidas
seja mantida;
c) caminho de comunicação entre todas as partes
envolvidas é criptografado;
d) protocolos usados para comunicações entre
todas as partes envolvidas é seguro;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
e) el almacenamiento de los detalles de
transacción es localizado fuera de cualquier
ambiente público accesible, por ejemplo en una
plataforma de almacenamiento que exista en la
Intranet de la organización, y no conservado y
expuesto en un medio de almacenamiento
directamente accesible desde Internet;
f) cuando se emplea una autoridad confiable (por
ejemplo para propósitos de emitir y mantener
firmas digitales y / o certificados digitales) la
seguridad se integra e incorpora a través de todo
el proceso completo de gestión del certificado /
firma.
Información adicional
El grado de los controles adoptados tendría que
ser proporcional con el nivel del riesgo asociado
con cada tipo de transacción en línea.
Las transacciones pueden tener que cumplir con
leyes, reglas, y regulaciones en la jurisdicción en
la cual la transacción es generada, procesada,
completada, y/o almacenada.
Existen muchos tipos de transacciones que
pueden ser realizadas en línea, por ejemplo,
contractuales, financieras, etc.
10.9.3 Información accesible públicamente
Control
Debería protegerse la integridad de la información
de un sistema accesible públicamente, para
prevenir la modificación no autorizada.
Guía de implementación
El software, datos y otra información que requiera
un alto nivel de integridad y que estén accesibles
públicamente deberían protegerse por
mecanismos adecuados, por ejemplo, firmas
digitales (véase el Apartado 10.3.3). Los sistemas
accesibles públicamente, deberían probarse
contra debilidades y fallas antes que la
información este disponible.
Debería haber un proceso de aprobación formal
antes de que la información este accesible
públicamente. Además, toda la entrada
proveniente del exterior al sistema debería ser
verificada y aprobada.
Los sistemas electrónicos de edición, sobre todo
aquellos que permiten la retroalimentación y el
ingreso directo de información, deberían
controlarse con cuidado de modo que:
86
e) garantir que o armazenamento dos detalhes da
transação está localizado fora de qualquer
ambiente publicamente acessível, como por
exemplo, numa plataforma de armazenamento na
intranet da organização, e não retida e exposta em
um dispositivo de armazenamento diretamente
acessível pela internet;
f) onde uma autoridade confiável é utilizada (como,
por exemplo, para propósitos de emissão e
manutenção de assinaturas e/ou certificados
digitais), segurança é integrada a todo o processo
de gerenciamento de certificados/assinaturas.
Informações adicionais
A extensão dos controles adotados precisará ser
proporcional ao nível de risco associado a cada
forma de transação on-line.
Transações podem precisar estar de acordo com
leis, regras e regulamentações na jurisdição em
que a transação é gerada, processada, completa
ou armazenada.
Existem muitas formas de transações que podem
ser executadas de forma on-line, como, por
exemplo, contratuais, financeiras etc.
10.9.3 Informações publicamente disponíveis
Controle
Convém que a integridade das informações
disponibilizadas em sistemas publicamente
acessíveis seja protegida para prevenir
modificações não autorizadas.
Diretrizes para implementação
Convém que aplicações, dados e informações
adicionais que requeiram um alto nível de
integridade e que sejam disponibilizados em
sistemas publicamente acessíveis sejam protegidos
por mecanismos apropriados, como, por exemplo,
assinaturas digitais (ver 12.3). Convém que os
sistemas acessíveis publicamente sejam testados
contra fragilidades e falhas antes da informação
estar disponível.
Convém que haja um processo formal de
aprovação antes que uma informação seja
publicada. Adicionalmente, convém que todo dado
de entrada fornecido por fontes externas ao
sistema seja verificado e aprovado.
Convém que sistemas de publicação eletrônica,
especialmente os que permitem realimentação e
entrada direta de informação, sejam
cuidadosamente controlados, de forma que:
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
a) la información se obtenga en cumplimiento con
toda la legislación sobre protección de datos
(véase el Apartado 15.1.4);
b) el ingreso de la información a, y el
procesamiento por, el sistema de edición será
procesado completamente y con exactitud de
manera oportuna;
c) la información sensible será protegida durante
la recolección, procesamiento, y almacenamiento;
d) el acceso al sistema de edición no permita el
acceso no planeado a redes a las cuales el
sistema se conecta.
Información adicional
La información sobre un sistema accesible
públicamente, por ejemplo la información sobre
un servidor web accesible vía la Internet, puede
tener que cumplir con leyes, reglas, y
regulaciones en la jurisdicción en la cual el
sistema es localizado, donde el comercio tiene
lugar o donde el propietario(s) reside. La
modificación no autorizada de información
publicada puede dañar la reputación de la
organización.
10.10 Seguimiento
OBJETIVO: Detectar actividades de
procesamiento de información no autorizadas.
Deberían supervisarse los sistemas y registrarse
los eventos de seguridad de la información.
Registros del operador y de fallas deberían ser
utilizados para asegurar que los problemas en los
sistemas de información son identificados.
La organización debería cumplir con todos los
requisitos legales aplicables a sus actividades de
seguimiento y registro.
El seguimiento del sistema debería ser utilizado
para chequear la eficacia de los controles
adoptados y verificar la conformidad a una política
de acceso modelo.
10.10.1 Registros de auditoría
Control
La grabación de registros de auditoría de
actividades de usuario, excepciones, y eventos de
seguridad de la información deberían ser
producidos y guardados durante un período
87
a) informações sejam obtidas em conformidade
com qualquer legislação de proteção de dados (ver
15.1.4);
b) informações que sejam entradas e processadas
por um sistema de publicação sejam processadas
completa e corretamente em um tempo adequado;
c) informações sensíveis sejam protegidas durante
a coleta, processamento e armazenamento;
d) acesso a sistemas de publicação não permita
acesso não intencional a redes às quais tal sistema
está conectado.
Informações adicionais
Informações em sistemas publicamente
disponíveis, como, por exemplo, informações em
servidores web acessíveis por meio da internet,
podem necessitar estar de acordo com leis, regras
e regulamentações na jurisdição em que o sistema
está localizado, onde a transação está ocorrendo
ou onde o proprietário reside. Modificações não
autorizadas de informações publicadas podem
trazer prejuízos à reputação da organização que a
publica.
10.10 Monitoramento
Objetivo: Detectar atividades não autorizadas de
processamento da informação.
Convém que os sistemas sejam monitorados e
eventos de segurança da informação sejam
registrados.
Convém que registros (log) de operador e registros
(log) de falhas sejam utilizados para assegurar que
os problemas de sistemas de informação são
identificados.
Convém que as organizações estejam de acordo
com todos os requisitos legais relevantes aplicáveis
para suas atividades de registro e monitoramento.
Convém que o monitoramento do sistema seja
utilizado para checar a eficácia dos controles
adotados e para verificar a conformidade com o
modelo de política de acesso.
10.10.1 Registros de auditoria
Controle
Convém que registros (log) de auditoria contendo
atividades dos usuários, exceções e outros eventos
de segurança da informação sejam produzidos e
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
acordado para ayudar en futuras investigaciones
y en la supervisión del control de acceso.
Guía de implementación
Los registros de auditoría deberían incluir, cuando
sea relevante:
a) identificación (ID) de usuario;
b) fechas, horas, y los detalles de
acontecimientos claves, por ejemplo inicio y fin de
una sesión;
c) identidad de la terminal y ubicación, si es
posible;
d) registros de los intentos aceptados y
rechazados de acceso al sistema;
e) registros de los intentos aceptados y
rechazados de acceso a los datos y otros
recursos;
f) cambios a la configuración de sistema;
g) empleo de privilegios;
h) empleo de utilitarios y aplicaciones de sistema;
i) archivos accedidos y la clase de acceso;
j) direcciones y protocolos de conexiones de una
red;
k) alarmas levantadas por el sistema de control
de acceso;
l) activación y desactivación de sistemas de
protección, como sistemas de antivirus y sistemas
de detección de intrusos.
Información adicional
Los registros de auditoría puede contener datos
personales confidenciales e indiscretos. Deberían
tomarse medidas de protección de privacidad
(véase también el Apartado 15.1.4). De ser
posible, los administradores de sistema no
deberían tener el permiso de borrar o desactivar
los registros de sus propias actividades (véase el
Apartado 10.1.3).
10.10.2 Supervisión del uso de sistemas
Control
Deberían establecerse procedimientos para
supervisar el empleo de instalaciones de
procesamiento de la información y revisarse con
regularidad los resultados de las actividades de
supervisión.
88
mantidos por um período de tempo acordado para
auxiliar em futuras investigações e monitoramento
de controle de acesso.
Diretrizes para implementação
Convém que os registros (log) de auditoria incluam,
quando relevante:
a) identificação dos usuários;
b) datas, horários e detalhes de eventos-chave,
como, por exemplo, horário de entrada (log-on) e
saída (log-off) no sistema;
c) identidade do terminal ou, quando possível, a
sua localização;
d) registros das tentativas de acesso ao sistema
aceitas e rejeitadas;
e) registros das tentativas de acesso a outros
recursos e dados aceitos e rejeitados;
f) alterações na configuração do sistema;
g) uso de privilégios;
h) uso de aplicações e utilitários do sistema;
i) arquivos acessados e tipo de acesso;
j) endereços e protocolos de rede;
k) alarmes provocados pelo sistema de controle de
acesso;
l) ativação e desativação dos sistemas de proteção,
tais como sistemas de antivírus e sistemas de
detecção de intrusos.
Informações adicionais
Os registros (log) de auditoria podem conter dados
pessoais confidenciais e de intrusos. Convém que
medidas apropriadas de proteção de privacidade
sejam tomadas (ver 15.1.4). Quando possível,
convém que administradores de sistemas não
tenham permissão de exclusão ou desativação dos
registros (log) de suas próprias atividades (ver
10.1.3).
10.10.2 Monitoramento do uso do sistema
Controle
Convém que sejam estabelecidos procedimentos
para o monitoramento do uso dos recursos de
processamento da informação e os resultados das
atividades de monitoramento sejam analisados
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Guía de implementación
El nivel de supervisión requerido para
instalaciones individuales debería determinarse
según una evaluación de riesgo. Una
organización debería cumplir con todas los
requisitos legales relevantes aplicables a su
actividades de supervisión. Las áreas que
deberían ser consideradas incluyen:
a) acceso autorizado, incluyendo detalles tales
como:
1) la identificación (ID) de usuario;
2) la fecha y hora de acontecimientos claves;
3) los tipos de eventos;
4) los archivos accedidos;
5) el programa/utilitario utilizado;
b) todas las operaciones privilegiadas, tales
como:
1) empleo de cuentas privilegiadas, por
ejemplo, supervisor, root, administrador;
2) arranque y apagado del sistema;
3) conexión/desconexión de dispositivos de
entrada-salida (I/O);
c) intentos de acceso no autorizados, tales como:
1) acciones de usuario fallidas o rechazadas;
2) acciones fallidas o rechazadas que implican
datos y otros recursos;
3) violaciones de política de acceso y
notificaciones para puertas de enlace
(gateway) y cortafuegos (firewall) de red;
4) alerta de sistemas de detección de intrusión
propietarios;
d) alertas o fallas del sistema tales como:
1) alarmas o mensajes de consola;
2) excepciones del registro del sistema;
3) gestión de alarmas de red;
4) alarmas levantadas por el sistema de
control de acceso;
89
criticamente, de forma regular.
Diretrizes para implementação
Convém que o nível de monitoramento requerido
para os recursos individuais seja determinado
através de uma análise/avaliação de riscos.
Convém que a organização esteja de acordo com
todos os requisitos legais relevantes, aplicáveis
para suas atividades de monitoramento. Convém
que as seguintes áreas sejam consideradas:
a) acessos autorizados, incluindo detalhes do tipo:
1) o identificador do usuário (ID de usuário);
2) a data e o horário dos eventos-chave;
3) tipo do evento;
4) os arquivos acessados;
5) os programas ou utilitários utilizados;
b) todas as operações privilegiadas, tais como:
1) uso de contas privilegiadas, por exemplo:
supervisor, root, administrador;
2) inicialização e finalização do sistema;
3) a conexão e a desconexão de dispositivos de
entrada e saída;
c) tentativas de acesso não autorizadas, tais como:
1) ações de usuários com falhas ou rejeitados;
2) ações envolvendo dados ou outros recursos
com falhas ou rejeitadas;
3) violação de políticas de acesso e notificações
para gateways de rede e firewalls;
4) alertas dos sistemas proprietários de
detecção de intrusos;
d) alertas e falhas do sistema, tais como:
1) alertas ou mensagens do console;
2) registro das exceções do sistema;
3) alarmes do gerenciamento da rede;
4) alarmes disparados pelo sistema de controle
de acesso;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
e) cambios o intentos de cambiar, configuraciones
y controles de seguridad del sistema.
La frecuencia con la cual se revisan los
resultados de las actividades de supervisión
debería depender de los riesgos involucrados.
Los factores de riesgo que deberían considerarse
incluyen:
a) criticidad de los procesos de aplicación;
b) valor, sensibilidad, y criticidad de la información
implicada;
c) experiencia pasada de infiltración y mal uso del
sistema, y la frecuencia de vulnerabilidades
explotadas;
d) la extensión de las interconexiones del sistema
(en particular con redes públicas);
e) herramientas de registro desactivadas.
Información adicional
Es necesario utilizar procedimientos de
supervisión para asegurar que los usuarios sólo
realizan las actividades que explícitamente se les
han autorizado.
La revisión del registro implica la comprensión de
las amenazas enfrentadas por el sistema y la
forma en que se pueden originar. En el Apartado
13.1.1 se presentan ejemplos de eventos que
podrían requerir investigación adicional en caso
de incidentes de seguridad de la información.
10.10.3 Protección de la información de
registros (logs)
Control
Los medios de registro y la información de
registros deberían ser protegidos contra su
alteración y acceso no autorizado.
Guía de implementación
Los controles deberían proteger contra cambios
no autorizados y problemas operativos en los
medios de registro, incluyendo:
a) alteración a los tipos de mensajes que son
registrados;
b) archivos de registros (logs) siendo editados o
eliminados;
c) capacidad de almacenamiento de los medios
de archivo de registro excedida, resultando en la
90
e) alterações ou tentativas de alterações nos
controles e parâmetros dos sistemas de segurança.
Convém que a freqüência da análise crítica dos
resultados das atividades de monitaramento
dependa dos riscos envolvidos. Convém que os
seguintes fatores de risco sejam considerados:
a) criticidade dos processos de aplicação;
b) valor, sensibilidade e criticidade da informação
envolvida;
c) experiência anterior com infiltrações e uso
impróprio do sistema e da freqüência das
vulnerabilidades sendo exploradas;
d) extensão da interconexão dos sistemas
(particularmente com redes públicas);
e) desativação da gravação dos registros (logs).
Informações adicionais
O uso de procedimentos de monitoramento é
necessário para assegurar que os usuários estão
executando somente as atividades que foram
explicitamente autorizadas.
A análise crítica dos registros (log) envolve a
compreensão das ameaças encontradas no
sistema e a maneira pela qual isto pode acontecer.
Exemplos de eventos que podem requerer uma
maior investigação em casos de incidentes de
segurança da informação são comentados em
13.1.1.
10.10.3 Proteção das informações dos registros
(log)
Controle
Convém que os recursos e informações de
registros (log) sejam protegidos contra falsificação
e acesso não autorizado.
Diretrizes para implementação
Convém que os controles implementados objetivem
a proteção contra modificações não autorizadas e
problemas operacionais com os recursos dos
registros (log), tais como:
a) alterações dos tipos de mensagens que são
gravadas;
b) arquivos de registros (log) sendo editados ou
excluídos;
c) capacidade de armazenamento da mídia
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
falla en el registro de eventos o en la sobre-
escritura de eventos pasados.
Alguna auditoría de registros puede ser requerida
para ser archivada como parte de la política de
retención de registros o debido a requisitos para
recolectar y retener evidencia (véase el Apartado
13.2.3).
Información adicional
Los registros del sistema a menudo contienen un
vasto volumen de información, mucha de la cual
no tiene relación con la supervisión de seguridad.
Para ayudar a la identificación de eventos
significativos para la supervisión de seguridad,
debería considerarse el copiado automático de
los tipos de mensajes apropiados a un registros
secundario, y/o el uso de herramientas del
sistema adecuadas o herramientas de auditoría
para realizar la interrogación y racionalización de
los archivos.
Los registros del sistema necesitan ser
protegidos, debido a que si la información puede
ser modificada o eliminada, su existencia puede
crear una falsa sensación de seguridad.
10.10.4 Registros del administrador y
operador
Control
Las actividades del administrador y operador del
sistema deberían de ser registradas.
Guía de implementación
Los registros deberían de incluir:
a) la hora en la cual un evento (exitoso o fallido)
ocurre;
b) información sobre el evento (por ejemplo,
archivos manejados) o falla (por ejemplo, errores
ocurridos y acciones correctivas emprendidas);
c) que cuenta y que administrador u operador fue
involucrado;
d) que procesos fueron involucrados.
Los registros del administrador y operador
deberían de ser revisados de forma regular.
Información adicional
Un sistema de detección de intrusión, gestionado
fuera del control de los administradores de
sistema y de red, puede ser utilizado para
supervisar el cumplimiento de actividades de los
administradores de sistema y de red.
91
magnética do arquivo de registros (log) excedida,
resultando em falhas no registro de eventos ou
sobreposição do registro de evento anterior.
Alguns registros (log) de auditoria podem ser
guardados como parte da política de retenção de
registros ou devido aos requisitos para a coleta e
retenção de evidência (ver 13.2.3).
Informações adicionais
Registros (log) de sistema normalmente contêm um
grande volume de informações e muitos dos quais
não dizem respeito ao monitoramento da
segurança. Para ajudar a identificar eventos
significativos para propósito de monitoramento de
segurança, convém que a cópia automática dos
tipos de mensagens para a execução de consulta
seja considerada e/ou o uso de sistemas utilitários
adequados ou ferramentas de auditoria para
realizar a racionalização e investigação do arquivo
seja considerado.
Registros (log) de sistema precisam ser protegidos,
pois os dados podem ser modificados e excluídos e
suas ocorrências podem causar falsa impressão de
segurança.
10.10.4 Registros (log) de administrador e
operador
Controle
Convém que as atividades dos administradores e
operadores do sistema sejam registradas.
Diretrizes para implementação
Convém que esses registros (log) incluam:
a) a hora em que o evento ocorreu (sucesso ou
falha);
b) informações sobre o evento (exemplo: arquivos
manuseados) ou falha (exemplo: erros ocorridos e
ações corretivas adotadas);
c) que conta e que administrador ou operador
estava envolvido;
d) que processos estavam envolvidos.
Convém que os registros (log) de atividades dos
operadores e administradores dos sistemas sejam
analisados criticamente em intervalos regulares.
Informações adicionais
Um sistema de detecção de intrusos gerenciado
fora do controle dos administradores de rede e de
sistemas pode ser utilizado para monitorar a
conformidade das atividades dos administradores
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
10.10.5 Registro de fallas
Control
Las fallas deberían de ser registradas, analizadas
y tomadas las acciones apropiadas.
Guía de implementación
Las fallas reportadas por los usuarios o
programas relativos a problemas con el
procesamiento de información o sistemas de
comunicaciones deberían ser registradas.
Deberían existir reglas claras para manejar las
fallas reportadas, incluyendo:
a) revisión de registros de fallas para asegurar
que han sido satisfactoriamente resueltas;
b) revisión de medidas correctivas para asegurar
que los controles no se han visto comprometidos,
y que la acción emprendida ha sido autorizada.
Se debería asegurar que el registro de errores
esta habilitado, si esta funcionalidad del sistema
se encuentra disponible.
Información adicional
El registro de errores y fallas puede impactar en
el desempeño de un sistema. Estos registros
deberían de ser establecidos por personal
competente, y el nivel de registro requerido para
los sistemas individuales debería de ser
determinado por un análisis de riesgos, que tenga
en cuenta la degradación del sistema.
10.10.6 Sincronización de relojes
Control
Los relojes de todos los sistemas de
procesamiento de información relevantes dentro
de la organización o dominio de seguridad
deberían estar sincronizados con una fuente de
horario confiable acordada.
Guía de implementación
Cuando una computadora o dispositivo de
comunicaciones tiene la capacidad de operar un
reloj de tiempo real, este reloj debería
establecerse como el estándar acordado, por
ejemplo el tiempo coordinado universal (UTC) o el
horario estándar local. Dado que ciertos relojes
atrasan con el tiempo, debería existir un
procedimiento que chequea y corrija cualquier
variación significativa.
92
do sistema e da rede.
10.10.5 Registros (log) de falhas
Controle
Convém que as falhas ocorridas sejam registradas
e analisadas, e que sejam adotadas ações
apropriadas.
Diretrizes para implementação
Convém que falhas informadas pelos usuários ou
pelos programas de sistema relacionado a
problemas com processamento da informação ou
sistemas de comunicação sejam registradas.
Convém que existam regras claras para o
tratamento das falhas informadas, incluindo:
a) análise crítica dos registros (log) de falha para
assegurar que as falhas foram satisfatoriamente
resolvidas;
b) análise crítica das medidas corretivas para
assegurar que os controles não foram
comprometidos e que a ação tomada é
completamente autorizada.
Convém que seja assegurado que o registro de
erros esteja habilitado, caso essa função do
sistema esteja disponível.
Informações adicionais
Registros de falhas e erros podem impactar o
desempenho do sistema. Convém que cada tipo de
registro a ser coletado seja habilitado por pessoas
competentes e que o nível de registro requerido
para cada sistema individual seja determinado por
uma análise/avaliação de riscos, levando em
consideração a degradação do desempenho do
sistema.
10.10.6 Sincronização dos relógios
Controle
Convém que os relógios de todos os sistemas de
processamento de informações relevantes, dentro
da organização ou do domínio de segurança, sejam
sincronizados com uma fonte de tempo precisa,
acordada.
Diretrizes para implementação
Onde um computador ou dispositivo de
comunicação tiver a capacidade para operar um
relógio (clock) de tempo real, convém que o relógio
seja ajustado conforme o padrão acordado, por
exemplo o tempo coordenado universal
(Coordinated Universal Time - UTC) ou um padrão
de tempo local. Como alguns relógios são
conhecidos pela sua variação durante o tempo,
convém que exista um procedimento que verifique
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
La correcta interpretación del formato fecha/hora
es importante para asegurar que las marcas de
tiempo reflejan la fecha y hora real.
Características locales (por ejemplo cambio de
horario de verano) deberían de ser tenidas en
cuenta.
Información adicional
La configuración correcta de relojes de los
ordenadores es importante para asegurar la
exactitud de los registros de auditoría, que
pueden requerirse para investigaciones o como
pruebas en casos legales o disciplinarios. Los
registros inexactos de auditoría pueden dificultar
tales investigaciones y restar credibilidad a tales
pruebas. Un reloj vinculado a una difusión de
tiempo de un reloj nacional atómico puede ser
usado como el reloj maestro para registrar
sistemas. Un protocolo de tiempo de red puede
utilizarse para mantener a todos los servidores en
sincronización con el reloj maestro.
11 Control de Acceso
11.1 Requisitos de negocio para el control de
acceso
OBJETIVO: Controlar el acceso a la información.
Los accesos a la información, a las instalaciones
de procesamiento de la información y a procesos
del negocio deberían ser controlados sobre la
base de requisitos de negocio y seguridad.
Las reglas para el control del acceso deberían
tener en cuenta las políticas de distribución y
autorización de la información.
11.1.1 Política de Control de Acceso
Control
Debería establecerse, documentarse y revisarse
una política de control de acceso, basada en
requisitos de negocio y seguridad para el acceso.
Guía de implementación
Las reglas de control de acceso y derechos para
cada usuario o grupo de usuarios deberían estar
claramente establecidas en una política de control
de acceso. Los controles de acceso son tanto
lógicos como físicos (véase también la Cláusula
9), y éstos deberían considerarse en forma
conjunta. Los usuarios y los proveedores de
93
esses tipos de inconsistências e corrija qualquer
variação significativa.
A interpretação correta do formato data/hora é
importante para assegurar que o timestamp reflete
a data/hora real. Convém que se levem em conta
especificações locais (por exemplo, horário de
verão).
Informações adicionais
O estabelecimento correto dos relógios dos
computadores é importante para assegurar a
exatidão dos registros (log) de auditoria, que
podem ser requeridos por investigações ou como
evidências em casos legais ou disciplinares.
Registros (log) de auditoria incorretos podem
impedir tais investigações e causar danos à
credibilidade das evidências. Um relógio interno
ligado ao relógio atômico nacional via transmissão
de rádio pode ser utilizado como relógio principal
para os sistemas de registros (logging). O protocolo
de hora da rede pode ser utilizado para sincronizar
todos os relógios dos servidores com o relógio
principal.
11 Controle de acessos
11.1 Requisitos de negócio para controle de
acesso
Objetivo: Controlar acesso à informação.
Convém que o acesso à informação, recursos de
processamento das informações e processos de
negócios sejam controlados com base nos
requisitos de negócio e segurança da informação.
Convém que as regras de controle de acesso
levem em consideração as políticas para
autorização e disseminação da informação.
11.1.1 Política de controle de acesso
Controle
Convém que a política de controle de acesso seja
estabelecida documentada e analisada
criticamente, tomando-se como base os requisitos
de acesso dos negócios e segurança da
informação.
Diretrizes para implementação
Convém que as regras de controle de acesso e
direitos para cada usuário ou grupos de usuários
sejam expressas claramente na política de controle
de acesso. Convém considerar os controles de
acesso lógico e físico (ver Seção 9) de forma
conjunta. Convém fornecer aos usuários e
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
servicio deberían ser provistos de una declaración
clara de los requisitos de negocio que deberían
cumplir para los controles de acceso.
La política debería tener en cuenta lo siguiente:
a) requisitos de seguridad de aplicaciones de
negocio individuales;
b) identificación de toda la información
relacionada a las aplicaciones del negocio y los
riesgos que la información está enfrentando;
c) políticas para autorización y distribución de la
información, por ejemplo la necesidad de conocer
el principio y los niveles de seguridad y
clasificación de la información (véase el Apartado
7.2);
d) consistencia entre los controles de acceso y las
políticas de clasificación de la información de los
diferentes sistemas y redes;
e) legislación relevante y obligaciones
contractuales con respecto a la protección de
acceso a los datos o servicios (véase el Apartado
15.1);
f) perfiles estándar de acceso de usuario para
roles comunes en al organización;
g) gestión de derechos de acceso en un ambiente
distribuido y de redes que reconozca todos los
tipos de conexión posibles;
h) separación de roles de control de acceso, por
ejemplo, pedido de acceso, autorización de
acceso, administración de acceso;
i) requisitos para autorizaciones formales de
pedidos de acceso (véase el Apartado 11.2.1);
j) pedidos para revisión periódica de controles de
acceso (véase el Apartado 11.2.4);
k) remoción de derechos de acceso (véase el
Apartado 8.3.3).
Información adicional
Debería tenerse cuidado cuando se están
especificando las reglas de control de acceso en
considerar:
a) diferenciación entre reglas que siempre deben
ser acatadas y directrices que son opcionales o
condicionales;
b) establecimiento de reglas basadas sobre la
94
provedores de serviços uma declaração nítida dos
requisitos do negócio a serem atendidos pelos
controles de acessos.
Convém que a política leve em consideração os
seguintes itens:
a) requisitos de segurança de aplicações de
negócios individuais;
b) identificação de todas as informações
relacionadas às aplicações de negócios e os riscos
a que as informações estão expostas;
c) política para disseminação e autorização da
informação, por exemplo, o princípio need to know
e níveis de segurança e a classificação das
informações (ver 7.2);
d) consistência entre controle de acesso e políticas
de classificação da informação em diferentes
sistemas e redes;
e) legislação pertinente e qualquer obrigação
contratual relativa à proteção de acesso para dados
ou serviços (ver 15.1);
f) perfis de acesso de usuário-padrão para
trabalhos comuns na organização;
g) administração de direitos de acesso em um
ambiente distribuído e conectado à rede que
reconhece todos os tipos de conexões disponíveis;
h) segregação de funções para controle de acesso,
por exemplo, pedido de acesso, autorização de
acesso, administração de acesso;
i) requisitos para autorização formal de pedidos de
acesso (ver 11.2.1);
j) requisitos para análise crítica periódica de
controles de acesso (ver 11.2.4);
k) remoção de direitos de acesso (ver 8.3.3).
Informações adicionais
Convém que sejam tomados cuidados na
especificação de regras de controle de acesso
quando se considerar o seguinte:
a) diferenciar entre regras que devem ser
obrigatórias e forçadas, e diretrizes que são
opcionais ou condicionais;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
premisa “Todo está generalmente prohibido salvo
que expresamente sea permitido” mas que sobre
la regla mas débil “Todo esta generalmente
permitido salvo que sea expresamente prohibido”;
c) cambios en las etiquetas de la información
(véase el Apartado 7.2) que son iniciados
automáticamente por los recursos de
procesamiento de información y aquellos que son
iniciados a discreción de un usuario;
d) cambios en los permisos de usuario que son
iniciados automáticamente por el sistema de
información y aquellos que son iniciados por un
administrador;
e) reglas, que requieren una aprobación
especifica antes de habilitarse y aquellas que no
lo requieren;
Las reglas de control de acceso deber ser
soportadas por procedimientos formales y
responsabilidades claramente definidas (véase
por ejemplo, 6.1.3,11.3,10.4.1, 11.6).
11.2 Gestión del acceso de usuarios
OBJETIVO: Asegurar el acceso de usuarios
autorizados y prevenir el acceso no autorizado a
los sistemas de información.
Deberían existir procedimientos formales para
controlar la asignación de derechos de acceso a
los sistemas de información y a los servicios.
Estos procedimientos deberían cubrir todas las
etapas del ciclo de vida del acceso del usuario,
desde el registro inicial de nuevos usuarios hasta
la cancelación final del registro de usuarios que
no requieren más acceso a los sistemas de
información y a los servicios. Debería tenerse
especial atención, cuando corresponda, a la
necesidad de control de la asignación de
derechos de acceso privilegiados, que permiten a
los usuarios sobrescribir los sistemas de control.
11.2.1 Registro de usuarios
Control
Debería existir un procedimiento formal de
registro y cancelación de registro para otorgar y
revocar los accesos a todos los servicios y
sistemas de información.
Guía de implementación
El procedimiento de control de acceso para el
registro y cancelación de registro del usuario
95
estabelecer regra baseada na premissa “Tudo é b)
proibido, a menos que expressamente permitido"
em lugar da regra mais fraca "Tudo é permitido, a
menos que expressamente proibido";
c) mudanças em rótulos de informação (ver 7.2)
que são iniciadas automaticamente através de
recursos de processamento da informação e os
que iniciaram pela ponderação de um usuário;
d) mudanças em permissões de usuário que são
iniciadas automaticamente pelo sistema de
informação e aqueles iniciados por um
administrador;
e) regras que requerem aprovação específica antes
de um decreto ou lei e as que não necessitam.
Convém que as regras para controle de acesso
sejam apoiadas por procedimentos formais e
responsabilidades claramente definidas (ver 6.1.3,
11.3, 10.4.1 e 11.6).
11.2 Gerenciamento de acesso do usuário
Objetivo: Assegurar acesso de usuário autorizado e
prevenir acesso não autorizado a sistemas de
informação.
Convém que procedimentos formais sejam
implementados para controlar a distribuição de
direitos de acesso a sistemas de informação e
serviços.
Convém que os procedimentos cubram todas as
fases do ciclo de vida de acesso do usuário, da
inscrição inicial como novos usuários até o
cancelamento final do registro de usuários que já
não requerem acesso a sistemas de informação e
serviços. Convém que atenção especial seja dada,
onde apropriado, para a necessidade de controlar a
distribuição de direitos de acesso privilegiado que
permitem os usuários mudar controles de sistemas.
11.2.1 Registro de usuário
Controle
Convém que exista um procedimento formal de
registro e cancelamento de usuário para garantir e
revogar acessos em todos os sistemas de
informação e serviços.
Diretrizes para implementação
Convém que os procedimentos de controle de
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
debería incluir:
a) utilización de la identificación única de usuario
(IDs) para permitir que los usuarios queden
vinculados y sean responsables de sus acciones;
el uso del identificador de grupo, debería
permitirse solamente cuando sea necesario por
razones de negocio u operativas, y deberían ser
aprobadas y documentadas;
b) verificación de que el usuario tenga autorizaron
del dueño del sistema para el uso del servicio ó el
sistema de información; aprobación separada
para los derechos de acceso para la gestión
podría ser apropiado;
c) verificación de que el nivel de acceso otorgado
sea apropiado para el propósito del negocio
(véase el Apartado 11.1) y que es consistente con
la política de seguridad, por ejemplo que no
compromete la segregación de tareas (véase el
Apartado 10.1.3);
d) entregar al usuario una declaración de sus
derechos de acceso;
e) requerir que los usuarios firmen declaraciones
indicando que ellos comprenden las condiciones
de acceso;
f) asegurar que los proveedores de servicio no
provean acceso hasta que los procedimientos de
autorización hayan sido completados;
g) mantener un registro formal de todas las
personas registradas que usan el servicio;
h) borrar inmediatamente o bloquear los derechos
de acceso de los usuarios que hayan cambiado
roles o tareas o dejado la organización;
i) periódicamente realizar una verificación para
borrar o bloquear las cuentas e identificación de
usuarios (IDs) redundantes (véase el Apartado
11.2.4);
j) asegurar que las identificaciones de usuarios
(IDs) redundantes no se otorgan a otros usuarios.
Información adicional
Se debería considera el establecimiento de
funciones de acceso de usuario basadas en los
requisitos del negocio que resuman una variedad
de derechos de acceso en perfiles comunes para
el acceso de usuario. Las solicitudes y revisiones
de acceso (véase el Apartado 11.2.4) se
gestionan más fácilmente en el ámbito de dichas
funciones que en el ámbito de derechos
96
acesso para registro e cancelamento de usuários
incluam:
a) utilizar identificador de usuário (ID de usuário)
único para assegurar a responsabilidade de cada
usuário por suas ações; convém que o uso de
grupos de ID somente seja permitido onde existe a
necessidade para o negócio ou por razões
operacionais, e isso seja aprovado e documentado;
b) verificar se o usuário tem autorização do
proprietário do sistema para o uso do sistema de
informação ou serviço; aprovação separada para
direitos de acesso do gestor também pode ser
apropriada;
c) verificar se o nível de acesso concedido é
apropriado ao propósito do negócio (ver 11.1) e é
consistente com a política de segurança da
organização, por exemplo, não compromete a
segregação de função (ver 10.1.3);
d) dar para os usuários uma declaração por escrito
dos seus direitos de acesso;
e) requerer aos usuários a assinatura de uma
declaração indicando que eles entendem as
condições de acesso;
f) assegurar aos provedores de serviços que não
serão dados acessos até que os procedimentos de
autorização tenham sido concluídos;
g) manter um registro formal de todas as pessoas
registradas para usar o serviço;
h) remover imediatamente ou bloquear direitos de
acesso de usuários que mudaram de cargos ou
funções, ou deixaram a organização;
i) verificar periodicamente e remover ou bloquear
identificadores (ID) e contas de usuário
redundantes (ver 11.2.4);
j) assegurar que identificadores de usuário (ID de
usuário) redundantes não sejam atribuídos para
outros usuários.
Informações adicionais
Convém que seja considerado estabelecer perfis
de acesso do usuário baseados nos requisitos dos
negócios que resumam um número de direitos de
acessos dentro de um perfil de acesso típico de
usuário. Solicitações de acessos e análises críticas
(ver 11.2.4) são mais fáceis de gerenciar ao nível
de tais perfis do que ao nível de direitos
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
particulares.
Es conveniente considerar la inclusión de
Cláusulas en los contratos del personal y de los
servicios que especifiquen las sanciones si el
personal o los agentes del servicio intentan el
acceso no autorizado (véase los Apartados 6.1.5,
8.1.3 y 8.2.3).
11.2.2 Gestión de privilegios
Control
Debería restringirse y controlarse la asignación y
uso de privilegios.
Guía de implementación
Sistemas multiusuario que requieren protección
contra accesos no autorizados deberían tener la
asignación de privilegios controlada a través de
procedimientos formales de autorización.
Deberían considerarse los siguientes elementos:
a) los privilegios de acceso asociados con cada
producto del sistema, por ejemplo sistema
operativo, sistema de gestión de base de datos y
de cada aplicación, y debería identificarse a los
usuarios a los que es necesario asignar tales
privilegios;
b) los privilegios deberían ser asignados a
usuarios sobre la base de necesidad de uso y
sobre la base de evento por evento, alineados
con la política de control de acceso (véase el
Apartado 11.1.1), es decir, el requisito mínimo
para su rol funcional, solo cuando es necesario;
c) deberían ser mantenidos un proceso de
autorización y un registro de todos los privilegios
asignados. Los privilegios no deben ser otorgados
hasta que el procedimiento de autorización no
sea completado;
d) debería ser promovido el desarrollo y
utilización de rutinas del sistema para evitar la
necesidad de otorgar privilegios a los usuarios;
e) debería ser promovido el desarrollo y uso de
programas que eviten la necesidad de funcionar
con privilegios;
f) los privilegios deberían ser asignados a una
identificación de usuario (ID) diferente de la
utilizada para uso normal del negocio.
Información adicional
El uso inapropiado de los privilegios de
administración del sistema (cualquier
característica o recurso de un sistema de
97
particulares.
Convém que seja considerada a inclusão de
Cláusulas nos contratos de usuários e de serviços
que especifiquem as sanções em caso de tentativa
de acesso não autorizado pelos usuários ou por
terceiros (ver 6.1.5, 8.1.3 e 8.2.3).
11.2.2 Gerenciamento de privilégios
Controle
Convém que a concessão e o uso de privilégios
sejam restritos e controlados.
Diretrizes para implementação
Convém que os sistemas de multiusuários que
necessitam de proteção contra acesso não
autorizado tenham a concessão de privilégios
controlada por um processo de autorização formal.
Convém que os seguintes passos sejam
considerados:
a) privilégio de acesso de cada produto de sistema,
por exemplo, sistema operacional, sistemas de
gerenciamento de banco de dados e cada
aplicação, e de categorias de usuários para os
quais estes necessitam ser concedido, seja
identificado;
b) os privilégios sejam concedidos a usuários
conforme a necessidade de uso e com base em
eventos alinhados com a política de controle de
acesso (ver 11.1.1), por exemplo, requisitos
mínimos para sua função somente quando
necessário;
c) um processo de autorização e um registro de
todos os privilégios concedidos sejam mantidos.
Convém que os privilégios não sejam fornecidos
até que todo o processo de autorização esteja
finalizado;
d) desenvolvimento e uso de rotinas de sistemas
sejam incentivados de forma a evitar a necessidade
de fornecer privilégios aos usuários;
e) desenvolvimento e uso de programas que não
necessitam funcionar com privilégios sejam
estimulados;
f) os privilégios sejam atribuídos para um
identificador de usuário (ID de usuário) diferente
daqueles usados normalmente para os negócios.
Informações adicionais
O uso inapropriado de privilégios de administrador
de sistemas (qualquer característica ou recursos de
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
información que habilite al usuario a hacer caso
omiso de los controles del sistema o de la
aplicación) puede ser un factor importante de
contribución a las fallas o brechas de los
sistemas.
11.2.3 Gestión de contraseñas del usuario
Control
La asignación de contraseñas debería controlarse
a través de un procesos formal de gestión.
Guía de implementación
El proceso debería incluir los siguientes
requisitos:
a) se debería exigir a los usuarios que firmen una
declaración de para mantener confidencialidad
sobre las contraseñas personales y mantener las
contraseñas de grupo dentro de los miembros del
grupo; esta declaración firmada podría estar
incluida dentro de los términos de empleo (véase
el Apartado 8.1.3);
b) cuando se exige a los usuarios el mantener sus
propias contraseñas, ellos deben ser provistos
inicialmente con una contraseña segura temporal
(véase el Apartado 11.3.1), que estén forzados a
cambiar inmediatamente;
c) establecer procedimientos para verificar la
identidad del usuario antes de proporcionarle una
contraseña temporal, de reemplazo o nueva;
d) las contraseñas temporales deberían ser dadas
a los usuarios de un modo seguro; deberían ser
evitados el uso de mensajes de correo electrónico
de terceras partes o no protegidos (en texto
claro);
e) las contraseñas temporales deberían ser
únicas para un individuo y no deberían ser
descifrables;
f) los usuarios deberían acusar el recibo de las
contraseñas;
g) las contraseñas nunca deberían ser
almacenadas en sistemas de computadoras o en
forma no protegida;
h) las contraseñas por defecto de los vendedores
deberían cambiarse inmediatamente luego de la
instalación del software o sistemas.
Información adicional
Las contraseñas son un medio común de
verificación de la identidad del usuario antes de
98
sistemas de informação que habilitam usuários a
exceder o controle de sistemas ou aplicações)
pode ser um grande fator de contribuição para
falhas ou violações de sistemas.
11.2.3 Gerenciamento de senha do usuário
Controle
Convém que a concessão de senhas seja
controlada através de um processo de
gerenciamento formal.
Diretrizes para implementação
Convém que o processo considere os seguintes
requisitos:
a) solicitar aos usuários a assinatura de uma
declaração, para manter a confidencialidade de sua
senha pessoal e das senhas de grupos de trabalho,
exclusivamente com os membros do grupo; esta
declaração assinada pode ser incluída nos termos
e condições da contratação (ver 8.1.3);
b) garantir, onde os usuários necessitam manter
suas próprias senhas, que sejam fornecidas
inicialmente senhas seguras e temporárias (ver
11.3.1), o que obriga o usuário a alterá-la
imediatamente;
c) estabelecer procedimentos para verificar a
identidade de um usuário antes de fornecer uma
senha temporária, de substituição ou nova;
d) fornecer senhas temporárias aos usuários de
maneira segura; convém que o uso de mensagens
de correio eletrônico de terceiros ou desprotegido
(texto claro) seja evitado;
e) senhas temporárias sejam únicas para uma
pessoa e não sejam fáceis de serem adivinhadas;
f) usuários acusem o recebimento de senhas;
g) as senhas nunca sejam armazenadas nos
sistemas de um computador de forma
desprotegida;
h) as senhas padrão sejam alteradas logo após a
instalação de sistemas ou software.
Informações adicionais
Senhas são um meio comum de verificar a
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
que se les otorguen accesos a los sistemas de
información o a los servicios de acuerdo a la
autorización que tenga el usuario. Si es
apropiado, deberían considerarse otras
tecnologías disponibles para la identificación y
autenticación del usuario, tales como biometría,
por ejemplo, verificación de huella digital,
verificación de firma, y uso de señales de
hardware (hardware tokens), por ejemplo tarjetas
inteligentes.
11.2.4 Revisión de derechos de acceso de
usuario
Control
La dirección debería revisar los derechos de
acceso de los usuarios a intervalos regulares
utilizando un proceso formal.
Guía de implementación
La revisión de los derechos de acceso debería
considerar las siguientes recomendaciones:
a) los derechos de acceso de usuarios deberían
ser revisados a intervalos regulares, por ejemplo,
cada seis meses, y luego de cualquier cambio, tal
como una promoción, una degradación, o
terminación del empleo (véase el Apartado
11.2.1);
b) los derechos de acceso de usuario deberían
ser revisados y reasignados cuando se mueve de
un empleo a otro dentro de la misma
organización;
c) las autorizaciones para derechos de acceso
privilegiados (véase el Apartado 11.2.2) deberían
ser d) revisados a intervalos mas frecuentes; por
ejemplo cada tres meses;
e) debería verificarse la asignación de privilegios
a intervalos regulares para garantizar que no se
obtienen privilegios no autorizados;
f) los cambios en las cuentas privilegiadas
deberían registrarse para su revisión periódica.
Información adicional
Es necesario revisar los derechos de acceso de
usuarios regularmente para mantener un control
de acceso efectivo sobre el acceso a los datos y
servicios de información.
11.3 Responsabilidades del usuario
OBJETIVO: Prevenir el acceso de usuario no
autorizado, y el robo o compromiso de la
información y de las instalaciones de
procesamiento de la información.
99
identidade de um usuário antes que acessos sejam
concedidos a um sistema de informação ou serviço
de acordo com a autorização do usuário. Outras
tecnologias para identificação de usuário e
autenticação, como biométrica, por exemplo,
verificação de digitais, verificação de assinatura, e
uso de tokens, por exemplo, e cartões inteligentes,
estão disponíveis, e convém que sejam
consideradas, se apropriado.
11.2.4 Análise crítica dos direitos de acesso de
usuário
Controle
Convém que o gestor conduza a intervalos
regulares a análise crítica dos direitos de acesso
dos usuários, por meio de um processo formal.
Diretrizes para implementação
Convém que a análise crítica dos direitos de
acesso considere as seguintes orientações:
a) os direitos de acesso de usuários sejam
revisados em intervalos regulares, por exemplo, um
período de seis meses e depois de qualquer
mudança, como promoção, rebaixamento ou
encerramento do contrato (ver 11.2.1);
b) os direitos de acesso de usuários sejam
analisados criticamente e realocados quando
movidos de um tipo de atividade para outra na
mesma organização;
c) autorizações para direitos de acesso privilegiado
especial (ver 11.2.2) sejam analisadas criticamente
em intervalos mais freqüentes, por exemplo, em um
período de três meses;
e) as alocações de privilégios sejam verificadas em
intervalo de tempo regular para garantir que
privilégios não autorizados não foram obtidos;
f) as modificações para contas de privilégios sejam
registradas para análise crítica periódica.
Informações adicionais
É necessário analisar criticamente, a intervalos
regulares, os direitos de acesso de usuários para
manter o controle efetivo sobre os acessos de
dados e serviços de informação.
11.3 Responsabilidades dos usuários
Objetivo: Prevenir o acesso não autorizado dos
usuários e evitar o comprometimento ou furto da
informação e dos recursos de processamento da
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
La cooperación de usuarios autorizados es
esencial para una seguridad efectiva.
Los usuarios deben ser enterados de sus
responsabilidades para mantener los controles de
acceso, particularmente teniendo en cuenta el
uso de contraseñas y la seguridad del
equipamiento del usuario.
Una política de escritorio y pantallas limpios,
debería ser implementada para reducir el riesgo
de acceso no autorizado o daño a papeles,
medios, e instalaciones de procesamiento de la
información.
11.3.1 Uso de Contraseña
Control
Debería exigirse a los usuarios el cumplimiento
de buenas prácticas de seguridad en la selección
y el uso de contraseñas.
Guía de implementación
Todos los usuarios deberían ser advertidos en
cuanto a:
a) mantener confidencialidad sobre la contraseña;
b) evitar mantener un registro de contraseñas (por
ejemplo en papel, archivo de software o
dispositivo de mano “hand-held device”), salvo
que este medio pueda ser almacenado en forma
segura y el método de almacenamiento haya sido
aprobado;
c) cambiar las contraseñas toda vez que haya
una indicación de riesgo en el sistema o en la
contraseña;
d) seleccionar contraseñas de calidad con
suficiente largo mínimo que sean:
1) fáciles de recordar;
2) no se basen en algo que alguien pueda
adivinar fácilmente o usando información
relacionada con la persona, por ejemplo,
nombres, números telefónicos, fechas de
nacimiento, etc.;
3) no vulnerables a ataques tipo diccionario
(es decir, que no consistan en palabras
incluidas en diccionarios);
4) libres de caracteres idénticos sucesivos ya
sean todos numéricos o alfabéticos;
100
informação.
A cooperação de usuários autorizados é essencial
para uma efetiva segurança.
Convém que os usuários estejam conscientes de
suas responsabilidades para manter efetivo
controle de acesso, particularmente em relação ao
uso de senhas e de segurança dos equipamentos
de usuários.
Convém que uma política de mesa e tela limpa seja
implementada para reduzir o risco de acessos não
autorizados ou danos a documentos/papéis, mídias
e recursos de processamento da informação.
11.3.1 Uso de senhas
Controle
Convém que os usuários sejam solicitados a seguir
as boas práticas de segurança da informação na
seleção e uso de senhas.
Diretrizes para implementação
Convém que todos os usuários sejam informados
para:
a) manter a confidencialidade das senhas;
b) evitar manter anotadas senhas (por exemplo,
papel, arquivos ou dispositivos móveis), a menos
que elas possam ser armazenadas de forma
segura e o método de armazenamento esteja
aprovado;
c) alterar senha sempre que existir qualquer
indicação de possível comprometimento do sistema
ou da própria senha;
d) selecionar senhas de qualidade com um
tamanho mínimo que sejam:
1) fáceis de lembrar;
2) não baseadas em nada que alguém
facilmente possa adivinhar ou obter usando
informações relativas à pessoa, por exemplo,
nomes, números de telefone e datas de
aniversário;
3) não vulneráveis a ataque de dicionário (por
exemplo, não consistir em palavras inclusas
no dicionário);
4) isentas de caracteres idênticos consecutivos,
todos numéricos ou todos alfabéticos
sucessivos;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
e) cambiar las contraseñas a intervalos regulares
o basados en el número de accesos (las
contraseñas de cuentas privilegiadas deberían
ser cambiadas mas frecuentemente que las
contraseñas normales), y evitar la reutilización o
reciclaje de claves viejas;
f) cambiar las contraseñas temporales en la
primer conexión;
g) no incluir contraseñas en ningún proceso
automatizado de conexión, por ejemplo
almacenado en una macro o función clave;
h) no compartir las contraseñas de usuario
individuales;
i) no utilizar la misma contraseña para propósitos
del negocio y particulares.
Si los usuarios necesitan acceso a múltiples
servicios, sistemas o plataformas y se les exige
conservar múltiples contraseñas separadas, se
les debería advertir que pueden usar una sola
contraseña de calidad (véase el punto d) para
todos los servicios cuando se les garantiza que se
ha establecido un nivel razonable de protección
para almacenar la contraseña en cada servicio,
sistema o plataforma.
Información adicional
La gestión del sistema de mesa de ayuda que
tiene que ver con la pérdida u olvido de
contraseñas necesita especial cuidado pues esta
puede ser también un medio de ataque al sistema
de contraseñas.
11.3.2 Equipamiento desatendido por
usuario
Control
Los usuarios deberían asegurarse que los
equipos desatendidos tienen la protección
apropiada.
Guía de implementación
Todos los usuarios deberían ser advertidos de los
requisitos y procedimientos de seguridad para
proteger equipamiento desatendido, así como de
su responsabilidad de implementar tal protección.
Se debería advertir a los usuarios sobre:
a) terminar sesiones activas cuando son
finalizadas, salvo que se les pueda;
101
e) modificar senhas regularmente ou com base no
número de acessos (convém que senhas de
acesso a contas privilegiadas sejam modificadas
mais freqüentemente que senhas normais) e evitar
a reutilização ou reutilização do ciclo de senhas
antigas;
f) modificar senhas temporárias no primeiro acesso
ao sistema;
g) não incluir senhas em nenhum processo
automático de acesso ao sistema, por exemplo,
armazenadas em um macro ou funções-chave;
h) não compartilhar senhas de usuários individuais;
i) não utilizar a mesma senha para uso com
finalidades profissionais e pessoais.
Se os usuários necessitam acessar múltiplos
serviços, sistemas ou plataformas, e forem
requeridos para manter separadamente múltiplas
senhas, convém que eles sejam alertados para
usar uma única senha de qualidade (ver d) acima
para todos os serviços, já que o usuário estará
assegurado de que um razoável nível de proteção
foi estabelecido para o armazenamento da senha
em cada serviço, sistema ou plataforma.
Informações adicionais
A gestão do sistema de help desk que trata de
senhas perdidas ou esquecidas necessita de
cuidado especial, pois este caminho pode ser
também um dos meios de ataque ao sistema de
senha.
el
11.3.2 Equipamento de usuário sem
monitoração
Controle
Convém que os usuários assegurem que os
equipamentos não monitorados tenham proteção
adequada.
Diretrizes para implementação
Convém que todos os usuários estejam cientes dos
requisitos de segurança da informação e
procedimentos para proteger equipamentos
desacompanhados, assim como suas
responsabilidades por implementar estas
proteções.
Convém que os usuários sejam informados para:
a) encerrar as sessões ativas,a menos que elas
possam ser protegidas por meio de um mecanismo
de bloqueio, por exemplo tela de proteção com
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
b) asegurar por un mecanismo de bloqueo
apropiado, por ejemplo un protector de pantalla
protegido con contraseña;
c) desconectarse de los computadores centrales,
servidores y estaciones de trabajo de oficina
cuando la sesión es finalizada (por ejemplo no
apagar solo el monitor de la terminal o estación
de trabajo);
d) asegurar a las estaciones de trabajo de uso no
autorizado mediante una clave de bloqueo o un
control equivalente, por ejemplo contraseña de
acceso cuando no se encuentra en uso (véase
también el Apartado 11.3.3).
Información adicional
Equipamiento instalado en áreas usuarias, por
ejemplo estaciones de trabajo o servidores de
archivo, pueden requerir protección específica
frente a acceso no autorizado cuando se deja
desatendido por un periodo largo.
11.3.3 Política de escritorio y pantalla limpios
Control
Se debería adoptar una política de escritorio
limpio para papeles y medios de almacenamiento
removibles y una política de pantalla limpia para
las instalaciones de procesamiento de
información.
Guía de implementación
Una política de escritorio limpio debería tener en
cuenta la clasificación de la información (véase el
Apartado 7.2), requisitos legales y contractuales
(véase el Apartado 15.1), y los aspectos
culturales y de riesgo de la organización
correspondientes. Deberían considerarse las
siguientes recomendaciones:
a) cuando no se requiere la información sensible
o crítica del negocio, contenida por ejemplo en
medios de almacenamiento electrónicos o en
papel, se debería asegurar bajo llave (idealmente
una caja fuerte, un gabinete u otro mueble de
seguridad), especialmente cuando la oficina está
vacía;
b) las computadoras y terminales deberían ser
desconectadas o protegidas con un mecanismo
de bloqueo de pantalla y teclado controlado por
contraseña, una señal (token), o mecanismo de
autenticación de usuario similar cuando está
desatendida, y debería ser protegida por claves
de bloqueo, o contraseñas u otros controles
102
senha;
b) efetuar a desconexão com o computador de
grande porte, servidores e computadores pessoais
do escritório, quando a sessão for finalizada (por
exemplo: não apenas desligar a tela do computador
ou o terminal);
c) proteger os microcomputadores ou terminais
contra uso não autorizado através de tecla de
bloqueio ou outro controle equivalente, por
exemplo, senha de acesso, quando não estiver em
uso (ver 11.3.3).
Informações adicionais
Equipamentos instalados em áreas de usuários,
por exemplo, estações de trabalho ou servidores de
arquivos, podem requerer proteção especial contra
acesso não autorizado, quando deixados sem
monitoração por um período extenso.
11.3.3 Política de mesa limpa e tela limpa
Controle
Convém que seja adotada uma política de mesa
limpa de papéis e mídias de armazenamento
removível e política de tela limpa para os recursos
de processamento da informação.
Diretrizes para implementação
Convém que uma política de mesa limpa e tela
limpa leve em consideração a classificação da
informação (ver 7.2), requisitos contratuais e legais
(ver 15.1), e o risco correspondente e aspectos
culturais da organização. Convém que as seguintes
diretrizes sejam consideradas:
a) informações do negócio sensíveis ou críticas,
por exemplo, em papel ou em mídia de
armazenamento eletrônicas, sejam guardadas em
lugar seguro (idealmente em um cofre, armário ou
outras formas de mobília de segurança) quando
não em uso, especialmente quando o escritório
está desocupado;
b) computadores e terminais sejam mantidos
desligados ou protegidos com mecanismo de
travamento de tela e teclados controlados por
senha, token ou mecanismo de autenticação similar
quando sem monitoração e protegidos por tecla de
bloqueio, senhas ou outros controles, quando não
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
cuando no esta en uso;
c) deberían ser protegidos puntos de ingreso y
egreso de correo electrónico y máquinas de
facsímil desatendidas;
d) debería prevenirse el uso no autorizado de
fotocopias y otras tecnologías de reproducción
(por ejemplo escáneres, cámaras digitales);
e) documentación conteniendo información
clasificada o sensible debería retirarse de las
impresoras inmediatamente.
Información adicional
Una política de escritorio y pantalla limpios,
reduce los riesgos de acceso no autorizado,
pérdida o daño a la información durante y fuera
de las horas normales de trabajo. Cofres u otras
formas de almacenamiento seguro pueden
también proteger información almacenada dentro
de ellas contra desastres tales como incendios,
terremotos, inundaciones o explosiones.
Considerar el uso de impresoras con una función
de código de uso, de modo que los generadores
sean los únicos que puedan obtener sus impresos
y solamente estando parados al lado de la
impresora.
11.4 Control de acceso a la red
OBJETIVO: Prevenir el acceso no autorizado a
los servicios en red.
Debería controlarse el acceso a los servicios en
red, tanto internos como externos.
El acceso de los usuarios a las redes y a los
servicios de red no debería comprometer la
seguridad de los servicios de red garantizando
que:
a) las interfaces adecuadas son puestas entre la
red de la organización y redes pertenecientes a
otras organizaciones, y redes publicas;
b) mecanismos de autenticación apropiados son
aplicados para usuarios y equipamiento;
c) se exige control del acceso de los usuarios a
los servicios de información.
11.4.1 Políticas sobre el uso de servicios en
red
Control
103
usados;
c) pontos de entrada e saída de correspondências
e máquinas de fac-símile sem monitoração sejam
protegidos;
d) sejam evitados o uso não autorizado de
fotocopiadoras e outra tecnologia de reprodução
(por exemplo, scanners, máquinas fotográficas
digitais);
e) documentos que contêm informação sensível ou
classificada sejam removidos de impressoras
imediatamente.
Informações adicionais
Uma política de mesa limpa e tela limpa reduz o
risco de acesso não autorizado, perda e dano da
informação durante e fora do horário normal de
trabalho. Cofres e outras formas de recursos de
armazenamento seguro também podem proteger
informações armazenadas contra desastres como
incêndio, terremotos, enchentes ou explosão.
Considerar o uso de impressoras com função de
código PIN, permitindo desta forma que os
requerentes sejam os únicos que possam pegar
suas impressões, e apenas quando estiverem
próximos às impressoras.
11.4 Controle de acesso à rede
Objetivo: Prevenir acesso não autorizado aos
serviços de rede.
Convém que o acesso aos serviços de rede
internos e externos seja controlado.
Convém que os usuários com acesso às redes e
aos serviços de rede não comprometam a
segurança desses serviços, assegurando:
a) uso de interfaces apropriadas entre a rede da
organização e as redes de outras organizações e
redes públicas;
b) uso de mecanismos de autenticação apropriados
para os usuários e equipamentos;
c) controle de acesso compulsório de usuários aos
serviços de informação.
11.4.1 Política de uso dos serviços de rede
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Los usuarios sólo deberían tener acceso a los
servicios para cuyo uso están específicamente
autorizados.
Guía de implementación
Debería ser formulada una política relativa al uso
de redes y servicios de red. Esta política debería
cubrir:
a) las redes y servicios de red a los cuales es
permitido acceder;
b) los procedimientos de autorización para
determinar a quién se le permite el acceso a qué
redes y qué servicios en red;
c) los controles de gestión y procedimientos para
proteger el acceso a las conexiones y servicios de
red;
d) los medios utilizados para acceder a las redes
y servicios de red (por ejemplo, las condiciones
para permitir el acceso discado a un servicio de
Internet o sistema remoto).
La política sobre el uso de servicios de red
debería ser consistente con la política de control
de acceso del negocio (véase el Apartado 11.1).
Información adicional
Conexiones no autorizadas o inseguras a
servicios de red pueden afectar a toda la
organización. Este control es particularmente
importante para conexiones de red a aplicaciones
sensibles o críticas del negocio o de usuarios en
ubicaciones de alto riesgo, por ejemplo, áreas
públicas o externas que están fuera de la gestión
de seguridad y control de la organización.
11.4.2 Autenticación de usuarios para
conexiones externas
Control
Deberían emplearse métodos apropiados de
autenticación para controlar el acceso de usuarios
remotos.
Guía de implementación
La autenticación de usuarios remotos puede ser
lograda utilizando, por ejemplo, técnicas basadas
en criptografía, señales (tokens) de hardware, o
protocolos de desafío/respuesta. Posibles
implementaciones de tales técnicas pueden ser
encontradas en distintas soluciones de redes
privadas virtuales (VPN). Líneas privadas
dedicadas pueden ser utilizadas para proveer
seguridad del origen de la conexión.
Los procedimientos y controles de devolución de
104
Controle
Convém que usuários somente recebam acesso
para os serviços que tenham sido especificamente
autorizados a usar.
Diretrizes para implementação
Convém que uma política seja formulada
relativamente ao uso de redes e serviços de rede.
Convém que esta política cubra:
a) redes e serviços de redes que são permitidos de
serem acessados;
b) procedimentos de autorização para determinar
quem tem permissão para acessar em quais redes
e serviços de redes;
c) procedimentos e controles de gerenciamento
para proteger acesso a conexões e serviços de
redes;
d) os meios usados para acessar redes e serviços
de rede (por exemplo, as condições por permitir
acesso discado para acessar o provedor de serviço
internet ou sistema remoto).
Convém que a política no uso de serviços de rede
seja consistente com a política de controle de
acesso do negócio (ver 11.1).
Informações adicionais
Conexões sem autorização e inseguras nos
serviços de rede podem afetar toda organização.
Este controle é particularmente importante para
conexões de redes sensíveis ou aplicações de
negócios críticos ou para usuários em locais de alto
risco, por exemplo, áreas públicas ou externas que
estão fora da administração e controle da
segurança da organização.
11.4.2 Autenticação para conexão externa do
usuário
Controle
Convém que métodos apropriados de
autenticações sejam usados para controlar acesso
de usuários remotos.
Diretrizes para implementação
A autenticação de usuários remotos pode ser
alcançada usando, por exemplo, técnica baseada
em criptografia, hardware tokens ou um protocolo
de desafio/resposta. Podem ser achadas possíveis
implementações de tais técnicas em várias
soluções de redes privadas virtuais (VPN).
Também podem ser usadas linhas privadas
dedicadas para prover garantia da origem de
conexões.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
llamada, por ejemplo módems de retorno de
llamada, pueden proveer protección contra
conexiones no autorizadas y conexiones no
deseadas a instalaciones de procesamiento de
información de la organización. Este tipo de
control autentica usuarios, tratando de establecer
una conexión a una red de la organización desde
sitios remotos. Cuando se utilizan estos controles,
una organización no debería utilizar servicios de
red, que incluyan accesos discados entrantes, o
si lo hacen, deberían deshabilitarse el uso de
tales características para evitar debilidades
asociadas con acceso discado entrante. El
proceso de devolución de llamada debería
asegurar que ocurra una desconexión verdadera
del lado de la organización. De otro modo el
usuario remoto podría mantener la línea abierta
pretendiendo que la verificación de devolución de
llamada ha ocurrido. Los procedimientos y
controles de devolución de llamada deberían ser
exhaustivamente verificados por esta posibilidad.
La autenticación de nodos puede servir como un
medio alternativo de autenticación de grupos de
usuarios remotos donde son conectados a un
recurso seguro de computación compartido.
Técnicas criptográficas, por ejemplo basadas en
certificados , pueden ser utilizadas para la
autenticación del nodo. Esto es parte de diversas
soluciones basadas en una red privada virtual
(VPN).
Deberían implementarse controles adicionales de
autenticación para controlar el acceso a redes
inalámbricas. En particular se deber prestar
especial atención en la selección de los controles
para redes inalámbricas debido a las grandes
oportunidades para intercepción e inserción no
detectada de trafico de red.
Información adicional
Conexiones externas habilitan potenciales
ingresos no autorizados a la información del
negocio, por ejemplo métodos de acceso discado.
Existen diferentes tipos de autenticación, algunos
de ellos proveen una mayor nivel de protección
que otros, por ejemplo métodos basados en el
uso de técnicas de criptografía pueden
suministrar una autenticación mas fuerte. Es
importante determinar a partir de una evaluación
del riesgo, el nivel de protección requerida. Esto
es necesario para la selección apropiada del
método de autenticación.
Un medio de conexión automática a una
computadora remota puede proveer una manera
de obtener un acceso no autorizado a las
aplicaciones del negocio. Esto es especialmente
105
Os procedimentos e controles de discagem reversa
(dial-back), por exemplo, usando modens com
discagem reversa, podem prover proteção contra
conexões não autorizadas e não desejadas nos
recursos de processamento da informação de uma
organização. Este tipo de controle autentica
usuários que tentam estabelecer conexões com a
rede de uma organizações de localidades remotas.
Ao usar este controle, convém que uma
organização não use serviços de rede que incluem
transferência de chamadas (forward) ou, se eles
fizerem, convém que seja desabilitado o uso de tais
facilidades para evitar exposição a fragilidades
associadas ao call forward. Convém que o
processo de discagem reversa assegure que uma
desconexão atual no lado da organização
aconteça. Caso contrário, o usuário remoto poderia
reter aberta a linha simulando que a verificação do
retorno da chamada (call back) ocorreu. Convém
que os procedimentos e controles da discagem
reversa sejam testados completamente para esta
possibilidade.
Autenticação de um nó pode servir como meio
alternativo de autenticar grupos de usuários
remotos onde eles são conectados a recursos de
computador seguros e compartilhados. Técnicas
criptográficas, por exemplo, com base em
certificados de máquina, podem ser usadas para
autenticação de nó. Isto é parte de várias soluções
baseado em VPN.
Convém que seja implementado controle de
autenticação adicional para controlar acesso a
redes sem fios. Em particular, cuidado especial é
necessário na seleção de controles para redes sem
fios devido às numerosas oportunidades de não
detecção de interceptação e inserção de tráfico de
rede.
Informações adicionais
As conexões externas proporcionam um potencial
de acessos não autorizados para as informações
de negócio, por exemplo, acesso por métodos
discados (dial-up). Existem diferentes tipos de
métodos de autenticação, alguns deles
proporcionam um maior nível de proteção que
outros, por exemplo, métodos baseados em
técnicas de criptografia que podem proporcionar
autenticação forte. É importante determinar o nível
de proteção requerido a partir de uma
análise/avaliação de riscos. Isto é necessário para
selecionar apropriadamente um método de
autenticação.
Os recursos de conexão automática para
computadores remotos podem prover um caminho
para ganhar acesso não autorizado nas aplicações
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
importante si la conexión usa una red que está
fuera del control de la gestión de seguridad de la
organización.
11.4.3 Identificación de equipamiento en la red
Control
La identificación automática del equipamiento
debería ser considerada como medio de
autenticar conexiones desde equipos y automáticas de equipamentos como um meio de
ubicaciones específicas.
Guía de implementación
La identificación del equipamiento puede ser
usada si es importante que la comunicación sea
sólo iniciada desde un equipo o ubicación
específica. Un identificador en o conectado al
equipamiento puede ser utilizada para indicar si a
ese equipamiento le es permitido conectarse a la
red. Estos identificadores deben indicar
claramente a que red le es permitido conectarse,
si existe mas de una red y particularmente si
estas redes son de distinta sensibilidad. Puede
ser necesario considerar protección física del
equipamiento para mantener la seguridad del
identificador del equipo.
Información adicional
Este control puede ser completado con otras
técnicas para autenticar el usuario del
equipamiento (véase el Apartado 11.4.2). La
identificación del equipamiento puede ser
aplicada adicionalmente a la autenticación del
usuario.
11.4.4 Protección de los puertos de
configuración y diagnóstico remoto
Control
El acceso lógico y físico a los puertos de
configuración y de diagnóstico debería estar
controlado.
Guía de implementación
Los controles potenciales para el acceso a los
puertos de diagnóstico y configuración incluyen el
uso de un bloqueo de clave y procedimientos de
soporte para controlar el acceso físico al puerto.
Un ejemplo de un procedimiento de soporte es
garantizar que los puertos de diagnóstico y
configuración sólo sean accesibles mediante
acuerdo entre el administrador del servicio de
computación y el personal de soporte de
hardware/software que requiere el acceso.
Los puertos, servicios y prestaciones similares
instaladas en un servicio de computación o de
red, que no se requieren específicamente para la
funcionalidad del negocio, se deberían inhabilitar
106
de negócio. Isto é particularmente importante se a
conexão usar uma rede que está fora do controle
do gerenciamento de segurança da informação da
organização.
11.4.3 Identificação de equipamento em redes
Controle
Convém que sejam consideradas as identificações
autenticar conexões vindas de localizações e
equipamentos específicos.
Diretrizes para implementação
Uma identificação de equipamentos pode ser
usada se for importante que a comunicação possa
somente ser iniciada de um local ou equipamento
específico. Um identificador no equipamento pode
ser usado para indicar se este equipamento possui
permissão para conectar-se à rede. Convém que
estes identificadores indiquem claramente para
qual rede o equipamento possui permissão para
conectar-se, se existe mais de uma rede e
particularmente se estas redes são de sensibilidade
diferente. Pode ser necessário considerar proteção
física do equipamento para manter a segurança do
identificador do equipamento.
Informações adicionais
Este controle pode ser complementado com outras
técnicas para autenticar o usuário do equipamento
(ver 11.4.2). Pode ser aplicada identificação de
equipamento adicionalmente à autenticação de
usuário.
11.4.4 Proteção de portas de configuração e
diagnóstico remotos
Controle
Convém que sejam controlados os acessos físico e
lógico a portas de diagnóstico e configuração.
Diretrizes para implementação
Os controles potenciais para o acesso às portas de
diagnóstico e configuração incluem o uso de uma
tecla de bloqueio e procedimentos de suporte para
controlar o acesso físico às portas. Um exemplo
para tal procedimento é assegurar que as portas de
diagnóstico e configuração são apenas acessíveis
pela combinação do acesso requerido entre o
gestor dos serviços do computador e pelo pessoal
de suporte do hardware/software.
Convém que portas, serviços e recursos similares
instalados em um computador ou recurso de rede
que não são especificamente requeridos para a
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
o retirar.
Información adicional
Muchos sistemas de computadoras, sistemas de
red y sistemas de comunicación son instalados
con una facilidad de diagnóstico o configuración
de puertos remoto para uso de los ingenieros de
mantenimiento.
Si no son protegidos estos puertos de diagnostico
proveen un medio de acceso no autorizado.
11.4.5 Separación en redes
Control
Grupos de servicios de información, usuarios y
sistemas de información deberían ser separados
en redes.
Guía de implementación
Un método para controlar la seguridad de
grandes redes es dividirlas en dominios de red
lógicos separados, por ejemplo, dominios de
organización de redes internas y dominios
externos, cada uno protegido por un perímetro de
seguridad. Un conjunto graduado de controles
puede ser aplicado sobre diferentes dominios de
red lógica para segregar aún más los ambientes
de seguridad de redes, por ejemplo, sistemas de
acceso público, redes internas y activos críticos.
Los dominios deberían definirse con base en una
evaluación de riesgos y en los diferentes
requisitos de seguridad en cada uno de los
dominios.
Tal perímetro de red puede ser implementado
instalando una puerta de enlace (gateway)
segura, entre las dos redes a ser interconectadas
para controlar el acceso y flujo de la información
entre los dos dominios. Esta puerta de enlace
(gateway) debería configurarse para filtrar tráfico
específico entre estos dominios (véase los
Apartados 11.4.6 y 11.4.7) y para bloquear el
acceso no autorizado de acuerdo a la política de
control de acceso de la organización (véase el
Apartado 11.1). Un ejemplo de este tipo de puerta
de enlace (gateway) es lo que se conoce
comúnmente como cortafuegos (firewall). Otro
método de separación de dominios lógico es
restringir el acceso a la red utilizando redes
privadas virtuales para grupos de usuarios dentro
de la organización.
Las redes también pueden ser separadas
utilizando funcionalidades del dispositivo de red,
por ejemplo conmutación de IP. Dominios
107
funcionalidade do negócio sejam desabilitados ou
removidos.
Informações adicionais
Muitos sistemas de computadores, sistemas de
rede e sistemas de comunicação são instalados
com os recursos de diagnóstico ou configuração
remota para uso pelos engenheiros de
manutenção.
Se desprotegidas, estas portas de diagnóstico
proporcionam meios de acesso não autorizado.
11.4.5 Segregação de redes
Controle
Convém que grupos de serviços de informação,
usuários e sistemas de informação sejam
segregados em redes.
Diretrizes para implementação
Um método de controlar a segurança da
informação em grandes redes é dividir em
diferentes domínios de redes lógicas, por exemplo,
os domínios de redes internas de uma organização
e domínios externos de uma rede, cada um
protegido por um perímetro de segurança definido.
Um conjunto de controles reguláveis pode ser
aplicado em domínios de redes lógicas diferentes
para adicionar mais segurança aos ambientes de
segurança de rede, por exemplo, sistemas
publicamente acessíveis, redes internas e ativos
críticos.
Convém que os domínios sejam definidos com
base em uma análise/avaliação de riscos e os
requisitos de segurança diferentes dentro de cada
um dos domínios.
Tal perímetro de rede pode ser implementado
instalando um gateway seguro entre as duas redes
a serem interconectadas para controlar o acesso e
o fluxo de informação entre os dois domínios.
Convém que este gateway seja configurado para
filtrar tráfico entre estes domínios (ver 11.4.6 e
11.4.7) e bloquear acesso não autorizado conforme
a política de controle de acesso da organização
(ver 11.1). Um exemplo deste tipo de gateway é o
que geralmente é chamado de firewall. Outro
método de segregar domínios lógicos é restringir
acesso de rede usando redes privadas virtuais para
grupos de usuário dentro da organização.
Podem também ser segregadas redes usando a
funcionalidade de dispositivo de rede, por exemplo,
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
separados pueden luego ser implementados
controlando el flujo de datos de red utilizando
capacidades de conmutación y enrutamiento tales
como listas de control de acceso.
Los criterio de separación de redes en dominios
debería basarse en la política de control de
acceso y en los requisitos de acceso (véase el
Apartado 10.1) y también debería tenerse en
cuenta el costo relativo y el impacto en el
desempeño por la incorporación de tecnologías
adecuadas de puertas de enlace (gateway) o de
enrutamiento (véase los Apartados 11.4.6 y
11.4.7).
Además la separación de redes debería estar
basada sobre el valor y clasificación de la
información almacenada o procesada en la red,
niveles de confianza, o líneas de negocio de
modo de reducir el impacto de una interrupción de
servicio.
Debería considerarse a la separación de redes
inalámbricas de las redes internas y privadas.
Puesto que los perímetros de las redes
inalámbricas no esta bien definido, una
evaluación del riesgo debería ser realizada en tal
caso para identificar controles para mantener la
separación de la red (por ejemplo, una
autenticación fuerte, métodos criptográficos, y
selección de frecuencias).
Información adicional
Las redes están siendo extendidas en forma
incremental más allá de las tradicionales fronteras
organizacionales, puesto que asociaciones de
negocios pueden requerir la interconexión o
compartir procesamiento de la información y
recursos de redes. Tales extensiones pueden
incrementar el riesgo de acceso no autorizado a
los sistemas de información existentes que usan
la red, alguno de los cuales puede requerir
protección de otros usuarios de red por su
sensibilidad o criticidad.
11.4.6 Control de conexión de red
Control
Para redes compartidas, especialmente aquellas
que se extienden mas allá de las fronteras de la
organización, la capacidad de los usuarios de
conectarse a la red, debería ser restringida, en
línea con la política de control de acceso y
requisitos de las aplicaciones de negocio (véase
el Apartado 11.1).
Guía de implementación
Los derechos de acceso a la red de los usuarios
debería mantenerse y actualizarse según esté
108
IP switching. Os domínios separados podem ser
implementados controlando os fluxos de dados de
rede, usando as capacidades de
roteamento/chaveamento (routing/switching), do
mesmo modo que listas de controle de acesso.
Convém que critérios para segregação de redes
em domínios estejam baseados na política de
controle de acesso e requisitos de acesso (ver
10.1), e também levem em conta os custos
relativos e impactos de desempenho em incorporar
roteamento adequado à rede ou tecnologia de
gateway (ver 11.4.6 e 11.4.7).
Além disso, convém que segregação de redes
esteja baseada no valor e classificação de
informações armazenadas ou processadas na
rede, níveis de confiança ou linhas de negócio para
reduzir o impacto total de uma interrupção de
serviço.
Convém considerar à segregação de redes sem
fios de redes internas e privadas. Como os
perímetros de redes sem fios não são bem
definidos, convém que uma análise/avaliação de
riscos seja realizada em tais casos para identificar
os controles (por exemplo, autenticação forte,
métodos criptográficos e seleção de freqüência)
para manter segregação de rede.
Informações adicionais
As redes estão sendo progressivamente estendidas
além dos limites organizacionais tradicionais, tendo
em vista as parcerias de negócio que são formadas
e que podem requerer a interconexão ou
compartilhamento de processamento de
informação e recursos de rede. Tais extensões
podem aumentar o risco de acesso não autorizado
a sistemas de informação existentes que usam a
rede e alguns dos quais podem requerer proteção
de outros usuários de rede devido a sensibilidade
ou criticidade.
11.4.6 Controle de conexão de rede
Controle
Para redes compartilhadas, especialmente essas
que se estendem pelos limites da organização,
convém que a capacidade dos usuários para
conectar-se à rede seja restrita, alinhada com a
política de controle de acesso e os requisitos das
aplicações do negócio (ver 11.1).
Diretrizes para implementação
Convêm que os direitos de acesso dos usuários a
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
requerida por la política de control de acceso
(véase el Apartado 11.1.1).
La capacidad de conexión de usuarios puede ser
restringida a través de las puertas de enlace
(gateways) que filtran el tráfico por medio de
tablas o reglas predefinidas. Ejemplos de
aplicaciones para las cuales deberían aplicarse
restricciones son:
a) mensajería, por ejemplo, correo electrónico;
b) transferencia de archivos;
c) accesos interactivos;
d) accesos a aplicaciones.
Es conveniente tomar en consideración el enlace
de los derechos de acceso a la red con algunas
horas del día o fechas.
Información adicional
La incorporación de controles para restringir las
capacidades de conexión de los usuarios puede
ser requerida por la política de control de acceso
para redes compartidas, especialmente aquellas
que se extienden mas allá de las fronteras
organizacionales.
11.4.7 Control de enrutamiento de red
Control
Deberían implementarse controles en el
enrutamiento para las redes de modo de asegurar
que las conexiones entre computadoras y flujos
de información no incumplan la política de control
de acceso de las aplicaciones del negocio.
Guía de implementación
Los controles de enrutamiento deberían basarse
en mecanismos de fuente positiva y verificación
de la dirección de destino.
Las puertas de enlace (gateways) de seguridad
pueden ser usados para validar las direcciones
fuentes y destinos en puntos de control de red
internos y externos si son utilizadas tecnologías
proxy y/o traducción de direcciones de red.
Quienes implementan deberían estar advertidos
de las fortalezas y defectos de cualquier
mecanismo utilizado. Los requisitos para control
de enrutamiento de red deberían estar basados
en la política de control de acceso (véase el
Apartado 11.1).
Información adicional
Las redes compartidas, especialmente aquellas
que se extienden mas allá de las fronteras
109
rede sejam mantidos e atualizados conforme
requerido pela política de controle de acesso (ver
11.1.1).
A capacidade de conexão de usuários pode ser
restrita através dos gateways que filtram tráfico por
meio de tabelas ou regras predefinidas. Convém
que sejam aplicadas restrições nos seguintes
exemplos de aplicações:
a) mensagens, por exemplo, correio eletrônico;
b) transferência de arquivo;
c) acesso interativo;
d) acesso à aplicação.
Convém que sejam considerados direitos de
acesso entre redes para certo período do dia ou
datas.
Informações adicionais
A incorporação de controles para restringir a
capacidade de conexão dos usuários pode ser
requerida pela política de controle de acesso para
redes compartilhadas, especialmente aquelas que
estendam os limites organizacionais.
11.4.7 Controle de roteamento de redes
Controle
Convém que seja implementado controle de
roteamento na rede, para assegurar que as
conexões de computador e fluxos de informação
não violem a política de controle de acesso das
aplicações do negócio.
Diretrizes para implementação
Convém que os controles de roteamento sejam
baseados no mecanismo de verificação positiva do
endereço de origem e destinos.
Os gateways de segurança podem ser usados para
validar endereços de origem e destino nos pontos
de controle de rede interna ou externa se o proxy
e/ou a tecnologia de tradução de endereço forem
empregados. Convém que os implementadores
estejam conscientes da força e deficiências de
qualquer mecanismo implementado. Convém que
os requisitos de controles de roteamento das redes
sejam baseados na política de controle de acesso
(ver 11.1).
Informações adicionais
As redes compartilhadas, especialmente as que
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
organizacionales, pueden requerir controles de
enrutamiento adicionales. Esto se aplica
particularmente donde las redes son compartidas
con usuarios de terceras partes (no
pertenecientes a la organización).
11.5 Control de acceso al sistema operativo
OBJETIVO: Evitar el acceso no autorizado a los
sistemas operativos.
Se recomienda utilizar medios de seguridad para
restringir el acceso de usuarios no autorizados a
los sistemas operativos. Tales medios deberían
tener la capacidad para:
a) autenticar usuarios autorizados, de acuerdo
con una política definida de control de acceso;
b) registrar intentos exitosos y fallidos de
autenticación del sistema;
c) registrar el uso de privilegios especiales del
sistema;
d) emitir alarmas cuando se violan las políticas de
seguridad del sistema;
e) suministrar medios adecuados para la
autenticación;
f) cuando sea apropiado, restringir el tiempo de
conexión de los usuarios.
11.5.1 Procedimientos de conexión (log-on)
seguros
Control
El acceso a los sistemas operativos debería ser
controlado mediante procedimientos de conexión
(log-on) seguros.
Guía de implementación
El procedimiento para conectarse a un sistema
operativo debería ser diseñado para minimizar la
oportunidad de acceso no autorizado. Por lo
tanto, el proceso de conexión (log-on) debería
divulgar el mínimo de información sobre el
sistema, de manera de evitar proveer a un
usuario no autorizado con asistencia innecesaria.
Un buen procedimiento de conexión (log-on)
debería:
a) no mostrar identificación del sistema o
aplicación hasta que termine el proceso de
conexión (log-on);
b) desplegar un mensaje genérico advirtiendo que
110
estendem os limites organizacionais, podem
requerer controles adicionais de roteamento. Isto
se aplica particularmente onde são compartilhadas
redes com terceiros (usuários que não pertencem a
organização).
11.5 Controle de acesso ao sistema operacional
Objetivo: Prevenir acesso não autorizado aos
sistemas operacionais.
Convém que recursos de segurança da informação
sejam usados para restringir o acesso aos sistemas
operacionais para usuários autorizados. Convém
que estes recursos permitam:
a) autenticação de usuários autorizados, conforme
a política de controle de acesso definida;
b) registro das tentativas de autenticação no
sistema com sucesso ou falha;
c) registro do uso de privilégios especiais do
sistema;
d) disparo de alarmes quando as políticas de
segurança do sistema são violadas;
e) fornecer meios apropriados de autenticação;
f) restrição do tempo de conexão dos usuários,
quando apropriado.
11.5.1 Procedimentos seguros de entrada no
sistema (log-on)
Controle
Convém que o acesso aos sistemas operacionais
seja controlado por um procedimento seguro de
entrada no sistema (log-on).
Diretrizes para implementação
Convém que o procedimento para entrada no
sistema operacional seja configurado para
minimizar a oportunidade de acessos não
autorizados. Convém que o procedimento de
entrada (log-on) divulgue o mínimo de informações
sobre o sistema, de forma a evitar o fornecimento
de informações desnecessárias a um usuário não
autorizado. Convém que um bom procedimento de
entrada no sistema (log-on):
a) não mostre identificadores de sistema ou de
aplicação até que o processo tenha sido concluído
com sucesso;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
el sistema debería ser accedido solamente por
usuarios autorizados;
c) no ofrecer mensajes de ayuda durante el
proceso de conexión (log -on) que puedan guiar a
usuarios no autorizados;
d) validar la información de conexión (log-on) sólo
tras rellenar todos sus datos de entrada. Si se
produce una condición de error, el sistema no
debería indicar qué parte de esos datos es
correcta o no;
e) limitar el número de intentos fallidos de
conexión (se recomienda tres) y considerar:
1) registrar los intentos fallidos de conexión;
2) un tiempo forzoso de espera antes de
permitir un nuevo intento de conexión o su
rechazo sin una autorización específica;
3) la desconexión de la comunicación de
datos;
4) enviar un mensaje de alarma a la consola
del sistema si se ha alcanzado el máximo
número de intentos de conexión;
5) establecer el número de reintentos de
contraseña en conjunción con el mínimo
largo de la contraseña y el valor del
sistema a ser protegido;
f) limitar los tiempos máximo y mínimo permitidos
para efectuar el proceso de conexión; si se
exceden, el sistema debería eliminar la conexión;
g) mostrar la siguiente información tras completar
una conexión con éxito:
1) fecha y hora de la anterior conexión (log-on)
realizada con éxito;
2) detalles de cualquier intento de conexión
fallido desde el momento de la última
conexión realizada con éxito.
h) no mostrar la contraseña que está siendo
ingresada o considerar esconder los caracteres
de la contraseña con símbolos;
111
b) mostre um aviso geral informando que o
computador seja acessado somente por usuários
autorizados;
c) não forneça mensagens de ajuda durante o
procedimento de entrada (log-on) que poderiam
auxiliar um usuário não autorizado;
d) valide informações de entrada no sistema
somente quando todos os dados de entrada
estiverem completos. Caso ocorra uma condição
de erro, convém que o sistema não indique qual
parte do dado de entrada está correta ou incorreta;
e) limite o número permitido de tentativas de
entradas no sistema (log-on) sem sucesso, por
exemplo, três tentativas, e considere:
1) registro das tentativas com sucesso ou com
falha;
2) imposição do tempo de espera antes de
permitir novas tentativas de entrada no
sistema (log-on) ou rejeição de qualquer
tentativa posterior de acesso sem
autorização específica;
3) encerramento das conexões por data link;
4) envio de uma mensagem de alerta para o
console do sistema, se o número máximo de
tentativas de entrada no sistema (log-on) for
alcançado;
5) configuração do número de tentativas de
senhas alinhado com o tamanho mínimo da
senha e o valor do sistema que está sendo
protegido;
f) limite o tempo máximo e mínimo permitido para o
procedimento de entrada no sistema (log-on).
Se excedido, convém que o sistema encerre o
procedimento;
g) mostre as seguintes informações, quando o
procedimento de entrada no sistema (log-on)
finalizar com sucesso:
1) data e hora da última entrada no sistema
(log-on) com sucesso;
2) detalhes de qualquer tentativa sem sucesso
de entrada no sistema (log-on) desde o
último acesso com sucesso;
h) não mostre a senha que está sendo informada
ou considere ocultar os caracteres da senha por
símbolos;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
i) no transmitir por una red contraseñas en texto
limpio.
Información adicional
Si las contraseñas son transmitidas por una red
en texto limpio durante la sesión de conexión (log-
on), pueden ser capturadas por un programa
“husmeador” de red (“sniffer”).
11.5.2 Identificación y autenticación del
usuario
Control
Todos los usuarios deberían tener un identificador
único (ID de usuario) para su uso personal
exclusivo, y debería elegirse una técnica de
autenticación adecuada para sustentar la
identidad alegada por un usuario.
Guía de implementación
Este control debería ser aplicado a todo tipo de
usuarios(incluyendo personal de soporte técnico,
operadores, administradores de red,
programadores de sistemas, y administradores de
bases de datos).
Los identificadores de usuario (IDs) deberían
usarse para rastrear actividades hacia el individuo
responsable. Las actividades regulares de
usuarios no deberían realizarse desde cuentas
con privilegios.
En circunstancias excepcionales, donde hay un
claro beneficio para el negocio, puede emplearse
el uso de un identificador de usuario (ID)
compartido para un grupo de usuarios o para un
trabajo específico. La aprobación por la dirección
debería ser documentada para tales casos.
Podrían ser necesarios controles adicionales para
mantener las responsabilidades.
El uso de identificadores de usuario (IDs)
genéricos por parte de un individuo debería
permitirse sólo donde las funciones accesibles o
acciones llevadas a cabo por el ID no necesitan
ser rastreadas (por ejemplo, acceso sólo de
lectura), o donde hay otros controles instalados
(por ejemplo, contraseña para un ID genérico
emitida solo a una persona por vez y registro de
tal instancia).
Donde se requiere autenticación fuerte y
verificación de identidad, deberían usarse
métodos de autenticación alternativos a las
contraseñas, tales como medios criptográficos,
tarjetas inteligentes (smart cards), señales
(tokens) o medios biométricos.
Información adicional
112
i) não transmita senhas em texto claro pela rede.
Informações adicionais
Se as senhas forem transmitidas em texto claro
durante o procedimento de entrada no sistema (log-
on) pela rede, elas podem ser capturadas por um
programa de sniffer de rede, instalado nela.
11.5.2 Identificação e autenticação de usuário
Controle
Convém que todos os usuários tenham um
identificador único (ID de usuário) para uso pessoal
e exclusivo, e convém que uma técnica adequada
de autenticação seja escolhida para validar a
identidade alegada por um usuário.
Diretrizes para implementação
Convém que este controle seja aplicado para todos
os tipos de usuários (incluindo o pessoal de suporte
técnico, operadores, administradores de rede,
programadores de sistema e administradores de
banco de dados).
Convém que os identificadores de usuários (ID de
usuários) possam ser utilizados para rastrear
atividades ao indivíduo responsável. Convém que
atividades regulares de usuários não sejam
executadas através de contas privilegiadas.
Em circunstâncias excepcionais, onde exista um
claro benefício ao negócio, pode ocorrer a
utilização de um identificador de usuário (ID de
usuário) compartilhado por um grupo de usuários
ou para um trabalho específico. Convém que a
aprovação pelo gestor esteja documentada nestes
casos. Controles adicionais podem ser necessários
para manter as responsabilidades.
Convém que identificadores de usuários (ID de
usuários) genéricos para uso de um indivíduo
somente sejam permitidos onde as funções
acessíveis ou as ações executadas pelo usuário
não precisam ser rastreadas (por exemplo, acesso
somente leitura), ou quando existem outros
controles implementados (por exemplo, senha para
identificador de usuário genérico somente fornecida
para um indivíduo por vez e registrada).
Convém que onde autenticação forte e verificação
de identidade é requerida, métodos alternativos de
autenticação de senhas, como meios criptográficos,
cartões inteligentes (smart card), tokens e meios
biométricos sejam utilizados.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Las contraseñas (véase también los Apartados
11.3.1 y 11.5.3) son una forma muy común de
proveer identificación y autenticación basadas en
un secreto que solo el usuario conoce. Lo mismo
puede lograrse también con medios criptográficos
y protocolos de autenticación. La fortaleza de la
identificación y autenticación de usuario debería
ser acorde a la sensibilidad de la información a
ser accedida.
Pueden también usarse para identificación y
autenticación, objetos que los usuarios poseen
tales como señales (tokens) de memoria o
tarjetas inteligentes (smart cards). También puede
usarse para autenticar la identidad de una
persona tecnologías de autenticación biométrica
que usan características o atributos únicos de un
individuo. Una combinación de tecnologías y
mecanismos vinculados en forma segura
resultará en una autenticación más fuerte.
11.5.3 Sistema de gestión de contraseñas
Control
Los sistemas de gestión de contraseñas deberían
ser interactivos y deberían asegurar la calidad de
las contraseñas.
Guía de implementación
Un sistema de gestión de contraseñas debería:
a) imponer el uso de contraseñas e
identificaciones de usuario (IDs) individuales con
el fin de establecer responsabilidades;
b) permitir a los usuarios seleccionar y cambiar
sus propias contraseñas e incluir un
procedimiento de confirmación para evitar errores
al introducirlas;
c) imponer la selección de contraseñas de calidad
(véase el Apartado 11.3.1);
d) imponer el cambio de contraseñas (véase el
Apartado 11.3.1);
e) forzar a los usuarios el cambio de contraseñas
temporarias en su primera conexión (log-on)
(véase el Apartado 11.2.3);
f) mantener un registro de las anteriores
contraseñas utilizadas, e impedir su reutilización;
g) no mostrar las contraseñas en la pantalla
cuando se están introduciendo;
h) almacenar archivos de contraseñas en lugares
diferentes de los y los datos del sistema de
113
Informações adicionais
As senhas (ver 11.3.1 e 11.5.3) são uma maneira
muito comum de se prover identificação e
autenticação com base em um segredo que apenas
o usuário conhece. O mesmo pode ser obtido com
meios criptográficos e protocolos de autenticação.
Convém que a força da identificação e autenticação
de usuário seja adequada com a sensibilidade da
informação a ser acessada.
Objetos como tokens de memória ou cartões
inteligentes (smart card) que os usuários possuem
também podem ser usados para identificação e
autenticação. As tecnologias de autenticação
biométrica que usam características ou atributos
únicos de um indivíduo também podem ser usadas
para autenticar a identidade de uma pessoa. Uma
combinação de tecnologias e mecanismos
seguramente relacionados resultará em uma
autenticação forte.
11.5.3 Sistema de gerenciamento de senha
Controle
Convém que sistemas para gerenciamento de
senhas sejam interativos e assegurem senhas de
qualidade.
Diretrizes para implementação
Convém que o sistema de gerenciamento de
senha:
a) obrigue o uso de identificador de usuário (ID de
usuário) e senha individual para manter
responsabilidades;
b) permita que os usuários selecionem e
modifiquem suas próprias senhas, incluindo um
procedimento de confirmação para evitar erros;
c) obrigue a escolha de senhas de qualidade (ver
11.3.1);
d) obrigue a troca de senhas (ver 11.3.1);
e) obrigue os usuários a trocar a senha temporária
no primeiro acesso (ver 11.2.3);
f) mantenha um registro das senhas anteriores
utilizadas e bloqueie a reutilização;
g) não mostre as senhas na tela quando forem
digitadas;
h) armazene os arquivos de senha separadamente
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
aplicaciones;
i) almacenar y transmitir las contraseñas en
formatos protegidos (por ejemplo, cifradas o
mediante algoritmo hash).
Información adicional
Las contraseñas son una de las principales
formas de validar la autorización de un usuario
para acceder a un servicio de la computadora.
Algunas aplicaciones requieren que una autoridad
independiente asigne contraseñas de usuario; en
tales casos, los puntos b), d) y e) de la guía de
arriba no se aplican. En la mayoría de los casos
las contraseñas son seleccionadas y mantenidas
por usuarios. Véase el Apartado 11.3.1 para guía
sobre el uso de contraseñas.
11.5.4 Utilización de las prestaciones del
sistema
Control
El uso de programas utilitarios que podrían ser
capaces de pasar por encima de los controles del
sistema y de la aplicación debería ser restringido
y controlado estrechamente.
Guía de implementación
Deberían considerarse las siguientes
orientaciones para el uso de prestaciones de
sistema:
a) usar procedimientos de identificación,
autenticación y autorización para utilitarios del
sistema;
b) separar entre utilitarios del sistema y software
de aplicaciones;
c) limitar el uso de utilitarios del sistema al mínimo
número de usuarios autorizados y fiables(véase
también el Apartado 11.2.2);
d) autorizar el uso con fines específicos de
utilitarios del sistema;
e) limitar la disponibilidad de utilitarios del
sistema, por ejemplo, durante un cambio
autorizado;
f) registrar todo uso de utilitarios del sistema;
g) definir y documentar los niveles de autorización
para utilitarios del sistema;
h) remoción o inhabilitación de todo el software
basado en utilitarios y software de sistema
innecesarios;
114
dos dados do sistema da aplicação;
i) armazene e transmita as senhas de forma
protegida (por exemplo, criptografada ou hashed).
Informações adicionais
A senha é um dos principais meios de validar a
autoridade de um usuário para acessar um serviço
de computador.
Algumas aplicações requerem que senhas de
usuário sejam atribuídas por uma autoridade
independente. Em alguns casos, as alíneas b), d) e
e) das diretrizes acima não se aplicam. Na maioria
dos casos, as senhas são selecionadas e mantidas
pelos usuários. Ver 11.3.1 para diretrizes do uso de
senhas.
11.5.4 Uso de utilitários de sistema
Controle
Convém que o uso de programas utilitários que
podem ser capazes de sobrepor os controles dos
sistemas e aplicações seja restrito e estritamente
controlado.
Diretrizes para implementação
Convém que as seguintes diretrizes para o uso de
utilitários de sistema sejam consideradas:
a) uso de procedimentos de identificação,
autenticação e autorização para utilitários de
sistema;
b) segregação dos utilitários de sistema dos
softwares de aplicação;
c) limitação do uso dos utilitários de sistema a um
número mínimo de usuários confiáveis e
autorizados (ver 11.2.2);
d) autorização para uso de utilitários de sistema
não previstos;
e) limitação da disponibilidade dos utilitários de
sistema, por exemplo para a duração de uma
modificação autorizada;
f) registro de todo o uso de utilitários de sistemas;
g) definição e documentação dos níveis de
autorização para os utilitários de sistema;
h) remoção ou desabilitação de todos os softwares
utilitários e de sistema desnecessários;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
i) no poner a disposición los utilitarios de sistema
a los usuarios que tienen acceso a aplicaciones
en sistemas donde se requiere segregación de
tareas.
Información adicional
La mayoría de las instalaciones de computadora
tienen uno o más programas utilitarios de
sistemas que podrían ser capaces de pasar por
encima los controles de sistema y aplicación.
11.5.5 Desconexión automática de sesiones
Control
Las sesiones inactivas deberían cerrarse luego de
un período definido de inactividad.
Guía de implementación
Un recurso de desconexión debería borrar la
pantalla de sesión y también posiblemente más
tarde, cerrar tanto la sesión de aplicación como la
de red luego de un período definido de
inactividad. La demora en la desconexión debería
reflejar los riesgos de seguridad del área, la
clasificación de la información manejada y las
aplicaciones utilizadas, y los riesgos relativos a
los usuarios del equipo.
Puede proveerse una forma limitada de
desconexión para algunos sistemas, que borran
la pantalla y previenen acceso no autorizado pero
no cierra la sesión de aplicación ni la de red.
Información adicional
Este control es particularmente importante en
lugares con alto riesgo, que incluye áreas
públicas o externas fuera de la gestión de
seguridad de la organización. Las sesiones
deberían cerrarse para prevenir acceso por parte
de personas no autorizadas y ataques de
denegación de servicio.
11.5.6 Limitación del tiempo de conexión
Control
Deberían utilizarse restricciones en los tiempos
de conexión para brindar seguridad adicional para
las aplicaciones de alto riego.
Guía de implementación
Controles de tiempo de conexión deberían ser
consideradas en aplicaciones sensibles,
especialmente desde ubicaciones de alto riesgo,
por ejemplo, áreas públicas o externas fuera de la
gestión de seguridad de la organización.
Ejemplos de tales restricciones incluyen:
115
i) não deixar utilitários de sistema disponíveis para
usuários que têm acesso às aplicações nos
sistemas onde segregação de funções é requerida.
Informações adicionais
A maioria das instalações de computadores tem um
ou mais programas utilitários de sistema que
podem ser capazes de sobrepor os controles dos
sistemas e aplicações.
11.5.5 Limite de tempo de sessão
Controle
Convém que sessões inativas sejam encerradas
após um período definido de inatividade.
Diretrizes para implementação
Convém que o recurso de limitação de tempo limpe
a tela da sessão e também, possivelmente mais
tarde, feche tanto a aplicação quanto as sessões
de rede após um período definido de inatividade.
Convém que o prazo de tempo para a desconexão
reflita os riscos de segurança da área, a
classificação da informação que está sendo
manuseada, as aplicações que estão sendo
utilizadas e os riscos relacionados para os usuários
do terminal do equipamento.
Uma forma limitada para o recurso de limitação de
tempo pode ser provida por alguns sistemas, os
quais limpam a tela e previnem acesso não
autorizado, mas não fecham as sessões das
aplicações ou da rede.
Informações adicionais
Este controle é particularmente importante em
locais de alto risco, os quais incluem áreas públicas
ou externas fora dos limites do gerenciamento de
segurança da organização. Convém que estas
sessões sejam encerradas para prevenir o acesso
por pessoas não autorizadas e ataques de negação
de serviço.
11.5.6 Limitação de horário de conexão
Controle
Convém que restrições nos horários de conexão
sejam utilizadas para proporcionar segurança
adicional para aplicações de alto risco.
Diretrizes para implementação
Convém que controles de horário de conexão
sejam considerados para aplicações
computacionais sensíveis, especialmente aquelas
com terminais instalados em locais de alto risco,
por exemplo em áreas públicas ou externas fora
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
a) uso de espacios de tiempo predeterminados,
por ejemplo para transmisiones de archivos en
lotes (batch), o para sesiones interactivas
regulares de corta duración;
b) la restricción de tiempos de conexión al horario
normal de oficina, si no hay un requisito para
trabajo en horas extras o en períodos de tiempo
extendido;
c) considerar re-autenticación cada intervalos.
Información adicional
La limitación del período durante el cual se
permiten las conexiones a los servicios
computacionales reduce la ventana de
oportunidad para accesos no autorizados.
Limitando la duración de sesiones activas se
impide que los usuarios mantengan sesiones
abiertas para prevenir re-autenticación.
11.6 Control del acceso a las aplicaciones y a
la información
OBJETIVO: Evitar el acceso no autorizado a la
información contenida en los sistemas de
aplicación.
Se deberían usar medios de seguridad para
restringir el acceso a y en de los sistemas de
aplicación.
El acceso lógico al software de aplicación y a la
información se debería restringir a usuarios
autorizados.
Los sistemas de aplicación deberían:
a) controlar el acceso de usuarios a la
información y a las funciones del sistema de
aplicación, de acuerdo con una política definida
de control del acceso;
b) suministrar protección contra acceso no
autorizado por una utilidad, el software del
sistema operativo y software malicioso que pueda
anular o desviar los controles del sistema o de la
aplicación;
c) no poner en peligro otros sistemas con los que
se comparten los recursos de información.
11.6.1 Restricciones del acceso a la
información
116
dos limites do gerenciamento de segurança da
organização. Exemplos deste tipo de restrição
incluem:
a) utilização de janelas de tempo predeterminadas,
por exemplo para transmissão de arquivos em lote
ou sessões regulares interativas de curta duração;
b) restrição dos horários de conexão às horas
normais de expediente se não houver
necessidades para horas extras ou trabalhos fora
do horário normal;
c) considerar a reautenticação em intervalos de
tempo.
Informações adicionais
Limitar o período durante o qual as conexões de
terminal para os serviços computadorizados são
permitidas reduz a janela de oportunidade para
acessos não autorizados. Limitar a duração de
sessões ativas inibe os usuários a manter Seções
abertas, para evitar reautenticação.
11.6 Controle de acesso à aplicação e à
informação
Objetivo: Prevenir acesso não autorizado à
informação contida nos sistemas de aplicação.
Convém que os recursos de segurança da
informação sejam utilizados para restringir o
acesso aos sistemas de aplicação.
Convém que o acesso lógico à aplicação e
informação seja restrito a usuários autorizados.
Convém que os sistemas de aplicação:
a) controlem o acesso dos usuários à informação e
às funções dos sistemas de aplicação, de acordo
com uma política de controle de acesso definida;
b) proporcionem proteção contra acesso não
autorizado para qualquer software utilitário, sistema
operacional e software malicioso que seja capaz de
sobrepor ou contornar os controles da aplicação ou
do sistema;
c) não comprometam outros sistemas com os quais
os recursos de informação são compartilhados.
11.6.1 Restrição de acesso à informação
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Control
El acceso a información y funciones de sistema
de aplicación por parte de usuarios y personal de
soporte debería estar restringido de acuerdo a la
política definida de control de acceso.
Guía de implementación
Las restricciones al acceso deberían estar
basadas en los requisitos de la aplicación de
negocios individual. La política de control de
acceso debería también ser consistente con la
política de acceso organizacional (véase el
Apartado 11.1).
Deberían considerarse las siguientes
recomendaciones para dar soporte a los
requisitos de restricción de accesos:
a) proveer menús para controlar los accesos a las
funciones del sistema de aplicaciones;
b) controlar los derechos de acceso de los
usuarios, por ejemplo lectura, grabación, borrado,
ejecución;
c) controlar los derechos de acceso de otras
aplicaciones;
d) asegurarse que las salidas de los sistemas de
aplicación que procesan información sensible,
sólo contienen la información relevante para el
uso de la salida y se envían, únicamente, a los
terminales y sitios autorizados; esto debería
incluir la revisión periódica de dichas salidas para
garantizar la supresión de información
redundante.
11.6.2 Aislamiento de sistemas sensibles
Control
Los sistemas sensibles deberían tener entornos
informáticos dedicados (aislados).
Guía de implementación
Los siguientes puntos deberían considerarse para
el aislamiento de sistemas sensibles:
a) el propietario de la aplicación debería indicar
explícitamente y documentar la sensibilidad de
ésta (véase el Apartado 7.1.2);
b) cuando una aplicación sensible se ejecute en
un entorno compartido, se deberían identificar y
acordar con su propietario los sistemas de
aplicación con los que compartan recursos y
deberían identificarse y ser aceptados por el
propietario los correspondientes riesgos de la
117
Controle
Convém que o acesso à informação e às funções
dos sistemas de aplicações por usuários e pessoal
de suporte seja restrito de acordo com o definido
na política de controle de acesso.
Diretrizes para implementação
Convém que restrições para acesso sejam
baseadas nos requisitos das aplicações individuais
do negócio. Convém que a política de controle de
acesso seja consistente com a política de acesso
organizacional (ver 11.1).
Convém que a aplicação dos seguintes controles
seja considerada de forma a suportar os requisitos
de restrição de acesso:
a) fornecer menus para controlar o acesso às
funções dos sistemas de aplicação;
b) controlar os direitos de acesso dos usuários, por
exemplo, ler, escrever, excluir e executar;
c) controlar os direitos de acesso de outras
aplicações;
d) assegurar que as saídas dos sistemas de
aplicação que tratam informações sensíveis
contenham apenas a informação relevante ao uso
de tais saídas e são enviadas apenas para os
terminais e locais autorizados; convém incluir uma
análise crítica periódica de tais saídas, para
assegurar que informação redundante seja
removida.
11.6.2 Isolamento de sistemas sensíveis
Controle
Convém que sistemas sensíveis tenham um
ambiente computacional dedicado (isolado).
Diretrizes para implementação
Convém que os seguintes pontos sejam
considerados para o isolamento de um sistema
sensível:
a) a sensibilidade de um sistema de aplicação seja
explicitamente identificada e documentada pelo
proprietário da aplicação (ver 7.1.2);
b) quando uma aplicação sensível é executada em
um ambiente compartilhado, convém que se
identifiquem os sistemas de aplicação com os quais
ela compartilhará recursos e os correspondentes
riscos, e que se obtenha a concordância do
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
aplicación sensible.
Información adicional
Algunos sistemas de aplicaciones son lo
suficientemente sensibles a pérdida potencial por
lo que ellos requieren un tratamiento especial. La
sensibilidad puede indicar que el sistema de
aplicación:
a) debería correr en una computadora dedicada;
o a) seja executado a partir de um computador
b) debería compartir recursos solo con sistemas
de aplicación confiables.
El aislamiento podría lograrse usando métodos
físicos o lógicos (véase también el Apartado
11.4.5).
11.7 Informática móvil y trabajo remoto
OBJETIVO: Garantizar la seguridad de la
información cuando se usan dispositivos de
informática móvil y trabajo remoto.
La protección requerida debería ser proporcional
a los riesgos que causan estas formas
específicas de trabajo. Deberían considerarse los
riesgos de trabajar en un entorno desprotegido
cuando se usa informática móvil y aplicar la
protección adecuada. En el caso del trabajo
remoto la organización debería implantar
protección en el lugar del trabajo remoto y
asegurar que existen las disposiciones
adecuadas para este tipo de trabajo.
11.7.1 Informática y comunicaciones móviles
Control
Se debería adoptar una política formal, y medidas
de seguridad apropiadas para la protección contra
los riesgos debidos al uso de recursos de
informática y comunicaciones móviles.
Guía de implementación
Cuando se usan recursos de informática y de
comunicaciones móviles, como por ejemplo,
notebooks, palmtops, laptops, smart cards, y
teléfonos móviles, debería tenerse especial
cuidado para asegurar que no sea comprometida
la información del negocio. La política de
informática móvil debería tener en cuenta los
riesgos del trabajo con dispositivos móviles en
ambientes desprotegidos.
La política de informática móvil debería incluir los
118
proprietário da aplicação sensível.
Informações adicionais
Alguns sistemas de aplicação são suficientemente
sensíveis a perdas potenciais, requerendo
tratamento especial. A sensibilidade pode indicar
que o sistema de aplicação:
dedicado; ou
b) compartilha recursos somente com sistemas de
aplicação confiáveis.
O isolamento pode ser obtido utilizando-se
métodos físicos ou lógicos (ver 11.4.5).
11.7 Computação móvel e trabalho remoto
Objetivo: Garantir a segurança da informação
quando se utilizam a computação móvel e recursos
de trabalho remoto.
Convém que a proteção requerida seja
proporcional com o risco desta forma específica de
trabalho. Quando se utiliza a computação móvel,
convém que os riscos de trabalhar em um ambiente
desprotegido sejam considerados e a proteção
adequada seja aplicada. No caso de trabalho
remoto, convém que a organização aplique
proteção ao local do trabalho remoto e assegure
que as providências adequadas estão
implementadas para este tipo de trabalho.
11.7.1 Computação e comunicação móvel
Controle
Convém que uma política formal seja estabelecida
e que medidas de segurança apropriadas sejam
adotadas para a proteção contra os riscos do uso
de recursos de computação e comunicação
móveis.
Diretrizes para implementação
Quando se utilizam recursos de computação e
comunicação móveis, como, por exemplo,
notebooks, palmtops, laptops, cartões inteligentes
(smart cards) e telefones celulares, convém que
cuidados especiais sejam tomados para assegurar
que as informações do negócio não sejam
comprometidas. A política de computação móvel
deve levar em consideração os riscos de se
trabalhar com equipamentos de computação móvel
em ambientes desprotegidos.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
requisitos de protección física, controles de
acceso, técnicas de criptografía, respaldos, y
protección contra virus. Esta política debería
también incluir reglas y consejo sobre conexión
de recursos móviles a redes y orientación sobre el
uso de estos recursos en lugares públicos.
Debería tenerse cuidado cuando se usan recusos
de informática móvil en lugares públicos tales
como salas de reuniones y otras áreas
desprotegidas fuera de las instalaciones de la
organización. Debería adoptarse protección para
evitar el acceso no autorizado o la divulgación de
la información almacenada y procesada por estos
dispositivos, por ejemplo, usando técnicas
criptográficas (véase el Apartado 12.3).
Los usuarios de estos recursos de informática
móvil en lugares públicos deberían ser
cuidadosos para evitar el riesgo de ser
observados por personas no autorizadas. Se
deberían instalar y mantener al día
procedimientos contra el software malicioso
(véase el Apartado 10.4).
Deberían realizarse respaldos regulares de la
información crítica del negocio. Debería estar
disponible el equipamiento para realizar un
respaldo rápido y fácil de la información. Estos
respaldos deben ser provistos de la adecuada
protección contra, por ejemplo, robo o pérdida de
la información.
Se debería proteger debidamente el uso de
dispositivos de informática móvil conectados a las
redes. El acceso remoto a la información del
negocio a través de redes públicas usando
dispositivos móviles sólo debería tener lugar
luego de la identificación y autenticación exitosa,
y con los mecanismos adecuados de control de
acceso (véase el Apartado 11.4).
Los recursos de informática móvil deberían
también estar físicamente protegidas contra robo
especialmente cuando se dejan, por ejemplo, en
autos y otras formas de transporte, cuartos de
hotel, centros de conferencia, y lugares de
reunión. Debería establecerse un procedimiento
específico teniendo en cuenta requisitos legales,
seguros y otros requisitos de seguridad de la
organización para los casos de robo o pérdida de
los dispositivos móviles. Equipos que contengan
información del negocio importante, sensible, y/o
crítica no deberían dejarse sin vigilancia, y de ser
posible, deberían bloquearse físicamente, o
deberían usarse trancas o cerrojos especiales
119
Convém que a política de computação móvel inclua
os requisitos de proteção física, controles de
acesso, técnicas criptográficas, cópias de
segurança e proteção contra vírus. Convém que
esta política inclua também regras e
recomendações sobre a conexão de recursos
móveis à rede e diretrizes sobre o uso destes
recursos em locais públicos.
Convém que sejam tomadas certas precauções ao
se utilizarem os recursos de computação móvel em
locais públicos, salas de reuniões e outras áreas
desprotegidas fora dos limites da organização.
Convém que sejam estabelecidas proteções para
evitar o acesso não autorizado ou a divulgação de
informações armazenadas e processadas nestes
recursos, por exemplo através da utilização de
técnicas de criptografia (ver 12.3).
Convém que usuários de recursos de computação
móvel em locais públicos tomem cuidado para
evitar o risco de captação por pessoas não
autorizadas. Convém que procedimentos contra
softwares maliciosos sejam estabelecidos e
mantidos sempre atualizados (ver 10.4).
Convém que cópias de segurança das informações
críticas de negócio sejam feitas regularmente.
Convém que equipamentos estejam disponíveis
para possibilitar a realização de cópias de
segurança das informações de forma rápida e fácil.
Para essas cópias de segurança, convém que
sejam adotadas proteções adequadas contra, por
exemplo, furto ou roubo, ou perda de informação.
Convém que proteção adequada seja dada para o
uso dos recursos de computação móvel
conectados em rede. Convém que o acesso remoto
às informações do negócio através de redes
públicas, usando os recursos de computação
móvel, ocorra apenas após o sucesso da
identificação e da autenticação, e com os
apropriados mecanismos de controle de acesso
implantados (ver 11.4).
Convém que os recursos de computação móvel
também estejam protegidos fisicamente contra furto
ou roubo, especialmente quando deixados, por
exemplo, em carros ou em outros meios de
transporte, quartos de hotéis, centros de
conferência e locais de reunião. Convém que esteja
estabelecido um procedimento específico que leve
em consideração requisitos legais, securitários e
outros requisitos de segurança da organização
para casos de roubo ou perda de recursos de
computação móvel. Convém que os equipamentos
que contêm informações importantes, sensíveis
e/ou críticas para o negócio não sejam deixados
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
para asegurar el equipo (véase el Apartado
9.2.5).
Debería organizarse entrenamiento para personal
que utiliza dispositivos móviles para cultivar su
conciencia de los riesgos adicionales resultantes
de esta forma de trabajo y los controles que
deberían implementarse.
Información adicional
Las conexiones inalámbricas a la red desde
dispositivos móviles son similares a otros tipos de
conexión de red, pero tiene diferencias
importantes que deberían ser consideradas
cuando se identifican los controles. Las
diferencias típicas son:
a) algunos protocolos de seguridad inalámbrica
no están maduros y tienen debilidades conocidas;
b) la información almacenada en dispositivos
móviles pueden no ser respaldada debido al
ancho de banda limitado de la red y/o porque el
equipo móvil puede no estar conectado cuando
están planificados los respaldos.
11.7.2 Trabajo remoto
Control
Debería desarrollarse e implementarse una
política, planes operacionales y procedimientos
para las actividades de trabajo remoto.
Guía de implementación
Las organizaciones sólo deberían autorizar las
actividades de trabajo remoto si están satisfechas
de que las disposiciones de seguridad son
apropiadas y que los controles están
implementados, y que se cumple con la política
de seguridad de la organización.
Debería establecerse protección adecuada del
sitio de trabajo remoto contra, por ejemplo, el
robo del equipo y la información, la divulgación no
autorizada de información, acceso remoto no
autorizado a los sistemas internos de la
organización o mal uso de instalaciones. Las
actividades de trabajo remoto deberían ser tanto
autorizadas como controladas por la dirección, y
debería asegurarse que las disposiciones
adecuadas sean adoptadas para esta forma de
trabajo.
Deberían considerarse los siguientes puntos:
a) la seguridad física existente en el sitio de
120
sem observação e, quando possível, estejam
fisicamente trancados, ou convém que travas
especiais sejam utilizadas para proteger o
equipamento. (ver 9.2.5).
Convém que seja providenciado treinamento para
os usuários de computação móvel, para aumentar
o nível de conscientização a respeito dos riscos
adicionais resultantes desta forma de trabalho e
dos controles que devem ser implementados.
Informações adicionais
As redes de conexão sem fio são similares a outros
tipos de redes, mas possuem diferenças
importantes que convém que sejam consideradas
quando da identificação de controles. As diferenças
típicas são:
a) alguns protocolos de segurança de redes sem fio
são imaturos e possuem fragilidades conhecidas;
b) pode não ser possível efetuar cópias de
segurança das informações armazenadas em
computadores móveis devido à largura de banda
limitada e/ou devido ao equipamento móvel não
estar conectado no momento em que as cópias de
segurança estão programadas.
11.7.2 Trabalho remoto
Controle
Convém que uma política, planos operacionais e
procedimentos sejam desenvolvidos e
implementados para atividades de trabalho remoto.
Diretrizes para implementação
Convém que as organizações somente autorizem
atividades de trabalho remotas apenas se elas
estiverem certas de que as providências
apropriadas e controles de segurança estão
implementados e que estes estão de acordo com a
política de segurança da organização.
Convém que a proteção apropriada ao local do
trabalho remoto seja implantada para evitar, por
exemplo, o furto ou roubo do equipamento e de
informações, a divulgação não autorizada de
informação, o acesso remoto não autorizado aos
sistemas internos da organização ou mau uso de
recursos. Convém que o trabalho remoto seja
autorizado e controlado pelo gestor e convém que
sejam asseguradas as providências adequadas a
esta forma de trabalho.
Convém que os seguintes pontos sejam
considerados:
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
trabajo remoto, teniendo en cuenta la seguridad
física del edificio y el ambiente local;
b) el ambiente físico de trabajo remoto propuesto;
c) los requisitos de seguridad de las
comunicaciones, teniendo en cuenta la necesidad
de acceso remoto a los sistemas internos de la
organización, la sensibilidad de la información
que será accedida y el paso sobre el enlace de
comunicación y la sensibilidad del sistema
interno;
d) la amenaza de acceso no autorizado a
información o recursos por parte de otras
personas que usen el alojamiento, por ejemplo
familia y amigos;
e) el uso de redes domesticas y los requisitos o
restricciones en la configuración de los servicios
de red inalámbrica;
f) políticas y procedimientos para prevenir
disputas concernientes a derechos de propiedad
intelectual desarrollados en equipos de propiedad
privada;
g) acceso a equipos de propiedad privada (para
chequear la seguridad de la máquina o durante
una investigación), que puede ser impedida por la
legislación;
h) acuerdos de licenciamiento de software que
son tales que la organización podría ser
responsable de licenciamiento de software de
cliente en estaciones de trabajo pertenecientes en
forma privada a los empleados, contratista o
usuarios de terceras partes;
i) requisitos de protección anti-virus y cortafuegos
(firewalls).
Las orientaciones y disposiciones a ser
consideradas deberían incluir:
a) la provisión del equipo y mobiliario de
almacenamiento adecuados para las actividades
de trabajo remoto, donde el uso de equipo
perteneciente en forma privada que no está bajo
control de la organización, no está permitido;
b) la definición del trabajo permitido, las horas de
trabajo, la clasificación de la información que
puede utilizar y los sistemas y servicios internos a
los que el trabajador remoto está autorizado a
acceder;
c) el suministro del equipo de comunicación
121
a) a segurança física existente no local do trabalho
remoto, levando-se em consideração a segurança
física do prédio e o ambiente local;
b) o ambiente físico proposto para o trabalho
remoto;
c) os requisitos de segurança nas comunicações,
levando em consideração a necessidade do acesso
remoto aos sistemas internos da organização, a
sensibilidade da informação que será acessada e
trafegada na linha de comunicação e a
sensibilidade do sistema interno;
d) a ameaça de acesso não autorizado à
informação ou aos recursos por outras pessoas
que utilizam o local, por exemplo familiares e
amigos;
e) o uso de redes domésticas e requisitos ou
restrições na configuração de serviços de rede sem
fio;
f) políticas e procedimentos para evitar disputas
relativas a direitos de propriedade intelectual
desenvolvidas em equipamentos de propriedade
particular;
g) acesso a equipamentos de propriedade
particular (para verificar a segurança da máquina
ou durante uma investigação), que pode ser
proibido legalmente;
h) acordos de licenciamento de software que
podem tornar as organizações responsáveis pelo
licenciamento do software cliente em estações de
trabalho particulares de propriedade de
funcionários, fornecedores ou terceiros;
i) requisitos de proteção contra vírus e requisitos de
firewall.
Convém que as diretrizes e providências a serem
consideradas incluam:
a) a provisão de equipamento e mobília
apropriados às atividades de trabalho remoto, onde
o uso de equipamentos de propriedade particular
que não esteja sob controle da organização não é
permitido;
b) uma definição do trabalho permitido, o período
de trabalho, a classificação da informação que
pode ser tratada e os sistemas internos e serviços
que o usuário do trabalho remoto está autorizado a
acessar;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
adecuado, incluidos los métodos para asegurar el
acceso remoto;
d) la seguridad física;
e) reglas y directrices sobre el acceso de
familiares y visitas al equipo y la información;
f) proporcionar el soporte y mantenimiento para el
hardware y el software;
g) la provisión de seguro;
h) los procedimientos de respaldo y continuidad
del negocio;
i) la auditoría y seguimiento de la seguridad;
j) la revocación de autorizaciones, derechos de
acceso y devolución del equipo cuando cesen las
actividades de trabajo remoto.
Información adicional
El trabajo remoto utiliza tecnología de
comunicaciones para habilitar al personal trabajar
en forma remota desde una ubicación fija fuera de
la organización.
12 Adquisición, desarrollo y
mantenimiento de los sistemas de
información
12.1 Requisitos de seguridad de los sistemas
de información
OBJETIVO: Asegurar que la seguridad es parte
integral de los sistemas de información.
Los sistemas de información incluyen: los
sistemas operativos, la infraestructura, las
aplicaciones de negocio, los productos en stock,
los servicios y las aplicaciones desarrolladas por
usuarios. El diseño e implantación del sistema de
información que apoya los procesos del negocio
puede ser crucial para la seguridad. Los
requisitos de seguridad deberían ser identificados
y consensuados antes de desarrollar y/o
implementar los sistemas de información.
Todos los requisitos de seguridad deberían ser
identificados y justificados en la fase de requisitos
de un proyecto, consensuados y documentados
como parte del proceso de negocio global para un
sistema de información.
12.1.1 Análisis y especificación de los
requisitos de seguridad
122
a provisão de equipamento de comunicação c)
apropriado, incluindo métodos para acesso remoto
seguro;
d) segurança física;
e) regras e diretrizes sobre o acesso de familiares e
visitantes ao equipamento e à informação;
f) a provisão de suporte e manutenção de hardware
e software;
g) a provisão de seguro;
h) os procedimentos para cópias de segurança e
continuidade do negócio;
i) auditoria e monitoramento da segurança;
j) revogação de autoridade e direitos de acesso, e
devolução do equipamento quando as atividades
de trabalho remoto cessarem.
Informações adicionais
As atividades de trabalho remoto utilizam
tecnologias de comunicação que permitem que as
pessoas trabalhem remotamente de uma localidade
fixa externa à sua organização.
12 Aquisição, desenvolvimento e
manutenção de sistemas de informação
12.1 Requisitos de segurança de sistemas de
informação
Objetivo: Garantir que segurança é parte integrante
de sistemas de informação.
Sistemas de informação incluem sistemas
operacionais, infra-estrutura, aplicações de
negócios, produtos de prateleira, serviços e
aplicações desenvolvidas pelo usuário. O projeto e
a implementação de sistemas de informação
destinados a apoiar o processo de negócios podem
ser cruciais para a segurança. Convém que os
requisitos de segurança sejam identificados e
acordados antes do desenvolvimento e/ou
implementação de sistemas de informação.
Convém que todos os requisitos de segurança
sejam identificados na fase de definição de
requisitos de um projeto e justificados, acordados e
documentados como parte do caso geral de
negócios para um sistema de informações.
12.1.1 Análise e especificação dos requisitos de
segurança
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Control
Las declaraciones de requisitos de negocio para
nuevos sistemas de información, o mejoras a
sistemas de información existentes deberían
especificar los requisitos para controles de
seguridad.
Guía de implementación
Las especificaciones de los requisitos de control
deberían considerar los controles automatizados
a ser incorporados al sistema de información, y la
necesidad de controles manuales de apoyo.
Consideraciones similares deberían ser aplicadas
evaluando paquetes de software, desarrollados o
comprados, para aplicaciones de gestión.
Los requisitos de seguridad y control deberían
reflejar el valor de negocio del activo de la
información involucrado (véase también el
Apartado 7.2), y el daño potencial de negocio,
que podría ser resultado de una falla o ausencia
de seguridad.
Los requisitos del sistema para la seguridad de la
información y los procesos para poner en práctica
la seguridad deberían ser integrados en las
etapas tempranas de proyectos de sistema de
información. Los controles introducidos en la
etapa de diseño son considerablemente más
baratos de implementar y mantener que aquellos
incluidos durante o después de la
implementación.
Si los productos son comprados, un proceso
formal de pruebas y de adquisición debería ser
seguido. Los contratos con el proveedor deberían
abordar los requisitos de seguridad identificados.
Cuando la funcionalidad de seguridad en un
producto propuesto no satisface el requisito
especificado entonces el riesgo introducido y los
controles asociados deberían ser reconsiderados
antes de la compra del producto. Cuando una
funcionalidad adicional es suministrada y causa
un riesgo de seguridad, esta debería ser
deshabilitada o la estructura de control propuesta
debería ser revisada para determinar si se puede
obtener ventaja de la funcionalidad mejorada
disponible.
Información adicional
Si se considera apropiado, por ejemplo por
motivos de costo, la dirección puede desear
utilizar productos evaluados y certificados
independientemente. Información adicional sobre
criterios de evaluación para productos de
seguridad de TI puede ser encontrada en la
norma ISO/IEC 15408 o en otras normas de
123
Controle
Convém que sejam especificados os requisitos
para controles de segurança nas especificações de
requisitos de negócios, para novos sistemas de
informação ou melhorias em sistemas existentes.
Diretrizes para implementação
Convém que as especificações para os requisitos
de controles, nos sistemas de informação,
considerem os controles automáticos a serem
incorporados, assim como a necessidade de apoiar
controles manuais. Convém que considerações
similares sejam aplicadas quando da avaliação de
pacotes de softwares, desenvolvidos internamente
ou comprados, para as aplicações de negócios.
Convém que requisitos de segurança e controles
reflitam o valor para o negócio dos ativos de
informação envolvidos (ver 7.2), e os danos
potenciais ao negócio que poderiam resultar de
uma falha ou ausência de segurança.
Convém que os requisitos de sistemas para a
segurança da informação, bem como os processos
para implementá-la sejam integrados aos estágios
iniciais dos projetos dos sistemas de informação.
Controles introduzidos no estágio de projeto são
significativamente mais baratos para implementar e
manter do que aqueles incluídos durante ou após a
implementação.
Convém que, no caso de produtos comprados, um
processo formal de aquisição e testes seja seguido.
Convém que contratos com fornecedores levem em
consideração os requisitos de segurança
identificados. Nas situações em que
funcionalidades de segurança de um produto
proposto não satisfaçam requisitos especificados,
convém que o risco introduzido, assim como os
controles associados, sejam reconsiderados antes
da compra do produto. Nas situações em que as
funcionalidades adicionais incorporadas acarretem
riscos à segurança, convém que estas sejam
desativadas ou a estrutura de controles proposta
seja analisada criticamente para determinar se há
vantagem na utilização das funcionalidades em
questão.
Informações adicionais
Se considerado apropriado, por exemplo, por
razões de custos, o gestor pode considerar o uso
de produtos avaliados e certificados por entidade
independente. Informação adicional sobre critérios
de avaliação de produtos pode ser encontrada na
ISO/IEC 15408 ou em outras normas de avaliação
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
evaluación o de certificación, según sea
apropiado.
La norma ISO/IEC TR 13335-3 proporciona guías
sobre el empleo de procesos de gestión de
riesgos para identificar requisitos para controles
de seguridad.
12.2 Procesamiento correcto en las
aplicaciones
OBJETIVO: Prevenir errores, pérdida,
modificación no autorizada o mal uso de
información en aplicaciones.
En las aplicaciones deberían ser diseñados
controles apropiados, incluyendo en las
aplicaciones desarrolladas por usuarios para
asegurar el tratamiento correcto. Estos controles
deberían incluir la validación de datos de entrada,
el tratamiento interno y datos de salida.
Los sistemas que procesan, o tienen impacto
sobre, la información sensible, valiosa o crítica
pueden requerir controles adicionales. Tales
controles deberían ser determinados sobre la
base de requisitos de seguridad y evaluación del
riesgo.
12.2.1 Validación de datos de entrada
Control
Los datos de entrada a aplicaciones deberían ser
validados para asegurar que estos datos son
correctos y apropiados.
Guía de implementación
Deberían ser aplicadas comprobaciones a la
entrada de transacciones de negocio, datos
permanentes (por ejemplo nombres y direcciones,
límites de crédito, números de referencia de
cliente), y mesas de parámetro (por ejemplo
precios de las ventas, tarifas monetarias de
conversión, tarifas fiscales). Las directrices
siguientes deberían ser consideradas:
a) entrada duplicada u otras comprobaciones de
entrada, como:
1) valores fuera de rango;
2) caracteres inválidos en campos de datos;
3) pérdida o datos incompletos;
124
ou certificação apropriadas.
A ISO/IEC 13335-3 possui orientação sobre o uso
de processos de gerenciamento de riscos para a
identificação de requisitos de controles de
segurança.
12.2 Processamento correto nas aplicações
Objetivo: Prevenir a ocorrência de erros, perdas,
modificação não autorizada ou mau uso de
informações em aplicações.
Convém que controles apropriados sejam
incorporados no projeto das aplicações, inclusive
aquelas desenvolvidas pelos usuários, para
assegurar o processamento correto. Convém que
esses controles incluam a validação dos dados de
entrada, do processamento interno e dos dados de
saída.
Controles adicionais podem ser necessários para
sistemas que processem informações sensíveis,
valiosas ou críticas, ou que nestas exerçam algum
impacto. Convém que tais controles sejam
determinados com base em requisitos de
segurança e a análise/avaliação de riscos.
12.2.1 Validação dos dados de entrada
Controle
Convém que os dados de entrada de aplicações
sejam validados para garantir que são corretos e
apropriados.
Diretrizes para implementação
Convém que sejam aplicadas checagens na
entrada de transações de negócios, em dados
permanentes (por exemplo, nomes e endereços,
limites de crédito, números de referência de
clientes) e em, parâmetros de tabelas (por
exemplo, preços de venda, taxas de conversão de
moedas, tarifas de impostos). Convém que as
seguintes diretrizes sejam consideradas:
a) entrada duplicada ou outros tipos de verificação,
tais como checagem de limites ou campos
limitando as faixas específicas de dados de
entrada, para detectar os seguintes erros:
1) valores fora de faixa;
2) caracteres inválidos em campos de dados;
3) dados incompletos ou faltantes;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
4) exceder límites superiores e inferiores de
volumen de datos;
5) datos de control no autorizados
incoherentes;
b) la revisión periódica del contenido de campos
clave o archivos de datos para confirmar su
validez e integridad;
c) la inspección de documentos físicos de entrada
por si introducen cualquier cambio no autorizado
(todos los cambios a documentos de entrada
deberían ser autorizados);
d) procedimientos para responder a errores de
validación;
e) procedimientos para probar la plausibilidad de
los datos de entrada;
f) definición de las responsabilidades de todo el
personal implicado en el proceso de entrada de
datos;
g) la creación de un registro de las actividades
implicadas en el proceso de entrada de datos
(véase el Apartado 10.10.1).
Información adicional
La examinación automática y la validación de
datos de entrada pueden ser considerados, como
aplicables, para reducir el riesgo de errores y
prevenir ataques estándar incluyendo
desbordamiento de buffer (buffer overflow) e
inyección de códigos (code injection).
12.2.2 Control de procesamiento interno
Control
Las comprobaciones de validación deberían ser
incorporadas en las aplicaciones para descubrir
cualquier corrupción de información por errores
de procesamiento o actos deliberados.
Guía de implementación
El diseño y la implementación de aplicaciones
deberían asegurar que los riesgos de procesar
errores que conducen a una pérdida de integridad
son reducidos al mínimo.
Áreas específicas a considerar incluyen:
a) el empleo de las funciones agregar, modificar,
y suprimir para implementar cambios a datos;
b) procedimientos para prevenir programas que
corran en el orden incorrecto o luego del error de
125
4) volumes de dados excedendo limites
superiores ou inferiores;
o
5) dados de controle inconsistentes ou não
autorizados;
b) verificação periódica do conteúdo de campos-
chave ou arquivos de dados para confirmar a sua
validade e integridade;
c) inspeção de cópias impressas de documentos de
entrada para detectar quaisquer alterações não
autorizadas (convém que todas as mudanças em
documentos de entrada sejam autorizadas);
d) procedimentos para tratar erros de validação;
e) procedimentos para testar a plausibilidade dos
dados de entrada;
f) definição da responsabilidade de todo o pessoal
envolvido no processo de entrada de dados;
g) criação de um registro de atividades envolvendo
o processo de entrada de dados (ver 10.10.1).
Informações adicionais
A verificação e validação automática de dados de
entrada podem ser consideradas, onde aplicáveis,
para reduzir o risco de erros e prevenir ataques
conhecidos como buffer overflow e injeção de
código.
12.2.2 Controle do processamento interno
Controle
Convém que sejam incorporadas, nas aplicações,
checagens de validação com o objetivo de detectar
qualquer corrupção de informações, por erros ou
por ações deliberadas.
Diretrizes para implementação
Convém que o projeto e a implementação das
aplicações garantam que os riscos de falhas de
processamento que levem à perda de integridade
sejam minimizados.
Áreas específicas a serem consideradas incluem:
a) o uso das funções, como incluir, modificar e
remover para implementação de alterações nos
dados;
b) procedimentos para evitar que programas rodem
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
un proceso previo (véase también el Apartado
10.1.1);
c) el empleo de programas apropiados para
reponerse de errores y asegurar el tratamiento
correcto de datos;
d) la protección contra ataques que usan el
desbordamiento / exceso en el buffer.
Se deberían elaborar listas de verificación
adecuadas, documentar las actividades y
mantener seguros los resultados. Ejemplos de las
comprobaciones que pueden ser incorporadas
incluyen lo siguiente:
a) controles de sesión o de lotes para conciliar
balances después de la actualización de
transacciones;
b) controles de balance para, para comprobar los
balances de apertura contra los balances
anteriores de cierre, a saber:
1) controles de ejecución a ejecución;
2) totales de actualización de archivos;
3) controles de programa a programa;
c) la validación de datos de entrada generados
por el sistema (véase el Apartado 12.2.1);
d) comprobar la integridad, la autenticidad o
cualquier otro rasgo de seguridad de datos o
software transferido desde o hacia, entre
ordenadores centrales y remotos;
e) los totales de verificación (hash) de registros y
archivos;
f) comprobaciones para asegurar que los
programas de aplicación se ejecutan en el tiempo
correcto;
g) comprobaciones para asegurar que los
programas son ejecutados en el orden correcto,
que se terminan en caso de una falla y que el
tratamiento remoto es detenido hasta que el
problema sea resuelto;
h) la creación de un registro de las actividades
implicadas en el tratamiento (véase el Apartado
10.10.1).
Información adicional
Los datos que han sido ingresados correctamente
pueden ser corrompidos por errores de hardware,
126
na ordem errada ou continuem rodando após uma
falha de processamento (ver 10.1.1);
c) o uso de programas apropriados para
recuperação de falhas, para assegurar o
processamento correto dos dados;
d) proteção contra ataques usando buffer
overrun/overflow;
Convém que seja preparada uma lista de
verificação apropriada, as atividades sejam
documentadas e os resultados sejam mantidos em
segurança. Exemplos de verificações que podem
ser incorporadas incluem:
a) controles de sessões ou de lotes, para
reconciliar saldos de arquivos após as atualizações
de transações;
b) controles de saldos, para verificação de saldos
abertos comparando com saldos previamente
encerrados o batimento de saldos de abertura
contra saldos de fechamento, utilizando:
1) controles run-to-run;
2) totalizações na atualização de arquivos;
3) controles program-to-program;
c) validação de dados de entrada gerados pelo
sistema (ver 12.2.1);
d) verificações de integridade, autenticidade ou
qualquer outra característica de segurança, de
dados ou softwares transferidos, ou atualizados
entre computadores centrais e remotos;
e) implementação de técnicas de consistência
(hash) para registros e arquivos;
f) verificações para garantir que os programas
sejam rodados no tempo correto;
g) verificações para garantir que os programas
sejam rodados na ordem correta e terminem em
caso de falha, e que qualquer processamento
adicional seja estancado, até que o problema seja
resolvido;
h) criação de um registro das atividades envolvidas
no processamento (ver 10.10.1).
Informações adicionais
Os dados que tenham sido corretamente
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
errores de procesamiento o por actos
deliberados. Las comprobaciones de validación
requeridas dependerán de la naturaleza de la
aplicación y el impacto al negocio de cualquier
corrupción de datos.
12.2.3 Integridad del mensaje
Control
Deberían identificarse los requisitos para
asegurar la autenticidad y proteger la integridad
del mensaje en las aplicaciones, así como
identificar e implementar los controles apropiados.
Guía de implementación
Una evaluación de riesgos de seguridad debería
ser realizada para determinar si requiere la
integridad del mensaje e identificar el método más
apropiado de implementación.
Información adicional
Técnicas criptográficas (véase el Apartado 12.3)
pueden ser utilizadas como un medio apropiado
de implementar la autenticación del mensaje.
12.2.4 Validación de los datos de salida
Control
La salida de datos de una aplicación debería ser
validada para asegurar que el procesamiento de
la información almacenada es correcto y
apropiado a las circunstancias.
Guía de implementación
La validación de salida puede incluir:
a) validaciones de verosimilitud para comprobar si
los datos de salida son razonables;
b) cuentas de control de reconciliación para
asegurar el tratamiento de todos los datos;
c) suministro de información suficiente para un
lector o sistema de procesamiento subsecuente
para determinar la exactitud, entereza, precisión,
y clasificación de la información;
d) procedimientos para responder a pruebas de
validación de salida;
e) definición de las responsabilidades de todo el
personal implicado en el proceso de salida de
datos;
f) creación de un registro de actividades en el
proceso de validación de salida de datos.
127
alimentados podem ser corrompidos por falhas de
hardware, erros de processamento ou por atos
deliberados. As verificações de validação
requeridas dependem da natureza das aplicações e
do impacto, no negócio, de qualquer corrupção de
dados.
12.2.3 Integridade de mensagens
Controle
Convém que requisitos para garantir a
autenticidade e proteger a integridade das
mensagens em aplicações sejam identificados e os
controles apropriados sejam identificados e
implementados.
Diretrizes para implementação
Convém que seja efetuada uma análise/avaliação
dos riscos de segurança para determinar se a
integridade das mensagens é requerida e para
identificar o método mais apropriado de
implementação.
Informações adicionais
As técnicas criptográficas (ver 12.3) podem ser
usadas como um meio apropriado para a
implementação da autenticação de mensagens.
12.2.4 Validação de dados de saída
Controle
Convém que os dados de saída das aplicações
sejam validados para assegurar que o
processamento das informações armazenadas está
correto e é apropriado às circunstâncias.
Diretrizes para implementação
A validação de dados de saída pode incluir:
a) verificações de plausibilidade para testar se os
dados de saída são razoáveis;
b) controles envolvendo contagens de reconciliação
para garantir o processamento de todos os dados;
c) fornecimento de informação suficiente para que
um leitor ou um sistema de processamento
subseqüente possa determinar a exatidão,
completeza, precisão e classificação das
informações;
d) procedimentos para responder aos testes de
validação dos dados de saída;
e) definição das responsabilidades de todo o
pessoal envolvido no processo de dados de saída;
f) criação de um registro de atividades do processo
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Información adicional
Típicamente los sistemas y aplicaciones son
construidos suponiendo que habiendo
emprendido la validación apropiada, la
verificación, y pruebas, la salida siempre es
correcta. Sin embargo, esta suposición no es
siempre válida; es decir, sistemas que han sido
probados pueden producir todavía en algunas
circunstancias una salida incorrecta.
12.3 Controles criptográficos
OBJETIVO: Proteger la confidencialidad,
autenticidad o integridad de información por
medios criptográficos.
Debería desarrollarse una política sobre el
empleo de controles criptográficos y establecerse
una gestión de claves para dar soporte al empelo
de técnicas criptográficas.
12.3.1 Política sobre el empleo de controles
criptográficos
Control
Debería ser desarrollada e implementada una
política sobre el empleo de controles
criptográficos para la protección de información.
Guía de implementación
Cuando se desarrolla una política sobre el empleo
de controles criptográficos lo siguiente debería
ser considerado:
a) el enfoque de la dirección hacia el empleo de
controles criptográficos a través de la
organización, incluyendo los principios generales
bajo los cuales la información de negocio debería
ser protegida (véase también el Apartado 5.1.1);
b) basado en una evaluación de riesgo, el nivel
requerido de protección debería ser identificado
teniendo en cuenta el tipo, la fuerza, y la calidad
del algoritmo de cifrado requerido;
c) el empleo de cifrado para protección de
información sensible transportada por medios de
comunicación móviles o removibles, por
dispositivos o a través de líneas de comunicación;
d) un enfoque de gestión de claves, incluyendo
métodos para tratar la protección de claves
criptográficas y la recuperación de información
cifrada en el caso de claves perdidas,
comprometidas o dañadas;
e) funciones y responsabilidades, por ejemplo
128
de validação dos dados de saída.
Informações adicionais
Tipicamente, sistemas e aplicações são
construídos no pressuposto de que, tendo sido
efetuadas as validações apropriadas, verificações e
testes, as saídas estarão sempre corretas.
Contudo, este pressuposto nem sempre é válido,
isto é, sistemas que tenham sido testados podem
ainda produzir dados de saída incorretos sob certas
circunstâncias.
12.3 Controles criptográficos
Objetivo: Proteger a confidencialidade, a
autenticidade ou a integridade das informações por
meios criptográficos.
Convém que uma política seja desenvolvida para o
uso de controles criptográficos. Convém que o
gerenciamento de chaves seja implementado para
apoiar o uso de técnicas criptográficas.
12.3.1 Política para o uso de controles
criptográficos
Controle
Convém que seja desenvolvida e implementada
uma política para o uso de controles criptográficos
para a proteção da informação.
Diretrizes para implementação
Convém que, quando do desenvolvimento de uma
política para criptografia, sejam considerados:
a) a abordagem gerencial quanto ao uso de
controles criptográficos em toda a organização,
incluindo os princípios gerais sob os quais as
informações de negócio sejam protegidas (ver
5.1.1);
b) a identificação do nível requerido de proteção
com base em uma análise/avaliação de riscos,
levando em consideração o tipo, a força e a
qualidade do algoritmo de criptografia requerido;
c) o uso de criptografia para a proteção de
informações sensíveis transportadas em celulares
e PDA, mídias removíveis ou móveis, dispositivos
ou linhas de comunicação;
d) a abordagem do gerenciamento de chaves,
incluindo métodos para lidar com a proteção das
chaves criptográficas e a recuperação de
informações cifradas, no caso de chaves perdidas,
comprometidas ou danificadas;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
quien es responsable de:
1) la implementación de la política;
2) la gestión de la clave, incluyendo la
generación de la clave (véase también el
Apartado 12.3.2);
f) las normas a ser adoptadas para la
implementación eficaz en todas partes de la
organización (que solución usar para que proceso
de negocio);
g) el impacto de usar información cifrada, sobre
los controles que confían en la inspección de
contenido (por ejemplo la detección de virus).
Al implementar la política criptográfica de la
organización, deberían considerarse las
regulaciones y las restricciones nacionales que
podrían aplicarse al empleo de técnicas
criptográficas en las diferentes partes del mundo
y las cuestiones de pasaje de frontera de
transacciones de información cifrada (véase
también el Apartado 15.1.6).
Los controles criptográficos pueden ser usados
para alcanzar diferentes objetivos de seguridad,
por ejemplo:
a) confidencialidad: utilización de cifrado de
información para proteger información sensible o
crítica, almacenada o transmitida;
b) integridad/autenticidad: la utilización de firmas
digitales o códigos de autenticación de mensaje
para proteger la autenticidad y la integridad de la
información sensible o crítica almacenada o
transmitida;
c) no repudio: utilización de técnicas
criptográficas para obtener pruebas del suceso o
no de un acontecimiento o acción.
Información adicional
La toma de una decisión en cuanto a si una
solución criptográfica es apropiada debería ser
vista como parte del proceso más amplio de
evaluación de riesgo y selección de control. Esta
evaluación puede entonces ser usada para
determinar si un control criptográfico es
apropiado, qué tipo del control debería ser
aplicado y para que objetivo y proceso de
negocio.
Una política sobre el empleo de controles
criptográficos es necesaria para maximizar las
ventajas y reducir al mínimo los riesgos de usar
técnicas criptográficas, y evitar el empleo
129
e) papéis e responsabilidades, por exemplo, de
quem for responsável:
1) pela implementação da política;
2) pelo gerenciamento de chaves, incluindo sua
geração (ver 12.3.2);
f) os padrões a serem adotados para a efetiva
implementação ao longo de toda a organização
(qual solução é usada para quais processos de
negócios);
g) o impacto do uso de informações cifradas em
controles que dependem da inspeção de conteúdos
(por exemplo, detecção de vírus).
Convém que sejam consideradas, na
implementação da política criptográfica da
organização, as leis ou regulamentações e
restrições nacionais aplicáveis ao uso de técnicas
criptográficas, nas diferentes partes do mundo, e
das questões relativas ao fluxo transfronteiras de
informações cifradas (ver 15.1.6).
Controles criptográficos podem ser usados para
alcançar diversos objetivos de segurança, como,
por exemplo:
a) confidencialidade: usando a criptografia da
informação para proteger informações sensíveis ou
críticas, armazenadas ou transmitidas;
b) integridade/autenticidade: usando assinaturas
digitais ou códigos de autenticação de mensagens
(MAC) para proteger a autenticidade e integridade
de informações sensíveis ou críticas, armazenadas
ou transmitidas;
c) não-repúdio: usando técnicas de criptografia
para obter prova da ocorrência ou não ocorrência
de um evento ou ação.
Informações adicionais
Convém que a tomada de decisão para verificar se
uma solução de criptografia é apropriada seja vista
como parte de um processo de análise/avaliação
de riscos e seleção de controles mais amplos. Essa
avaliação pode, então, ser usada para determinar
se um controle criptográfico é apropriado, que tipo
de controle seja usado e para que propósito e
processos de negócios.
Uma política sobre o uso de controles criptográficos
é necessária para maximizar os benefícios e
minimizar os riscos do uso de técnicas
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
inadecuado o incorrecto. Usando firmas digitales,
deberían dar consideración a cualquier legislación
relevante, en particular la legislación que describe
las condiciones en las cuales una firma digital
obliga legalmente (véase el Apartado 15.1).
Debería buscarse la asesoría de un especialista
para identificar el nivel apropiado de protección y
definir las especificaciones convenientes que
proporcionarán la protección requerida y
apoyarán la implementación de un sistema de
gestión de clave seguro (véase también el
Apartado 12.3.2).
El comité conjunto ISO/IEC JTC1 SC27 ha
desarrollado varias normas relacionadas con
controles criptográficos. También puede ser
encontrada información adicional en la norma
IEEE P1363 y en las directrices OECD sobre
criptografía.
12.3.2 Gestión de claves
Control
Debería establecerse la gestión de claves para
apoyar el uso de técnicas criptográficas en la
organización.
Guía de implementación
Todas las claves criptográficas deberían ser
protegidas contra la modificación, la pérdida, y la
destrucción. Además, claves secretas y privadas
necesitan la protección contra el descubrimiento
no autorizado. El equipo para generar, almacenar
y archivar claves debería ser protegido
físicamente.
Un sistema de gestión de claves debería estar
basado en un conjunto reconocido de normas,
procedimientos, y métodos seguros para:
a) generar claves para sistemas criptográficos
diferentes y aplicaciones diferentes;
b) generar y obtener certificados de clave pública;
c) distribuir claves a los usuarios que
corresponda, incluyendo cómo deberían activarse
las claves al recibirse;
d) almacenar claves, incluyendo cómo los
usuarios autorizados obtienen el acceso a las
claves;
e) cambiar o actualizar claves , incluyendo reglas
sobre cuándo las claves deberían ser cambiadas
y cómo esto debería hacerse;
130
criptográficas para evitar o uso incorreto ou
inapropriado. Quanto ao uso de assinaturas
digitais, convém que seja considerada toda a
legislação relevante, em particular aquela que
descreve as condições sob as quais uma
assinatura digital é legalmente aceita (ver 15.1).
Convém que seja buscada a opinião de um
especialista para identificar o nível apropriado de
proteção e definir as especificações aplicáveis que
proporcionarão o nível requerido de proteção e o
apoio à implementação de um sistema seguro de
gerenciamento de chaves (ver 12.3.2).
O ISO/IEC JTC1 SC27 desenvolveu diversas
normas relacionadas com controles criptográficos.
Informações adicionais podem também ser
encontradas na IEEE P1363 e no OECD Guidelines
on Cryptography.
12.3.2 Gerenciamento de chaves
Controle
Convém que um processo de gerenciamento de
chaves seja implantado para apoiar o uso de
técnicas criptográficas pela organização.
Diretrizes para implementação
Convém que todas as chaves criptográficas sejam
protegidas contra modificação, perda e destruição.
Adicionalmente, chaves secretas e privadas
necessitam de proteção contra a divulgação não
autorizada. Convém que os equipamentos
utilizados para gerar, armazenar e guardar as
chaves sejam fisicamente protegidos.
Convém que um sistema de gerenciamento de
chaves seja baseado em um conjunto estabelecido
de normas, procedimentos e métodos de
segurança para:
a) gerar chaves para diferentes sistemas
criptográficos e diferentes aplicações;
b) gerar e obter certificados de chaves públicas;
c) distribuir chaves para os usuários devidos,
incluindo a forma como as chaves devem ser
ativadas, quando recebidas;
d) armazenar chaves, incluindo a forma como os
usuários autorizados obtêm acesso a elas;
e) mudar ou atualizar chaves, incluindo regras
relativas a quando as chaves devem ser mudadas
e como isto será feito;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
f) tratar las claves comprometidas;
g) revocar claves incluyendo cómo deberían
retirarse o desactivarse las mismas, por ejemplo,
cuando las claves están comprometidas o cuando
un usuario se desvincula de la organización (en
cuyo caso las claves también deberían
archivarse);
h) recuperar claves que se han perdido o
corrompido como parte de la gestión de
continuidad del negocio, por ejemplo, para
recuperar la información cifrada;
i) archivar claves, por ejemplo, para información
archivada o de respaldo;
j) destruir claves;
k) registrar y auditar las actividades relacionadas
con la gestión de las claves.
Para reducir la probabilidad de compromiso, la
activación, y fechas de desactivación de claves
deberían ser definidos de modo que las claves
sólo puedan ser usadas durante un período
limitado de tiempo. Este período de tiempo
debería ser dependiente de las circunstancias en
las cuales el control criptográfico es usado, y el
riesgo percibido.
Además de la gestión segura de claves públicas y
privadas, la protección de claves públicas también
debería ser considerada.
Este proceso de autenticación puede ser hecho
usando los certificados de clave pública que
normalmente son emitidos por una autoridad de
certificación, que debería ser una organización
aprobada con controles y procedimientos
adecuados para proporcionar el grado de
confiabilidad requerido.
El contenido de los acuerdos de nivel de servicio
o de los contratos con los proveedores de
servicios criptográficos (por ejemplo una
autoridad certificadora) debería cubrir los
aspectos de las obligaciones y responsabilidades,
fiabilidad de los servicios y tiempos de respuesta
para su suministro (véase el Apartado 6.2.3).
Información adicional
La gestión de claves criptográficas es esencial
para el empleo eficaz de técnicas criptográficas.
ISO/IEC 11770 proporciona información adicional
sobre la gestión de clave.
Los dos tipos de técnicas criptográficas son:
131
f) lidar com chaves comprometidas;
g) revogar chaves, incluindo regras de como elas
devem ser retiradas ou desativadas, por exemplo
quando chaves tiverem sido comprometidas ou
quando um usuário deixa a organização (convém
que, também neste caso, que as chaves sejam
guardadas);
h) recuperar chaves perdidas ou corrompidas,
como parte da gestão da continuidade do negócio,
por exemplo para recuperação de informações
cifradas;
i) guardar chaves, por exemplo para informações
guardadas ou armazenadas em cópias de
segurança;
j) destruir chaves;
k) manter registro e auditoria das atividades
relacionadas com o gerenciamento de chaves.
Convém, para reduzir a possibilidade de
comprometimento, que datas de ativação e
desativação de chaves sejam definidas de forma
que possam ser utilizadas apenas por um período
de tempo limitado. Convém que este período de
tempo seja dependente das circunstâncias sob as
quais o controle criptográfico está sendo usado,
assim como do risco percebido.
Além do gerenciamento seguro de chaves secretas
e privadas, convém que a autenticidade de chaves
públicas seja também considerada.
Este processo de autenticação pode ser conduzido
utilizando-se certificados de chaves públicas que
são normalmente emitidos por uma autoridade
certificadora, a qual convém que seja uma
organização reconhecida, com controles
adequados e procedimentos implantados com o
objetivo de garantir o requerido nível de confiança.
Convém que o conteúdo dos termos dos acordos
de nível de serviço ou contratos com fornecedores
externos de serviços criptográficos, por exemplo
com uma autoridade certificadora, cubram aspectos
como responsabilidades, confiabilidade dos
serviços e tempos de resposta para a execução
dos serviços contratados (ver 6.2.3).
Informações adicionais
O gerenciamento de chaves criptográficas é
essencial para o uso efetivo de técnicas
criptográficas.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
a) técnicas de claves secretas, donde dos o más
partes comparten la misma clave y esta clave es
usada tanto para cifrar como descifrar la
información; esta clave debería mantenerse
secreta puesto que cualquiera que tenga acceso
a ella puede descifrar toda la información cifrada
con dicha clave, o introducir información no
autorizada con esa clave;
b) técnicas de clave pública, donde cada usuario
tiene un par de claves, una clave pública (que
puede ser revelada a alguien) y una clave privada
(que tiene que ser mantenida secreta); Las
técnicas de clave pública pueden ser usadas para
el cifrado y producir firmas digitales (véase
también las normas ISO/IEC 9796 e ISO/IEC
14888).
Existe la amenaza de falsificar una firma digital
substituyendo la clave pública de un usuario. Este
problema es manejado con el empleo de
certificado de clave publica.
Las técnicas criptográficas también pueden ser
usadas para proteger claves criptográficas. Puede
ser necesario considerar procedimientos para
manejar demandas legales por el acceso a claves
criptográficas, por ejemplo información cifrada
puede tener que estar disponible en forma no
cifrada como prueba en un caso judicial.
12.4 Seguridad de los archivos del sistema
OBJETIVO: Garantizar la seguridad de los
archivos del sistema.
El acceso a archivos del sistema y el código
original de programa debería ser controlado, y los
proyectos de tecnología de la información y las
actividades de apoyo conducidas en una manera
segura. Debería tomarse el cuidado para evitar la
exposición de datos sensibles en ambientes de
prueba.
12.4.1 Control de software en producción
Control
Deberían haber procedimientos para controlar la
instalación de software sobre sistemas en
producción.
Guía de implementación
Para reducir al mínimo el riesgo de corrupción en
132
A ISO/IEC 11770 fornece informação adicional
sobre gerenciamento de chaves. Os dois tipos de
técnicas criptográficas são:
a) técnicas de chaves secretas, onde duas ou mais
partes compartilham a mesma chave, a qual é
utilizado tanto para cifrar quanto para decifrar a
informação; esta chave deve ser mantida secreta,
uma vez que qualquer um que tenha acesso a ela
será capaz de decifrar todas as informações que
tenham sido cifradas com essa chave ou dela se
utilizando para introduzir informação não
autorizada;
b) técnicas de chaves públicas, onde cada usuário
possui um par de chaves; uma chave pública
(que pode ser revelada para qualquer um) e uma
chave privada (que deve ser mantida secreta);
técnicas de chaves públicas podem ser utilizadas
para cifrar e para produzir assinaturas digitais
(ver também ISO/IEC 9796 e ISO/IEC 14888).
Existe a ameaça de que seja forjada uma
assinatura digital pela substituição da chave pública
do usuário. Este problema é resolvido pelo uso de
um certificado de chave pública.
Técnicas criptográficas podem ser também
utilizadas para proteger chaves criptográficas. Pode
ser necessário o estabelecimento de
procedimentos para a manipulação de solicitações
legais para acesso a chaves criptográficas, por
exemplo, informação cifrada pode ser requerida em
sua forma decifrada para uso como evidência em
um processo judicial.
12.4 Segurança dos arquivos do sistema
Objetivo: Garantir a segurança de arquivos de
sistema.
Convém que o acesso aos arquivos de sistema e
aos programas de código fonte seja controlado e
que atividades de projeto de tecnologia da
informação e de suporte sejam conduzidas de
forma segura. Convém que cuidados sejam
tomados para evitar a exposição de dados
sensíveis em ambientes de teste.
12.4.1 Controle de software operacional
Controle
Convém que procedimentos para controlar a
instalação de software em sistemas operacionais
sejam implementados.
Diretrizes para implementação
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
sistemas en producción, las directrices siguientes,
deberían ser consideradas en el control de
cambio:
a) la actualización de software en producción,
aplicaciones, y bibliotecas de programa sólo
debería ser realizada por administradores
entrenados con la apropiada autorización de la
dirección (véase el Apartado 12.4.3);
b) Los sistemas en producción deberían tener
sólo código ejecutable aprobado y no código de
desarrollo o compiladores.
c) el software de aplicaciones y el de sistemas
operativos deberían ser implementados sólo
después de pruebas extensas y acertadas; las
pruebas deberían incluir pruebas sobre la utilidad,
la seguridad, efectos sobre otros sistemas y
facilidades de usuario, y deberían ser realizadas
sobre sistemas separados (véase también el
Apartado 10.1.4); debería asegurarse que todas
las bibliotecas de programas fuentes
correspondientes han sido actualizadas;
d) debería utilizarse un sistema de control de
configuración para mantener el control de todo el
software implementado así como la
documentación de sistema;
e) debería existir una estrategia de “vuelta atrás”
antes de que los cambios sean implementados;
f) debería mantenerse un registro de auditoría de
todas las actualizaciones a las bibliotecas de
programa en producción;
g) debería conservarse la versión anterior de
software de aplicación como una medida de
contingencia;
h) deberían archivarse las versiones viejas de
software, junto con toda la información requerida
y parámetros, procedimientos, detalles de
configuración, y el software de apoyo mientras los
datos son conservados en el archivo.
El software utilizado en producción suministrado
por vendedores debería mantener un nivel de
servicio apoyado por el proveedor. Con el tiempo,
los vendedores de software dejarán de dar
soporte a las versiones más viejas de software.
La organización debería considerar los riesgos de
confiar en el software sin soporte.
Cualquier decisión de cambio a una nueva
versión debería tener en cuenta para el cambio,
los requisitos del negocio y la seguridad de la
133
Para minimizar o risco de corrupção aos sistemas
operacionais, convém que as seguintes diretrizes
sejam consideradas para controlar mudanças:
a) a atualização do software operacional, de
aplicativos e de bibliotecas de programas seja
executada somente por administradores treinados
e com autorização gerencial (ver 12.4.3);
b) sistemas operacionais somente contenham
código executável e aprovado, e não contenham
códigos em desenvolvimento ou compiladores;
c) sistemas operacionais e aplicativos somente
sejam implementados após testes extensivos e
bem-sucedidos; é recomendável que os testes
incluam testes sobre uso, segurança, efeitos sobre
outros sistemas, como também sobre uso
amigável, e sejam realizados em sistemas
separados (ver 10.1.4); convém que seja
assegurado que todas as bibliotecas de programa-
fonte correspondentes tenham sido atualizadas;
d) um sistema de controle de configuração seja
utilizado para manter controle da implementação do
software assim como da documentação do sistema;
e) uma estratégia de retorno às condições
anteriores seja disponibilizada antes que mudanças
sejam implementadas no sistema;
f) um registro de auditoria seja mantido para todas
as atualizações das bibliotecas dos programas
operacionais;
g) versões anteriores dos softwares aplicativos
sejam mantidas como medida de contingência;
h) versões antigas de software sejam arquivadas,
junto com todas as informações e parâmetros
requeridos, procedimentos, detalhes de
configurações e software de suporte durante um
prazo igual ao prazo de retenção dos dados.
Convém que software adquirido de fornecedores e
utilizado em sistemas operacionais seja mantido
num nível apoiado pelo fornecedor. Ao transcorrer
do tempo, fornecedores de software cessam o
apoio às versões antigas do software. Convém que
a organização considere os riscos associados à
dependência de software sem suporte.
Convém que qualquer decisão de atualização para
uma nova versão considere os requisitos do
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
nueva versión, por ejemplo la introducción de una
nueva funcionalidad de seguridad o el número y
la severidad de problemas de seguridad que
afectan esta versión. Los parches de software
deberían aplicarse cuando puedan ayudar a
quitar o reducir debilidades de seguridad (véase
también el Apartado 12.6.1).
El acceso físico o lógico únicamente se debería
dar a los proveedores para propósitos de soporte,
cuando sea necesario, y con aprobación de la
dirección. Las actividades del proveedor deberían
ser supervisadas.
El software de computador puede depender de
software y módulos suministrados externamente,
lo cual se debería supervisar y controlar para
evitar cambios no autorizados que puedan
introducir debilidades de seguridad.
Información adicional
Sólo deberían cambiarse los sistemas operativos
cuando hay un requisito para hacer, por ejemplo,
si la versión actual del sistema operativo no
soporta las exigencias de negocio. Las mejoras
no deberían ocurrir solamente porque una nueva
versión del sistema operativo está disponible. Las
nuevas versiones de sistemas operativos pueden
ser menos seguras, menos estables, y menos
entendidas que los sistemas actuales.
12.4.2 Protección de datos de prueba del
sistema
Control
Los datos de prueba deberían ser seleccionados
cuidadosamente, protegidos y controlados.
Guía de implementación
Para hacer pruebas debería ser evitado el empleo
de bases de datos de producción que contienen
información personal o cualquier otra información
sensible. Si se utiliza información personal o
cualquier otra información sensible para hacer
pruebas, todos los detalles y el contenido sensible
deberían ser eliminados o modificados, más allá
del reconocimiento, antes del empleo. Las
directrices siguientes deberían ser aplicadas para
proteger datos de producción cuando son
utilizados para hacer pruebas:
a) los procedimientos de control de acceso, que
se aplican a sistemas de aplicaciones en
producción, deberían aplicarse también a los
sistemas de prueba de aplicaciones;
b) debería autorizarse por separado, cada vez
134
negócio para a mudança e da segurança
associada, por exemplo, a introdução de uma nova
funcionalidade de segurança ou a quantidade e a
gravidade dos problemas de segurança associados
a esta versão. Convém que pacotes de correções
de software sejam aplicados quando puderem
remover ou reduzir as vulnerabilidades de
segurança (ver 12.6.1).
Convém que acessos físicos e lógicos sejam
concedidos a fornecedores, quando necessário,
para a finalidade de suporte e com aprovação
gerencial. Convém que as atividades do fornecedor
sejam monitoradas.
Os softwares para computadores podem depender
de outros softwares e módulos fornecidos
externamente, os quais convém ser monitorados e
controlados para evitar mudanças não autorizadas,
que podem introduzir fragilidades na segurança.
Informações adicionais
Convém que sistemas operacionais sejam
atualizados quando existir um requisito para tal, por
exemplo, se a versão atual do sistema operacional
não suportar mais os requisitos do negócio.
Convém que as atualizações não sejam efetivadas
pela mera disponibilidade de uma versão nova do
sistema operacional. Novas versões de sistemas
operacionais podem ser menos seguras, com
menor estabilidade, e ser menos entendidas do que
os sistemas atuais.
12.4.2 Proteção dos dados para teste de
sistema
Controle
Convém que os dados de teste sejam selecionados
com cuidado, protegidos e controlados.
Diretrizes para implementação
Para propósitos de teste, convém que seja evitado
o uso de bancos de dados operacionais que
contenham informações de natureza pessoal ou
qualquer outra informação considerada sensível.
Se informação de natureza pessoal ou outras
informações sensíveis forem utilizadas com o
propósito de teste, convém que todos os detalhes e
conteúdo sensível sejam removidos ou modificados
de forma a evitar reconhecimento antes do seu
uso. Convém que sejam aplicadas as seguintes
diretrizes para a proteção de dados operacionais,
quando utilizados para fins de teste:
a) os procedimentos de controle de acesso,
aplicáveis aos aplicativos de sistema em ambiente
operacional, sejam também aplicados aos
aplicativos de sistema em ambiente de teste;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
que se copie la información de producción a un
sistema de prueba de aplicación;
c) debería borrarse, la información de producción
de un sistema de prueba de aplicación
inmediatamente después de que las pruebas son
completadas;
d) debería registrarse, la copia y el empleo de
información de producción para proporcionar una
pista de auditoría.
Información adicional
Las pruebas de sistema y de aceptación
requieren por lo general volúmenes sustanciales
de datos de prueba que sean tan cercanos como
sea posible a datos de producción.
12.4.3 Control de acceso al código de
programas fuente
Control
El acceso al código de programas fuente debería
ser restringido.
Guía de implementación
El acceso al código de programas fuente y
artículos asociados (como diseños, datos
específicos, proyectos de verificación y proyectos
de validación) debería ser estrictamente
controlado, para prevenir la introducción de
funcionalidad no autorizada y evitar cambios
involuntarios. Para el código de programas
fuente, esto puede alcanzarse por el
almacenamiento centralizado, controlado de tal
código, preferentemente en bibliotecas de
programas fuente. Las directrices siguientes
deberían ser consideradas (véase también la
Cláusula 11) para controlar el acceso a tales
bibliotecas de programas fuente y para reducir el
potencial de corrupción de programas del
computador:
a) de ser posible, las bibliotecas de programas
fuente no deberían ser soportadas en sistemas de
producción;
b) el código de programas fuente y las bibliotecas
de programas fuente deberían gestionarse según
procedimientos establecidos;
c) el personal de apoyo debería tener acceso
restringido a bibliotecas de programas fuente;
d) la actualización de bibliotecas de programas
fuente y artículos asociados, y la entrega de
programas fuente a programadores sólo debería
realizarse después de que la autorización
apropiada ha sido recibida;
135
b) seja obtida autorização cada vez que for
utilizada uma cópia da informação operacional para
uso de um aplicativo em teste;
c) a informação operacional seja apagada do
aplicativo em teste imediatamente após completar
o teste;
d) a cópia e o uso de informação operacional sejam
registrados de forma a prover uma trilha para
auditoria.
Informações adicionais
Testes de sistema e testes de aceitação requerem
normalmente volumes significativos de dados de
teste que sejam o mais próximo possível aos dados
utilizados no ambiente operacional.
12.4.3 Controle de acesso ao código-fonte de
programa
Controle
Convém que o acesso ao código-fonte de
programa seja restrito.
Diretrizes para implementação
Convém que o acesso ao código-fonte de
programa e de itens associados (como desenhos,
especificações, planos de verificação e de
validação) seja estritamente controlado, com a
finalidade de prevenir a introdução de
funcionalidade não autorizada e para evitar
mudanças não intencionais. Para os códigos-fonte
de programas, este controle pode ser obtido com a
guarda centralizada do código, de preferência
utilizando bibliotecas de programa-fonte. Convém
que as seguintes orientações sejam consideradas
(ver Seção 11) para o controle de acesso às
bibliotecas de programa-fonte, com a finalidade de
reduzir o risco de corrupção de programas de
computador:
a) quando possível, seja evitado manter as
bibliotecas de programa-fonte no mesmo ambiente
dos sistemas operacionais;
b) seja implementado o controle do código-fonte de
programa e das bibliotecas de programa-fonte,
conforme procedimentos estabelecidos;
c) o pessoal de suporte não tenha acesso irrestrito
às bibliotecas de programa-fonte;
d) a atualização das bibliotecas de programa-fonte
e itens associados e a entrega de fontes de
programas a programadores seja apenas efetuada
após o recebimento da autorização pertinente;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
e) los listados de programas deberían
mantenerse en un ambiente seguro (véase el
Apartado 10.7.4);
f) debería mantenerse un registro de auditoría de
todos los accesos a bibliotecas de programas
fuente;
g) el mantenimiento y la copia de bibliotecas de
programas fuente deberían estar sujetos a
procedimientos estrictos de control de cambio
(véase el Apartado 12.5.1).
Información adicional
El código de programas fuente es el código
escrito por programadores, que son compilados (y
enlazados) para crear ejecutables. Ciertos
lenguajes de programación, como el ejecutable es
creado en el tiempo en que es activado no
distinguen formalmente entre el código fuente y
ejecutable.
Las normas ISO 10007 e ISO/IEC 12207
proporcionan información adicional sobre los
procesos de gestión de configuración y el proceso
de ciclo de vida del software.
12.5 Seguridad en los procesos de desarrollo
y soporte
OBJETIVO: Mantener la seguridad del software
de aplicación e información.
Los proyectos y ambientes de soporte deberían
controlarse estrictamente.
Los gerentes responsables de sistemas de
aplicación también deberían ser responsables de
la seguridad del proyecto o ambiente de soporte.
Ellos deberían asegurar que todos los cambios
propuestos en el sistema se revisan para
comprobar que no ponen en peligro la seguridad
del sistema ni del ambiente de producción.
12.5.1 Procedimientos de control de cambio
Control
La implementación de cambios debería
controlarse mediante el empleo de
procedimientos formales de control de cambio.
Guía de implementación
Para reducir al mínimo la corrupción de sistemas
de información, deberían documentarse y hacerse
cumplir procedimientos formales de control de
cambio. La introducción de nuevos sistemas y
136
e) as listagens dos programas sejam mantidas num
ambiente seguro (ver 10.7.4);
f) seja mantido um registro de auditoria de todos os
acessos a código-fonte de programa;
g) a manutenção e a cópia das bibliotecas de
programa-fonte estejam sujeitas a procedimentos
estritos de controles de mudanças (ver 12.5.1);
Informações adicionais
Os códigos-fonte de programas são códigos
escritos por programadores, que são compilados (e
ligados) para criar programas executáveis.
Algumas linguagens de programação não fazem
uma distinção formal entre código-fonte e
executável, pois os executáveis são criados no
momento da sua ativação.
As ISO 10007 e ISO/IEC 12207 possuem mais
informações sobre a gestão de configuração e o
processo de ciclo de vida de software.
12.5 Segurança em processos de
desenvolvimento e de suporte
Objetivo: Manter a segurança de sistemas
aplicativos e da informação.
Convém que os ambientes de projeto e de suporte
sejam estritamente controlados.
Convém que os gerentes responsáveis pelos
sistemas aplicativos sejam também responsáveis
pela segurança dos ambientes de projeto ou de
suporte. Convém que eles assegurem que
mudanças propostas sejam analisadas criticamente
para verificar que não comprometam a segurança
do sistema ou do ambiente operacional.
12.5.1 Procedimentos para controle de
mudanças
Controle
Convém que a implementação de mudanças seja
controlada utilizando procedimentos formais de
controle de mudanças.
Diretrizes para implementação
Convém que os procedimentos de controle de
mudanças sejam documentados e reforçados com
a finalidade de minimizar a corrupção dos sistemas
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
cambios mayores a sistemas existentes debería
seguir un proceso formal de documentación,
especificación, pruebas, control de calidad, y
gestión de implementación.
Este proceso debería incluir una evaluación de
riesgo, el análisis de los impactos de cambios, y
la especificación de los controles de seguridad
necesarios. Este proceso también debería
asegurar que los procedimientos existentes de
seguridad y control no son comprometidos, que a
los programadores de apoyo se les da el acceso
sólo a aquellas partes del sistema necesario para
su trabajo, y que el acuerdo formal y la
aprobación para cualquier cambio son obtenidos.
De ser practicable, los procedimientos de control
de cambio de aplicación y operacionales deberían
integrarse (véase también el Apartado 10.1.2).
Los procedimientos de cambio deberían incluir:
a) el mantenimiento de un registro de niveles de
autorización acordados;
b) asegurar que los cambios son efectuados por
usuarios autorizados;
c) revisar los controles y procedimientos de
integridad para asegurar que no serán
comprometidos por los cambios;
d) identificar todo el software, la información,
entidades de base de datos, y el hardware que
requieran enmienda;
e) obtener la aprobación formal para propuestas
detalladas antes de que comience el trabajo;
f) asegurar que los usuarios autorizados acepten
los cambios antes de la implementación;
g) asegurar que al terminar cada cambio la
documentación de sistema es actualizada y que
la vieja documentación es archivada o eliminada;
h) el mantenimiento de una versión controlada de
todas las actualizaciones de software;
i) el mantenimiento de una pista de auditoría de
todo el cambio solicitado;
j) asegurar que la documentación de operaciones
(véase el Apartado 10.1.1) y los procedimientos
de usuario son cambiados según es necesario
para permanecer adecuada;
k) asegurar que la implementación de cambios
137
da informação. Convém que a introdução de novos
sistemas e mudanças maiores em sistemas
existentes sigam um processo formal de
documentação, especificação, teste, controle da
qualidade e gestão da implementação.
Convém que o processo inclua uma
análise/avaliação de riscos, análise do impacto das
mudanças e a especificação dos controles de
segurança requeridos. Convém que o processo
garanta que a segurança e os procedimentos de
controle atuais não sejam comprometidos, que os
programadores de suporte tenham acesso somente
às partes do sistema necessárias para o
cumprimento das tarefas e que sejam obtidas
concordância e aprovação formal para qualquer
mudança obtida.
Convém que, quando praticável, os procedimentos
de controle de mudanças sejam integrados (ver
10.1.2). Convém que os procedimentos de
mudanças incluam:
a) a manutenção de um registro dos níveis
acordados de autorização;
b) a garantia de que as mudanças sejam
submetidas por usuários autorizados;
c) a análise crítica dos procedimentos de controle e
integridade para assegurar que as mudanças não
os comprometam;
d) a identificação de todo software, informação,
entidades em bancos de dados e hardware que
precisam de emendas;
e) a obtenção de aprovação formal para propostas
detalhadas antes da implementação;
f) a garantia da aceitação das mudanças por
usuários autorizados, antes da implementação;
g) a garantia da atualização da documentação do
sistema após conclusão de cada mudança e de
que a documentação antiga seja arquivada ou
descartada;
h) a manutenção de um controle de versão de
todas as atualizações de softwares;
i) a manutenção de uma trilha para auditoria de
todas as mudanças solicitadas;
j) a garantia de que toda a documentação
operacional (ver 10.1.1) e procedimentos dos
usuários sejam alterados conforme necessário e
que se mantenham apropriados;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
ocurra en el momento adecuado y no interfiera los
procesos de negocio implicados.
Información adicional
El cambio del software puede afectar el ambiente
de producción.
Las buenas prácticas incluyen las pruebas del
software nuevo en un ambiente segregado tanto
del ambiente de producción como del ambiente
de desarrollo (véase también el Apartado 10.1.4).
Esto proporciona un medio para tener el control
sobre el nuevo software y permitir protección
adicional a la información de producción que es
utilizada para hacer pruebas. Esto debería incluir
parches, paquetes de servicio (service packs), y
otras actualizaciones. Las actualizaciones
automatizadas no deberían ser usadas sobre
sistemas críticos ya que algunas actualizaciones
pueden hacer que fallen aplicaciones críticas
(véase el Apartado 12.6).
12.5.2 Revisión técnica de aplicaciones
después de cambios del sistema operativo
Control
Cuando los sistemas operativos son cambiados,
las aplicaciones críticas del negocio deberían ser
revisadas y probadas para asegurar que no hay
ningún impacto adverso sobre las operaciones o
seguridad de la organización.
Guía de implementación
Este proceso debería cubrir:
a) la revisión de los controles de aplicación y
procedimientos de integridad para asegurar que
ellos no han sido comprometidos por los cambios
de sistema operativo;
b) asegurar que el plan de apoyo anual y el
presupuesto cubrirán pruebas y revisiones de
sistema resultantes de los cambios de sistema
operativo;
c) asegurar que la notificación de cambios al
sistema operativo es proporcionada a tiempo para
permitir que ocurran pruebas y revisiones
apropiadas antes de la puesta en producción;
d) asegurar que los cambios apropiados son
hechos en los planes de continuidad de negocio
(véase la Cláusula 14).
Debería darse a un grupo o individuo específico la
responsabilidad de supervisar vulnerabilidades y
las liberaciones de parches y actualizaciones de
los vendedores (véase el Apartado 12.6).
138
k) a garantia de que as mudanças sejam
implementadas em horários apropriados, sem a
perturbação dos processos de negócios cabíveis.
Informações adicionais
A mudança de software pode ter impacto no
ambiente operacional.
As boas práticas incluem o teste de novos
softwares em um ambiente segregado dos
ambientes de produção e de desenvolvimento (ver
10.1.4). Isto fornece um meio de controle sobre o
novo software e permite uma proteção adicional à
informação operacional que é utilizada para
propósitos de teste. Aplica-se também às
correções, pacotes de serviço e outras
atualizações. Convém que atualizações
automáticas não sejam utilizadas em sistemas
críticos, pois algumas atualizações podem causar
falhas em aplicações críticas
(ver 12.6).
12.5.2 Análise crítica técnica das aplicações
após mudanças no sistema operacional
Controle
Convém que aplicações críticas de negócios sejam
analisadas criticamente e testadas quando
sistemas operacionais são mudados, para garantir
que não haverá nenhum impacto adverso na
operação da organização ou na segurança.
Diretrizes para implementação
Convém que o processo compreenda:
a) uma análise crítica dos procedimentos de
controle e integridade dos controles para assegurar
que não foram comprometidos pelas mudanças no
sistema operacional;
b) a garantia de que o plano anual de suporte e o
orçamento irão cobrir as análises e testes do
sistema devido às mudanças no sistema
operacional;
c) a garantia de que as mudanças pretendidas
sejam comunicadas em tempo hábil para permitir
os testes e análises críticas antes da
implementação das mudanças;
d) a garantia de que as mudanças necessárias
sejam executadas nos planos de continuidade de
negócios (ver Seção 14).
Convém que seja dada responsabilidade a um
grupo específico ou a um indivíduo para
monitoramento das vulnerabilidades e divulgação
de emendas e correções dos fornecedores de
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
12.5.3 Restricciones sobre cambios
paquetes de software
Control
Las modificaciones a paquetes de software
deberían ser desalentadas, limitadas a cambios
necesarios, y todos los cambios deberían ser
estrictamente controlados.
Guía de implementación
En la medida de lo posible, y practicable, los
paquetes de software, suministrados por
vendedores deberían ser utilizados sin
modificación. Cuando un paquete de software
necesite ser modificado los siguientes puntos
deberían ser considerados:
a) el riesgo de comprometer los procesos de
control y de integridad existentes;
b) si el consentimiento del vendedor debería ser
obtenido;
c) la posibilidad de obtener los cambios
requeridos del vendedor como actualizaciones
normales de programa estándar;
d) el impacto ocasionado, si la organización se
hace responsable por el futuro mantenimiento del
software como consecuencia de los cambios.
Si los cambios son necesarios el software original
sería conservado y los cambios aplicados a una
copia claramente identificada. Un proceso de
gestión de actualización de software debería ser
puesto en práctica para asegurar que los parches
más actualizados aprobados y actualizaciones de
aplicación son instaladas para todo el software
autorizado (véase el Apartado 12.6). Todos los
cambios totalmente deberían ser probados y
documentados, de modo que ellos puedan ser
vueltos a aplicar si fuera necesario a futuras
mejoras de software. De ser requerido, las
modificaciones deberían ser probadas y validadas
por un equipo de evaluación independiente.
12.5.4 Fuga de Información
Control
Deberían prevenirse las oportunidades para la
fuga de la información.
Guía de implementación
Para limitar el riesgo de fugas de información, por
ejemplo, por el empleo y la explotación de
canales encubiertos, debería considerarse lo
siguiente:
139
software (ver 12.6).
a
12.5.3 Restrições sobre mudanças em pacotes
de software
Controle
Convém que modificações em pacotes de software
sejam desencorajadas e limitadas às mudanças
necessárias e que todas as mudanças sejam
estritamente controladas.
Diretrizes para implementação
Quando possível e praticável, convém que pacotes
de softwares providos pelos fornecedores sejam
utilizados sem modificações. Quando um pacote de
software requer modificação, convém que sejam
considerados os seguintes itens:
a) o risco de que controles e processos de
integridade embutidos no software sejam
comprometidos;
b) a obtenção do consentimento do fornecedor;
c) a possibilidade de obtenção junto ao fornecedor
das mudanças necessárias como atualização
padrão do programa;
d) o impacto resultante quando a organização
passa a ser responsável para a manutenção futura
do software como resultado das mudanças.
Se mudanças forem necessárias, convém que o
software original seja mantido e as mudanças
aplicadas numa cópia claramente identificada.
Convém que um processo de gestão de
atualizações seja implementado para assegurar a
instalação das mais recentes correções e
atualizações para todos os softwares autorizados
(ver 12.6). Convém que todas as mudanças sejam
completamente testadas e documentadas para que
possam ser reaplicadas, se necessário, em
atualizações futuras do software. Se requerido,
convém que as modificações sejam testadas e
validadas por um grupo de avaliação independente.
12.5.4 Vazamento de informações
Controle
Convém que oportunidades para vazamento de
informações sejam prevenidas.
Diretrizes para implementação
Convém que os seguintes itens sejam
considerados, para limitar o risco de vazamento de
informações, por exemplo através do uso e
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
a) explorar los medios de comunicación de salida
y comunicaciones de información oculta;
b) enmascaramiento y modulación de sistemas y
comportamiento de comunicaciones para reducir
la probabilidad de que un tercero sea capaz de
deducir información de tal comportamiento;
c) aprovechando sistemas y software que son
considerados, de alta integridad, por ejemplo
usando productos evaluados (véase la norma
ISO/IEC 15408);
d) donde sea permitido, supervisión regular de
personal y actividades de sistema, conforme a
legislación o regulación existente;
e) supervisión de uso de recurso en sistemas de
computador.
Información adicional
Los canales encubiertos son los caminos que no
son queridos para conducir flujos de la
información, pero que sin embargo pueden existir
en un sistema o la red. Por ejemplo, manipular
bits en protocolos de comunicación de paquetes
podría ser usado como un método oculto de
señalización. Por naturaleza, prevenir la
existencia de todos los posibles canales
encubiertos sería difícil, si no imposible. Sin
embargo, la explotación de tales canales es a
menudo realizada por el código troyano (véase
también el Apartado 10.4.1). Por lo tanto la toma
de medidas para proteger contra el código
troyano reduce el riesgo de explotación de canal
encubierto.
La prevención acerca de accesos de red no
autorizados (11.4), así como la política y los
procedimientos para desalentar el mal uso de
servicios de la información por el personal
(15.1.5), ayudará a protegerse contra canales
encubiertos.
12.5.5 Desarrollo externo de software
Control
El desarrollo externo de software debería ser
supervisado y seguido por la organización.
Guía de implementación
Cuando el desarrollo de software sea externo, los
siguientes puntos deberían considerarse:
140
exploração de covert channels:
a) a varredura do envio de mídia e comunicações
para verificar a presença de informação oculta;
b) o mascaramento e a modulação do
comportamento dos sistemas e das comunicações
para reduzir a possibilidade de terceiros deduzirem
informações a partir do comportamento dos
sistemas;
c) a utilização de sistemas e software reconhecidos
como de alta integridade, por exemplo utilizando
produtos avaliados (ver ISO/IEC 15408);
d) o monitoramento regular das atividades do
pessoal e do sistema, quando permitido pela
legislação ou regulamentação vigente;
e) o monitoramento do uso de recursos de
sistemas de computação.
Informações adicionais
Os covert channels são caminhos não previstos
para conduzir fluxo de informações, mas que no
entanto podem existir num sistema ou rede. Por
exemplo, a manipulação de bits no protocolo de
pacotes de comunicação poderia ser utilizada como
um método oculto de sinalização. Devido à sua
natureza, seria difícil, se não impossível, precaver-
se contra a existência de todos os possíveis covert
channels. No entanto, a exploração destes canais
freqüentemente é realizada por código troiano (ver
10.4.1). A adoção de medidas de proteção contra
código troiano reduz, conseqüentemente, o risco de
exploração de covert channels.
A precaução contra acesso não autorizado à rede
(ver 11.4), como também políticas e procedimentos
para dissuadir o mau uso de serviços de
informação pelo pessoal (ver 15.1.5), pode ajudar a
proteger contra covert channels.
12.5.5 Desenvolvimento terceirizado de
software
Controle
Convém que a organização supervisione e
monitore o desenvolvimento terceirizado de
software.
Diretrizes para implementação
Convém que sejam considerados os seguintes
itens quando do desenvolvimento de software
terceirizado:
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
a) acuerdos de licencias, la propiedad del código,
y derechos de propiedad intelectual (véase el
Apartado 15.1.2);
b) certificación de la calidad y exactitud del
trabajo realizado;
c) acuerdos de custodia (escrow) en caso de
fracaso del proveedor externo;
d) los derechos de acceso para la revisión de la
calidad y exactitud de trabajo realizado;
e) exigencias contractuales sobre la calidad y
seguridad de la funcionalidad del código;
f) pruebas antes de la instalación para descubrir
código malicioso y troyano.
12.6 Gestión de vulnerabilidad técnica
OBJETIVO: Reducir los riesgos resultantes de la
explotación de vulnerabilidades técnicas
publicadas.
La gestión de vulnerabilidades técnicas debería
implementarse como un camino eficaz,
sistemático, y repetible con toma de mediciones
para confirmar su eficacia. Estas consideraciones
deberían incluir los sistemas operativos, y
cualquier otra aplicación en uso.
12.6.1 Control de vulnerabilidades técnicas
Control
Debería obtenerse información oportuna sobre las
vulnerabilidades técnicas de los sistemas de
información en uso, evaluarse la exposición de la
organización a tales vulnerabilidades, y tomar
medidas apropiadas para gestionar el riesgo
asociado.
Guía de implementación
Un requisito previo para la gestión eficaz de
vulnerabilidades técnicas es un inventario actual y
completo de activos (véase el Apartado 7.1).
Información específica necesaria para apoyar la
gestión de vulnerabilidades técnicas, incluye al
vendedor de software, números de versión, el
estado actual de despliegue (por ejemplo que
software esta instalado sobre que sistemas), y
la(s) persona(s) responsable(s) dentro de la
organización del software.
Apropiadamente, la acción oportuna debería
tomarse en respuesta a la identificación de
potenciales vulnerabilidades técnicas. Las
141
a) acordos de licenciamento, propriedade do código
e direitos de propriedade intelectual (ver 15.1.2);
b) certificação da qualidade e exatidão do serviço
realizado;
c) provisões para custódia no caso de falha da
terceira parte;
d) direitos de acesso para auditorias de qualidade e
exatidão do serviço realizado;
e) requisitos contratuais para a qualidade e
funcionalidade da segurança do código;
f) testes antes da instalação para detectar a
presença de código malicioso e troiano.
12.6 Gestão de vulnerabilidades técnicas
Objetivo: Reduzir riscos resultantes da exploração
de vulnerabilidades técnicas conhecidas.
Convém que a implementação da gestão de
vulnerabilidades técnicas seja implementada de
forma efetiva, sistemática e de forma repetível com
medições de confirmação da efetividade. Convém
que estas considerações incluam sistemas
operacionais e quaisquer outras aplicações em
uso.
12.6.1 Controle de vulnerabilidades técnicas
Controle
Convém que seja obtida informação em tempo
hábil sobre vulnerabilidades técnicas dos sistemas
de informação em uso, avaliada a exposição da
organização a estas vulnerabilidades e tomadas as
medidas apropriadas para lidar com os riscos
associados.
Diretrizes para implementação
Um inventário completo e atualizado dos ativos de
informação (ver 7.1) é um pré-requisito para uma
gestão efetiva de vulnerabilidade técnica.
Informação específica para o apoio à gestão de
vulnerabilidade técnica inclui o fornecedor de
software, o número de versão, o status atual de uso
e distribuição (por exemplo, que softwares estão
instalados e em quais sistemas) e a(s) pessoa(s)
na organização responsável(is) pelos softwares.
Convém que a ação apropriada seja tomada, no
devido tempo, como resposta às potenciais
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
siguientes recomendaciones deberían seguirse
para establecer un proceso eficaz de gestión de
vulnerabilidades técnicas:
a) la organización debería definir y establecer los
roles y responsabilidades asociados con la
gestión de vulnerabilidades técnicas, incluyendo
la supervisión de la vulnerabilidad, la evaluación
de riesgo de la vulnerabilidad, la aplicación de
parches (patchs), el seguimiento de activo, y
cualquier responsabilidad de coordinación
requerida;
b) deberían identificarse los recursos de
información que se van a utilizar para identificar
las vulnerabilidades técnicas pertinentes y para
mantener la concientización sobre ellas para el
software y otra tecnología (basado a la lista de
inventario de activos, véase el Apartado 7.1.1),
estos recursos de la información deberían ser
actualizados basándose en cambios del
inventario, o cuando son encontrados otros
recursos nuevos o útiles;
c) un cronograma para reaccionar a las
notificaciones de vulnerabilidades técnicas
potencialmente relevantes;
d) una vez que ha sido detectada una potencial
vulnerabilidad técnica, la organización debería
identificar los riesgos asociados y las acciones a
ser tomadas; tal acción podría implicar el instalar
el parche (patch) a sistemas vulnerables y/o la
aplicación de otros controles;
e) según cuan urgentemente tiene que ser
gestionada una vulnerabilidad técnica, la acción a
tomar debería ser realizada según controles
relacionados a la gestión de cambio (véase el
Apartado 12.5.1) o según procedimientos de
gestión de incidentes de seguridad de la
información (véase el Apartado 13.2);
f) si esta disponible un parche (patch), los riesgos
asociados con la instalación del parche (patch)
deberían ser evaluados (los riesgos planteados
por la vulnerabilidad deberían ser comparados
con el riesgo de instalar el parche);
g) los parches (patches) deberían probarse y
evaluarse antes de ser instalados para
asegurarse que son eficaces y no causan efectos
secundarios que no pueden ser tolerados; si no
está disponible ningún parche, deberían
considerarse otros controles, como:
1) bajar servicios o funcionalidades
relacionadas con la vulnerabilidad;
142
vulnerabilidades técnicas identificadas. Convém
que as seguintes diretrizes sejam seguidas para o
estabelecimento de um processo de gestão efetivo
de vulnerabilidades técnicas:
a) a organização defina e estabeleça as funções e
responsabilidades associadas na gestão de
vulnerabilidades técnicas, incluindo o
monitoramento de vulnerabilidades, a
análise/avaliação de riscos de vulnerabilidades,
patches, acompanhamento dos ativos e qualquer
coordenação de responsabilidades requerida;
b) os recursos de informação a serem usados para
a identificar vulnerabilidades técnicas relevantes e
para manter a conscientização sobre eles sejam
identificados para softwares e outras tecnologias
(com base na lista de inventário dos ativos, ver
7.1.1); convém que esses recursos de informação
sejam mantidos atualizados com base nas
mudanças no inventário de ativos, ou quando
outros recursos novos ou úteis forem encontrados;
c) seja definido um prazo para a reação a
notificações de potenciais vulnerabilidades técnicas
relevantes;
d) uma vez que uma vulnerabilidade técnica
potencial tenha sido identificada, convém que a
organização avalie os riscos associados e as ações
a serem tomadas; tais ações podem requerer o uso
de patches nos sistemas vulneráveis e/ou a
aplicação de outros controles;
e) dependendo da urgência exigida para tratar uma
vulnerabilidade técnica, convém que a ação
tomada esteja de acordo com os controles
relacionados com a gestão de mudanças (ver
12.5.1) ou que sejam seguidos os procedimentos
de resposta a incidentes de segurança da
informação (ver 13.2);
f) se um patch for disponibilizado, convém que
sejam avaliados os riscos associados à sua
instalação (convém que os riscos associados à
vulnerabilidade sejam comparados com os riscos
de instalação do patch);
g) patches sejam testados e avaliados antes de
serem instaladas para assegurar a efetividade e
que não tragam efeitos que não possam ser
tolerados; quando não existir a disponibilidade de
um patch, convém considerar o uso de outros
controles, tais como:
1) a desativação de serviços ou potencialidades
relacionadas à vulnerabilidade;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
2) adaptar o agregar controles de acceso, por
ejemplo: cortafuegos (firewalls), en los
bordes de la red (véase el Apartado
11.4.5);
3) aumentar el seguimiento para descubrir o
prevenir ataques reales;
4) fomentar conciencia de la vulnerabilidad;
h) debería mantenerse un registro de auditoría
para todos los procedimientos emprendidos;
i) debería supervisarse y evaluarse con
regularidad el proceso de gestión de
vulnerabilidades técnicas para asegurar su
eficacia y eficacia;
j) deberían gestionarse primero los sistemas en
alto riesgo.
Información adicional
El correcto funcionamiento del proceso de gestión
de vulnerabilidades técnicas de una organización
es crítico en muchas organizaciones y por lo tanto
debería ser supervisado con regularidad. Un
inventario exacto es esencial para asegurar que
son identificadas vulnerabilidades técnicas
potencialmente relevantes.
La gestión de vulnerabilidades técnicas puede ser
vista como una sub-función de la gestión de
cambio y como tal puede aprovechar los procesos
y procedimientos de gestión de cambio (véase los
Apartados 10.1.2 y 12.5.1).
Los vendedores están a menudo bajo la presión
significativa de liberar parches (patches) cuanto
antes. Por lo tanto, un parche (patch) puede no
gestionar el problema adecuadamente y puede
tener efectos secundarios negativos. También, en
algunos casos, una vez que el parche (patch) es
aplicado, puede no ser fácilmente efectuada la
desinstalación del mismo.
Si no son posibles las pruebas adecuadas de los
parches, por ejemplo debido a gastos o carencia
de recursos, puede considerarse, una demora en
aplicar el parche (patch), para evaluar los riesgos
asociados, basados en la experiencia reportada
por otros usuarios.
13 Gestión de incidentes de la Seguridad
de la Información
13.1 Reporte de debilidades y eventos de
seguridad de la información
143
2) a adaptação ou agregação de controles de
acesso, por exemplo firewalls nas fronteiras
da rede (ver 11.4.5);
3) o aumento do monitoramento para detectar
ou prevenir ataques reais;
4) o aumento da conscientização sobre a
vulnerabilidade;
h) seja mantido um registro de auditoria de todos
os procedimentos realizados;
i) com a finalidade de assegurar a eficácia e a
eficiência, convém que seja monitorado e avaliado
regularmente o processo de gestão de
vulnerabilidades técnicas;
j) convém abordar em primeiro lugar os sistemas
com altos riscos.
Informações adicionais
O correto funcionamento do processo de gestão de
vulnerabilidades técnicas é crítico para muitas
organizações e, portanto, convém que seja
monitorado regularmente. Um inventário de ativos
preciso é essencial para assegurar que
vulnerabilidades potenciais relevantes sejam
identificadas.
A gestão de vulnerabilidades técnicas pode ser
vista como uma subfunção da gestão de mudanças
e, como tal, pode aproveitar os procedimentos e
processos da gestão de mudanças (ver 10.1.2 e
12.5.1).
Os fornecedores estão sempre sob grande pressão
para liberar patches tão logo quanto possível.
Portanto, um patch pode não abordar o problema
adequadamente e pode causar efeitos colaterais
negativos. Também, em alguns casos, a
desinstalação de um patch pode não ser facilmente
realizável após sua instalação.
Quando testes adequados de patch não forem
possíveis, por exemplo, devido a custos ou falta de
recursos, um atraso no uso do patch pode ser
considerado para avaliar os riscos associados,
baseado nas experiências relatadas por outros
usuários.
13 Gestão de incidentes de segurança da
informação
13.1 Notificação de fragilidades e eventos de
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
OBJETIVO: Asegurar que las debilidades y
eventos de seguridad de la información asociados
a sistemas de información son comunicados de
manera de permitir tomar acciones correctivas a
tiempo.
Deberían establecerse procedimientos formales
de reporte y escalamiento de eventos. Todos los
empleados, contratistas y usuarios de terceras
partes deberían ser puestos al tanto de los
procedimientos para reportar los diversos tipos de
acontecimientos y debilidades que puedan tener
un impacto en la seguridad de activos de la
organización. A ellos se les debería exigir reportar
cualquier evento o debilidad de seguridad de la
información lo más rápidamente posible al punto
designado de contacto.
13.1.1 Reportando eventos de seguridad de la
información
Control
Los eventos de seguridad de la información
deberían ser reportados a través de los canales
apropiados de gestión tan pronto como sea
posible.
Guía de implementación
Debería establecerse un procedimiento formal
para el reporte de eventos de seguridad de la
información, junto con una respuesta al incidente
y un procedimiento de escalamiento, precisando
la acción que se tomará al momento de recibir un
informe de un evento de seguridad de la
información. Debería establecerse un punto de
contacto para el reporte de los eventos de
seguridad de la información. Debería asegurarse
que este punto de contacto se conoce en toda la
organización, está siempre disponible y puede
proporcionar respuesta adecuada y oportuna.
Todos los empleados, contratistas y usuarios de
terceros deberían ser advertidos de su
responsabilidad de reportar cualquier evento de
seguridad de la información lo más rápidamente
posible. Deberían también conocer el
procedimiento para reportar los eventos de
seguridad de la información y el punto de
contacto. Los procedimientos de reporte deberían
incluir:
a) procesos adecuados de realimentación para
asegurarse de aquellos que reportan eventos de
seguridad de la información están siendo
notificados de los resultados después que el
reporte se haya tratado y haya sido cerrado;
144
segurança da informação
Objetivo: Assegurar que fragilidades e eventos de
segurança da informação associados com sistemas
de informação sejam comunicados, permitindo a
tomada de ação corretiva em tempo hábil.
Convém que sejam estabelecidos procedimentos
formais de registro e escalonamento. Convém que
todos os funcionários, fornecedores e terceiros
estejam conscientes sobre os procedimentos para
notificação dos diferentes tipos de eventos e
fragilidades que possam ter impactos na segurança
dos ativos da organização. Convém que seja
requerido que os eventos de segurança da
informação e fragilidades sejam notificados, tão
logo quanto possível, ao ponto de contato
designado.
13.1.1 Notificação de eventos de segurança da
informação
Controle
Convém que os eventos de segurança da
informação sejam relatados através dos canais
apropriados da direção, o mais rapidamente
possível.
Diretrizes para Implementação
Convém que um procedimento de notificação
formal seja estabelecido para relatar os eventos de
segurança da informação, junto com um
procedimento de resposta a incidente e
escalonamento, estabelecendo a ação a ser
tomada ao se receber a notificação de um evento
de segurança da informação. Convém que um
ponto de contato seja estabelecido para receber as
notificações dos eventos de segurança da
informação. Convém que este ponto de contato
seja de conhecimento de toda a organização e
esteja sempre disponível e em condições de
assegurar uma resposta adequada e oportuna.
Convém que todos os funcionários, fornecedores e
terceiros sejam alertados sobre sua
responsabilidade de notificar qualquer evento de
segurança da informação o mais rapidamente
possível. Convém que eles também estejam
cientes do procedimento para notificar os eventos
de segurança da informação e do ponto de contato
designado para este fim. Convém que os
procedimentos incluam:
a) processos adequados de realimentação para
assegurar que os eventos de segurança da
informação relatados sejam notificados dos
resultados após a questão ter sido conduzida e
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
b) formatos para el reporte de eventos de
seguridad de la información como forma de
soporte a la acción de generación de reportes, y
para ayudar a la persona que reporta a recordar
todas las acciones necesarias en caso de un
evento de seguridad de la información;
c) el comportamiento correcto que se emprenderá
en caso de un evento de seguridad de la
información, es decir:
1) observando todos los detalles importantes
(por ejemplo, tipo del incumplimiento o
violación, mal funcionamiento que se
presenta, mensajes en la pantalla,
comportamiento extraño) inmediatamente;
2) no realizando ninguna acción propia, pero
inmediatamente reportar al punto de
contacto;
d) referencia a un proceso disciplinario formal
establecido para tratar con empleados,
contratistas o usuarios de terceros que cometen
eventos de seguridad.
En ambientes de alto riesgo, una alarma de
coerción1) puede ser proporcionada mediante la
cual una persona bajo coerción pueda indicar
tales problemas. Los procedimientos para
responder a las alarmas de coerción deberían
reflejar la situación de alto riesgo que tales
alarmas están indicando.
_______________
1)
Una alarma de coerción es un método para secretamente
indicar que una acción está ocurriendo bajo coerción.
Información adicional
Ejemplos de eventos e incidentes de seguridad
de la información son:
a) pérdida de servicio, de equipos o de
instalaciones;
b) mal funcionamiento o sobrecargas del sistema;
c) errores humanos;
d) no cumplimiento con políticas o pautas;
e) violaciones de las disposiciones de seguridad
física;
f) cambios de sistema no controlados;
g) mal funcionamiento de software o hardware;
145
concluída;
b) formulário para apoiar a ação de notificar um
evento de segurança da informação e ajudar as
pessoas a lembrar as ações necessárias para a
notificação do evento;
c) o comportamento correto a ser tomado no caso
de um evento de segurança da informação, como,
por exemplo:
1) anotar todos os detalhes importantes
imediatamente (por exemplo, tipo de não-
conformidade ou violação, mau
funcionamento, mensagens na tela,
comportamento estranho);
2) não tomar nenhuma ação própria, mas
informar imediatamente o evento ao ponto de
contato;
d) referência para um processo disciplinar formal
estabelecido para lidar com funcionários,
fornecedores ou terceiros que cometam violações
de segurança da informação.
Em ambientes de alto risco, podem ser fornecidos
alarmes de coação1) através do qual a pessoa que
está sendo coagida possa sinalizar o que está
ocorrendo. Convém que os procedimentos para
responder a alarmes de coação reflitam o alto risco
que a situação exige.
_______________
1)
Alarme de coação é um método usado para indicar, de forma
secreta, que uma ação está acontecendo sob coação.
Informações adicionais
Exemplos de eventos e incidentes de segurança da
informação são:
a) perda de serviço, equipamento ou recursos;
b) mau funcionamento ou sobrecarga de sistema;
c) erros humanos;
d) não-conformidade com políticas ou diretrizes;
e) violações de procedimentos de segurança física;
f) mudanças descontroladas de sistemas;
g) mau funcionamento de software ou hardware;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
h) violaciones de acceso.
Con el debido cuidado de los aspectos de
confidencialidad, los incidentes de seguridad de la
información se pueden utilizar en la formación de
conciencia del usuario (véase el Apartado 8.2.2)
como ejemplos de lo que podría suceder, cómo
responder a tales incidentes, y cómo evitarlos en
el futuro. Para poder atender eventos e incidentes
de seguridad de la información podría ser
necesario recoger evidencia cuanto antes
después de la ocurrencia (véase el Apartado
13.2.3).
Los desperfectos u otros comportamientos
anómalos del sistema pueden ser un indicador de
un ataque a la seguridad o de una violación real a
la seguridad y por lo tanto debería siempre
reportarse como un evento de seguridad de la
información.
Más información sobre el reporte de eventos de
seguridad de la información y gestión de los
incidentes de seguridad de la información se
puede encontrar en la norma ISO/IEC TR 18044.
13.1.2 Reportando debilidades de seguridad
Control
A todos los empleados, contratistas y usuarios de
terceros de sistemas y de los servicios de
información se les debería exigir observar y
reportar cualquier debilidad de seguridad vista o
sospechada en sistemas o servicios.
Guía de implementación
Todos los empleados, contratistas y usuarios de
terceros deberían reportar estos asuntos ya sea a
su gerencia o directamente a su proveedor de
servicios lo más rápidamente posible para
prevenir incidentes de seguridad de la
información. El mecanismo de reporte debería ser
sencillo, accesible, y disponible según sea
posible. Se les debería informar a ellos que, en
ninguna circunstancia, deberían intentar probar
una debilidad sospechada.
Información adicional
Los empleados, los contratistas y los usuarios de
terceros deberían ser aconsejados de no procurar
probar debilidades sospechadas de seguridad.
Pruebas de debilidades pueden ser interpretadas
como un potencial uso erróneo del sistema y
podrían también causar daño al sistema de
información o al servicio y resultar en una
responsabilidad legal para el individuo que
realizaba la prueba.
146
h) violação de acesso.
Considerando os cuidados com os aspectos de
confidencialidade, os incidentes de segurança da
informação podem ser utilizados em treinamento de
conscientização (ver 8.2.2) como exemplos do que
poderia ocorrer, como responder a tais incidentes e
como evitá-los futuramente. Para ser capaz de
destinar os eventos e incidentes de segurança da
informação adequadamente, pode ser necessário
coletar evidências tão logo quanto possível depois
da ocorrência (ver 13.2.3).
Um mau funcionamento ou outras anomalias de
comportamento de sistemas podem ser um
indicador de um ataque de segurança ou violação
de segurança e, portanto, convém que sempre
sejam notificados como um evento de segurança
da informação.
Mais informações sobre notificação de eventos de
segurança da informação e gestão de incidentes de
segurança da informação podem ser encontradas
na ISO/IEC TR 18044.
13.1.2 Notificando fragilidades de segurança da
informação
Controle
Convém que os funcionários, fornecedores e
terceiros de sistemas e serviços de informação
sejam instruídos a registrar e notificar qualquer
observação ou suspeita de fragilidade em sistemas
ou serviços.
Diretrizes para implementação
Convém que os funcionários, fornecedores e
terceiros notifiquem esse assunto o mais rápido
possível para sua direção ou diretamente ao seu
provedor de serviços, de forma a prevenir
incidentes de segurança da informação. Convém
que o mecanismo de notificação seja fácil,
acessível e disponível sempre que possível.
Convém que os usuários sejam informados que
não podem, sob nenhuma circunstância, tentar
averiguar fragilidade suspeita.
Informações adicionais
Convém que os funcionários, fornecedores e
terceiros sejam alertados para não tentarem
averiguar uma fragilidade de segurança da
informação suspeita. Testar fragilidades pode ser
interpretado como um uso impróprio potencial do
sistema e também pode causar danos ao sistema
ou serviço de informação, resultando em
responsabilidade legal ao indivíduo que efetuar o
teste.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
13.2 Gestión de incidentes y mejoras de
seguridad de la información
OBJETIVO: Asegurar que un enfoque constante y
eficaz se aplica a la gestión de los incidentes de
seguridad de la información.
deberían establecerse responsabilidades y
procedimientos para manejar eventos y
debilidades de seguridad de la información con
eficacia una vez que se hayan reportado. Un
proceso de mejora continua debería aplicarse a la
respuesta para la supervisión, evaluación, y
gestión general de incidentes de seguridad de la
información.
Cuando se requiera evidencia, la misma debería
ser recogida asegurando conformidad con
requisitos legales.
13.2.1 Responsabilidades y procedimientos
Control
Deberían establecerse las responsabilidades y los
procedimientos de gestión para asegurar una
respuesta rápida, eficaz, y ordenada a los
incidentes de seguridad de la información.
Guía de implementación
Además del reporte de los eventos y de las
debilidades de seguridad de la información (véase
también el Apartado 13.1), la supervisión de
sistemas, alarmas, y vulnerabilidades (10.10.2)
debería utilizarse para detectar incidentes de
seguridad de la información. Las siguientes
recomendaciones para procedimientos de gestión
de incidentes de seguridad de la información
deberían ser consideradas:
a) deberían establecerse procedimientos para
manejar diversos tipos de incidente de seguridad
de la información, incluyendo:
1) fallos del sistema de información y pérdida
de servicio;
2) código malicioso (véase el Apartado 10.4.1);
3) negación de servicio;
4) errores producidos por datos de negocio
incompletos o inexactos;
5) violaciones de la confidencialidad
integridad;
6) uso erróneo de los sistemas de información;
147
13.2 Gestão de incidentes de segurança da
informação e melhorias
Objetivo: Assegurar que um enfoque consistente e
efetivo seja aplicado à gestão de incidentes de
segurança da informação.
Convém que responsabilidades e procedimentos
estejam definidos para o manuseio efetivo de
eventos de segurança da informação e fragilidades,
uma vez que estes tenham sido notificados.
Convém que um processo de melhoria contínua
seja aplicado às respostas, monitoramento,
avaliação e gestão total de incidentes de segurança
da informação.
Convém que onde evidências sejam exigidas, estas
sejam coletadas para assegurar a conformidade
com as exigências legais.
13.2.1 Responsabilidades e procedimentos
Controle
Convém que responsabilidades e procedimentos
de gestão sejam estabelecidos para assegurar
respostas rápidas, efetivas e ordenadas a
incidentes de segurança da informação.
Diretrizes para implementação
Convém que, adicionalmente à notificação de
eventos de segurança da informação e fragilidades
(ver 13.1), o monitoramento de sistemas, alertas e
vulnerabilidades (10.10.2) seja utilizado para a
detecção de incidentes de segurança da
informação. Convém que as seguintes diretrizes
para procedimentos de gestão de incidentes de
segurança da informação sejam consideradas:
a) procedimentos sejam estabelecidos para
manusear diferentes tipos de incidentes de
segurança da informação, incluindo:
1) falhas de sistemas de informações e perda
de serviços;
2) código malicioso (ver 10.4.1);
3) denial of service (negação de serviço);
4) erros resultantes de dados incompletos ou
inconsistentes;
e
5) violações de confidencialidade e integridade;
6) uso impróprio de sistemas de informação;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002

b) además de planes de contingencia normales

(véase el Apartado 14.1.3), los procedimientos b) além dos planos de contingência (ver 14.1.3),
deberían también cubrir (véase también el convém que os procedimentos também considerem
Apartado 13.2.2): (ver 13.2.2):

1) análisis e identificación de la causa del

incidente; 1) análise e identificação da causa do incidente;

2) contención;
2) retenção;
3) la planificación e implementación de la
acción correctiva para prevenir la 3) planejamento e implementação de ação
repetición, en caso de necesidad; corretiva para prevenir a sua repetição, se
necessário;
4) comunicación con aquellos afectados por o
implicados en la recuperación del incidente; 4) comunicação com aqueles afetados ou
envolvidos com a recuperação do incidente;
5) reporte del evento a la autoridad apropiada;
5) notificação da ação para a autoridade
apropriada;
c) pistas de auditoría y evidencia similar deberían
recogerse (véase el Apartado 13.2.3) y c) convém que trilhas de auditoria e evidências
asegurarse, como sea apropiado, para: similares sejam coletadas (ver 13.2.3) e protegidas,
como apropriado, para:
1) análisis interno del problema;
1) análise de problemas internos;
2) uso como evidencia forense en lo referente
a una violación potencial de un contrato o 2) uso como evidência forense para o caso de
de un requisito regulador o en la uma potencial violação de contrato ou de
eventualidad de procesos civiles o normas
criminales, por ejemplo, bajo legislación de reguladoras ou em caso de delitos civis ou
abuso de sistemas o de protección de los criminais, por exemplo relacionados ao uso
datos; impróprio de computadores ou legislação de
proteção dos dados;
3) negociar una compensación por parte de
proveedores de software y de servicio; 3) negociação para compensação ou
ressarcimento por parte de fornecedores de
software e
serviços;
d) la acción para la recuperación de las
violaciones de la seguridad y la corrección de las d) convém que as ações para recuperação de
fallas del sistema debería estar cuidadosa y violações de segurança e correção de falhas do
formalmente controlada; los procedimientos sistema sejam cuidadosa e formalmente
deberían asegurar que: controladas; convém que os procedimentos
assegurem que:
1) solamente al personal claramente
identificado y autorizado se le permite el 1) apenas funcionários explicitamente
acceso a los sistemas en producción y a identificados e autorizados estejam liberados
sus datos (véase también el Apartado 6.2 para acessar sistemas e dados em produção
para el acceso externo); (ver 6.2 para acesso externo);

2) todas las medidas de urgencia tomadas se

documentan detalladamente;
3) las medidas de urgencia se reportan a la
dirección y se repasan de una manera
ordenada;
4) la integridad de los sistemas y de los
2) todas as ações de emergência sejam
documentadas em detalhe;
3) as ações de emergência sejam relatadas
para a direção e analisadas criticamente de
maneira ordenada;

148 10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
controles del negocio se confirma con un
retraso mínimo.
Los objetivos para la gestión de incidentes de
seguridad de la información se deberían acordar
con la dirección, y debería asegurarse que
aquellos responsables de esta gestión entienden
las prioridades de la organización para manejar
incidentes de seguridad de la información.
Información adicional
Los incidentes de seguridad de la información
pueden superar los límites de la organización y
los nacionales. Para responder a tales incidentes
existe una necesidad en aumento de coordinar
respuesta y compartir la información sobre estos
incidentes con organizaciones externas como sea
apropiado.
13.2.2 Aprendiendo de los incidentes de
seguridad de la información
Control
Deberían existir mecanismos establecidos para
permitir que los tipos, volúmenes y costos de los
incidentes de seguridad de la información sean
cuantificados y supervisados.
Guía de implementación
La información obtenida de la evaluación de
incidentes de seguridad de la información debería
ser usada para identificar incidentes recurrentes o
de alto impacto.
Información adicional
La evaluación de incidentes de seguridad de la
información puede indicar la necesidad de
mejorar o agregar controles para limitar la
frecuencia, daño y costo de futuras ocurrencias, o
para ser tomada en cuenta en el proceso de
revisión de la política de seguridad (véase el
Apartado 5.1.2).
13.2.3 Recolección de evidencia
Control
Cuando una acción de seguimiento contra una
persona u organización, después de un incidente
de seguridad de la información, implica una
acción legal (civil o criminal), se debería
recolectar, retener y presentar evidencia para
cumplir con las reglas de presentación de
evidencia en la(s) jurisdicción(es) relevante(s).
Guía de implementación
Deberían desarrollarse y seguirse procedimientos
internos al recoger y presentar la evidencia para
149
4) a integridade dos sistemas do negócio e
seus controles sejam validados na maior
brevidade.
Convém que os objetivos da gestão de incidentes
de segurança da informação estejam em
concordância com a direção e que seja assegurado
que os responsáveis pela gestão de incidentes de
segurança da informação entendem as prioridades
da organização no manuseio de incidentes de
segurança da informação.
Informações adicionais
Os incidentes de segurança da informação podem
transcender fronteiras organizacionais e nacionais.
Para responder a estes incidentes, cada vez mais
há a necessidade de resposta coordenada e troca
de informações sobre eles com organizações
externas, quando apropriado.
13.2.2 Aprendendo com os incidentes de
segurança da informação
Controle
Convém que sejam estabelecidos mecanismos
para permitir que tipos, quantidades e custos dos
incidentes de segurança da informação sejam
quantificados e monitorados.
Diretrizes para implementação
Convém que a informação resultante da análise de
incidentes de segurança da informação seja usada
para identificar incidentes recorrentes ou de alto
impacto.
Informações adicionais
A análise de incidentes de segurança da
informação pode indicar a necessidade de
melhorias ou controles adicionais para limitar a
freqüência, danos e custos de ocorrências futuras
ou para ser levada em conta quando for realizado o
processo de análise crítica da política de segurança
da informação (ver 5.1.2).
13.2.3 Coleta de evidências
Controle
Nos casos em que uma ação de acompanhamento
contra uma pessoa ou organização, após um
incidente de segurança da informação, envolver
uma ação legal (civil ou criminal), convém que
evidências sejam coletadas, armazenadas e
apresentadas em conformidade com as normas de
armazenamento de evidências da jurisdição(ões)
pertinente(s).
Diretrizes para implementação
Convém que procedimentos internos sejam
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
los propósitos de acción disciplinaria manejados
dentro de una organización.
En general, las reglas para manejo de evidencias
cubren:
a) admisibilidad de la evidencia: si la evidencia se
puede utilizar o no en la corte;
b) peso de evidencia: la calidad y lo completitud
de la evidencia.
Para alcanzar la admisibilidad de la evidencia, la
organización debería asegurarse de que sus
sistemas de información cumplen con cualquier
norma o código de práctica publicado para la
producción de evidencia admisible.
El peso de la evidencia proporcionado debería
estar de acuerdo con cualquier requisito aplicable.
Para lograr el peso de la evidencia, se debería
demostrar la calidad y cabalidad de los controles
empleados para proteger correcta y dos controles usados para proteger as evidências
consistentemente la evidencia (es decir, evidencia
del control del proceso) en todo el periodo en el
cual la evidencia por recuperar se almacenó y
procesó, mediante una pista sólida de la
evidencia. En general, dicha pista sólida se puede
establecer bajo las siguientes condiciones:
a) para los documentos en papel: el original se
guarda de manera segura con un registro de el
individuo que encontró el documento, donde fue
encontrado el documento, cuando el documento
fue encontrado y quién fue testigo del
descubrimiento; cualquier investigación debería
asegurarse de que las originales no sean
alterados;
b) para la información sobre medios de
computadora: las imágenes o las copias espejo
(dependiendo de requisitos aplicables) de
cualquier medio removible, información en discos
duros o en memoria deberían ser tomadas para
asegurar su disponibilidad; el registro de todas las
acciones durante el proceso de copiado debería
guardarse y el proceso debería efectuarse ante
testigos; los medios originales y el registro (si este
no es posible, por lo menos una imagen espejo o
copia) deberían guardarse de manera segura e
intactos.
Cualquier trabajo forense debería realizarse
solamente sobre copias del material de evidencia.
La integridad de todo el material de evidencia
debería ser protegida. La copia de material de
150
elaborados e respeitados para as atividades de
coleta e apresentação de evidências com o
propósito de ação disciplinar movida em uma
organização.
Em geral, as normas para evidências abrangem:
a) admissibilidade da evidência: se a evidência
pode ser ou não utilizada na corte;
b) importância da evidência: qualidade e inteireza
da evidência.
Para obter a admissibilidade da evidência, convém
que a organização assegure que seus sistemas de
informação estejam de acordo com qualquer norma
ou código de prática publicado para produção de
evidência admissível.
Convém que o valor da evidência esteja de acordo
com algum requisito aplicável. Para obter o valor da
evidência, convém que a qualidade e a inteireza
de forma correta e consistente (ou seja, o processo
de controle de evidências) durante todo o período
de armazenamento e processamento da evidência
sejam demonstradas por uma trilha forte de
evidência. Em geral, essa trilha forte de evidência
pode ser estabelecida sob as seguintes condições:
a) para documentos em papel: o original é mantido
de forma segura, com um registro da pessoa que o
encontrou, do local e data em que foi encontrado e
quem testemunhou a descoberta; convém que
qualquer investigação assegure que os originais
não foram adulterados;
b) para informação em mídia eletrônica: convém
que imagens espelho ou cópias (dependendo de
requisitos aplicáveis) de quaisquer mídias
removíveis, discos rígidos ou em memórias sejam
providenciadas para assegurar disponibilidade;
convém que o registro de todas as ações tomadas
durante o processo de cópia seja guardado e que o
processo seja testemunhado; convém que a mídia
original que contém a informação e o registro (ou,
caso isso não seja possível, pelo menos uma
imagem espelho ou cópia) seja mantido de forma
segura e intocável.
Convém que qualquer trabalho forense seja
somente realizado em cópias do material de
evidência.
Convém que a integridade de todo material de
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
evidencia debería supervisarse por personal
digno de confianza y debería registrarse
información sobre cuándo y dónde el proceso de
copiado fue ejecutado, quién realizó las
actividades de copiado y qué herramientas y
programas se han utilizado.
Información adicional
Cuando un acontecimiento de seguridad de la
información se detecta por primera vez, puede no
ser obvio si el acontecimiento dará lugar a una
acción legal o no. Por lo tanto, existe el peligro
que evidencia necesaria sea destruida
intencionalmente o accidentalmente antes que la
seriedad del incidente se observe. Es
recomendable implicar a un abogado o a la
policía temprano en cualquier demanda legal
contemplada y asesorarse sobre la evidencia
requerida.
La evidencia puede superar límites de la
organización y/o jurisdiccionales. En tales casos,
se debería asegurar que la organización tiene
derecho a recoger la información requerida como
evidencia. Los requisitos de diversas
jurisdicciones deberían también considerarse
para maximizar la posibilidad de admisión de la
misma a través de las jurisdicciones relevantes.
14 Gestión de la continuidad del negocio
14.1 Aspectos de seguridad de la información
en la gestión de la continuidad del negocio
OBJETIVO: Contrarrestar interrupciones a las
actividades del negocio y proteger los procesos
críticos del negocio contra los efectos de fallas
importantes en los sistemas de información o
contra desastres, y asegurar su restauración
oportuna.
Se debería implementar un proceso de gestión de
la continuidad del negocio para minimizar el
impacto y la recuperación por la pérdida de
activos de información en la organización (la cual
puede ser el resultado de, por ejemplo, desastres
naturales, accidentes, fallas del equipo y acciones
deliberadas) hasta un nivel aceptable mediante la
combinación de controles preventivos y de
recuperación. En este proceso es conveniente
identificar los procesos críticos para el negocio e
integrar los requisitos de la gestión de la
seguridad de la información de la continuidad del
negocio con otros requisitos de continuidad
relacionados con aspectos tales como
operaciones, personal, materiales, transporte e
instalaciones.
151
evidência seja preservada. Convém que o processo
de cópia de todo material de evidência seja
supervisionado por pessoas confiáveis e que as
informações sobre a data, local, pessoas,
ferramentas e programas envolvidos no processo
de cópia sejam registradas.
Informações adicionais
Quando um evento de segurança da informação é
detectado, pode não ser óbvio que ele resultará
num possível processo jurídico. Entretanto, existe o
perigo de que a evidência seja destruída
intencional ou acidentalmente antes que seja
percebida a seriedade do incidente. É conveniente
envolver um advogado ou a polícia tão logo seja
constatada a possibilidade de processo jurídico e
obter consultoria sobre as evidências necessárias.
As evidências podem ultrapassar limites
organizacionais e/ou de jurisdições. Nesses casos,
convém assegurar que a organização seja
devidamente autorizada para coletar as
informações requeridas como evidências. Convém
que os requisitos de diferentes jurisdições sejam
também considerados para maximizar as
possibilidades de admissão da evidência em todas
as jurisdições relevantes.
14 Gestão da continuidade do negócio
14.1 Aspectos da gestão da continuidade do
negócio, relativos à segurança da informação
Objetivo: Não permitir a interrupção das atividades
do negócio e proteger os processos críticos contra
efeitos de falhas ou desastres significativos, e
assegurar a sua retomada em tempo hábil, se for o
caso.
Convém que o processo de gestão da continuidade
do negócio seja implementado para minimizar um
impacto sobre a organização e recuperar perdas de
ativos da informação (que pode ser resultante de,
por exemplo, desastres naturais, acidentes, falhas
de equipamentos e ações intencionais) a um nível
aceitável através da combinação de ações de
prevenção e recuperação. Convém que este
processo identifique os processos críticos e integre
a gestão da segurança da informação com as
exigências da gestão da continuidade do negócio
com outros requisitos de continuidade relativo a tais
aspectos como operações, funcionários, materiais,
transporte e instalações.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Las consecuencias de desastres, fallas de
seguridad, pérdida del servicio y disponibilidad del
servicio se deberían someter a un análisis del
impacto en el negocio. Se deberían desarrollar e
implementar planes de continuidad del negocio
para garantizar la restauración oportuna de las
operaciones esenciales. La seguridad de la
información debería ser una parte integral de todo
el proceso de continuidad del negocio y de otros
procesos de gestión en la organización.
La gestión de la continuidad del negocio debería
incluir controles para la identificación y reducción
de riesgos, además del proceso general de
evaluación de riesgos, limitar las consecuencias
de los incidentes dañinos y garantizar la
disponibilidad de la información requerida para los
procesos del negocio.
14.1.1 Inclusión de la seguridad de la
información en el proceso de gestión de la
continuidad del negocio
Control
Se debería desarrollar y mantener un proceso de
gestión para la continuidad del negocio en toda la
organización el cual trate los requisitos de
seguridad de la información necesarios para la
continuidad del negocio de la organización.
Guía de implementación
El proceso debería reunir los siguientes
elementos clave para la gestión de la continuidad
del negocio:
a) comprensión de los riesgos que enfrenta la
organización en términos de la probabilidad y el
impacto en el tiempo, incluyendo la identificación
y la determinación de la prioridad de los procesos
críticos del negocio (véase el Apartado 14.1.2);
b) identificación de todos los activos involucrados
en los procesos críticos del negocio (véase el
Apartado 7.1.1);
c) comprensión del impacto que puedan tener las
interrupciones causadas por incidentes de
seguridad de la información (es importante
encontrar soluciones para manejar los incidentes
que producen impactos menores, así como los
incidentes graves que puedan amenazar la
viabilidad de la organización), y establecer los
objetivos del negocio para los servicios de
procesamiento de información;
152
Convém que as conseqüências de desastres,
falhas de segurança, perda de serviços e
disponibilidade de serviços estejam sujeitas a uma
análise de impacto nos negócios. Convém que os
planos de continuidade do negócio sejam
desenvolvidos e implementados para assegurar
que as operações essenciais sejam recuperadas
dentro da requerida escala de tempo. Convém que
a segurança da informação seja uma parte
integrante do processo global de continuidade de
negócios e a gestão de outros processos dentro da
organização.
Convém que a gestão da continuidade do negócio
inclua controles para identificar e reduzir riscos, em
complementação ao processo de análise/avaliação
de riscos global, limite as conseqüências aos danos
do incidente e garanta que as informações
requeridas para os processos do negócio estejam
prontamente disponíveis.
14.1.1 Incluindo segurança da informação no
processo de gestão da continuidade de negócio
Controle
Convém que um processo de gestão seja
desenvolvido e mantido para assegurar a
continuidade do negócio por toda a organização e
que contemple os requisitos de segurança da
informação necessários para a continuidade do
negócio da organização.
Diretrizes para implementação
Convém que este processo agregue os seguintes
elementos-chave da gestão da continuidade do
negócio:
a) entendimento dos riscos a que a organização
está exposta, no que diz respeito à sua
probabilidade e impacto no tempo, incluindo a
identificação e priorização dos processos críticos
do negócio (ver 14.1.2);
b) identificação de todos os ativos envolvidos em
processos críticos de negócio (ver 7.1.1);
c) entendimento do impacto que incidentes de
segurança da informação provavelmente terão
sobre os negócios (é importante que as soluções
encontradas possam tratar tanto os pequenos
incidentes, como os mais sérios, que poderiam
colocar em risco a continuidade da organização) e
estabelecimento dos objetivos do negócio dos
recursos de processamento da informação;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
d) consideración de la adquisición de pólizas de
seguros adecuadas que puedan formar parte de
todo el proceso de continuidad del negocio y de la
gestión de riesgos operativos;
e) identificación y consideración de la
implementación de controles preventivos y
mitigantes adicionales;
f) identificación de recursos financieros,
organizacionales, técnicos y ambientales
suficientes para tratar los requisitos identificados
de la seguridad de la información;
g) garantizar la seguridad del personal y la
protección de los servicios de procesamiento de
información y de la propiedad de la organización;
h) formulación y documentación de los planes de
continuidad del negocio que abordan los
requisitos de seguridad de la información acorde
con la estrategia acordada de continuidad del
negocio (véase el Apartado 14.1.3);
i) prueba y actualización regular de los planes y
procesos establecidos (véase el Apartado 14.1.5);
j) garantizar que la gestión de la continuidad del
negocio está incorporada en los procesos y la
estructura de la organización; la responsabilidad
por el proceso de gestión de la continuidad del
negocio se debería asignar en un nivel apropiado
en la organización (véase el Apartado 6.1.1).
14.1.2 Continuidad del negocio y evaluación
de riesgos
Control
Se deberían identificar los eventos que pueden
ocasionar interrupciones en los procesos del
negocio junto con la probabilidad y el impacto de
dichas interrupciones, así como sus
consecuencias para la seguridad de la
información.
Guía de implementación
Los aspectos de seguridad de la información en la
continuidad del negocio se deberían basar en la
identificación de los eventos (o secuencia de
eventos) que pueden causar interrupciones en los
procesos del negocio de la organización, por
ejemplo fallas de los equipos, errores humanos,
robo, desastres naturales y actos terroristas. Se
debería continuar con una evaluación de riesgos
para determinar la probabilidad y el impacto de
tales interrupciones, en términos de tiempo,
escala de daño y periodo de recuperación.
153
d) consideração de contratação de seguro
compatível que possa ser parte integrante do
processo de continuidade do negócio, bem como a
parte de gestão de risco operacional;
e) identificação e consideração da implementação
de controles preventivos e de mitigação;
f) identificação de recursos financeiros,
organizacionais, técnicos e ambientais suficientes
para identificar os requisitos de segurança da
informação;
g) garantia da segurança de pessoal e proteção de
recursos de processamento das informações e
bens organizacionais;
h) detalhamento e documentação de planos de
continuidade de negócio que contemplem os
requisitos de segurança da informação alinhados
com a estratégia da continuidade do negócio
estabelecida (ver 14.1.3);
i) testes e atualizações regulares dos planos e
processos implantados (ver 14.1.5);
j) garantia de que a gestão da continuidade do
negócio esteja incorporada aos processos e
estrutura da organização. Convém que a
responsabilidade pela coordenação do processo de
gestão de continuidade de negócios seja atribuída
a um nível adequado dentro da organização (ver
6.1.1).
14.1.2 Continuidade de negócios e
análise/avaliação de riscos
Controle
Convém identificar os eventos que podem causar
interrupções aos processos de negócio, junto a
probabilidade e impacto de tais interrupções e as
conseqüências para a segurança de informação.
Diretrizes para implementação
Convém que os aspectos da continuidade do
negócios relativos à segurança da informação
sejam baseados na identificação de eventos (ou
sucessão de eventos) que possam causar
interrupções aos processos de negócios das
organizações, por exemplo, falha de equipamento,
erros humanos, furto ou roubo, incêndio, desastres
naturais e atos terroristas. Em seguida, convém
que seja feita uma análise/avaliação de riscos para
a determinação da probabilidade e impacto de tais
interrupções, tanto em termos de escala de dano
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Las evaluaciones de riesgos para la continuidad
del negocio se deberían efectuar con la plena
participación de los dueños de los recursos y los
procesos del negocio. Estas evaluaciones
deberían considerar todos los procesos del
negocio sin limitarse a los servicios de
procesamiento de información, sino incluir los
resultados específicos para la seguridad de la
información. Es importante vincular en conjunto
todos los aspectos del riesgo para obtener un
panorama completo de los requisitos de
continuidad del negocio de la organización. La
evaluación debería identificar, cuantificar y
priorizar los riesgos frente a los criterios y los
objetivos pertinentes para la organización,
incluyendo los recursos críticos, impactos de las
interrupciones, duración permitida de corte y
prioridades de recuperación.
Dependiendo de los resultados de la evaluación
de riesgos, se debería desarrollar una estrategia
de continuidad del negocio para determinar el
enfoque global para la continuidad del negocio.
Una vez se ha creado esta estrategia, la dirección
debería aprobarla y se debería crear y respaldar
un plan para la implementación de esta
estrategia.
14.1.3 Desarrollo e implementación de planes
de continuidad que incluyan la seguridad de la
información
Control
Se deberían desarrollar e implementar planes
para mantener o restaurar las operaciones y
asegurar la disponibilidad de la información en el
grado y la escala de tiempo requeridos, después
de la interrupción o la falla de los procesos
críticos para el negocio.
Guía de implementación
En el proceso de planificación de la continuidad
del negocio se deberían considerar los siguientes
aspectos:
a) identificar y acordar todas las
responsabilidades y los procedimientos para la
continuidad del negocio;
b) identificar la pérdida aceptable de información
y servicios;
c) implementar los procedimientos que permitan
recuperar y restaurar las operaciones del negocio
y la disponibilidad de la información en las
escalas de tiempo requeridas; es necesario
atender la evaluación de las dependencias
internas y externas del negocio y de los contratos
154
quanto em relação ao período de recuperação.
Convém que as análises/avaliações de riscos da
continuidade do negócio sejam realizadas com total
envolvimento dos responsáveis pelos processos e
recursos do negócio. Convém que a
análise/avaliação considere todos os processos do
negócio e não esteja limitada aos recursos de
processamento das informações, mas inclua os
resultados específicos da segurança da
informação. É importante a junção de aspectos de
riscos diferentes, para obter um quadro completo
dos requisitos de continuidade de negócios da
organização. Convém que a análise/avaliação
identifique, quantifique e priorize os critérios
baseados nos riscos e os objetivos pertinentes à
organização, incluindo recursos críticos, impactos
de interrupção, possibilidade de ausência de tempo
e prioridades de recuperação.
Em função dos resultados da análise/avaliação de
riscos, convém que um plano estratégico seja
desenvolvido para se determinar a abordagem
mais abrangente a ser adotada para a continuidade
dos negócios. Uma vez criada a estratégia, convém
que ela seja validada pela direção e que um plano
seja elaborado e validado para implementar tal
estratégia.
14.1.3 Desenvolvimento e implementação de
planos de continuidade relativos à segurança
da informação
Controle
Convém que os planos sejam desenvolvidos e
implementados para a manutenção ou recuperação
das operações e para assegurar a disponibilidade
da informação no nível requerido e na escala de
tempo requerida, após a ocorrência de interrupções
ou falhas dos processos críticos do negócio.
Diretrizes para implementação
Convém que o processo de planejamento da
continuidade de negócios considere os seguintes
itens:
a) identificação e concordância de todas as
responsabilidades e procedimentos da
continuidade do negócio;
b) identificação da perda aceitável de informações
e serviços;
c) implementação dos procedimentos que permitam
a recuperação e restauração das operações do
negócio e da disponibilidade da informação nos
prazos necessários; atenção especial precisa ser
dada à avaliação de dependências externas ao
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
establecidos;
d) procedimientos operativos que se han de
seguir en espera de la terminación de la
recuperación y restauración;
e) documentación de procedimientos y procesos
acordados;
f) formación apropiada del personal en los
procedimientos y procesos acordados, incluyendo
el manejo de las crisis;
g) pruebas y actualización de los planes.
El proceso de planificación se debería centrar en
los objetivos requeridos del negocio, por ejemplo
la restauración de servicios de comunicación
específicos para los clientes en un lapso de
tiempo aceptable. Los servicios y recursos que lo
facilitan deberían identificarse, incluyendo el
personal, los recursos no relacionados con el
procesamiento de información, al igual que las
disposiciones de respaldo para los servicios de
procesamiento de información. Estas
disposiciones de respaldo pueden incluir arreglos
con terceras partes en forma de acuerdos
recíprocos o servicios de suscripción comercial.
Los planes de continuidad del negocio deberían
afrontar las vulnerabilidades de la organización y,
por lo tanto, pueden contener información
sensible que es necesario proteger
adecuadamente. Las copias de los planes de la
continuidad del negocio se deberían almacenar
en un lugar lejano, a suficiente distancia para
escapar a cualquier daño por algún desastre en la
sede principal. La dirección debería garantizar
que las copias de los planes de continuidad del
negocio están actualizadas y protegidas con el
mismo nivel de seguridad que se aplica en la
sede principal. De igual modo, el otro material
necesario para ejecutar los planes de continuidad
se debería almacenar en un sitio lejano.
Si se utilizan lugares alternos temporales, el nivel
de los controles de seguridad implementados en
estos lugares debería ser equivalente al de la
sede principal.
Información adicional
Es conveniente observar que los planes y las
actividades de la gestión de crisis (véase el
Apartado 14.1.3.f)) pueden ser diferentes de la
gestión de la continuidad del negocio; es decir, se
puede presentar una crisis que se pueda adaptar
con procedimientos de gestión normales.
14.1.4 Estructura para la planificación de la
155
negócio e de contratos existentes;
d) procedimentos operacionais que permitam a
conclusão de restauração e recuperação que
estejam pendentes;
e) documentação dos processos e procedimentos
acordados;
f) educação adequada de pessoas nos
procedimentos e processos definidos, incluindo o
gerenciamento de crise;
g) teste e atualização dos planos.
Convém que o processo de planejamento foque os
objetivos requeridos do negócio, por exemplo
recuperação de determinados serviços específicos
para os clientes, em um período de tempo
aceitável. Convém identificar os serviços e recursos
que facilitam isso, prevendo a contemplação de
pessoal e recursos em geral, além da tecnologia de
informação, assim como o procedimento de
recuperação dos recursos de processamento das
informações. Tais procedimentos de recuperação
podem incluir procedimentos com terceiros na
forma de um acordo de reciprocidade, ou um
contrato de prestação de serviços.
Convém que o plano de continuidade do negócio
trate as vulnerabilidades da organização, que pode
conter informações sensíveis e que necessitem de
proteção adequada. Convém que cópias do plano
de continuidade do negócio sejam guardadas em
um ambiente remoto, a uma distância suficiente
para escapar de qualquer dano de um desastre no
local principal. Convém que o gestor garanta que
as cópias dos planos de continuidade do negócio
estejam atualizadas e protegidas no mesmo nível
de segurança como aplicado no ambiente principal.
Convém que outros materiais necessários para a
execução do plano de continuidade do negócio
também sejam armazenados em local remoto.
Convém que, se os ambientes alternativos
temporários forem usados, o nível de controles de
segurança implementados nestes locais seja
equivalente ao ambiente principal.
Informações adicionais
Convém que seja destacado que as atividades e os
planos de gerenciamento de crise (ver 14.1.3 f))
possam ser diferentes de gestão de continuidade
de negócios, isto é, uma crise pode acontecer e ser
suprida através dos procedimentos normais de
gestão.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
continuidad del negocio
Control
Se debería mantener una sola estructura de los
planes de continuidad del negocio, para asegurar
que todos los planes son consistentes, y tratar de
forma consistente los requisitos de la seguridad
de la información, así como identificar las
prioridades para pruebas y mantenimiento.
Guía de implementación
Cada plan de continuidad del negocio debería
describir el enfoque para la continuidad, por
ejemplo el enfoque para garantizar la
disponibilidad y seguridad de la información o del
sistema de información. Igualmente, cada plan
debería especificar el plan de escalada y las
condiciones para su activación, así como las
personas responsables de ejecutar cada
componente del pan. Cuando se identifican
nuevos requisitos, todos los procedimientos de
emergencia existentes, por ejemplo planes de
evacuación o disposiciones de respaldo, se
deberían modificar apropiadamente. Los
procedimientos se deberían incluir en el programa
de gestión de cambios de la organización para
garantizar el tratamiento adecuado de los
aspectos de la continuidad el negocio.
Cada plan debería tener un dueño específico. Los
procedimientos de emergencia, los planes de
recursos de emergencia manuales y de
reanudación deberían ser responsabilidad de los
dueños de los recursos o procesos apropiados
del negocio involucrados. Las disposiciones de
respaldo para los servicios técnicos alternos,
como servicios de procesamiento de información
y comunicaciones, usualmente deberían ser
responsabilidad de los proveedores del servicio.
Una estructura para la planificación de la
continuidad del negocio debería abordar los
requisitos de seguridad de la información
identificados y considera los siguientes aspectos:
a) las condiciones para la activación de los planes
que describen el proceso a seguir (por ejemplo, la
forma de evaluar la situación y quién se va a
involucrar) antes de activar cada plan;
b) los procedimientos de emergencia que
describen las acciones por realizar tras un
incidente que ponga en peligro las operaciones
del negocio;
c) los procedimientos de respaldo que describen
las acciones por realizar para desplazar las
156
14.1.4 Estrutura do plano de continuidade do
negócio
Controle
Convém que uma estrutura básica dos planos de
continuidade do negócio seja mantida para
assegurar que todos os planos são consistentes,
para contemplar os requisitos de segurança da
informação e para identificar prioridades para
testes e manutenção.
Diretrizes para implementação
Convém que cada plano de continuidade do
negócio descreva o enfoque para continuidade, por
exemplo, o enfoque para assegurar a
disponibilidade e segurança do sistema de
informação ou da informação. Convém que cada
plano também especifique o plano de
escalonamento e as condições para sua ativação,
assim como as responsabilidades individuais para
execução de cada uma das atividades do plano.
Quando novos requisitos são identificados, é
importante que os procedimentos de emergência
relacionados sejam ajustados de forma apropriada,
por exemplo o plano de abandono ou o
procedimento de recuperação. Convém que os
procedimentos do programa de gestão de mudança
da organização sejam incluídos para assegurar que
os assuntos de continuidade de negócios estejam
sempre direcionados adequadamente.
Convém que cada plano tenha um gestor
específico. Convém que procedimentos de
emergência, de recuperação, manual de
planejamento e planos de reativação sejam de
responsabilidade dos gestores dos recursos de
negócios ou dos processos envolvidos. Convém
que procedimentos de recuperação para serviços
técnicos alternativos, como processamento de
informação e meios de comunicação, sejam
normalmente de responsabilidade dos provedores
de serviços.
Convém que uma estrutura de planejamento para
continuidade de negócios contemple os requisitos
de segurança da informação identificados e
considere os seguintes itens:
a) condições para ativação dos planos, os quais
descrevem os processos a serem seguidos (como
se avaliar a situação, quem deve ser acionado etc.)
antes de cada plano ser ativado;
b) procedimentos de emergência que descrevam
as ações a serem tomadas após a ocorrência de
um incidente que coloque em risco as operações
do negócio;
c) procedimentos de recuperação que descrevam
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
actividades esenciales del negocio o los servicios
de soporte a lugares temporales alternos y para
devolver la operatividad de los procesos del
negocio en los plazos requeridos;
d) los procedimientos operativos temporales por
seguir mientras se terminan la recuperación y la
restauración;
e) los procedimientos de reanudación que
describen las acciones por realizar para que las
operaciones del negocio vuelvan a la normalidad;
f) una programación de mantenimiento que
especifique cómo y cuándo se realizarán pruebas
al plan y el proceso para el mantenimiento del
plan;
g) actividades de concientización, educación y
formación diseñadas para comprender los
procesos de continuidad del negocio y garantizar
que los procesos siguen siendo eficaces;
h) las responsabilidades de las personas, que
describan quién es responsable de la ejecución
de cada componente del plan. Si se requiere, se
deberían nombrar suplentes;
i) los activos y recursos críticos necesarios para
ejecutar los procedimientos de emergencia,
respaldo y reanudación.
14.1.5 Pruebas, mantenimiento y
reevaluación de los planes de continuidad del
negocio
Control
Los planes de continuidad del negocio se
deberían someter a pruebas y actualizar
regularmente para asegurar su actualización y su
eficacia.
Guía de implementación
Las pruebas del plan de continuidad del negocio
deberían asegurar que todos los miembros del
equipo de recuperación y otro personal pertinente
son conscientes de los planes y sus
responsabilidades para la continuidad del negocio
y la seguridad de la información, y conocen su
función cuando se ejecuta un plan.
La programación de las pruebas para los planes
de continuidad del negocio debería indicar cómo y
cuándo se va a probar cada elemento del plan.
Cada uno de los elementos se debería probar con
frecuencia.
157
as ações necessárias para a transferência das
atividades essenciais do negócio ou os serviços de
infra-estrutura para localidades alternativas
temporárias e para a reativação dos processos do
negócio no prazo necessário;
d) procedimentos operacionais temporários para
seguir durante a conclusão de recuperação e
restauração;
e) procedimentos de recuperação que descrevam
as ações a serem adotadas quando do
restabelecimento das operações;
f) uma programação de manutenção que
especifique quando e como o plano deverá ser
testado e a forma de se proceder à manutenção
deste plano;
g) atividades de treinamento, conscientização e
educação com o propósito de criar o entendimento
do processo de continuidade de negócios e de
assegurar que os processos continuem a ser
efetivo;
h) designação das responsabilidades individuais,
descrevendo quem é responsável pela execução
de que item do plano. Convém que suplentes
sejam definidos quando necessário;
i) os ativos e recursos críticos precisam estar aptos
a desempenhar os procedimentos de emergência,
recuperação e reativação.
14.1.5 Testes, manutenção e reavaliação dos
planos de continuidade do negócio
Controle
Convém que os planos de continuidade do negócio
sejam testados e atualizados regularmente, de
forma a assegurar sua permanente atualização e
efetividade.
Diretrizes para implementação
Convém que os testes do plano de continuidade do
negócio assegurem que todos os membros da
equipe de recuperação e outras pessoas relevantes
estejam conscientes dos planos e de suas
responsabilidades para a continuidade do negócio
e a segurança da informação, e conheçam as suas
atividades quando um plano for acionado.
Convém que o planejamento e a programação dos
testes do(s) plano(s) de continuidade de negócios
indiquem como e quando cada elemento do plano
seja testado. Convém que os componentes
isolados do(s) plano(s) sejam freqüentemente
testados.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Es conveniente utilizar una variedad de técnicas
para garantizar que los planes funcionarán en
condiciones reales. Éstas incluirían:
a) la prueba sobre papel de varios escenarios
(analizando las disposiciones de recuperación
con ayuda de ejemplos de interrupciones);
b) las simulaciones (particularmente para la
formación del personal en sus funciones de
gestión de crisis / post-incidentes);
c) las pruebas de recuperación técnica
(garantizando que los sistemas de información se
pueden restaurar eficazmente);
d) las pruebas de recuperación en un lugar
alterno (ejecutando procesos del negocio en
paralelo con las operaciones de recuperación
fuera de la sede principal);
e) las pruebas de los recursos y servicios del
proveedor (asegurando que los servicios y
productos proporcionados externamente
cumplirán el compromiso contraído);
f) los ensayos completos (probando que la
organización, el personal, el equipo, las
instalaciones y los procesos pueden hacer frente
a las interrupciones).
Cualquier organización puede utilizar estas
técnicas. Éstas se deberían aplicar de forma
pertinente para el plan específico de
recuperación. Se deberían registrar los resultados
de las pruebas y, cuando sea necesario, tomar
las acciones para mejorar los planes.
Se debería asignar responsabilidad para las
revisiones regulares de cada plan de continuidad
del negocio. La identificación de los cambios en
las disposiciones del negocio que aún no se
reflejan en los planes de continuidad del negocio
debería ir seguida de una actualización adecuada
del plan. Este proceso formal de control de
cambios debería garantizar la distribución y el
refuerzo de los planes actualizados mediante
revisiones regulares del plan completo.
Los ejemplos de los cambios en donde se debería
considerar la actualización de los planes de
continuidad el negocio incluyen la adquisición de
equipos nuevos, la mejora de los sistemas y
cambios en:
a) el personal;
158
Convém que várias técnicas sejam utilizadas, de
modo a assegurar a confiança de que o(s) plano(s)
irá(ão) operar consistentemente em casos reais.
Convém que sejam considerados:
a) testes de mesa simulando diferentes cenários
(verbalizando os procedimentos de recuperação
para diferentes formas de interrupção);
b) simulações (particularmente útil para o
treinamento do pessoal nas suas atividades
gerenciais após o incidente);
c) testes de recuperação técnica (garantindo que
os sistemas de informação possam ser
efetivamente recuperados);
d) testes de recuperação em um local alternativo
(executando os processos de negócios em paralelo
com a recuperação das operações distantes do
local principal);
e) testes dos recursos, serviços e instalações de
fornecedores (assegurando que os serviços e
produtos fornecidos por terceiros atendem aos
requisitos contratados);
f) ensaio geral (testando se a organização, o
pessoal, os equipamentos, os recursos e os
processos podem enfrentar interrupções).
Estas técnicas podem ser utilizadas por qualquer
organização. Convém que elas reflitam a natureza
do plano de recuperação específico. Convém que
os resultados dos testes sejam registrados e ações
tomadas para a melhoria dos planos, onde
necessário.
Convém que a responsabilidade pelas análises
críticas periódicas de cada parte do plano seja
definida e estabelecida. Convém que a
identificação de mudanças nas atividades do
negócio que ainda não tenham sido contempladas
nos planos de continuidade de negócio seja
seguida por uma apropriada atualização do plano.
Convém que um controle formal de mudanças
assegure que os planos atualizados são
distribuídos e reforçados por análises críticas
periódicas do plano como um todo.
Os exemplos de mudanças onde convém que a
atualização dos planos de continuidade do negócio
seja considerada são a aquisição de novos
equipamentos, atualização de sistemas e
mudanças de:
a) pessoal;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
b) las direcciones o los números telefónicos;
c) la estrategia del negocio;
d) los lugares, dispositivos y recursos;
e) la legislación;
f) los contratistas, proveedores y clientes
principales;
g) los procesos existentes, nuevos o retirados;
h) los riesgos (operativos y financieros).
15 Cumplimiento
15.1 Cumplimiento de los requisitos legales
OBJETIVO: Evitar los incumplimientos de
cualquier ley, estatuto, regulación u obligación
contractual, y de cualquier requisito de seguridad.
El diseño, operación, uso y gestión de los
sistemas de información puede estar sujeto a
requisitos de seguridad estatutarios, reguladores
y contractuales.
Debería buscarse asesoramiento sobre requisitos
legales específicos de los asesores jurídicos de la
organización, o de profesionales del derecho
cualificados. Los requisitos legales varían de un
país a otro y pueden variar para la información
creada en un país y que se transmite a otro (es
decir, el flujo de datos trans-fronterizo).
15.1.1 Identificación de la legislación aplicable
Control
Todos los requisitos estatutarios, reguladores, y
contractuales relevantes y el enfoque de la
organización para cumplir estos requisitos
deberían ser definidos explícitamente,
documentados, y mantenidos al día para cada
sistema de información y para la organización.
Guía de implementación
Los controles específicos y responsabilidades
individuales para cumplir con los requisitos
anteriores deberían ser definidos y documentados
de manera similar.
15.1.2 Derechos de propiedad intelectual (IPR)
Control
Deberían implementarse los procedimientos
159
b) endereços ou números telefônicos;
c) estratégia de negócio;
d) localização, instalações e recursos;
e) legislação;
f) prestadores de serviços, fornecedores e clientes-
chave;
g) processos (inclusões e exclusões);
h) risco (operacional e financeiro).
15 Conformidade
15.1 Conformidade com requisitos legais
Objetivo: Evitar violações de quaisquer obrigações
legais, estatutárias, regulamentares ou contratuais,
e de quaisquer requisitos de segurança da
informação.
O projeto, a operação, o uso e a gestão de
sistemas de informação podem estar sujeitos a
requisitos de segurança contratuais,
regulamentares ou estatutários.
Convém que consultoria em requisitos legais
específicos seja procurada em organizações de
consultoria jurídica ou em profissionais liberais,
adequadamente qualificados nos aspectos legais.
Os requisitos legislativos variam de país para país
e também para a informação criada em um país e
transmitida para outro (isto é, fluxo de dados
transfronteira).
15.1.1 Identificação da legislação aplicável
Controle
Convém que todos os requisitos estatutários,
regulamentares e contratuais pertinentes, e o
enfoque da organização para atender a esses
requisitos, sejam explicitamente definidos,
documentados e mantidos atualizados para cada
sistema de informação da organização.
Diretrizes para implementação
Convém que os controles específicos e as
responsabilidades individuais para atender a estes
requisitos sejam definidos e documentados de
forma similar.
15.1.2 Direitos de propriedade intelectual
Controle
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
apropiados para asegurar el cumplimiento de los
requisitos legales, reguladores y contractuales
sobre el uso del material protegido por derechos
de propiedad intelectual, y sobre el uso de los
productos de software propietario.
Guía de implementación
Deberían considerarse las siguientes
recomendaciones para proteger cualquier
material que pueda ser considerado propiedad
intelectual:
a) publicar una política de cumplimiento de los
derechos de propiedad intelectual que defina el
uso legal de los productos de software e
información;
b) adquirir software sólo de fuentes conocidas y
de buena reputación, para asegurar que los
derechos de copia del software no han sido
violados;
c) mantener la concientización sobre los derechos
de copia del software y la política de
adquisiciones, publicando la intención de adoptar
medidas disciplinarias para el personal que los
viole;
d) mantener un registro apropiado de activos, e
identificar todos aquellos protegido por derecho
de propiedad intelectual;
e) mantener los documentos que acrediten la
propiedad de licencias, discos originales,
manuales, etc.;
f) implantar controles para asegurar que no se
sobrepasa el número máximo de usuarios
permitidos;
g) comprobar que sólo se instala software
autorizado y productos bajo licencia;
h) establecer una política de mantenimiento de
las condiciones adecuadas de licencia;
i) establecer una política de eliminación de
software o de su transferencia a terceros;
j) usar herramientas adecuadas de auditoría;
k) cumplir con los términos y condiciones de uso
del software y de la información obtenidos de
redes públicas;
l) no duplicar, ni convertir a otro formato o extraer
información de las grabaciones comerciales
160
Convém que procedimentos apropriados sejam
implementados para garantir a conformidade com
os requisitos legislativos, regulamentares e
contratuais no uso de material, em relação aos
quais pode haver direitos de propriedade intelectual
e sobre o uso de produtos de software
proprietários.
Diretrizes para implementação
Convém que as seguintes diretrizes sejam
consideradas para proteger qualquer material que
possa ser considerado como propriedade
intelectual:
a) divulgar uma política de conformidade com os
direitos de propriedade intelectual que defina o uso
legal de produtos de software e de informação;
b) adquirir software somente por meio de fontes
conhecidas e de reputação, para assegurar que o
direito autoral não está sendo violado;
c) manter conscientização das políticas para
proteger os direitos de propriedade intelectual e
notificar a intenção de tomar ações disciplinares
contra pessoas que violarem essas políticas;
d) manter de forma adequada os registros de ativos
e identificar todos os ativos com requisitos para
proteger os direitos de propriedade intelectual;
e) manter provas e evidências da propriedade de
licenças, discos-mestre, manuais etc.;
f) implementar controles para assegurar que o
número máximo de usuários permitidos não excede
o número de licenças adquiridas;
g) conduzir verificações para que somente produtos
de software autorizados e licenciados sejam
instalados;
h) estabelecer uma política para a manutenção das
condições adequadas de licenças;
i) estabelecer uma política para disposição ou
transferência de software para outros;
j) utilizar ferramentas de auditoria apropriadas;
k) cumprir termos e condições para software e
informação obtidos a partir de redes públicas;
l) não duplicar, converter para outro formato ou
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
(película, audio) con excepción de lo permitido
por los derechos de copia;
m) no copiar total o parcialmente, libros, artículos,
informes u otros documentos, con excepción de lo
permitido por los derechos de copia.
Información adicional
Los derechos de propiedad intelectual incluyen
software o documentos con derecho de copia,
derechos de diseño, marcas registradas, patentes
y código fuente licenciado.
Los productos de software propietario se suelen
entregar con un contrato de licencia que
especifica términos y condiciones del
licenciamiento, por ejemplo, limitar el uso de los
productos a máquinas específicas o limitar la
generación de copias únicamente a finalidades de
respaldo. La situación para el software
desarrollado por la organización en materia de
derechos de propiedad intelectual debería ser
clarificada con el personal.
Los requisitos legales, normativos y contractuales
pueden plantear restricciones a la copia de
material propietario. En particular pueden requerir
que sólo pueda utilizarse material desarrollado
por la organización o bien proporcionado por el
proveedor y bajo su licencia para la organización.
La infracción de derechos de copia puede
conducir a acciones legales que impliquen
procedimientos judiciales.
15.1.3 Protección de los registros de la
organización
Control
Se deberían proteger los registros importantes de
la organización frente a su pérdida, destrucción y
falsificación en acuerdo con los requisitos
estatutarios, reguladores, contractuales y del
negocio.
Guía de implementación
Los registros se deberían categorizar según el
tipo, como por ejemplo: registros contables,
registros de bases de datos, registros de
transacciones, registros de auditoría y registros de base de dados, registros de
procedimientos operativos, cada uno de los
cuales con los detalles de plazos de retención y
medios de almacenamiento como papel,
microfichas, medios magnéticos u ópticos).
Cualquier material relacionado con claves
criptográficas y programas asociados con
archivos cifrados o firmas digitales (véase el
Apartado 12.3), se debería guardar para permitir
el descifrado de los registros durante el tiempo
que los mismos son retenidos.
161
extrair de registros comerciais (filme, áudio) outros
que não os permitidos pela lei de direito autoral;
m) não copiar, no todo ou em partes, livros, artigos,
relatórios ou outros documentos, além daqueles
permitidos pela lei de direito autoral.
Informações adicionais
Direitos de propriedade intelectual incluem direitos
de software ou documento, direitos de projeto,
marcas, patentes e licenças de códigos-fonte.
Produtos de software proprietários são
normalmente fornecidos sob um contrato de
licenciamento que especifica os termos e
condições da licença, por exemplo, restringe o uso
dos produtos em máquinas especificadas ou limita
a cópia apenas para criação de uma cópia de
segurança. A questão relativa aos direitos de
propriedade intelectual de software desenvolvido
pela organização precisa ser esclarecida com as
pessoas.
Legislação, regulamentação e requisitos
contratuais podem estabelecer restrições para
cópia de material que tenha direitos autorais. Em
particular, pode ser requerido que somente material
que seja desenvolvido pela organização ou que foi
licenciado ou fornecido pelos desenvolvedores para
a organização seja utilizado. Violações aos direitos
de propriedade intelectual podem conduzir a ações
legais, que podem envolver processos criminais.
15.1.3 Proteção de registros organizacionais
Controle
Convém que registros importantes sejam
protegidos contra perda, destruição e falsificação,
de acordo com os requisitos regulamentares,
estatutários, contratuais e do negócio.
Diretrizes para implementação
Convém que registros sejam categorizados em
tipos de registros, tais como registros contábeis,
transações, registros de auditoria e procedimentos
operacionais, cada qual com detalhes do período
de retenção e do tipo de mídia de armazenamento,
como, por exemplo, papel, microficha, meio
magnético ou ótico. Convém que quaisquer chaves
de criptografia relacionadas com arquivos cifrados
ou assinaturas digitais (ver 12.3) sejam também
armazenadas para permitir a decifração de
registros pelo período de tempo que os registros
são mantidos.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
Se debería considerar la posibilidad de deterioro
de los medios utilizados para almacenar los
registros. Se deberían implantar procedimientos
para su almacenamiento y utilización de acuerdo
con las recomendaciones del fabricante. Para el
almacenamiento de larga duración, el uso del
papel y la microficha deberían ser considerados.
Donde se utilicen medios de almacenamiento
electrónico, se deberían incluir procedimientos
para asegurar la habilidad para acceder a los
datos (tanto al medio como a la lectura de los
formatos en sí) a través de todo el período de
retención, para salvaguardarlos contra su pérdida
debida a un cambio futuro de tecnología.
Se deberían elegir los sistemas de
almacenamiento tal que los datos requeridos
puedan recuperarse de manera aceptable en
tiempo y forma, dependiendo de los requisitos a
satisfacer.
El sistema de almacenamiento y utilización
debería asegurar una identificación clara de los
registros y de su periodo de retención según lo
definido por la legislación o las regulaciones
nacionales o regionales, si es aplicable. Este
debería permitir la destrucción apropiada de los
registros tras dicho periodo cuando ya no los
necesite la organización.
Para alcanzar los objetivos de salvaguardar los
registros, se deberían tomar las siguientes
medidas dentro de una organización:
a) deberían publicarse directrices sobre la
retención, almacenamiento, tratamiento
eliminación de los registros y la información;
b) debería establecerse un calendario de
retenciones que identifique los tipos esenciales de
registros y los períodos de tiempo que deberían
retenerse;
c) debería mantenerse un inventario de las
fuentes de información clave;
d) deberían implantarse los controles y medidas
apropiados para la protección de los registros y la
información contra su pérdida, destrucción o
falsificación.
Información adicional
Algunos registros podrían requerir ser
almacenados de manera segura tanto para
cumplir con requisitos estatutarios, reguladores o
contractuales, como para soportar actividades
162
Convém que cuidados sejam tomados a respeito
da possibilidade de deterioração das mídias usadas
no armazenamento dos registros. Convém que os
procedimentos de armazenamento e manuseio
sejam implementados de acordo com as
recomendações dos fabricantes. Convém que, para
o armazenamento de longo tempo, o uso de papel
e microficha seja considerado.
Onde mídias eletrônicas armazenadas forem
escolhidas, convém que sejam incluídos
procedimentos para assegurar a capacidade de
acesso aos dados (leitura tanto na mídia como no
formato utilizado) durante o período de retenção,
para proteger contra perdas ocasionadas pelas
futuras mudanças na tecnologia.
Convém que sistemas de armazenamento de
dados sejam escolhidos de modo que o dado
solicitado possa ser recuperado de forma aceitável,
dependendo dos requisitos a serem atendidos.
Convém que o sistema de armazenamento e
manuseio assegure a clara identificação dos
registros e dos seus períodos de retenção,
conforme definido pela legislação nacional ou
regional ou por regulamentações, se aplicável.
Convém que seja permitida a destruição apropriada
dos registros após esse período, caso não sejam
mais necessários à organização.
Para atender aos objetivos de proteção dos
registros, convém que os seguintes passos sejam
tomados dentro da organização:
y a) emitir diretrizes gerais para retenção,
armazenamento, tratamento e disposição de
registros e informações;
b) elaborar uma programação para retenção,
identificando os registros essenciais e o período
que cada um deve ser mantido;
c) manter um inventário das fontes de informações-
chave;
d) implementar controles apropriados para proteger
registros e informações contra perda, destruição e
falsificação.
Informações adicionais
Alguns registros podem precisar ser retidos de
forma segura para atender a requisitos estatutários,
contratuais ou regulamentares, assim como para
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
esenciales del negocio. Por ejemplo, los registros
que puedan requerirse para acreditar que la
organización opera dentro de las reglas
estatutarias o reguladoras, para asegurar una
defensa adecuada contra una posible acción civil
o penal, o bien para confirmar el estado financiero
de la organización respecto a los accionistas,
partes externas y auditores. La legislación
nacional u otras regulaciones podrían establecer
el plazo y contenido de la información a retener.
Información adicional sobre la gestión de registros
de una organización se puede encontrar en la
norma ISO 15489-1.
15.1.4 Protección de los datos y privacidad de
la información personal
Control
Debería asegurarse la protección y la privacidad
de los datos, de acuerdo con la legislación y las
regulaciones pertinentes, y si es aplicables, con
las Cláusulas contractuales.
Guía de implementación
Una política de protección y de privacidad de los
datos de la organización debería ser desarrollada
e implementada. Esta política se debería
comunicar a todas las personas implicadas en el
procesamiento de información personal.
El cumplimiento de esta política y de toda la
legislación y regulaciones relevantes a la
protección de los datos requiere una apropiada
estructura de gestión y control. Este objetivo
suele alcanzarse con mayor facilidad designando
una persona responsable, por ejemplo un oficial
de protección de datos, que oriente a los
directores, usuarios y proveedores de servicios
sobre sus responsabilidades individuales y sobre
los procedimientos específicos que deberían
seguirse. La responsabilidad de manejar la
información personal y de asegurar el
conocimiento de los principios de la protección de
los datos se debería establecer de acuerdo con la
legislación y las regulaciones relevantes. Se
deberían implementar medidas técnicas y
organizacionales apropiadas para proteger la
información personal.
Información adicional
Cierto número de países han introducido
legislación colocando controles en la recolección,
el procesamiento y transmisión de datos
personales (en general información de personas
vivas que pueden ser identificadas a raíz de dicha
información). Dependiendo de la respectiva
legislación nacional, estos controles pueden
163
apoiar as atividades essenciais do negócio.
Exemplo disso são os registros que podem ser
exigidos como evidência de que uma organização
opera de acordo com as regras estatutárias e
regulamentares, para assegurar a defesa
adequada contra potenciais processos civis ou
criminais ou confirmar a situação financeira de uma
organização perante os acionistas, partes externas
e auditores. O período de tempo e o conteúdo da
informação retida podem estar definidos através de
leis ou regulamentações nacionais.
Outras informações sobre como gerenciar os
registros organizacionais, podem ser encontradas
na ISO 15489-1.
15.1.4 Proteção de dados e privacidade de
informações pessoais
Controle
Convém que a privacidade e a proteção de dados
sejam asseguradas conforme exigido nas
legislações, regulamentações e, se aplicável, nas
Cláusulas contratuais pertinentes.
Diretrizes para implementação
Convém que uma política de privacidade e
proteção de dados da organização seja
desenvolvida e implementada. Convém que esta
política seja comunicada a todas as pessoas
envolvidas no processamento de informações
pessoais.
A conformidade com esta política e todas as
legislações e regulamentações relevantes de
proteção de dados necessita de uma estrutura de
gestão e de controles apropriados. Geralmente isto
é melhor alcançado através de uma pessoa
responsável, como, por exemplo, um gestor de
proteção de dados, que deve fornecer orientações
gerais para gerentes, usuários e provedores de
serviço sobre as responsabilidades de cada um e
sobre quais procedimentos específicos recomenda-
se seguir. Convém que a responsabilidade pelo
tratamento das informações pessoais e a garantia
da conscientização dos princípios de proteção dos
dados sejam tratadas de acordo com as legislações
e regulamentações relevantes. Convém que
medidas organizacionais e técnicas apropriadas
para proteger as informações pessoais sejam
implementadas.
Informações adicionais
Alguns países têm promulgado leis que
estabelecem controles na coleta, no
processamento e na transmissão de dados
pessoais (geralmente informação sobre indivíduos
vivos que podem ser identificados a partir de tais
informações). Dependendo da respectiva legislação
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
imponer obligaciones a quien recoja, procese y
transmita información personal, y pueden
restringir la posibilidad de transferir estos datos a
otros países.
15.1.5 Prevención del uso inadecuado de las
instalaciones de procesamiento de la
información
Control
Los usuarios deberían ser disuadidos de usar las
instalaciones de procesamiento de la información
para propósitos no autorizados.
Guía de implementación
La dirección debería aprobar el uso de
instalaciones de procesamiento de la información.
Cualquier uso de estas instalaciones para
propósitos ajenos al negocio o no autorizados, sin
la aprobación de la dirección (véase el Apartado
6.1.4), debería ser visto como uso impropio de los
recursos. Si cualquier actividad no autorizada se
identifica mediante supervisión u otros medios, se
debería poner en conocimiento del director
responsable para la consideración de la acción
disciplinaria y/o legal apropiada.
Debería solicitarse asesoría legal antes de la
implantación de procedimientos de supervisión.
Todos los usuarios deberían conocer el alcance
preciso de su acceso permitido y de los lugares
que son supervisados para detectar usos no
autorizados. Esto puede conseguirse mediante la
entrega a los usuarios de una autorización escrita
cuya copia debería firmar el usuario y ser retenida
en forma segura por parte de la organización.
Debería informarse a los empleados de la
organización, a los contratistas y a los usuarios
de terceras partes que no se permitirá otro
acceso que no sea el autorizado.
Al conectarse (log-on) en su puesto de trabajo, un
mensaje de advertencia debería indicar en la
pantalla que el sistema al que se entra es privado
y que no se permite el acceso no autorizado. El
usuario tiene que darse por enterado y reaccionar
de forma apropiada al mensaje para poder
continuar el proceso de conexión (véase el
Apartado 11.5.1).
Información adicional
Las instalaciones de procesamiento de la
información de una organización son
consideradas principalmente o exclusivamente
164
nacional, tais controles podem impor
responsabilidades sobre aqueles que coletam,
processam e disseminam informação pessoal, e
podem restringir a capacidade de transferência
desses dados para outros países.
15.1.5 Prevenção de mau uso de recursos de
processamento da informação
Controle
Convém que os usuários sejam dissuadidos de
usar os recursos de processamento da informação
para propósitos não autorizados.
Diretrizes para implementação
Convém que a direção aprove o uso de recursos de
processamento da informação. Convém que
qualquer uso destes recursos para propósitos não
relacionados ao negócio ou não autorizados, sem a
aprovação da direção (ver 6.1.4), ou para
quaisquer propósitos não autorizados, seja
considerado como uso impróprio desses recursos.
Se qualquer atividade não autorizada for
identificada por processo de monitoração ou outros
meios, convém que esta atividade seja levada ao
conhecimento do gestor responsável para que
sejam aplicadas as ações disciplinares e/ou legais
pertinentes.
Convém que se busque uma assessoria legal antes
da implementação dos procedimentos de
monitoração.
Convém que todos os usuários estejam
conscientes do escopo preciso de suas permissões
de acesso e da monitoração realizada para
detectar o uso não autorizado. Isto pode ser
alcançado pelo registro das autorizações dos
usuários por escrito, convém que a cópia seja
assinada pelo usuário e armazenada de forma
segura pela organização. Convém que os
funcionários de uma organização, fornecedores e
terceiros sejam informados de que nenhum acesso
é permitido com exceção daqueles que foram
autorizados.
No momento da conexão inicial, convém que seja
apresentada uma mensagem de advertência para
indicar que o recurso de processamento da
informação que está sendo usado é de propriedade
da organização e que não são permitidos acessos
não autorizados. O usuário tem que confirmar e
reagir adequadamente à mensagem na tela para
continuar com o processo de conexão (ver 11.5.1).
Informações adicionais
Os recursos de processamento da informação de
uma organização são destinados básica ou
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
para los propósitos del negocio.
La detección de intrusos, la inspección de
contenidos, y otras herramientas de supervisión
pueden ayudar a prevenir y a detectar el uso
inadecuado de las instalaciones de
procesamiento de la información.
Muchos países ya tienen legislación de protección
contra el mal uso de los recursos informáticos. El
uso de los mismos con fines no autorizados
puede constituir un delito penal.
La legalidad de la supervisión y el control del uso
de los recursos varía de un país a otro y puede
requerir que se avise de su existencia a los
empleados y/o que se requiera su
consentimiento. Cuando el sistema que es
accedido se utiliza para el acceso público (por
ejemplo, un servidor web público) y está sujeto a
supervisiones de seguridad, un mensaje debería
ser exhibido advirtiendo esto.
15.1.6 Regulación de los controles
criptográficos
Control
Deberían utilizarse controles criptográficos que
cumplan con todos los acuerdos, leyes, y
regulaciones relevantes.
Guía de implementación
Los siguientes puntos deberían considerarse para
el cumplimiento de los acuerdos, las leyes, y las
regulaciones relevantes:
a) restricciones en la importación y/o en la
exportación de hardware y de software para
realizar funciones criptográficas;
b) restricciones en la importación y/o en la
exportación de hardware y de software que se
diseña para tener funciones criptográficas
incluidas en él;
c) restricciones en el uso de cifrado;
d) métodos obligatorios o fijados a discreción de
acceso por parte de las autoridades de los países
a la información cifrada mediante hardware o
software para proporcionar la confidencialidad del
contenido.
Mediante el asesoramiento jurídico se debería
intentar asegurar el cumplimiento de leyes y
regulaciones nacionales. Antes que información
cifrada o controles criptográficos sean trasladados
a otro país, también debería tenerse en cuenta el
165
exclusivamente para atender aos propósitos do
negócio.
Ferramentas do tipo detecção de intrusos, inspeção
de conteúdo e outras formas de monitoração
podem ajudar a prevenir e detectar o mau uso dos
recursos de processamento da informação.
Muitos países têm legislação para proteger contra o
mau uso do computador. Pode ser crime usar um
computador para propósitos não autorizados.
A legalidade do processo de monitoração do uso
do computador varia de país para país e pode
requerer que a direção avise a todos os usuários
dessa monitoração e/ou que concordem
formalmente com este processo. Quando o sistema
estiver sendo usado para acesso público (por
exemplo, um servidor público web) e sujeito a uma
monitoração de segurança, convém que uma
mensagem seja exibida na tela informando deste
processo.
15.1.6 Regulamentação de controles de
criptografia
Controle
Convém que controles de criptografia sejam
usados em conformidade com todas as leis,
acordos e regulamentações pertinentes.
Diretrizes para implementação
Convém que os seguintes itens sejam
considerados para conformidade com leis, acordos
e regulamentações pertinentes:
a) restrições à importação e/ou exportação de
hardware e software de computador para execução
de funções criptográficas;
b) restrições à importação e/ou exportação de
hardware e software de computador que foi
projetado para ter funções criptográficas
embutidas;
c) restrições no uso de criptografia;
d) métodos mandatários ou discricionários de
acesso pelas autoridades dos países à informação
cifrada por hardware ou software para fornecer
confidencialidade ao conteúdo.
Convém que assessoria jurídica seja obtida para
garantir a conformidade com as legislações e leis
nacionais vigentes. Também convém que seja
obtida assessoria jurídica antes de se transferirem
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
asesoramiento jurídico.
15.2 Cumplimiento de la política y las normas
de seguridad, y cumplimiento técnico
OBJETIVO: Asegurar que los sistemas cumplen
con las normas y políticas de seguridad de la
organización.
La seguridad de los sistemas de información
debería ser revisada regularmente. Tales
revisiones se deberían realizar contra las políticas
de seguridad y las plataformas técnicas
apropiadas, los sistemas de información se
deberían auditar para cumplir con normas
aplicables de implantación de la seguridad y
controles documentados de la seguridad.
15.2.1 Cumplimiento de las políticas y normas
de seguridad
Control
Los directores deberían asegurarse que se
cumplen correctamente todos los procedimientos
de seguridad dentro de su área de
responsabilidad para lograr el cumplimiento de
políticas y normas de seguridad.
Guía de implementación
Los directores deberían revisar regularmente el
cumplimiento del procesamiento de la información
dentro de su área de responsabilidad con las
políticas de seguridad apropiadas, las normas, y
cualquier otro requisito de seguridad.
Si algún incumplimiento se encuentra como
resultado de la revisión, los directores deberían:
a) determinar las causas del incumplimiento;
b) evaluar la necesidad de acciones para
asegurar que no se repita el incumplimiento;
c) determinar e implementar las acciones
correctivas apropiadas;
d) revisar la acción correctiva tomada.
Los resultados de las revisiones y de las acciones
correctivas realizadas por los directores deberían
ser registrados y estos expedientes deberían ser
mantenidos. Los directores deberían reportar los
resultados a las personas que realizan las
166
informações cifradas ou controles de criptografia
para outros países.
15.2 Conformidade com normas e políticas de
segurança da informação e conformidade
técnica
Objetivo: Garantir conformidade dos sistemas com
as políticas e normas organizacionais de segurança
da informação.
Convém que a segurança dos sistemas de
informação seja analisada criticamente a intervalos
regulares. Convém que tais análises críticas sejam
executadas com base nas políticas de segurança
da informação apropriadas e que as plataformas
técnicas e sistemas de informação sejam auditados
em conformidade com as normas de segurança da
informação implementadas pertinentes e com os
controles de segurança documentados.
15.2.1 Conformidade com as políticas e normas
de segurança da informação
Controle
Convém que gestores garantam que todos os
procedimentos de segurança da informação dentro
da sua área de responsabilidade estão sendo
executados corretamente para atender à
conformidade com as normas e políticas de
segurança da informação.
Diretrizes para implementação
Convém que os gestores analisem criticamente, a
intervalos regulares, a conformidade do
processamento da informação dentro da sua área
de responsabilidade com as políticas de segurança
da informação, normas e quaisquer outros
requisitos de segurança.
Se qualquer não-conformidade for encontrada
como um resultado da análise crítica, convém que
os gestores:
a) determinem as causas da não-conformidade;
b) avaliem a necessidade de ações para assegurar
que a não-conformidade não se repita;
c) determinem e implementem ação corretiva
apropriada;
d) analisem criticamente a ação corretiva tomada.
Convém que os resultados das análises críticas e
das ações corretivas realizadas pelos gestores
sejam registrados e que esses registros sejam
mantidos. Convém que os gestores relatem os
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
revisiones independientes (véase el Apartado
6.1.8), cuando la revisión independiente se realice
en el área de su responsabilidad.
Información adicional
El seguimiento operacional del uso del sistema se
cubre en el Apartado 10.10.
15.2.2 Verificación del cumplimiento técnico
Control
Los sistemas de información deberían ser
revisados regularmente para verificar el
cumplimiento con las normas de implementación
de la seguridad.
Guía de implementación
La verificación del cumplimiento técnico debería
realizarse manualmente por un ingeniero de
sistemas experimentado (con apoyo de
herramientas de software apropiadas si es
necesario), y/o con la ayuda de herramientas
automatizadas que generen un informe técnico
para su posterior interpretación por parte de un
especialista técnico.
Si se utilizan pruebas de intrusión o evaluaciones
de vulnerabilidad, se debería tener cuidado pues
estas actividades podrían comprometer la
seguridad del sistema. Tales pruebas deberían
ser planificadas, documentadas y repetibles.
Cualquier verificación del cumplimiento técnico
debería realizarse solamente por las personas
competentes, autorizadas, o bajo supervisión de
tales personas.
Información adicional
La verificación del cumplimiento técnico
comprende la revisión de los sistemas
operacionales a fin de garantizar que los
controles de hardware y software hayan sido
correctamente implementados. Este tipo de
verificación de la conformidad requiere asistencia
técnica especializada.
La verificación del cumplimiento también
comprende, por ejemplo, pruebas de intrusión y
evaluación de vulnerabilidades, las cuales
podrían ser realizadas por expertos
independientes contratados específicamente con
este propósito. Esto puede resultar útil para la
detección de vulnerabilidades en el sistema y
para verificar la eficacia de los controles con
relación a la prevención de accesos no
autorizados posibilitados por las mismas.
Las pruebas de intrusión y la evaluación de
167
resultados para as pessoas que estão realizando a
análise crítica independente (ver 6.1.8), quando a
análise crítica independente for realizada na área
de sua responsabilidade.
Informações adicionais
A monitoração operacional de sistemas em uso é
apresentada em 10.10.
15.2.2 Verificação da conformidade técnica
Controle
Convém que sistemas de informação sejam
periodicamente verificados em sua conformidade
com as normas de segurança da informação
implementadas.
Diretrizes para implementação
Convém que a verificação de conformidade técnica
seja executada manualmente (auxiliada por
ferramentas de software apropriadas, se
necessário) por um engenheiro de sistemas
experiente, e/ou com a assistência de ferramentas
automatizadas que gerem relatório técnico para
interpretação subseqüente por um técnico
especialista.
Se o teste de invasão ou avaliações de
vulnerabilidades forem usados, convém que sejam
tomadas precauções, uma vez que tais atividades
podem conduzir a um comprometimento da
segurança do sistema. Convém que tais testes
sejam planejados, documentados e repetidos.
Convém que qualquer verificação de conformidade
técnica somente seja executada por pessoas
autorizadas e competentes, ou sob a supervisão de
tais pessoas.
Informações adicionais
A verificação da conformidade técnica envolve a
análise dos sistemas operacionais para garantir
que controles de hardware e software foram
corretamente implementados. Este tipo de
verificação de conformidade requer a assistência
de técnicos especializados.
A verificação de conformidade também engloba,
por exemplo, testes de invasão e avaliações de
vulnerabilidades, que podem ser executados por
especialistas independentes contratados
especificamente para este fim. Isto pode ser útil na
detecção de vulnerabilidades do sistema e na
verificação do quanto os controles são eficientes na
prevenção de acessos não autorizados devido a
estas vulnerabilidades.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
vulnerabilidades proporcionan una muestra de un
sistema en un estado y momento específico. La
muestra se limita a esas porciones del sistema
probado realmente durante el o los intentos de
penetración. Las pruebas de intrusión y la
evaluación de vulnerabilidades no son un
substituto para la evaluación de riesgo.
15.3 Consideraciones sobre la auditoría de
sistemas de información
OBJETIVO: Maximizar la efectividad de, y reducir
al mínimo la interferencia desde o hacia, el
proceso de auditoría del sistema de información.
Se deberían establecer controles para
salvaguardar los sistemas en producción y las
herramientas de auditoría durante las auditorías
del sistema de información.
También se requiere protección para
salvaguardar la integridad y evitar el mal uso de
las herramientas de auditoría.
15.3.1 Controles de auditoría de sistemas de
información
Control
Deberían planificarse cuidadosamente y Controle
acordarse los requisitos y actividades de auditoría
que impliquen verificaciones en los sistemas en
producción, para minimizar el riesgo de
interrupción de los procesos de negocio.
Guía de implementación
Las siguientes recomendaciones deberían
tenerse en cuenta:
a) deberían acordarse los requisitos de auditoría
con la dirección apropiada;
b) debería acordarse y controlarse el alcance de
las verificaciones;
c) las verificaciones se deberían limitar a accesos
de sólo lectura al software y a los datos;
d) otro acceso distinto a solo lectura, solamente
se debería permitir para copias aisladas de
archivos del sistema, que se deberían borrar
cuando se complete la auditoría, o bien brindar la
adecuada protección si hay obligación de
mantener tales archivos como requisito de
documentación de la auditoría;
e) los recursos para realizar comprobaciones
deberían ser explícitamente identificados y
puestos a disposición;
168
Teste de invasão e avaliação de vulnerabilidades
fornece um snapshot de um sistema em um estágio
específico para um tempo específico. O snapshot
está limitado para aquelas partes do sistema
realmente testadas durante a etapa da invasão. O
teste de invasão e as avaliações de
vulnerabilidades não são um substituto da
análise/avaliação de riscos.
15.3 Considerações quanto à auditoria de
sistemas de informação
Objetivo: Maximizar a eficácia e minimizar a
interferência no processo de auditoria dos sistemas
de informação.
Convém que existam controles para a proteção dos
sistemas operacionais e ferramentas de auditoria
durante as auditorias de sistema de informação.
Proteção também é necessária para proteger a
integridade e prevenir o uso indevido das
ferramentas de auditoria.
15.3.1 Controles de auditoria de sistemas de
informação
Convém que requisitos e atividades de auditoria
envolvendo verificação nos sistemas operacionais
sejam cuidadosamente planejados e acordados
para minimizar os riscos de interrupção dos
processos do negócio.
Diretrizes para implementação
Convém que as seguintes diretrizes sejam
observadas:
a) requisitos de auditoria sejam acordados com o
nível apropriado da administração;
b) escopo da verificação seja acordado e
controlado;
c) a verificação esteja limitada ao acesso somente
para leitura de software e dados;
d) outros acessos diferentes de apenas leitura
sejam permitidos somente através de cópias
isoladas dos arquivos do sistema, e sejam
apagados ao final da auditoria, ou dada proteção
apropriada quando existir uma obrigação para
guardar tais arquivos como requisitos da
documentação da auditoria;
e) recursos para execução da verificação sejam
identificados explicitamente e tornados disponíveis;
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002
f) los requisitos para procesos especiales o
adicionales deberían ser identificados y
acordados;
g) todo acceso se debería supervisar y registrar
para producir un histórico para referencia; se
debería considerar el uso de las pistas con
impresión horaria (time-stamped) en el histórico
para los datos o los sistemas críticos;
h) todos los procedimientos, requisitos y
responsabilidades deberían estar documentados;
i) la o las personas encargadas de la auditoría
deberían ser independientes de las actividades
auditadas.
15.3.2 Protección de las herramientas de
auditoría de sistemas de información
Control
Deberían protegerse los accesos a las
herramientas de auditoría de sistemas de
información para evitar cualquier posible mal uso
o el compromiso de las mismas.
Guía de implementación
Las herramientas de auditoría de sistemas de
información, por ejemplo, archivos de datos o
software, deberían estar separadas de los
sistemas en producción y de desarrollo y no se
mantendrán en bibliotecas de cintas o en áreas
de los usuarios, salvo que se les proporcione un
nivel apropiado de protección adicional.
Información adicional
Si terceras partes están involucradas en una
auditoría, pudo haber un riesgo de mal uso de las
herramientas de auditoría, y de la información
accedida por esta organización externa. Los
controles tales como los descritos en 6.2.1
(identificar los riesgos) y en 9.1.2 (restringir el
acceso físico) se pueden considerar para tratar
este riesgo, debería ser tomada en cuenta
cualquier consecuencia, como ser el cambio
inmediato de contraseñas que hayan sido
divulgadas a los auditores.
Anexo A
169
requisitos para processamento adicional ou
especial sejam identificados e acordados;
f) todo acesso seja monitorado e registrado de
forma a produzir uma trilha de referência; convém
que o uso de trilhas de referência (time stamped)
seja considerado para os sistemas ou dados
críticos;
g) todos os procedimentos, requisitos e
responsabilidades sejam documentados;
h) as pessoas que executem a auditoria sejam
independentes das atividades auditadas.
15.3.2 Proteção de ferramentas de auditoria de
sistemas de informação
Controle
Convém que o acesso às ferramentas de auditoria
de sistema de informação seja protegido, para
prevenir qualquer possibilidade de uso impróprio ou
comprometimento.
Diretrizes para implementação
Convém que acessos às ferramentas de auditoria
de sistemas de informação, por exemplo, software
ou arquivos de dados, sejam separados de
sistemas em desenvolvimento e em operação e
não sejam mantidos em fitas de biblioteca ou áreas
de usuários, a menos que seja dado um nível
apropriado de proteção adicional.
Informações adicionais
Quando terceiros estão envolvidos em uma
auditoria, existe um risco de mau uso de
ferramentas de auditoria por esses terceiros e da
informação que está sendo acessada por este
terceiro. Controles, tais como em 6.2.1 (para avaliar
os riscos) e 9.1.2 (para restringir o acesso físico),
podem ser considerados para contemplar este
risco, e convém que quaisquer conseqüências, tais
como trocar imediatamente as senhas reveladas
para os auditores, sejam tomadas.
10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002

(informativo)

Glosario en español / Glossário em espanhol

El glosario a seguir es pertinente solamente a la O glossário a seguir é pertinente somente à adoção

adopción de la Norma ISO/IEC 27002:2005 para da Norma ISO/IEC 27002:2005 para a língua
el idioma español. espanhola.

Batch - Un conjunto de datos o tareas ha ser procesadas en una única ejecución de un programa.

Bombas lógicas - Programas que provocan la ejecución de una serie de acciones, por lo general malignas,
cuando se cumple una determinada condición. Una fecha determinada, la pulsación de una serie de teclas o
un contador interno, son algunos de los disparadores más utilizados en este tipo de programas.

Buffer overflow - Un desbordamiento de búfer (buffer overflow) es un error de software que se produce
cuando se copia una cantidad más grande de datos sobre un área más pequeña sin interrumpir la operación,
sobreescribiendo otras zonas de memoria.

Caballos de Troya - Los caballos de Troya o troyanos son programas que, bajo una apariencia inofensiva,
esconden una acción dañina, como la destrucción de la información del computador atacado; el cambio de
permisos o derechos, y el robo de todo tipo de información (como direcciones de correo electrónico, claves,
etc.)

Code injection - Técnica mediante la cual se introduce código arbitrariamente en un proceso computacional
en ejecución.

Contrato o arreglo de escrow - Es aquel por el cual una empresa desarrolladora de software se
compromete a entregar el código fuente de un programa informático a un tercero, que se constituye en
depositario, que se obliga a conservarlo y proporcionárselo al contratista del programa solo en el caso de
que se den determinadas circunstancias.

EDI - Intercambio Electrónico de Datos (Electronic Data Interchange, EDI).

e-business - Negocio electrónico, (e-negocio), es cualquier proceso del negocio que sea brindado por un
sistema de información.

e-government - Gobierno electrónico (e-government), es el uso de las tecnologías de la información y el

conocimiento en los procesos internos de gobierno y en la entrega de los productos y servicios del gobierno
tanto a los ciudadanos como a la industria.

Fallback - Metodología de emergencia ante fallas que posibilitan la recuperación de información perdida.

Firewall - Dispositivo que se coloca entre dos redes. Controla todas las conexiones de entrada y salida,
evitando transmisiones no deseadas.

Flash disks - Módulos de almacenamiento constituidos por chips de memoria volátil.

Función hash o algoritmo hash - En informática, una función hash o algoritmo hash es una función o
método para generar claves o llaves que representen de manera unívoca a un documento, registro, archivo,
etc.

Gateway - Punto de una red que actúa como punto de entrada a otra red.

Gusanos (worms) - Los gusanos son programas que tienen como fin último propagarse mediante la
replicación de sí mismos, bien en la memoria de los sistemas o bien de computador en computador a través
de redes como Internet.

170 10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002

Hand-held device - Un dispositivo informático que se puede mantener fácilmente en una mano mientras
que la otra mano se utiliza para operarlo. Los dispositivos Palm son un ejemplo popular.

Host - Equipo conectado a una red de computadoras.

IDs - Nombre o identificación de usuario.

Log off - Procedimiento de desconexión o salida del sistema por parte de un usuario.

Log on - Procedimiento de conexión o entrada al sistema por parte de un usuario.

Logging - Registro de actividades en un archivo informático, de diferentes situaciones, se utiliza

normalmente como evidencia de auditoria.

Middleware - En sistemas computacionales distribuidos, middleware se define como la capa del software
entre el sistema operacional y las aplicaciones.

PIN - Número de identificación personal (Personal Identification Number). Número secreto asociado a una
persona o usuario de un servicio mediante el cual se accede al mismo.

Router - Dispositivo físico o lógico que garantiza la conexión entre redes.

Service packs - Parche (patch) o actualización de un programa cuyo fin es solucionar problemas o mejorar
la usabilidad de una versión previa de la aplicación.

Smart card - Una tarjeta inteligente (smart card), o tarjeta con circuito integrado (TCI), se define a cualquier
tarjeta del tamaño de un bolsillo con circuitos integrados incluidos. Aunque existe un diverso rango de
aplicaciones, hay dos categorías principales de TCI, las tarjetas de memoria que contienen sólo
componentes de memoria no volátil y posiblemente alguna lógica de seguridad; y las tarjetas
microprocesadoras que contienen memoria y microprocesadores.

Sniffer - Un packet sniffer es un programa de captura de las tramas de red .Generalmente se usa para
gestionar la red con una finalidad docente, aunque también puede ser utilizado con fines maliciosos.

Stakeholder - Un stakeholder hace referencia a los involucrados en un proyecto de alguna forma. Por
ejemplo: cliente, equipo de proyecto, accionistas, funcionarios, etc. Se utiliza también para referirse a la
"parte interesada".

Tokens - Dispositivos de hardware que posibilitan la generación aleatoria de claves de acceso.

UTC - Tiempo Universal Coordinado (Universal Time Co-ordinated)

UPS - Suministro de energía ininterrumpible.(Uninterruptable Power Supply)

Virus - Programas capaces de autoreproducirse copiándose en otro programa al que infectan, todo ello sin
conocimiento del usuario. Tienen la misión que les ha encomendado su programador, con lo que seria difícil
decir que los virus tienen una misión común. Lo único que tienen de parecido es que deben pasar
desapercibidos el máximo tiempo posible para poder cumplir su misión. Si es detectado, el usuario puede
eliminar el virus y controlar el contagio.

VPN - Red privada virtual, una tecnología de red que permite una extensión de la red local sobre una red
pública o no controlada, como por ejemplo Internet. (Virtual Private Networks).

171 10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002

Anexo B
(informativo)

Glosario en portugués / Glossário em português

El glosario a seguir es pertinente solamente a la O glossário a seguir é pertinente somente à adoção

adopción de la Norma ISO/IEC 27002:2005 para da Norma ISO/IEC 27002:2005 para a língua
el idioma portugués. portuguesa.

Os termos relacionados a seguir, com a respectiva descrição, foram mantidos na língua inglesa, por não
possuírem tradução equivalente para a língua portuguesa:

Back-up – cópias de segurança de arquivos.

BBS (Bulletin Board System) – sistema no qual um computador pode se comunicar com outros
computadores por meio de linha telefônica, como na Internet.

Buffer overflow/overrun – transbordamento de dados. Situação que ocorre quando dados em demasia são
aceitos na entrada de uma aplicação ou durante o processamento interno do sistema, ultrapassando a sua
capacidade de armazenamento.

Call back – retorno de chamada.

Call center – central de atendimento.

Call forwarding – encaminhamento de chamada.

Covert channel – canal de comunicações que permite o fluxo de informações de uma maneira que viole a
política de segurança do sistema.

Denial of service (negação do serviço) – impedimento do acesso autorizado aos recursos ou retardamento
de operações críticas por um certo período de tempo.

Dial up – serviço por meio do qual um computador pode usar a linha telefônica para iniciar e efetuar uma
comunicação com outro computador.

Display – dispositivo de apresentação de dados.

Download – descarregamento, transferência de arquivos entre computadores por meio de uma rede.

E-business – modalidade eletrônica de realização de transações de negócios.

EDI – Eletronic Data Interchange – intercâmbio eletrônico de dados.

E-government – modalidade eletrônica de realização de transações de negócios e prestação de serviços por

entidades governamentais.

Firewall – sistema ou combinação de sistemas que protege a fronteira entre duas ou mais redes.

Flash Disks – dispositivos de armazenamento de dados que utiliza circuitos integrados de memória não
volátil.

Gateway – equipamento que funciona como ponto de conexão entre duas redes.

Hacker – pessoa que tenta acessar sistemas sem autorização, usando técnicas próprias ou não, no intuito
de ter acesso a determinado ambiente para proveito próprio ou de terceiros. Dependendo dos objetivos da
ação, podem ser chamados de Cracker, Lammer ou BlackHat.

172 10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002

Hash – representação matemática única de um conjunto de dados (resumo de mensagem).

Help desk – fonte de suporte técnico aos usuários.

ISP – provedores de serviços de Internet.

Log-On – processo de identificação e autenticação de um usuário para permitir o seu acesso a um sistema.

Logging – registro do histórico de atividades realizadas ou de eventos ocorridos em um determinado sistema

ou processo.

Middleware – personalização de software; software de sistema que foi personalizado por um vendedor para
um usuário particular.

Need to know – conceito que define que uma só pessoa precisa acessar os sistemas necessários para
realizar a sua atividade.

Network worms (vermes de rede) – código malicioso autopropagável que pode ser distribuído
automaticamente de um computador para outro por meio de conexões de rede local ou pela Internet.
Um worm pode realizar ações perigosas, como consumir banda de rede e recursos locais.

Patch – correção temporária efetuada em um programa; pequena correção executada pelo usuário no
software, com as instruções do fabricante do software.

PDA – assistente digital pessoal.

PIN (Personal Identification Number) – número de identificação pessoal.

Program-to-program controls – controles entre programas.

Root – usuário administrador com privilégios irrestritos no sistema.

Run-to-run controls – controles entre execuções.

Scanners – periférico de digitalização de imagens e documentos.

Snapshot – retrato do estado de um sistema em um estágio específico.

Sniffer – um software ou dispositivo especializado que captura pacotes na rede.

Timestamp (carimbo de tempo) – registro temporal de um evento.

Tokens – Dispositivo físico para autenticação. Exemplos: token criptográfico, token de senha dinâmica,
token de memória, entre outros.

UTC – Coordinated Universal Time – Tempo Universal Coordenado.

Wireless – sistema de comunicação que não requer fios para transportar sinais.

173 10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002

Bibliografía / Bibliografia

ISO/IEC Guide 2: 1996, Standardization and Related Activities - General Vocabulary

ISO/IEC Guide 73:2002, Risk Management - Vocabulary - Guidance for Use in Standards

ISO/IEC 13335-1:2004, Information Technology - Security Techniques - Management of Information And

Communications Technology Security - Part 1: Concepts and Models for Information and Communications
Technology Security Management

ISO/IEC TR 13335-3:1998, Information Technology Guidelines for the Management of IT Security - Part 3:
Techniques for the Management of IT security

ISO/IEC 13888-1:1997, Information Technology - Security Techniques - Non-repudiation - Part 1: General

ISO/IEC 11770-1:1996, Information Technology - Security Techniques - Key Management - Part 1:

Framework

ISO/IEC 9796-2:2002, Information Technology - Security techniques - Digital Signatures Schemes Giving
Message Recovery - Part 2: Integer Factorization Based Mechanisms

ISO/IEC 9796-3:2000, Information Technology - Security Techniques - Digital Signatures Schemes Giving
Message Recovery - Part 3: Discrete Logarithm Based Mechanisms

ISO/IEC 14888-1:1998, Information technology - Security Techniques - Digital Signatures with Appendix -
Part 1: General

ISO/IEC 15408-1:1999, Information Technology - Security Techniques - Evaluation Criteria for IT Security -
Part 1: Introduction and General Model

ISO/IEC 14516:2002, Information Technology - Security Techniques - Guidelines for the use and
Management of Trusted Third Party Services

ISO 15489-1:2001, Information and Documentation - Records Management - Part 1: General

ISO 10007:2003, Quality Management Systems - Guidelines for Configuration Management

ISO/IEC 12207:1995, Information Technology - Software Life Cycle Processes

ISO 19011:2002, Guidelines for Quality and/or Environmental Management System Auditing

OECD Guidelines for the Security of Information Systems and Networks: "Towards a Culture of Security",
2002

OECD Guidelines for Cryptography Policy, 1997

IEEE P1363:2000 Standard Specifications for Public-Key Cryptography

ISO/IEC 18028-4, Information Technology - Security Techniques - IT Network Security - Part 4: Securing
Remote Access

ISO/IEC TR 18044, Information Technology - Security Techniques - Information Security Incident

Management

174 10.09.2007
Proyecto de Norma MERCOSUR/Projeto de Norma MERCOSUL 28:00-ISO/IEC 27002

ICS 35.040
Descriptores:
Palavras chave:
Número de páginas: 173

175 10.09.2007