SEGURIDAD DE LA INFORMACION - Grupo 1
Una norma y un estándar se distancian principalmente en su alcance y aplicabilidad. Por ejemplo:
Una Norma: es un conjunto de reglas, directrices o requisitos técnicos establecidos por una organización reconocida o autoridad competente. Estas reglas establecen criterios y pautas para la calidad, seguridad, eficiencia u otros aspectos de productos, servicios o procesos. Las normas pueden ser desarrolladas por organizaciones nacionales o internacionales y suelen ser voluntarias, lo que significa que no son obligatorias por ley. Sin embargo, su adopción y cumplimiento pueden ser requeridos por la industria, los clientes o los organismos reguladores para garantizar la calidad o la seguridad de los productos y servicios.
Ejemplos de normas son la norma ISO 9001 para sistemas de gestión de calidad, la norma ISO 27001 para sistemas de gestión de seguridad de la información y la norma ISO 14001 para sistemas de gestión ambiental.
Un Estándar: se refiere a un modelo o patrón establecido para un proceso, producto o servicio específico. Los estándares son definiciones técnicas precisas que proporcionan criterios específicos que deben cumplirse. A diferencia de las normas, los estándares pueden ser obligatorios por ley o ser requeridos por organismos reguladores para garantizar la seguridad, interoperabilidad, eficiencia o compatibilidad de los productos y servicios.
Ejemplos de estándares son el estándar PCI DSS para la seguridad de los datos de tarjetas de pago, el estándar IEEE 802.11 para redes inalámbricas (Wi-Fi) y el estándar HTML para la creación de páginas web.
De tal manera que una norma es un conjunto de reglas y pautas que establecen criterios generales, mientras que un estándar es un modelo técnico específico que define criterios precisos para un proceso, producto o servicio. Las normas suelen ser voluntarias, mientras que los estándares pueden ser obligatorios o requeridos por organismos reguladores.
En el ámbito de la seguridad de la información, existen diversas normas y estándares que proporcionan directrices y requisitos para establecer y mantener un entorno seguro. A continuación, te presento algunos de los más relevantes:
ISO 27001: Es una norma internacional que establece los requisitos para un Sistema de Gestión de Seguridad de la Información (SGSI). Proporciona un marco de trabajo para identificar, gestionar y minimizar los riesgos de seguridad de la información.
ISO 27002: También conocida como "Código de buenas prácticas para la gestión de la seguridad de la información", es una norma complementaria a la ISO 27001. Proporciona directrices detalladas sobre los controles de seguridad de la información que se pueden implementar en un SGSI.
NIST SP 800-53: Es un estándar desarrollado por el Instituto Nacional de Estándares y Tecnología (NIST) de los Estados Unidos. Define un conjunto de controles de seguridad que se pueden aplicar a sistemas de información y proporciona orientación sobre la selección y la implementación de estos controles.
PCI DSS: Es el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago, establecido por el Consejo de Normas de Seguridad de la Industria de Tarjetas de Pago (PCI SSC). Es aplicable a las organizaciones que procesan, transmiten o almacenan datos de tarjetas de pago y establece requisitos para proteger la información de las tarjetas de crédito.
GDPR: El Reglamento General de Protección de Datos (GDPR, por sus siglas en inglés) es una regulación de la Unión Europea que establece normas para la protección de datos personales. Establece requisitos sobre cómo las organizaciones deben recopilar, almacenar, procesar y proteger los datos personales de los ciudadanos de la Unión Europea.
HIPAA: La Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA, por sus siglas en inglés) es una ley estadounidense que establece estándares para la protección de la información de salud personalmente identificable. Se aplica a las organizaciones de atención médica y a sus socios comerciales.
COBIT: Control Objectives for Information and Related Technologies (COBIT) es un marco de gestión desarrollado por ISACA que proporciona directrices para el gobierno y la gestión de los sistemas de información. Se enfoca en el control y la gestión de los procesos relacionados con la tecnología de la información.
Estos son solo algunos ejemplos de las normas y estándares más ampliamente reconocidos en el campo de la seguridad de la información. Cada uno de ellos aborda diferentes aspectos de la seguridad y tiene sus propias características y requisitos específicos. Las organizaciones suelen seleccionar las normas y estándares relevantes según su industria, ubicación geográfica y necesidades específicas de seguridad.