ESTÁNDARES ESPECIFICOS

1. ISO 27001: Esta norma contiene los requisitos del sistema de gestión de
seguridad de la información. Tiene su origen en la BS 7799-2:2002 y es la norma
con arreglo a la cual se certifican por auditores externos los SGSI de las
organizaciones. Enumera en forma de resumen los objetivos de control y controles
que desarrolla la ISO 27002. Esta norma internacional (27001) especifica los
requisitos para establecer, implantar, poner en funcionamiento, controlar, revisar,
mantener y mejorar un SGSI documentado dentro del contexto global de los riesgos
de negocio de la organización. Especifica los requisitos para la implantación de los
controles de seguridad hechos a medida de las necesidades de organizaciones
individuales o partes de las mismas
2. ISO 15504 (Spice): Sistema de calidad de productos software, combina ideas de
CMM e ISO 9000. Sus derivados: ISO 15504-2, modelo de madurez ISO 15504-3,
requisitos para evaluación de procesos ISO 15504-6, competencia, formación, etc.
Propósito Evaluación del proceso de Ingeniería Mejora de proceso de ingeniería
Determinación de capacidades (madurez) Dirigida a: Adquiridores Suministradores
Evaluadores Permite la evaluación de procesos software en organizaciones que
realicen alguna de las actividades del ciclo de vida del software.
3. ISO 12207: Este estándar "establece un marco de referencia común para los
procesos del ciclo de vida software, con una terminología bien definida, que puede
ser referenciada por la industria del software” Tiene como objetivo principal
proporcionar una estructura común para que compradores, proveedores,
desarrolladores, personal de mantenimiento, operadores, gestores y técnicos
involucrados en el desarrollo de software usen un lenguaje común. Contiene
procesos, actividades y tareas para aplicar durante la adquisición de un sistema que
contiene software, un producto software puro o un servicio software, y durante el
suministro, desarrollo, operación y mantenimiento de productos software.
4. ISO/IEC 17799 (denominada también como ISO 27002) es un estándar para la
seguridad de la información. Este estándar internacional de alto nivel para la
administración de la seguridad de la información, fue publicado por la ISO en
diciembre de 2000 con el objeto de desarrollar un marco de seguridad sobre el cual
trabajen las organizaciones. Se define como una guía en la implementación del
sistema de administración de la seguridad de la información, se orienta a preservar
los siguientes principios de la seguridad informática: Confidencialidad. Asegurar que
únicamente personal autorizado tenga acceso a la información. Integridad.
Garantizar que la información no será alterada, eliminada o destruida por entidades
no autorizadas.
Disponibilidad. Asegurar que los usuarios autorizados tendrán acceso a la
información cuando la requieran. TENDENCIAS DE LOS ESTÁNDARES Y DE LAS
MEJORES PRÁCTICAS. Es importante considerar la forma en que los estándares
y las mejores prácticas van evolucionando, además de conocer qué tanto ha
cambiado su uso por parte de las organizaciones. Se ha visto que existen procesos
de evolución como a continuación se menciona: Evolución en los estándares y
marcos referenciales de la madurez de procesos. Evolución de estándares de
administración de proyectos y de desarrollo de software comercial. Evolución de
estándares de software militar.

ESTÁNDARES DE AUDITORÍA DE SISTEMAS

Definen los requerimientos obligatorios para la auditoría de sistemas y la generación
de informes. Una auditoría se realiza con base a un patrón o conjunto de directrices
o buenas prácticas sugeridas. Existen estándares orientados a servir como base
para auditorías de informática. Uno de ellos es COBIT (Objetivos de Control de la
Tecnologías de la Información), dentro de los objetivos definidos como parámetro,
se encuentra el “Garantizar la Seguridad de los Sistemas”. Adicional a este estándar
podemos encontrar el estándar ISO 27002, el cual se conforma como un código
internacional de buenas prácticas de seguridad de la información, este puede
constituirse como una directriz de auditoría apoyándose de otros estándares de
seguridad de la información que definen los requisitos de auditoría y sistemas de
gestión de seguridad, como lo es el estándar ISO 27001