NORMA TÉCNICA NTP-ISO/IEC 17799PERUANA 2007

Comisión de Reglamentos Técnicos y Comerciales - INDECOPICalle de La Prosa 138, San Borja (Lima 41) Apartado 145 Lima, Perú

EDI. Tecnología de la información. Código de buenasprácticas para la gestión de la seguridad de la información

EDI. Information technology. Code of practice for information security management(EQV. ISO/IEC 17799:2005 Information technology. Code of practice for information security management)

2007-01-162ª Edición

R.001-2007/INDECOPI-CRT. Publicada el 2007-01-22 Precio basado en 173 páginasI.C.S.: 35.040 ESTA NORMA ES RECOMENDABLEDescriptores: EDI, tecnología de la información, información multimedia e hipermedia, técnicas deseguridad IT, código de barras, código de buenas practicas

INDICEpágina

INDICE IPREFACIO IVINTRODUCCION 1¿Qué es la seguridad de la Información? 1¿Por qué es necesaria la seguridad de información? 1¿Cómo establecer los requisitos de seguridad? 2Evaluación de los riesgos de seguridad 2Selección de controles 3Punto de partida de la seguridad de la información 3Factores críticos de éxito 4Desarrollo de directrices propias 51. OBJETO Y CAMPO DE APLICACIÓN 62. TÉRMINOS Y DEFINICIONES 63. ESTRUCTURA DE ESTE ESTANDAR 83.1 Cláusulas 83.2 Categorías principales de seguridad 94. EVALUACION Y TRATAMIENTO DEL RIESGO 104.1 Evaluando los riesgos de seguridad 104.2 Tratando riesgos de seguridad 105. POLÍTICA DE SEGURIDAD 125.1 Política de seguridad de la información 126. ASPECTOS ORGANIZATIVOS PARA LA SEGURIDAD 156.1 Organización interna 156.2 Seguridad en los accesos de terceras partes 247. CLASIFICACIÓN Y CONTROL DE ACTIVOS 327.1 Responsabilidad sobre los activos 327.2 Clasificación de la información 358. SEGURIDAD EN RECURSOS HUMANOS 37

8.1 Seguridad antes del empleo 378.2 Durante el empleo 418.3 Finalización o cambio del empleo 449. SEGURIDAD FÍSICA Y DEL ENTORNO 479.1 Áreas seguras 479.2 Seguridad de los equipos 5210. GESTIÓN DE COMUNICACIONES Y OPERACIONES 5910.1 Procedimientos y responsabilidades de operación 5910.2 Gestión de servicios externos 6410.3 Planificación y aceptación del sistema 6710.4 Protección contra software malicioso 6910.5 Gestión de respaldo y recuperación 7210.6 Gestión de seguridad en redes 7410.7 Utilización de los medios de información 7610.8 Intercambio de información 8010.9 Servicios de correo electrónico 8710.10 Monitoreo 9111. CONTROL DE ACCESOS 9811.1 Requisitos de negocio para el control de accesos 9811.2 Gestión de acceso de usuarios 10011.3 Responsabilidades de los usuarios 10511.4 Control de acceso a la red 10811.5 Control de acceso al sistema operativo 11511.6 Control de acceso a las aplicaciones y la información 12111.7 Informática móvil y teletrabajo 12412. ADQUISICION, DESARROLLO Y MANTENIMIENTO DE SISTEMAS 12812.1 Requisitos de seguridad de los sistemas 12812.2 Seguridad de las aplicaciones del sistema 13012.3 Controles criptográficos 13412.4 Seguridad de los archivos del sistema 13812.5 Seguridad en los procesos de desarrollo y soporte 142