Cumplimiento Glosario

Los controles administrativos caracterizan los factores humanos de seguridad que involucran a todos los niveles de personal dentro de una empresa y determinan qué usuarios están autorizados a acceder a qué recursos e información mediante medios tales como: – Se proporciona a los empleados programas de capacitación y concientización – Las empresas deben estar preparadas para desastres y tener planes de recuperación – Estrategias de separación…

La firma electrónica avanzada es una firma digital que identifica de forma unívoca al firmante mediante un certificado avanzado. Las claves de firma son utilizadas con un alto grado de confianza por el firmante (quien posee la clave en exclusiva). Según el Reglamento eIDAS, una firma electrónica se considera avanzada si cumple con varios requisitos…

Un activo puede ser intangible (por ejemplo, personas, datos, software, información, capacidad, función, marca registrada, servicio, derechos de autor, imagen, patente, propiedad intelectual o reputación) o tangible (por ejemplo, un elemento físico como hardware, plataforma informática, firmware, dispositivo de red u otros componentes tecnológicos). El valor de un activo lo deciden las partes interesadas en caso de que se produzca un evento de…

Un equipo de TI mantiene un inventario de activos para garantizar que proporciona a la organización los recursos de TI que necesita de forma rentable y eficiente. Los datos de los activos almacenados en este inventario incluyen ubicación, usuarios, rendimiento, mantenimiento y soporte, documentación, licencias, etapa del ciclo de vida, cumplimiento normativo, coste y más. Los activos de TI pueden incluir: hardware, servidores, etc.

La planificación de la continuidad del negocio (BCP, por sus siglas en inglés) es el procedimiento para crear sistemas preventivos y de recuperación que contrarresten posibles ciberamenazas a una empresa o garanticen la continuidad de los procesos en caso de un ciberataque. El objetivo secundario de la BCP es asegurar la continuidad operativa antes y durante la recuperación ante desastres. La planificación implica personal…

La información clasificada de seguridad nacional, también conocida como información clasificada, se refiere a la información que cuenta con alguna orden predecesora que exige protección contra la divulgación no autorizada o que ha sido regulada de conformidad con la Orden Ejecutiva 12958, enmendada por la Orden Ejecutiva 13292, y que está marcada para especificar su estatus de clasificada cuando se presenta en formato documental.

Los controles de ciberseguridad son mecanismos diseñados específicamente para prevenir, detectar y reducir los ciberataques y las amenazas a los datos, incluidos los sistemas de prevención de intrusiones y la mitigación de ataques DDoS.

El objetivo fundamental del control de acceso en la tríada CIA es preservar y garantizar la confidencialidad, la integridad y la accesibilidad de los sistemas, la información y los recursos.

Las acciones correctivas son pasos metódicos que toma una organización para cerrar brechas, corregir errores o resolver otros problemas que se han encontrado dentro del programa de seguridad de la empresa y para los cuales también se ha identificado la causa subyacente o raíz.

Los controles correctivos entran en acción una vez detectado un problema o incidente de seguridad de la información. Estos controles tienen como objetivo realizar mejoras, corregir fallos y orientar las acciones correctivas.

Un equipo de apoyo para la gestión de crisis es un grupo de expertos en ciberseguridad responsable de identificar y abordar las crisis dentro de una empresa. Sus tareas incluyen evaluar los acontecimientos actuales, identificar los riesgos potenciales y minimizar las consecuencias.

Un equipo de gestión de crisis es un grupo de expertos en ciberseguridad responsable de identificar y abordar las crisis dentro de una empresa. Sus tareas incluyen evaluar los acontecimientos actuales, identificar los riesgos potenciales y minimizar las consecuencias. 

La infraestructura crítica describe los activos físicos y los sistemas informáticos que son tan vitales para la empresa que su destrucción o inoperatividad tendría un impacto devastador en la seguridad económica o física, o en la salud y la seguridad públicas.

Todo material, incluidos dispositivos, documentos o equipos, que contenga información criptográfica y sea esencial para la autenticación, el cifrado o el descifrado de las telecomunicaciones.

Las técnicas criptográficas se utilizan para garantizar la confidencialidad e integridad de los datos frente a un adversario. Durante la transmisión y el almacenamiento de los datos, se pueden emplear diversos métodos criptográficos, como la criptografía de clave pública y la criptografía de clave simétrica, en función de las necesidades de seguridad y las amenazas existentes.

 Todo material, incluidos dispositivos, documentos o equipos, que contenga información criptográfica y sea esencial para la autenticación, el cifrado o el descifrado de las telecomunicaciones.

La clasificación de datos es un método para categorizar y definir archivos y otra información empresarial crítica según su nivel de confidencialidad. Se utiliza principalmente en grandes corporaciones para crear sistemas de seguridad que cumplen con estrictas normas de seguridad, pero también resulta eficaz en entornos más pequeños.

La recuperación de datos es el método para restaurar datos que se han perdido, dañado, borrado accidentalmente o vuelto inaccesibles. En el ámbito de la informática empresarial, la recuperación de datos generalmente se refiere a la restauración de datos en un ordenador de escritorio, servidor, portátil o sistema de almacenamiento externo a partir de una copia de seguridad existente.

La restauración de datos es el proceso de recuperar copias de seguridad de datos almacenados en un dispositivo secundario y restaurarlas en una nueva ubicación o en su ubicación original. Una restauración se realiza para trasladar datos a una nueva ubicación o para devolver a su estado original los datos robados, perdidos o dañados.

Los controles de detección son los componentes principales de un programa de ciberseguridad, ya que brindan visibilidad sobre brechas de seguridad, actividades maliciosas y ataques al entorno de TI de una empresa. Estos controles incluyen monitoreo continuo, registro de eventos y alertas que facilitan una gestión eficaz de TI.

Los controles disuasorios son mecanismos administrativos (como políticas, normas, procedimientos, leyes, directrices y reglamentos) que se utilizan para orientar la aplicación de la seguridad dentro de una empresa.

Un certificado digital puede describirse como un archivo electrónico vinculado a un par de claves criptográficas para autenticar la identidad de una persona, sitio web, dispositivo, organización, usuario o servidor. También se conoce como certificado de identidad o certificado de clave pública.

Una firma digital es una técnica matemática que se utiliza para establecer la autenticidad e integridad de un software, un mensaje o un documento digital. Es el equivalente digital de un sello o una firma manuscrita, pero ofrece una seguridad intrínseca mucho mayor.

Eventos críticos como ciberataques, desastres naturales (terremotos, inundaciones, etc.) o fallas de hardware como enrutadores o servidores que afectan las actividades de una empresa.

Tras eventos como un ciberataque, un desastre natural o incluso interrupciones en la actividad empresarial, la recuperación ante desastres es el método que utiliza una organización para recuperar el acceso y el control de su infraestructura de TI. Se implementan diversos métodos de recuperación ante desastres (DR) como parte de un plan de recuperación ante desastres. La DR es un aspecto crucial de la continuidad del negocio.

“Registro electrónico” significa registro, datos o datos generados, audio o imágenes almacenados, recibidos o compartidos en formato electrónico o en microfichas o microfilm generados por computadora.

Una firma electrónica, o e-firma, autentica que la persona que afirma haber creado un mensaje es quien lo creó. Una firma puede definirse como una capa adicional de autenticación y seguridad, como un esquema que identifica a una persona.

Una evaluación de brechas de seguridad es un análisis exhaustivo de las defensas de seguridad de una empresa frente a diversas formas de ciberataques. Su objetivo es identificar las deficiencias entre su estado de seguridad actual y el estado deseado, teniendo en cuenta también los estándares específicos del sector.

Un certificado digital es una especie de "contraseña" electrónica que permite a una persona u organización compartir datos de forma segura a través de internet mediante la infraestructura de clave pública (PKI). También se le conoce como certificado de identidad o certificado de clave pública.

La recuperación interna se refiere a la recuperación de un servidor físico dedicado o de un servidor interno durante la replicación de datos o en caso de desastre.

Los derechos de acceso son los permisos que un usuario individual o una aplicación de una organización tiene para leer, escribir, eliminar, modificar o acceder de cualquier otra forma a un archivo informático, cambiar la configuración o añadir o eliminar aplicaciones. El administrador de tecnología de una organización puede configurar los permisos para archivos, carpetas, servidores o aplicaciones específicas en el equipo.

Un activo de información es un conjunto de datos definido y gestionado como una entidad única, de manera que pueda ser comprendido, protegido, compartido y utilizado eficazmente, y que tenga un valor, contenido, riesgo y ciclos de vida manejables y reconocibles.

La gestión de activos de información, también conocida como IAM, se refiere a los activos de información de la organización (incluidos sus metadatos y datos) y constituye un área clave de enfoque para los programas EIM y la gobernanza de la información dentro de una organización.

La tríada CIA es un modelo ampliamente aceptado que las empresas utilizan para evaluar sus capacidades de seguridad y el riesgo en caso de un ciberataque. La confidencialidad es un conjunto de reglas implementadas para limitar el acceso a la información, mientras que la integridad es la garantía de que la información es precisa y confiable, y la disponibilidad es la garantía de un acceso fiable a la misma.

Un SGSI (Sistema de Gestión de Seguridad de la Información) es un conjunto de procedimientos y políticas para gestionar sistemáticamente la información confidencial de una empresa. Su objetivo es detectar y minimizar los riesgos, garantizando la continuidad del negocio mediante la mitigación proactiva del impacto de una brecha de seguridad.

La sensibilización sobre la norma ISO 27001 se refiere al conocimiento y la comprensión que tiene el personal de su organización sobre el cumplimiento normativo de la ISO 27001 y sus componentes. Esta sensibilización ayuda a capacitar al personal sobre riesgos, amenazas, incidentes y violaciones de seguridad, y les enseña cómo tratar datos, software y activos confidenciales. También les ayuda a trabajar de manera eficiente durante las violaciones de seguridad y a mitigar los riesgos.

La planificación de la continuidad del negocio (BCP) según la norma ISO 27001 forma parte del objetivo general de dicha norma: proporcionar un marco de seguridad de la información sólido y fiable para su organización. Se refiere al enfoque estructurado para mantener la capacidad de una organización de continuar sus operaciones comerciales de manera eficiente durante y después de una crisis de seguridad. Los pasos clave que implica…

La norma ISO 27001 sobre destrucción de datos es un componente integral del marco general que aborda la gestión de datos al desechar los datos personales y confidenciales de su organización. La norma especifica que los datos recopilados deben borrarse cuando ya no cumplen su propósito y nunca deben recuperarse. A continuación, se detallan los pasos a seguir…

La norma ISO 27001 se divide en 14 dominios. Esta división proporciona un enfoque más estructurado hacia un marco integral, y cada dominio aborda una parte significativa de los objetivos. Los dominios de la ISO 27001 son: Estos dominios garantizan que el personal, los datos, los controles y los sistemas…

Los KPI de la norma ISO 27001 miden la eficiencia y la eficacia del SGSI de su empresa. Estas mediciones o métricas se pueden utilizar para evaluar la eficacia de la respuesta a incidentes, el control de acceso y otras prácticas de su empresa. Estas métricas revelan las áreas que deben operarse con un nivel de eficiencia aceptable. A continuación, se presentan algunos de los KPI: Otros…

El plan de tratamiento de riesgos ISO 27001 es un componente del marco general de la norma ISO 27001 que aborda el tratamiento y la implementación de planes en su empresa con respecto a los riesgos de seguridad identificados. Este plan es crucial para su organización, ya que le permite diseñar estrategias para mitigar cualquier riesgo potencial y reducir el tiempo de inactividad, las pérdidas financieras, etc.

La formación en sensibilización sobre seguridad según la norma ISO 27001 es fundamental para el objetivo general de seguridad de dicha norma. De acuerdo con el marco de referencia, todos los empleados de la empresa, ya sean contratistas o autónomos, deben recibir formación y capacitación en sensibilización, además de actualizaciones periódicas sobre las políticas y los procedimientos de la organización. Asimismo, esto depende de la función laboral. Generalmente, la formación en sensibilización sobre seguridad se imparte a…

Las métricas de seguridad ISO 27001 son fundamentales para comprender el desempeño y el progreso de su empresa en relación con los estándares de cumplimiento del SGSI. Estas métricas permiten a su organización medir el éxito diariamente y proporcionan un método sencillo para el cumplimiento normativo. Aspectos clave de las métricas de seguridad ISO 27001: Estas métricas ayudan a su empresa a tomar decisiones…

Una auditoría ISO de terceros es un examen realizado por un organismo independiente para evaluar cómo su organización aplica e implementa las medidas recomendadas. En este caso, se audita la implementación de la seguridad en su empresa, así como su eficacia y eficiencia. Las auditorías de terceros verifican su organización y examinan su cumplimiento con los estándares de un marco de referencia aceptado a nivel mundial. Proporcionan…

La formación de auditor líder proporciona la experiencia y las habilidades necesarias para realizar una auditoría de un Sistema de Gestión de la Seguridad de la Información (SGSI) mediante la implementación de procedimientos, principios y técnicas de auditoría ampliamente reconocidos.

El proceso legal es cualquier notificación o auto formal emitido por un tribunal para obtener jurisdicción sobre una persona u organización mediante citación, mandato, requerimiento judicial y orden judicial. 

Los controles lógicos son el sistema automatizado que gestiona la capacidad de una persona para acceder a uno o más recursos, como una estación de trabajo, una aplicación, una red o una base de datos. Un sistema de control de acceso lógico requiere la autenticación de la identidad de un individuo mediante algún mecanismo, como un sistema biométrico, una tarjeta con número de identificación personal (PIN) u otros tokens. Se pueden establecer diferentes privilegios de acceso…

Los controles de gestión son acciones que se implementan para administrar el desarrollo, el mantenimiento y el uso del sistema, incluidos los procedimientos, las políticas y reglas de comportamiento específicas del sistema, la responsabilidad individual, las funciones y responsabilidades individuales y las decisiones de seguridad del personal.

Los procedimientos obligatorios explican las normas sobre cómo los empleados, socios, consultores, miembros del consejo de administración y otros usuarios finales acceden a los recursos de Internet y las aplicaciones en línea, comparten datos a través de redes y, en general, practican una seguridad responsable.

El personal de seguridad está físicamente presente para proteger propiedades, personas, bienes o cualquier otra cosa contra la amenaza de entrada, robo, agresión o daños criminales.

Los casos en los que un empleado u otra persona de confianza accede incidentalmente a información sin que ello cause ningún daño pueden considerarse sucesos no relacionados con la información.

En el contexto de la norma ISO 27001, la no repudiación es uno de los cinco pilares de la garantía de la información. Se refiere a la imposibilidad de negar la validez de algo y proporciona prueba del origen e integridad de los datos. La no repudiación se garantiza mediante la firma digital y/o el cifrado.

Una empresa corre el riesgo de incumplir la norma si no cumple con los requisitos de la norma ISO 27001, es decir, si la documentación de actuación en caso de incidente especifica un proceso que la organización no está siguiendo; o si una organización no está cumpliendo con los requisitos contractuales en sus relaciones con terceros.

Las medidas de seguridad organizativas y técnicas comprenden aquellas destinadas a proteger los datos personales contra la pérdida accidental, la alteración, la destrucción ilícita, el acceso no autorizado o la divulgación, en particular cuando el tratamiento implica datos a través de una red, en tránsito, y contra cualquier otra forma ilícita de tratamiento.

Los controles organizativos reducen o mitigan el riesgo para los activos de la organización, incluyendo personas, propiedades y datos, e incluyen cualquier tipo de política, técnica, procedimiento, método, solución, acción, plan o dispositivo diseñado para ayudar a lograr ese objetivo.

El ciclo Planificar-Hacer-Verificar-Actuar (PDCA/PDSA) es un enfoque simple y eficaz con un bucle continuo de planificación, ejecución, verificación (o estudio) y actuación, y generalmente se utiliza para probar medidas de mejora a menor escala antes de ampliar los procedimientos y las prácticas de trabajo.

Un sistema de archivo de datos personales es cualquier conjunto estructurado de información personal a la que se puede acceder según criterios específicos, ya sea descentralizado, centralizado o disperso sobre una base funcional o geográfica.

Cualquier entidad corporativa que trate, posea o maneje "datos personales sensibles" o información similar debe mantener prácticas y procedimientos de seguridad estándar relacionados con dichos datos.

En la práctica, las organizaciones deben: – Definir claramente el propósito de la recopilación de datos personales y su intención; – Especificar sus propósitos cumpliendo con las obligaciones de documentación; – Cumplir con las obligaciones de transparencia para comunicar a las personas sobre sus propósitos para la recopilación de datos personales; y – Asegurarse de que si planea divulgar o utilizar datos personales para cualquier…

La evaluación cualitativa de riesgos es el proceso de identificar riesgos y analizar su impacto en un proyecto. Los gestores de proyectos pueden priorizar los riesgos según su probabilidad e impacto, al tiempo que detectan las principales áreas de exposición y mejoran la comprensión de los riesgos del proyecto.

La evaluación cuantitativa de riesgos proporciona caracterizaciones numéricas del riesgo y se basa principalmente en el uso de buenos métodos, técnicas y modelos de las diversas disciplinas empleadas por el Cuerpo de Ingenieros del Ejército de EE. UU. (USACE). Por lo tanto, comprende un buen análisis económico, de ingeniería y ambiental.

El Objetivo de Tiempo de Recuperación (OTR) es el período de tiempo durante o después de un desastre que puede transcurrir sin que una empresa restablezca sus procesos o servicios a niveles aceptables antes de experimentar consecuencias insoportables asociadas con la interrupción.

Durante los dos o tres meses que su empresa aún esté desarrollando su sistema de calidad, deberá comenzar a buscar un organismo de certificación ISO en la Junta Nacional de Acreditación ANSI-ASQ (ANAB) para seleccionar el más adecuado. Los organismos de certificación deben cumplir con los requisitos de los organismos de acreditación ISO.

La capacidad de un sistema o componente para funcionar bajo condiciones específicamente establecidas durante un período de tiempo determinado.

El riesgo residual es el riesgo al que se enfrenta una empresa una vez que se han implementado las medidas de seguridad.

La ciberresiliencia es la capacidad de una empresa para impulsar la aceleración del negocio (resiliencia empresarial) mediante la preparación, la lucha contra las ciberamenazas y la recuperación ante ellas, así como la adaptación a crisis, adversidades, amenazas y desafíos conocidos y desconocidos.

Una clase, tipo o instancia de autenticador conlleva un riesgo adicional de falsa aceptación asociado a su uso, por lo que está sujeto a requisitos adicionales.

Un Objetivo de Punto de Recuperación (RPO, por sus siglas en inglés) es la cantidad máxima de datos o tiempo que una organización puede perder antes de causar daños o riesgos a su negocio o clientes. Es una medida o pauta para la planificación de la recuperación ante desastres y la preservación de datos. Los RPO permiten volver a un punto anterior en el que los datos existían en un formato utilizable…

Los datos de categoría especial pueden entenderse como datos clasificados y sensibles que requieren medidas de seguridad adicionales para su protección y el consentimiento explícito para su tratamiento. Esta categoría de datos está claramente definida por el RGPD, que establece medidas para su protección.

El propósito de este documento es exigir a los empleados que indiquen todos los documentos prescritos por la empresa en su sistema de gestión de seguridad de la información.

La Declaración de Aplicabilidad es un documento necesario para la certificación ISO 27001. En ella se declaran los controles del Anexo A que su empresa ha determinado como necesarios para mitigar el riesgo de seguridad de la información, incluidos los controles del Anexo A que se han excluido.

El objetivo principal de las visitas de seguimiento es que el organismo de certificación verifique si su sistema de gestión funciona correctamente en las operaciones diarias. Se centrará en aspectos que la auditoría de certificación no pudo comprobar: por ejemplo, si se registran todos los incidentes, si se registran adecuadamente todas las acciones correctivas y preventivas, etc.