En este video abordaremos un tema del curso con el fin de que te prepares muy bien para tu certificación
mundial este curso te prepara para tu vida laboral para entrevistas de trabajo y para al final poder
certificarse mundialmente demostrándolo en tu currículo.
Veamos la parte 6.1 de la norma correspondiente a los requisitos sobre las acciones para tratar riesgos
y oportunidades.
Este capítulo del curso trata sobre riesgos y su tratamiento.
Cuando vemos la familia ISO 27000 y la norma ISO 27000 3 determinamos qué es el documento que nos podría
ayudar en la parte de la implementación del Sistema de Seguridad de la información y adicionalmente
también en la planeación el análisis de los riesgos y su valoración.
Nos dirá si algo quedó bien definido nos dejará saber si los controles que están hoy en día pueden responder
a esos riesgos Veamos entonces los requisitos.
6 punto 1 punto 1.
Generalidades al planificar el Sistema de Gestión de Seguridad de la información.
La empresa debe considerar las cuestiones referidas en el numeral 4.1 y los requisitos a que se hace
referencia en el numeral 4.2 y determinar los riesgos y oportunidades que es necesario tratar.
Los requisitos del numeral 4.1 y 4.2 ya fueron tratados en el curso sólo para mantener un guión claro
de la norma son 4.1 conocimiento de la organización y de su contexto y 4.2 comprensión de las necesidades
y expectativas de las partes interesadas en la imagen anterior.
Resalte la palabra debe.
Esto es clave todo lo que en la norma dice debe es un requisito de implementación y auditoria.
Estos son entonces los bebes de esta parte de la norma a asegurarse de que el Sistema de Gestión de
Seguridad de la información pueda conseguir los resultados esperados.
Prevenir o reducir efectos indeseados se lograr la mejoría continua la empresa debe planificar acciones
para tratar estos riesgos y oportunidades y ve la manera de integrar e implantar estas acciones en sus
procesos del sistema de seguridad de la información.
Además evaluar la eficiencia de las acciones entonces la norma en su numeral 6 punto 1 punto 2 valoración
de riesgos de la seguridad de la información nos brinda los siguientes requisitos la empresa debe definir
y aplicar un proceso de valoración de riesgos de la seguridad de la información que establezca y mantenga
los criterios de los riesgos en la seguridad de la información.
Asegurarse de que las valoraciones repetidas de riesgos de la seguridad de la información produzcan
resultados consistentes válidos y comparables.
C identificar los riesgos de la seguridad de la información de analizar los riesgos de la seguridad
de la información evaluar los riesgos de seguridad de la información en este apartado se podrá observar
la oración que dice la organización debe conservar información documentada sobre el proceso de apreciación
de Riesgos de Seguridad de la información esto es parte fundamental de la documentación que se va a
pedir a la organización cuando se está llevando a cabo una auditoría.
Por ejemplo para la planeación del SGC y en este punto es donde nos damos cuenta que las cosas se están
realizando de manera apropiada 6 punto 1.3 tratamiento de los riesgos en este apartado.
También se habla de lo mismo se revisa la documentación de forma literal como se menciona y se debe
tener en cuenta cada parte del texto si no se aprecia lo solicitado en la documentación ya se ven indicios
de no cumplimientos o cosas por mejorar.
Esto es señal de no conformidad mayor en esta parte de la estructura del SGC y porque esto afecta el
sistema de seguridad de la información por eso se hace hincapié en esta parte de la lectura porque es
realmente importante que se tenga bien identificada para que al momento de llevar a cabo la auditoría
se sepa identificar una no conformidad mayor porque si en el plan de tratamiento de riesgos se pueden
apreciar este tipo de cosas se puede inferir que más adelante los controles no estarán bien definidos
miremos qué dice textualmente la norma la empresa debe definir y aplicar un proceso de tratamiento de
riesgos de la seguridad de la información para seleccionar las opciones apropiadas de tratamiento de
riesgos de la seguridad de la información se deben tener en cuenta los resultados de la valoración de
riesgos y determinar todos los controles que sean necesarios para implantar las opciones escogidas para
el tratamiento de riesgo de la seguridad de la información se producir una declaración de aplicabilidad
que contenga los controles necesarios y la justificación de las inclusiones ya sea que se implementen
o no y la justificación para las exclusiones de los controles del Anexo A de formular un plan de tratamiento
de riesgo de la seguridad de la información.
Obtener la aprobación del plan de tratamiento de riesgo de la seguridad de la Información y la aceptación
de los riesgos residuales de la seguridad de la información la empresa debe conservar información documentada
sobre el proceso de tratamiento de riesgos de la seguridad de la información el número 6 de la norma
es muy importante en un video explicaré un poco la declaración de aplicabilidad.
Este para mí es un conjunto muy importante de entender bien y de aplicar.