Modelo para la valoración de activos de información basado en las normas ISO 27000

Abstract

La norma ISO/IEC 27001:2013 utilizada para la certificación en seguridad de la información, establece que la implementación del Sistema de Gestión de Seguridad de la Información (SGSI) de una organización, está influenciado por las necesidades de la organización, sus objetivos, requisitos de seguridad y los procesos organizativos utilizados, cualquiera sea su tipo, tamaño o naturaleza; en Perú, la adopción obligatoria de un SGSI fue propuesto con carácter de Ley, hace 16 años, con 6 Resoluciones Ministeriales, renovando la obligatoriedad de esta normativa y sin éxito alguno. Sin duda la integración de los procesos de la organización y el SGSI, requieren de una planificación que determinen la comprensión de la organización y la valoración de los activos de información a resguardar con una adecuada gestión del riesgo, en el establecimiento de controles compatibles con la dirección estratégica de la organización y cuya inversión esté justificada. La investigación concluye con la propuesta de un modelo para la valoración de activos de información adecuable a toda organización, utilizado con éxito por el investigador y evaluado por expertos en seguridad de la información. El modelo cuenta con herramientas de apoyo descritas en este trabajo.