Me noto hiperactiva: unas semanas tanto y otros meses tan poco. Pero es que no puedo dejar de compartir la exclusiva: el domingo pasado 15 de junio, que ya será el lunes, se ha publicado la norma ISO/IEC 27005:2008-06-15 (1st edition) Infomation technology - Security techniques-Information security risk management.
Ha costado sacarla, pero, al final, no ha quedao tan mal.
Antes de que algún despistado me pida una copia, que sepáis que es de pago, incluso para mi.
Esta es el blog personal de Paloma LLaneza. Gracias por visitarlo. Para comentarios, sugerencias o contactar conmigo: info[arroba]palomallaneza.com
Joseba Enjuto
Junio 20th, 2008 at 12:27
Hola,
La publicación se ha adelantado un poco, en la web de ISO figura con fecha de 2008-06-04.
Saludos,
Joseba
Paloma LLaneza
Junio 20th, 2008 at 19:13
Gracias, Joseba. La verdad es que sólo visito la parte privada de la web
y de las publicaciones me entero por la secretaría del 27 que es quien nos ha dado la fecha de publicación.
¿Qué te ha parecido la norma?
Javier Cao Avellaneda
Junio 23rd, 2008 at 12:26
El contenido de la norma me parece tan necesario y claro para el mercado que por fin parece que “todos” vamos a tener que entender lo mismo por hacer un “análisis y gestión de riesgo”.
Es un problema en la implantación de la ISO 27001 que cada empresa o consultor entiendan a su manera el “análisis de riesgos”. Contar con Magerit venía sirviendo como una referencia clara pero los criterios de estimación y la filosofía de modelado de activos seguían siendo un tema donde cada técnico tiene que componerselas como puede. He leído la norma pero para coger bien todos los detalles deberé pasar por ella varias veces. Me parecen interesantísimos todos los anexos.
Renato Aquilino Pujol
Junio 26th, 2008 at 16:41
Buenas tardes de semifinal. Espero que pasemos a la final y que no sea el final, aquí el género del sustantivo implica muchas cosas, sin que haga falta que Bibiana nos ilumine. Bueno, tras esta patética reflexión (se admiten tomates) paso a preguntaros por la recién nacida ISO 27005.
¿ Está influenciada por alguna otra metodología/s ? Se había lado de varias fuentes, pero dado que no tengo todavía la Norma en mis manos no he podido empezar a buscar similitudes. ¿ Las habeis encontrado vosotros/as ?
Saludos desde las nieves perpetuas de Santapola.
javier cao
Junio 27th, 2008 at 22:13
Yo si he podido leerla pero solo le he dado una pasada. Me gusta de cabo a rabo. Deja los conceptos elementales bien atados (Activo, amenaza, vulnerabilidad, impacto, riesgo) y lo interesante de una norma sin entrar a juzgar diferentes formas de cumplir los requisitos. Por tanto, establece lo que deberá “cumplir una buena metodología”. Respecto a MAGERIT 2.0 por ejemplo, si noto diferencias también justificadas por el paso del tiempo. Por ejemplo, ahora se extiende el concepto de gestión del riesgo. En MAGERIT había tres grandes fases: planificación, análisis y gestión. En ISO 27005 ahora estarian:
* context establishment
* risk assessment
* risk treatment
* risk acceptance
* risk communication, and
* risk monitoring and review.
Puedes leer algo en más en la nota de prensa de ISO en http://www.iso.org/iso/pressrelease.htm?refid=Ref1139