ISO 27005

ISO 27005 es el estándar internacional que se ocupa de la gestión de riesgos de seguridad de información. La norma suministra las directrices para la gestión de riesgos de seguridad de la información en una empresa, apoyando particularmente los requisitos del sistema de gestión de seguridad de la información definidos en ISO 27001.

ISO-27005 es aplicable a todo tipo de organizaciones que tengan la intención de gestionar los riesgos que puedan complicar la seguridad de la información de su organización. No recomienda una metodología concreta, dependerá de una serie de factores, como el alcance real del Sistema de Gestión de Seguridad de la Información (SGSI), o el sector comercial de la propia industria.

Los usuarios elijen el método que mejor se adapte para, por ejemplo, una evaluación de riesgos de alto nivel seguido de un análisis de riesgos en profundidad sobre las zonas de alto riesgo.

La norma incorpora algunos elementos iterativos, por ejemplo si los resultados de la evaluación no son satisfactorios.

ISO 27005 sustituyó a la Gestión de la Información y Comunicaciones Tecnología de Seguridad, la norma ISO / IEC TR 13335-3:1998 y la norma ISO / IEC TR 13335-4:2000.

Las secciones de contenido son:

• Prefacio.
• Introducción.
• Referencias normativas.
• Términos y definiciones.
• Estructura.
• Fondo.
• Descripción del proceso de ISRM.
• Establecimiento Contexto.
• Información sobre la evaluación de riesgos de seguridad (ISRA).
• Tratamiento de Riesgos Seguridad de la Información.
• Admisión de Riesgos Seguridad de la información.
• Comunicación de riesgos de seguridad de información.
• Información de seguridad Seguimiento de Riesgos y Revisión.
• Anexo A: Definición del alcance del proceso.
• Anexo B: Valoración de activos y evaluación de impacto.
• Anexo C: Ejemplos de amenazas típicas.
• Anexo D: Las vulnerabilidades y métodos de evaluación de la vulnerabilidad.
• Enfoques ISRA: Anexo E.

Se trata de un estándar que cuenta con una parte principal concentrada en 24 páginas, tambien cuenta con anexos en los que se incluye ejemplos y más información de interés para los usuarios.

En estos anexos podemos encontrar tabulados amenazas, vulnerabilidades e impactos, lo que puede resultar útil para abordar los riesgos relacionados con los activos de la información en evaluación.

La Plataforma Tecnológica ISOTools da cumplimiento a las directrices de la gestión del riesgo de la información, siendo una herramienta de fácil uso y amigable.