Términos y definiciones Seguridad de la Información
Para cumplir con las intenciones de este documento, conviene aclarar el significado de ciertos términos y definiciones:
- Activo: Cualquier bien que tiene valor para la organización. [ISO/IEC 13335-1:2004]
- Disponibilidad: La propiedad de ser accesible y utilizable por una entidad autorizada. [ISO/IEC 13335-1:2004]
- Confidencialidad: La propiedad por la que la información no se pone a disposición o se revela a individuos, entidades o procesos no autorizados. [ISO/IEC 13335-1:2004]
- Seguridad de la información: La preservación de la confidencialidad, la integridad y la disponibilidad de la información, pudiendo, además, abarcar otras propiedades, como la autenticidad, la responsabilidad, la fiabilidad y el no repudio. [ISO/IEC 17799:2005]
- Evento de seguridad de la información: La ocurrencia detectada en un estado de un sistema, servicio o red que indica una posible violación de la política de seguridad de la información, un fallo de las salvaguardas o una situación desconocida hasta el momento y que puede ser relevante para la seguridad. [ISO/IEC TR 18044:2004]
- Incidente de seguridad de la información: Un único evento o una serie de eventos de seguridad de la información, inesperados o no deseados, que tienen una probabilidad significativa de comprometer las operaciones empresariales y de amenazar la seguridad de la información. [ISO/IEC TR 18044:2004]
- Sistema de Gestión de la Seguridad de la Información (SGSI) [Information Security Management System, ISMS]. La parte del sistema de gestión general, basada en un enfoque de riesgo empresarial, que se establece para crear, implementar, operar, supervisar, revisar, mantener y mejorar la seguridad de la información.
Nota: el sistema de gestión incluye la estructura organizativa. las políticas, las actividades de planificación, las responsabilidades, las prácticas, los procedimientos, los procesos y los recursos. - Integridad: La propiedad de salvaguardar la exactitud y completitud de los activos. [ISO/IEC 13335-1:2004]
- Riesgo residual: Riesgo remanente que existe después de que se hayan tornado las medidas de seguridad. [ISO/IEC Guide 73:2002]
- Aceptación del riesgo: La decisión de aceptar un riesgo. [ISO/IEC Guide 73:2002]
- Análisis de riesgos: Utilización sistemática de la información disponible para identificar peligros y estimar los riesgos. [ISO/IEC Guide 73:2002]
- Evaluación de riesgos: El proceso general de análisis y estimación de los riesgos. [ISO/IEC Guide 73:2002]
- Estimación de riesgos: El proceso de comparación del riesgo estimado con los criterios de riesgo, para así determinar la importancia del riesgo. [ISO/IEC Guide 73:2002]
- Gestión de riesgos: Actividades coordinadas para dirigir y controlar una organización con respecto a los riesgos. [ISO/IEC Guide 73:2002]
- Tratamiento de riesgos: El proceso de selección e implementación de las medidas encaminadas a modificar los riesgos. [ISO/IEC Guide 73:2002].
Nota: en esta norma internacional, el término “control” se utiliza como sinónimo de “medida de seguridad.” - Declaración de aplicabilidad: Declaración documentada que describe los objetivos de control y los controles que son relevantes para el SGSI de la organización y aplicables al mismo.
Nota: los objetivos de control y los controles se basan en los resultados y conclusiones de la evaluación de riesgos y en los procesos de tratamiento del riesgo, en los requisitos legales o reglamentarios, en las obligaciones contractuales y en las necesidades empresariales de la organización en materia de seguridad de la información