Hola en este video abordaremos un tema del curso con el fin de que te prepares muy bien para tu certificación
mundial miremos la parte IV de la norma que tiene que ver con el contexto la ISO veinti siete mil uno
especifica los requisitos para establecer implementar mantener y mejorar continuamente un sistema de
gestión de la seguridad de la información dentro del contexto de la organización la ISO veinti siete
mil uno.
Incluye también los requisitos para la valoración y el tratamiento de riesgos de seguridad de la información
adaptados a las necesidades de la organización.
La idea es determinar cuáles son las entidades externas e internas que deben ser escuchadas y tenidas
en cuenta.
Hay una nota de la determinación de los asuntos en lo que se refiere al establecimiento del contexto
interno y externo de la organización considerado en el apartado 5.3 de la norma ISO 31000 De este modo
se concluye que para el mismo análisis y gestión del riesgo esas amenazas se deben representar en algunas
partes y es con ellas que se debe tratar directamente cuando se habla de partes externas.
Se refiere a los temas de proveedores de clientes de socios de negocios existentes en toda la empresa
la idea es determinar cuáles son las entidades externas e internas que deben ser escuchadas y tenidas
en cuenta.
Hay una nota de la determinación de los asuntos en lo que se refiere al establecimiento del contexto
en lo interno y externo de la organización considerado en el apartado 5.3 de la norma ISO 31000 De este
modo se concluye que para el mismo análisis y gestión del riesgo esas amenazas se deben presentar en
algunas partes y es con ellas que se debe tratar directamente cuando se habla de partes externas.
Se refiere a los temas de proveedores de clientes de socios de negocios existentes en toda la empresa
se debe tener en cuenta y se le debe comunicar a esas entidades que deben realizar las mismas gestiones
de Seguridad de la información sobre los activos de información que se van a compartir o delegar y se
deben garantizar los mismos niveles de seguridad de la información ya que en algún momento se compartirá
información y ésta debe ser asegurada sobre todo si se terceriza información la idea es que se le dé
el mismo tratamiento a los activos información y en este sentido cuando se toca más el tema del alcance
el alcance se refiere a qué procesos tecnologías áreas físicas o sitios físicos que personas qué áreas
de personas y qué infraestructuras van a estar asociadas a este cumplimiento.
Cuando se observa una certificación ISO 9000 o ISO 27000 hay una parte de la certificación que habla
del alcance hay entidades que pueden llegar a certificar bajo la norma sus procesos o parte de ellos
cuando se va a definir el alcance de la auditoría.
Este especificará qué parte del SG ese se va a auditar porque a veces las auditorías son motivadas por
alguna necesidad específica o por alguna situación.
Por lo tanto puede darse la convocatoria a auditar una parte o todo el SGS y entonces cuando se habla
del alcance de los procesos es posible que se vean partes externas de asociados y éstas serán parte
del alcance.
De hecho cuando uno hace auditorías tanto en 27000 como en PC y se da mucho la situación de que la organización
amerite ciertas labores a terceros cuando ellos son parte del proceso es importante también conocer
al tercero o al proveedor ISO 27000 exige esto para la seguridad de la información en todo nivel y en
todas las instancias.
Esto para complementar también es importante tomar en cuenta que hay una parte que dicta el alcance
debe estar disponible como información documentada.
Más adelante se profundizará que hay una parte que especifica qué se debe revisar la documentación del
SG S.I inclusive hay una parte que habla del control de la documentación entonces es realmente importante
que la cita previamente dicha sea remarcada o resaltada.
Por qué es realmente importante solicitar la documentación correspondiente en la auditoría puede ocurrir
qué es la auditoría.
Al preguntar cuál es el alcance los que están en el contexto de la certificación lo definen se explican
los procesos de la organización pero como auditor es realmente importante cómo se definió el alcance
o cómo se concluyó que ese era es realmente muy necesario siempre pedir la documentación correspondiente.
Con eso también se puede garantizar que el sistema de alcance está bien definido las empresas deberán
establecer mantener y documentar un sistema de gestión de la seguridad de la información.
SG S y la organización debe determinar las cuestiones externas e internas que son pertinentes para su
propósito y que afectan su capacidad para lograr los resultados previstos de sus sistemas de gestión
de la seguridad de la información.
Para este propósito esta norma del proceso está basado en el modelo P.
H.
A..