Iram Iso Iec

ESQUEMA 1
DE NORMA IRAM-ISO/IEC 27004

27004
2010
Tecnología de la información
Gestión de la seguridad de la información - Medición
Information technology
Information security management – Measurement
LAS OBSERVACIONES DEBEN
ENVIARSE CON EL FORMULARIO DE LA
ETAPA DE DISCUSIÓN PÚBLICA
DOCUMENTO EN ESTUDIO Septiembre de 2010

2
Es qu em a 1 IR A M - I SO / IE C 2 70 0 4: 2 01 0
Prefacio
El Instituto Argentino de Normalización y Certificación (IRAM) es
una asociación civil sin fines de lucro cuyas finalidades específicas,
en su carácter de Organismo Argentino de Normalización, son
establecer normas técnicas, sin limitaciones en los ámbitos que
abarquen, además de propender al conocimiento y la aplicación de
la normalización como base de la calidad, promoviendo las
actividades de certificación de productos y de sistemas de la
calidad en las empresas para brindar seguridad al consumidor.
IRAM es el representante de la Argentina en la International

Organization for Standardization (ISO), en la Comisión
Panamericana de Normas Técnicas (COPANT) y en la Asociación
MERCOSUR de Normalización (AMN).
Esta norma IRAM es el fruto del consenso técnico entre los

diversos sectores involucrados, los que a través de sus
representantes han intervenido en los Organismos de Estudio de
Normas correspondientes.
Esta norma es una adopción idéntica de la norma

ISO/IEC 27004:2009.
Sólo se han realizado los cambios editoriales siguientes:
Se agregó un anexo informativo con la bibliografía considerada y

otro donde se indican los organismos de estudio de la norma.
3
Prefacio ISO
ISO (Organización Internacional de Normalización) e IEC (Comi-
sión Electrotécnica Internacional) constituyen el sistema
especializado para la normalización a nivel mundial. Los orga-
nismos nacionales que son miembros de ISO o IEC participan en
el desarrollo de normas internacionales a través de comités
técnicos establecidos por las organizaciones respectivas par rea-
lizar acuerdos en los campos específicos de la actividad técnica.
Los comités técnicos de ISO e IEC colaboran en los campos de
interés mutuo. Otras organizaciones internacionales, guberna-
mentales y no gubernamentales, en colaboración con ISO e IEC,
también toman parte en el trabajo. En el campo de la tecnología
de la información, ISO e IEC han establecido un comité técnico
conjunto, el denominado ISO/IEC JTC 1.
Las normas internacionales se elaboran de acuerdo a las reglas

dadas en las directivas de ISO/IEC, parte 2.
La tarea principal del comité técnico conjunto es la de preparar

normas internacionales. Los proyectos de normas internacionales
adoptadas por el comité técnico conjunto son circulados a los or-
ganismos nacionales y sometidos a votación. La publicación como
Norma Internacional requiere la aprobación de al menos el 75%
de los organismos nacionales.
Es importante señalar la posibilidad de que algunos elementos de

esta norma internacional pueden estar sujetos a derechos de pa-
tente. ISO e IEC no son responsables de la identificación de
alguno o todos de esos derechos de patentes.
La norma ISO/IEC 27004 fue preparada por el comité técnico con-

junto ISO/IEC JTC1, Tecnología de la información, subcomité
SC 27, Técnicas de seguridad en TI.
4
Introducción
0.1 General
Esta norma proporciona una guía para el desarrollo y uso de mediciones y medidas para evaluar la
efectividad de un Sistema de Gestión de Seguridad de la Información (SGSI) y controles o grupos de
control, según lo especificado en IRAM-ISO/IEC 27001.
Esto incluiría la política, gestión de riesgos de seguridad de la información, objetivos de control, con-
troles, procesos y procedimientos, y respalda al proceso de evaluación, ayudando a determinar si es
necesario que alguno de los procesos del SGSI o los controles se modifiquen o mejoren. Se reco-
mienda tener en cuenta que ninguna medición de los controles puede garantizar la seguridad
completa.
La implementación de este enfoque constituye un Programa de medición de seguridad de la informa-

ción. Este programa asistirá a la alta dirección en la identificación y evaluación de los no
cumplimiento e ineficacia de los procesos y controles del SGSI, y en la priorización de las acciones
asociadas con la mejora o cambio de estos procesos y/o controles. También puede asistir a la orga-
nización para demostrar el cumplimiento con la norma IRAM-ISO/IEC 27001 y proveer evidencia
adicional para la revisión de la alta dirección y los procesos de gestión de riesgos de seguridad de la
información.
Esta norma asume que el punto de partida para el desarrollo de medidas y mediciones es un enten-
dimiento fehaciente de los riesgos de seguridad de la información que enfrenta una organización, y
que las actividades de evaluación de riesgo de la organización se han realizado de manera correcta
(por ejemplo basadas en la norma ISO/IEC 27005), como lo requiere la norma IRAM-ISO/IEC 27001.
El Programa de medición de la seguridad de la información impulsará a la organización a proveer in-
formación confiable a las partes interesadas relevantes concernientes a sus riesgos de seguridad de
la información y el estado del SGSI implementado para manejar esos riesgos.
Efectivamente implementando, el Programa de medición de la seguridad de la información aumen-

tará la confianza de las partes interesadas en los resultados de las mediciones y permite a las partes
interesadas hacer uso de éstas mediciones para efectuar mejoras continuas a la seguridad de la in-
formación y al SGSI.
Los resultados de medición acumulados permitirán la comparación del progreso para alcanzar los ob-
jetivos de seguridad de la información sobre un período de tiempo como parte del proceso de mejora
continua del SGSI de la organización.
0.2 Visión general de la alta dirección
IRAM-ISO/IEC 27001 requiere que la organización ―lleve a cabo revisiones periódicas de la efectivi-
dad del SGSI teniendo en cuenta los resultados de la efectividad de las mediciones‖ y que ―se mida
la efectividad de los controles para verificar que se cumpla con los requerimientos de seguridad‖. La
IRAM-ISO/IEC 27001 también requiere que la organización ―defina cómo medir la efectividad de los
controles o grupo de controles seleccionados; y que especifique cómo estas mediciones se utilizarán
para evaluar la efectividad de los controles para producir resultados comparables y reproducibles‖.
El enfoque adoptado por la organización para cumplir con los requerimientos de mediciones especifi-
cados en la IRAM-ISO/IEC 27001 variará basado en un número de factores significativos, incluyendo
los riesgos de seguridad de la información que enfrenta la organización, su tamaño, los recursos que
tiene disponibles y los requerimientos legales, regulatorios y contractuales aplicables. Son importan-
5
tes la cuidadosa selección y justificación de los métodos utilizados para cumplir con los requerimien-
tos de las mediciones, de manera de asegurar que no se dedicarán recursos excesivos a dichas
actividades del SGSI en detrimento de otras. Idealmente, las actividades de medición actuales se in-
tegrarán en operaciones regulares de la organización con mínimos requerimientos adicionales de
recursos.
Esta norma brinda recomendaciones concernientes a las siguientes actividades como base para que
una organización cumpla con sus requerimientos de medición especificados en IRAM-ISO/IEC 27001:
a) Desarrollar mediciones (por ejemplo: mediciones base, mediciones derivadas e indicadores);
b) Implementar y operar un Programa de mediciones de seguridad de la información;
c) Recolectar y analizar los datos;
d) Preparar los resultados de las mediciones;
e) Comunicar los resultados de las mediciones desarrolladas a las principales partes interesadas;
f) Utilizar los resultados de las mediciones como factores contribuyentes a las decisiones relacio-
nadas con el SGSI.
g) Utilizar los resultados de las mediciones para identificar necesidades de mejorar el SGSI imple-
mentado, incluyendo su alcance, políticas, objetivos, controles, procesos y procedimientos; y
h) Facilitar una mejora continua del Programa de mediciones de seguridad de la información
El tamaño de la organización es uno de los factores que impactará en la habilidad para cumplir con el
proceso de medición. Generalmente, el tamaño y la complejidad del negocio, en combinación con la
importancia de la seguridad de la información, afectan el alcance de las mediciones necesarias, tanto
en términos de números de mediciones a seleccionar y en la frecuencia de recolección y análisis de
los datos. Por ejemplo, para PyMES (Pequeñas y Medianas Empresas) podría ser suficiente un pro-
grama de medición de la seguridad de la información menos exhaustivo, mientras que las grandes
organizaciones implementarán y operarán múltiples Programas de medición de la seguridad de la in-
formación.
Un solo Programa de medición de la seguridad de la información puede ser suficiente para pequeñas
organizaciones, mientras que para grandes empresas la necesidad puede ser de múltiples Progra-
mas de mediciones de seguridad de la información.
La guía provista por esta norma resultará en la producción de documentación que contribuirá a la
demostración de que se mide y evalua la efectividad de los controles se encuentra medida y evalua-
da.
6
Índice
Página
1 ALCANCE ........................................................................................................ 9
2 DOCUMENTOS NORMATIVOS PARA CONSULTA........................................ 9
3 TÉRMINOS Y DEFINICIONES ........................................................................ 9
4 ESTRUCTURA DE ESTA NORMA ................................................................ 11
5 VISIÓN GENERAL DE LA MEDICIÓN DE SEGURIDAD DE LA

INFORMACIÓN ................................................................................................. 11
6 RESPONSABILIDADES DE LA ALTA DIRECCIÓN ....................................... 19
7 DETERMINACIÓN DE MEDIDAS Y MEDICIONES ....................................... 20
8 OPERACIÓN DE MEDICIÓN ......................................................................... 27
9 ANÁLISIS DE DATOS E INFORME DE RESULTADOS DE

LAS MEDICIONES ........................................................................................... 28
10 EVALUACIÓN Y MEJORA DEL PROGRAMA DE MEDICIÓN DE LA

SEGURIDAD DE LA INFORMACIÓN ................................................................ 29
Anexo A (Informativo) Plantilla para estructurar la medición de la seguridad de la

información ........................................................................................................ 32
Anexo B (Informativo) Ejemplos de estructuras de medición ............................. 35
Bibliografía de la ISO/IEC 27004:2009............................................................... 75
Anexo C - IRAM (Informativo) Bibliografía ......................................................... 76
Anexo D - IRAM (Informativo) Integrantes de los organismos de estudio........... 77
7
8
Tecnología de la información
Gestión de la seguridad de la información - Medición
1 ALCANCE 3 TÉRMINOS Y DEFINICIONES
Esta norma provee una guía en el desarrollo y Para los propósitos de este documento, se apli-
uso de medidas y mediciones, de manera de can los términos y definiciones de
evaluar la efectividad de un Sistema de Gestión ISO/IEC 27000 y los siguientes.
de Seguridad de la Información (SGSI) imple-
mentado y de los controles o grupos de 3.1 modelo analítico (analytical model)
controles, como los especificados en la IRAM- cálculo o algoritmo asociado con los criterios de
ISO/IEC 27001. decisión, que combina una o más medidas ba-
se y/o derivadas.
Esta norma es aplicable a organizaciones de
todo tipo y tamaño. [ISO/IEC 15939:2007]
NOTA. El presente documento utiliza las formas verbales 3.2 atributo (attribute)
para la expresión de provisiones( por ejemplo: debe, no
debe, se recomienda, no se recomienda, no necesita, “pue-
propiedad o característica de un objeto que
de y no puede) que están especificadas en las directivas puede distinguirse cuantitativa o cualitativa-
ISO-IEC, Parte 2, 2004, Anexo H. Ante cualquier duda, se mente por medios manuales o automatizados
recomienda consultar IRAM-ISO/IEC 27000 anexo A.
[ISO/IEC 15939:2007]
NOTA IRAM. Shall y shall not se han traducido del inglés
como ―debe y no debe‖. (Ver ISO/IEC 27000).
3.3 medida base (base measure)
medida definida en términos de un atributo y el
método para cuantificarlo
2 DOCUMENTOS NORMATIVOS PARA
CONSULTA [ISO/IEC 15939:2007]
NOTA. Una medida base es funcionalmente independien-

Todo documento normativo que se menciona a te de otras medidas.
continuación es indispensable para la aplica-
ción de este documento. 3.4 dato (data)
grupo de valores asignados a mediciones base,
Cuando en el listado se mencionan documen- derivadas y/o indicadores.
tos normativos en los que se indica el año de
publicación, esto significa que se debe aplicar [ISO/IEC 15939:2007]
dicha edición, en caso contrario, se debe apli-
car la edición vigente, incluyendo todas sus 3.5 criterios de decisión (decisión criteria)
modificaciones. umbrales, objetivos o patrones utilizados para
determinar la necesidad de una acción o de in-
IRAM-ISO/IEC 27001:2007 - Tecnología de la vestigación adicional, o para describir el nivel
Información. Técnicas de Seguridad. Sistemas de confianza de un resultado dado
de gestión de seguridad de la información. Re-
quisitos. [ISO/IEC 15939:2007]
ISO/IEC 27000:2009 - Information technology. 3.6 medida derivada (derived measure)

Security techniques. Information security medida que se define como la función de dos o
management systems. Overview and vocabulary. más valores de medidas base
9
[ISO/IEC 15939:2007]  objetivo: la cuantificación se basa en reglas numéri-

cas.
3.7 indicador [indicator]
medida que provee una estimación o evalua- 3.13 resultados de la medición
ción de atributos específicos, derivados de un (measurement results)
modelo analítico con respecto a la necesidad uno o más indicadores y su interpretación aso-
de información definida ciada, dirigidos a una necesidad de información
3.8 necesidad de información (information 3.14 objeto (object)

need) elemento caracterizado a través de la medición
criterio necesario para manejar objetivos, me- de sus atributos
tas, riesgos y problemas
3.15 escala (scale)
[ISO/IEC 15939:2007] conjunto de valores ordenados, continuos o
discretos, o un conjunto de categorías con las
3.9 medida (measure) cuales se relaciona el atributo
variable a la cual se le asigna un valor como el
resultado de una medición [ISO/IEC 15939:2007]
NOTA. El tipo de escala depende de la naturaleza de la

[ISO/IEC 15939:2007] relación entre los valores en la escala. Normalmente se
definen cuatro tipos de escala:
NOTA. El término medidas se utiliza para referirse de ma-
nera colectiva a las medidas base, medidas derivadas e  nominal: los valores de la medición son categóricos;
indicadores.
 ordinal: los valores de la medición son clasificados;
Ejemplo: Una comparación entre una tasa de defectos
medida y una tasa de defectos planificada, junto con la  intervalo: los valores de la medición tienen iguales dis-
evaluación de si la diferencia indica o no un problema. tancias correspondientes a iguales cantidades del
atributo;
3.10 medición (measurement)
proceso de obtención de información sobre la  proporción: los valores de la medición tienen iguales
efectividad del SGSI y de los controles utilizan- distancias correspondientes a iguales cantidades del
atributo, donde a ningún atributo le puede correspon-
do un método de medición, una función de der el valor cero.
medición, un modelo analítico y criterios de de-
cisión Estos son sólo ejemplos de tipos de escala.
3.11 función de medición (measurement 3.16 unidad de medición (unit of

function) measurement)
algoritmo o cálculo realizado para combinar dos cantidad particular, definida y adoptada por
o más medidas base. convención, con la cual se comparan otras can-
tidades del mismo tipo de manera de expresar
[ISO/IEC 15939:2007] su magnitud relativa a dicha cantidad
3.12 método de medición (measurement [ISO/IEC 15939:2007]

method)
secuencia lógica de operaciones, descritas de 3.17 validación (validation)
manera genérica, utilizados para cuantificar un confirmación, a través de la provisión de evi-
atributo con respecto a una escala especificada dencia objetiva, de que se han cumplido con
[ISO/IEC 15939:2007] los requerimientos relativos a un uso o aplica-
ción específicos.
NOTA. El tipo de método de medición depende de la natu-
raleza de las operaciones utilizadas para cuantificar un
atributo. Se pueden distinguir dos tipos:
 subjetivo: la cuantificación involucra el juicio humano;
10
3.18 verificación (verification) tructuras de medición para controles especí-

confirmación, a través de la provisión de evi- ficos o procesos de un SGSI, utilizando la plan-
dencia objetiva, de que se han cumplido con plantilla provista en el anexo A.
requerimientos específicados
El objetivo de estos ejemplos es ayudar a la or-
[IRAM-ISO 9000:2005] ganización sobre cómo implementar las
Mediciones de seguridad de la información y
NOTA. Esto también se puede llamar prueba de cumpli- cómo registrar las actividades de medición y
miento. sus resultados.
4 ESTRUCTURA DE ESTA NORMA 5 VISIÓN GENERAL DE LA MEDICIÓN

DE SEGURIDAD DE LA INFORMACIÓN
Esta norma provee una explicación de las me-
didas y actividades de medición necesarias
5.1 Objetivos de la medición de seguridad
para evaluar la efectividad de los requisitos del
de la información
SGSI, para la gestión de controles de seguri-
dad adecuados y proporcionales como los
Los objetivos de la medición de seguridad de la
requeridos por IRAM-ISO/IEC 27001:2007, 4.2.
información dentro del contexto del SGSI inclu-
yen:
Esta norma se encuentra estructurada de la si-
guiente manera:
a) evaluar la efectividad de los controles o
grupos de controles implementados (ver
 visión general del Programa de medición de 4.2.2 d) en la figura 1);
la seguridad de la información y el modelo
de medición de la seguridad de la informa- b) evaluar la efectividad del SGSI implemen-
ción (capítulo 5); tado (ver 4.2.3 b) en la figura 1);
 responsabilidades de la alta dirección por las c) verificar el grado de cumplimiento de los re-
mediciones de seguridad de la información querimientos de seguridad identificados (ver
(capítulo 6); y 4.2.3 c) en la figura 1);
 estructuras de medición y procesos a ser d) facilitar la mejora del desempeño de la se-
implementados en el Programa de medición guridad de la información en términos de
de la seguridad de la información (capítulos los riesgos generales de negocio de la or-
7 al 10). Por ejemplo: ganización;
 planificación .y desarrollo; e) proveer resultados de las mediciones para

asistir a la revisión por la alta dirección y fa-
 implementación y operación; cilitar la toma de decisiones relacionada con
el SGSI y justificar las necesidades de me-
 mejora de los procesos de medición; y joras del SGSI implementado;
 comunicación de los resultados de la La figura 1 ilustra la relación cíclica entrada-

medición. salida de las actividades de medición en relación
al ciclo Planear-Hacer-Verificar-Actuar (PHVA),
Además, el anexo A provee una plantilla de especificado en IRAM-ISO/IEC 27001. Los
ejemplo de estructura de medición cuyos com- números de cada figura representan los sub-
ponentes son los elementos del Modelo de capítulos correspondientes de IRAM-ISO/
medición de la seguridad de la información (ver IEC 27001:2007.
capítulo 7). El anexo B provee ejemplos de es-
11
Figura 1 – Entradas y salidas de las mediciones en un ciclo SGSI-PHVA de

gestión de seguridad de la información
Se recomienda que la organización establezca f) la necesidad de comparar varios SGSI’s

los objetivos de las mediciones basados en una dentro de la organización.
serie de consideraciones, incluyendo:
5.2 Programa de medición de la seguridad
a) el rol de la seguridad de la información code la información
mo soporte de las actividades de negocio
de la organización y los riesgos a los que Se recomienda que la organización establezca
ésta se enfrenta; y gestione su Programa de medición de la se-
guridad de la información, de manera de
b) requerimientos legales, regulatorios y con- alcanzar los objetivos de medición establecidos
tractuales aplicables; y adopte el modelo PHVA dentro de sus activi-
dades generales de medición. Se recomienda
c) estructura organizacional; que la organización desarrolle e implemente
estructuras de medición de manera de obtener
d) costos y beneficios de implementar medi- resultados repetibles, objetivos y útiles, basa-
ciones de seguridad de la información; dos en el Modelo de medición de la seguridad
de la información (ver 5.4).
e) criterios de aceptación de riesgos de la or-
ganización; y
12
Se recomienda que el Programa de medición de a) compromiso de la alta dirección soportado

la seguridad de la información y la estructura de por los recursos apropiados;
medición desarrollada, aseguren que la organi-
zación efectivamente alcance sus mediciones b) existencia de los procesos y procedimientos
objetivas y repetibles, y provea resultados de las del SGSI;
mediciones para las partes interesadas corres-
pondientes, de manera de identificar las c) un proceso repetible capaz de capturar y
necesidades de mejora del SGSI implementado, reportar datos significativos de manera de
incluyendo su alcance, políticas, objetivos, con- proveer tendencias sobre un período de
troles, procesos y procedimientos. tiempo;
Se recomienda que un Programa de medición d) medidas cuantificables basadas en los ob-

de la seguridad de la información incluya los si- jetivos del SGSI;
guientes procesos:
e) datos de fácil obtención que puedan ser uti-
a) desarrollo de medidas y mediciones (ver lizados en las mediciones;
capítulo 7);
f) valoración de la efectividad del Programa
b) operación de la medición (ver capítulo 8); de medición de la seguridad de la informa-
ción y la implementación de mejoras
c) análisis de datos y reporte de los resultados identificadas;
de la medición (ver capítulo 9); y
g) recolección, análisis, y reporte periódico y
d) valoración y mejora del Programa de medi- consistente de datos de mediciones de una
ción de la seguridad de la información (ver forma que sea significativa;
capítulo 10).
h) uso de los resultados de las mediciones por
Se recomienda que la estructura operacional y las partes interesadas correspondientes,
organizacional de un Programa de medición de para identificar necesidades de mejora del
la seguridad de la información se determine te- SGSI implementado, incluyendo su alcance,
niendo en cuenta la escala y complejidad del políticas, objetivos, controles, procesos y
SGSI del cual es parte. En todos los casos, se procedimientos;
recomienda que los roles y responsabilidades
por el Programa de medición de la seguridad i) aceptación de la respuesta de los resulta-
de la información se asignen explícitamente a dos de las mediciones por las partes
personal competente. interesadas correspondientes; y
Se recomienda que las medidas seleccionadas j) evaluaciones de la utilidad de los resultados

e implementadas por el Programa de medición de las mediciones y de las implemen-
de la seguridad de la información se relacionen taciones de las mejoras identificadas.
directamente con las operaciones de un SGSI,
y con otras medidas, como así también con los Una vez implementado de manera exitosa, un
procesos de negocio de la organización. Las Programa de medición de la seguridad de la in-
mediciones pueden integrarse a actividades formación puede:
operativas o realizarse a intervalos regulares
determinados por la alta dirección del SGSI. 1) demostrar el cumplimiento de la organiza-
ción con los requerimientos legales y
5.3 Factores de éxito regulatorios aplicables y con las obligacio-
nes contractuales;
Los siguientes son factores que contribuyen al
éxito del Programa de medición de la seguridad 2) dar soporte a la identificación de problemas
de la información de manera de facilitar la me- de seguridad de la información desconoci-
jora continua del SGSI: dos o no detectados previamente;
13
3) asistir en satisfacer las necesidades de re- 5.4.1 Visión general

portes de la alta dirección, al establecer
medidas para actividades históricas y ac- El modelo de medición de la seguridad de la in-
tuales; y formación es una estructura que vincula una
necesidad de información con los objetos de
4) ser utilizado como datos de entrada para el medición pertinentes y sus atributos. Los obje-
proceso de gestión de seguridad de la in- tos de medición pueden incluir procesos,
formación, las auditorías internas del SGSI procedimientos, proyectos y recursos planifica-
y las revisiones de la alta dirección. dos o implementados.
5.4 Modelo de medición de la seguridad de El modelo de medición de seguridad de la in-

la información formación describe cómo los atributos concer-
nientes son cuantificados y convertidos en
NOTA. Los conceptos del modelo de medición de la segu- indicadores, los cuales proveen la base para la
ridad de la información y de la estructura de medición toma de decisiones. La figura 2 representa el
adoptados en esta norma, se basan en los indicados en
ISO/IEC 15939. El término ―producto de información‖ utili- modelo de medición de la seguridad de la in-
zado en ISO/IEC 15939 es un sinónimo de ―resultados de formación.
la medición‖ utilizado en esta norma, y ―proceso de medi-
ción‖ utilizado en ISO/IEC 15939 es un sinónimo de ―pro-
grama de medición‖ utilizado en esta norma.
Figura 2 – Modelo de medición de la seguridad de la información
14
NOTA. El capítulo 7 provee información detallada sobre  actividades de las unidades organizaciona-
los elementos individuales del modelo de medición de la
seguridad de la información.
les responsables por la seguridad de la
información; y
Los subcapítulos que siguen dan una introduc-
ción a los elementos individuales del modelo.  grado de satisfacción de las partes interesa-
Ellos también proveen ejemplos de cómo se das.
utilizan éstos elementos individuales.
Un método de medición puede utilizar objetos
Las necesidades de información o propósito de de medición de mediciones y atributos de una
medición utilizados en los ejemplos de las tablas variedad de fuentes, tales como:
1 a 4 de los subcapítulos siguientes, son para
evaluar el nivel de concientización del personal  resultados de la evaluación y el análisis de
correspondiente respecto del cumplimiento de riesgos;
las políticas de seguridad organizacionales (obje-
tivo de control A.8.2, y controles A.8.2.1 y A.8.2.2  cuestionarios y entrevistas personales;
de IRAM-ISO/IEC 27001: 2007).
 reportes de auditoría internos y/o externos;
5.4.2 Medidas base y método de medición
 registros de eventos, tales como eventos del
Una medida base es la medida más simple que sistema, reportes estadísticos y pistas de
se puede obtener. La misma resulta de la apli- auditorías;
cación de métodos de medición sobre los
atributos seleccionados de un objeto de medi-  reportes de incidentes, particularmente
ción. Un objeto de medición puede tener aquellos de mayor impacto;
muchos atributos, de los cuales sólo algunos
pueden tener valores útiles a ser asignados a  resultados de pruebas, por ejemplo: pruebas
una medida base. Un dado atributo puede ser de penetración, ingeniería social, herramien-
utilizado por muchas medidas base diferentes. tas de cumplimiento y de auditoría de
seguridad; o
Un método de medición es una secuencia lógi-
ca de operaciones utilizado para cuantificar un  registros de la seguridad de la información
atributo con respecto a una escala específica. de la organización relacionados con los pro-
La operación puede envolver actividades como cedimientos y los programas, por ejemplo,
contar las ocurrencias u observar el paso del los resultados del entrenamiento de concien-
tiempo. tización en seguridad de la información.
Un método de medición se puede aplicar a atri- Las tablas 1 a 4, presentan la aplicación del
butos de un objeto de medición. Ejemplos de modelo de seguridad de la información para los
objetos de medición incluyen (pero no se limi- siguientes controles:
tan a):
 El ―Control 1‖ se refiere a que el control
 rendimiento de los controles implementados A.8.2.1 ―Responsabilidad de la alta direc-
en el SGSI; ción‖ de la IRAM-ISO/IEC 27001:2007 (La
alta dirección debe requerir a los empleados,
 estado de los activos de información prote- contratistas y usuarios de terceras partes,
gidos por los controles; aplicar seguridad de acuerdo con las políti-
cas y procedimientos establecidos por la
 rendimiento de los procesos implementados organización); se implemente de la siguiente
en el SGSI; manera: Todo el personal relacionado con el
SGSI debe firmar acuerdos de usuario antes
 comportamiento del personal que forma par- de que se le permita acceso a un sistema de
te del SGSI implementado; información;
15
 El Control 2 se refiere a que el control Las estructuras de medición correspondientes

A.8.2.2 Concientización, educación y entre- está contenida en B.1.
namiento en seguridad de la información de
la IRAM-ISO/IEC 27001:2007 (Todos los NOTA. Las tablas 1 a 4 consisten en varias columnas (ta-
bla 1, cuatro columnas, tabla 2 a la 4, tres columnas) a las
empleados de la organización, y, donde sea cuales se les asigna una letra. A cada espacio dentro de
pertinente, contratistas y usuarios de terce- las columnas individuales se le asigna un número. Las
ras partes deben recibir el entrenamiento en combinaciones de letras y números se utilizan en espa-
concientización apropiados y actualizaciones cios subsiguientes para referirse a espacios anteriores.
regulares en políticas y procedimientos or- Las flechas designan los flujos de datos entre elementos
individuales del modelo de medición de seguridad de la in-
ganizacionales, como sea pertinente para la formación, dentro del ejemplo específico.
función de su trabajo); se implemente de la
siguiente manera: Todo el personal relacio- La tabla 1 incluye un ejemplo de las relaciones
nado con el SGSI debe recibir entrena- entre un objeto de medición, un atributo, un
miento en concientización de la seguridad método de medición y una medida base para
de la información antes de que se le permita medir los objetos establecidos por los controles
el acceso a un sistema de información. implementados descriptos anteriormente.
Tabla 1 – Ejemplo de medida base y método de medición
16
5.4.3 Medida derivada y función de medi- La función de medición puede involucrar una
ción variedad de técnicas, tales como promediar las
medidas base, aplicando ponderación a las
Una medida derivada es una combinación de medidas base, o asignando valores cualitativos
dos o más medidas base. Una medida base a las medidas base. La función de medición
dada puede servir como entrada para varias puede combinar medidas base utilizando dife-
medidas derivadas. rentes escalas, tales como resultados de
evaluaciones porcentuales o cualitativas.
Una función de medición es un cálculo utilizado
para combinar medidas base de manera de En la tabla 2 se presenta un ejemplo de la rela-
crear una medida derivada. ción de más elementos de la aplicación del
modelo de medición de seguridad de la infor-
La escala y unidad de la medida derivada de- mación, por ejemplo medida base, función de
pende de las escalas y unidades de las medición y medida derivada.
medidas base de las cuales se compone, así
como también de cómo se encuentren combi-
nadas por la función de medición.
Tabla 2 – Ejemplo de medida derivada y función de medición
17
5.4.4 Indicadores y modelo analítico ción de técnicas analíticas utilizadas para pro-
ducir los indicadores.
Un indicador es una medida que provee una
estimación o valoración de atributos específicos En la tabla 3 se presenta un ejemplo de las re-
derivados de un modelo analítico con respecto laciones entre las medidas derivadas, el
a necesidades de información definidas. Los modelo analítico y los indicadores, para la apli-
indicadores se obtienen aplicando un modelo cación del modelo de medición de la seguridad
analítico a las medidas base y/o derivadas, y de la información.
combinándolas con los criterios de decisión. La
escala y el método de medición afectan la elec-
Tabla 3 – Ejemplo de un indicador y un modelo analítico
NOTA. Si un indicador se representa en forma gráfica o objetivos de medición generales de evaluación

cuando se utilizan copias monocromáticas, se recomienda de la efectividad del SGSI. Los criterios de de-
que sea utilizable por personas con limitaciones visuales.
Para hacer eso posible se recomienda que se agregue cisión se utiliza para determinar la necesidad
una descripción del color, de las formas, la tipografía u de una acción o de más investigación, así co-
otros métodos visuales. mo también para describir el nivel de
confiabilidad de los resultados medidos. Los
5.4.5 Resultados de las mediciones y crite- criterios de decisión se podría aplicar a una se-
rios de decisión rie de indicadores, por ejemplo, para realizar
análisis de tendencia basado en indicadores
Los resultados de la medición se desarrollan in- recibidos en diferentes puntos en el tiempo.
terpretando los indicadores aplicados, basados
en criterios de decisión definidos, y se reco- Las metas proveen especificaciones detalladas
mienda que se considere en el contexto de los de rendimiento, aplicables a la organización o a
18
partes de la misma, derivadas de los objetivos La tabla 4 presenta un ejemplo de la relación

de seguridad de la información y que necesitan de los elementos finales de la aplicación del
ser establecidas y cumplidas de manera de al- modelo de medición de seguridad de la infor-
canzar dichos objetivos. mación (por ejemplo: indicador, criterios de
decisión y resultados de medición).
Tabla 4 – Ejemplo de resultados de medición y modelo analítico
6 RESPONSABILIDADES DE LA ALTA Para alcanzar esto, se recomienda que la alta

DIRECCIÓN dirección:
a) establezca objetivos para el Programa de

6.1 Visión general
medición de la seguridad de la información;
La alta dirección es responsable por el estable-
b) establezca una política para el Programa
cimiento del Programa de medición de la de medición de seguridad de la informa-
seguridad de la información, incluyendo a las ción;
diferentes partes interesadas (ver 7.5.8) en las
actividades de medición, por la aceptación de c) establezca los roles y responsabilidades
los resultados de la medición como entrada pa- para el Programa de medición de la segu-
ra la revisión de la alta dirección y por su ridad de la información;
utilización en las actividades de mejora dentro
del SGSI. d) proporcione recursos adecuados para rea-
lizar las mediciones, incluido el personal,
19
los fondos, las herramientas y la infraes- c) soporte de infraestructura apropiado, como

tructura; la infraestructura física y las herramientas
utilizadas para realizar el proceso de medi-
e) asegure que se alcancen los objetivos del ción.
Programa de medición de la seguridad de
la información; NOTA. El capítulo 5.2.1 de la IRAM-ISO/IEC 27001:2007
especifica los requerimientos concernientes a la provisión
de recursos para la implementación de un SGSI.
f) asegure que las herramientas y el equipo
utilizado para recolectar datos se manten-
6.3 Entrenamiento, concientización y com-
ga de manera adecuada;
petencia en mediciones
g) establezca el propósito de medición para
Se recomienda que la alta dirección asegure
cada estructura de medición;
que:
h) asegure que la medición provea suficiente
a) las partes interesadas (ver 7.5.8) se entre-
información para las partes interesadas re-
ne adecuadamente para cumplir con sus
lacionadas, en cuanto a la efectividad del
roles y responsabilidades en el Programa
SGSI y las necesidades de mejora del
de medición de la seguridad de la informa-
SGSI implementado, incluyendo su alcan-
ción implementado, y se encuentren cali-
ce, políticas, objetivos, controles, procesos
ficados apropiadamente para cumplir con
y procedimientos; y
sus roles y responsabilidades; y
i) asegure que la medición provea suficiente
b) las partes interesadas entiendan que sus
información a las partes interesadas con
tareas incluyen el hacer sugerencias de
respecto a la efectividad de los controles o
mejora en el Programa de medición de la
grupos de controles implementados y sus
seguridad de la información implementado.
necesidades de mejora.
Se recomienda que la alta dirección asegure,

mediante una apropiada asignación de roles y 7 DETERMINACIÓN DE MEDIDAS Y
responsabilidades de medición, que los resul- MEDICIONES
tados de la gestión no se vean influenciados
por los propietarios de la información (ver
7.5.8). Esto se puede alcanzar mediante la se- 7.1 Visión general
gregación de tareas o, de no ser posible, a
partir del uso de documentación detallada que Este capítulo provee una guía sobre cómo des-
permita revisiones independientes. arrollar medidas y mediciones con el propósito
de evaluar la efectividad del SGSI implementa-
6.2 Gestión de los recursos do y los controles o grupos de controles, e
identificando conjuntos específicos de estructu-
Se recomienda que la alta dirección asigne y ras de medición. Se recomienda que se
provea los recursos para dar soporte a las fun- establezcan y documenten las actividades ne-
ciones esenciales de medición, tales como la cesarias para desarrollar medidas y medicio-
recolección, el análisis, el almacenamiento, el nes, incluyendo las siguientes:
reporte y la distribución de los datos. Se reco-
mienda que la asignación de recursos incluya: a) definición del alcance de la medición (ver
7.2);
a) individuos con responsabilidad por todos
los aspectos del Programa de medición de b) identificación de una necesidad de infor-
la seguridad de la información; mación (ver 7.3);
b) soporte financiero apropiado; y c) selección del objeto de medición y sus atri-

butos (ver 7.4);
20
d) desarrollo de las estructuras de medición nes a ser informadas a quienes toman las deci-
(ver 7.5); siones, dentro de un período de tiempo
determinado, de manera de asegurar su capa-
e) aplicación de las estructuras de medición cidad de afectar a la mejora del SGSI, basados
(ver 7.6); en los resultados de las mediciones informa-
dos. Un excesivo número de resultados de
f) establecimiento de los procesos y herra- mediciones informados impactará en la habili-
mientas de recolección de datos y análisis dad de quienes toman las decisiones para
(ver 7.7); y concentrar esfuerzos y priorizar futuras activi-
dades de mejora. Se recomienda priorizar los
g) establecimiento del enfoque y la documen- resultados de las mediciones basado en la im-
tación de la implementación de las medi- portancia de las necesidades de información
ciones (ver 7.8). correspondientes y en los objetivos asociados
del SGSI.
Cuando se establezcan éstas actividades, se
recomienda que la organización tenga en cuen- NOTA. El alcance de la medición se relaciona con el al-
ta los recursos financieros, humanos y de cance del SGSI establecido de acuerdo con IRAM-ISO/
IEC 27001:2007 4.2.1 a).
infraestructura (físicos y herramientas).
7.3 Identificación de necesidad de informa-
7.2 Definición del alcance de las medicio-
ción
nes
Se recomienda que cada estructura de medi-
Dependiendo de las capacidades y recursos de
ción corresponda a, por lo menos, una
una organización, el alcance inicial de las acti-
necesidad de información. En el anexo A se
vidades de medición de la organización estará
presenta un ejemplo de necesidad de informa-
limitado a elementos tales como controles es-
ción, describiendo como punto de inicio el
pecíficos, activos de información protegidos por
propósito de la medición y como fin los criterios
estos controles, actividades específicas para la
de decisión relevantes.
seguridad de la información a las cuales la alta
dirección le otorga mayor prioridad. Con el
Se recomienda que para identificar las necesi-
tiempo, se ampliará el alcance de las activida-
dades de información pertinentes se desarro-
des de medición de manera de incluir más
llen las siguientes actividades:
elementos del SGSI implementado y controles
o grupos de control, teniendo en cuenta las
a) examinar el SGSI y sus procesos, tales
prioridades de las partes interesadas.
como las siguientes:
Se recomienda que se identifiquen las partes
1) políticas y objetivos del SGSI, objeti-
interesadas relacionadas y que las mismas par-
vos de control y controles;
ticipen en la definición del alcance de la
medición. Las partes interesadas relacionadas
2) requerimientos legales, regulatorios,
pueden ser unidades organizacionales internas
contractuales y organizacionales de
o externas a la organización, como gerentes de
seguridad de la información;
proyecto, gerentes de sistemas de información,
o quienes toman las decisiones sobre la segu-
3) resultados del proceso de gestión de
ridad de la información. Se recomienda que se
riesgos de la seguridad de la informa-
definan y comuniquen a estas partes interesa-
ción, como los descriptos en IRAM-
das, los resultados de las mediciones especí-
ISO/IEC 27001.
ficas, que tengan que ver con la efectividad de
los controles individuales o grupos de contro-
b) priorizar las necesidades de información
les.
identificadas, basadas en criterios, tales
como las siguientes:
La organización puede considerar definir un
límite al número de resultados de las medicio-
21
1) prioridades del tratamiento de los ries-  se pueden desarrollar resultados de medi-

gos; ciones significativos, basados en los valores
obtenidos y las medidas desarrolladas.
2) recursos y capacidades de una orga-
nización; Las características de los atributos selecciona-
dos determinan el tipo del método de medición
3) intereses de las partes interesadas; a utilizar para obtener los valores que se van a
asignar a las medidas base (ejemplo, cualitati-
4) política de seguridad de la informa- vos o cuantitativos).
ción;
Se recomienda que se documenten el objeto y
5) información requerida para cumplir con los atributos seleccionados, junto con las razo-
los requerimientos legales, regulato- nes para dicha selección.
rios y contractuales;
Se recomienda que se utilicen datos que des-
6) valor de la información en relación con criban el objeto de medición y los atributos
el costo de la medición; correspondientes, como los valores a ser asig-
nados a las medidas base. Ejemplos de objetos
c) seleccionar un subconjunto de información de medición incluyen pero no se limitan a:
requerida a ser utilizada en actividades de
medición a partir de la lista de prioridades;  productos y servicios;
y
 procesos;
d) documentar y comunicar las necesidades
de información seleccionada a todas las  activos aplicables como instalaciones, apli-
partes interesadas relevantes. caciones y sistemas de información como
los identificados en la IRAM-ISO/IEC 27001:
Se recomienda que todas las mediciones apli- 2005, (Inventario de activos, A.7.1.1);
cadas a un SGSI, controles o grupos de contro-
les implementados, se realicen basados en la  unidades de negocio;
necesidad de información seleccionada.
 ubicaciones geográficas; y
7.4 Selección de objeto y atributos
 servicios provistos por terceras partes.
Se recomienda que se identifiquen cada objeto
de medición y sus atributos se identifiquen en Se recomienda que se revisen los atributos de
el contexto general y el alcance del SGSI. Se manera de asegurar que:
recomienda que se haga notar que un objeto
de medición puede tener varios atributos apli- a) se han seleccionado atributos apropiados
cables. para medir; y
Se recomienda que el objeto y sus atributos b) se ha definido la recolección de datos para
que se van a utilizar para la medición, se selec- asegurar que se encuentre presente un
cionen en base a la prioridad de las necesi- número suficiente de atributos que permita
dades de información correspondientes. una medición efectiva.
Los valores que se asignen a una medida base Se recomienda que sólo se seleccionen los
se obtienen aplicando un método de medición atributos que son pertinentes a la medida base.
apropiado para los atributos seleccionados. Se A pesar de que se recomienda que la selección
recomienda que dicha selección asegure que: tome en consideración el grado de dificultad en
obtener los atributos a ser medidos, es conve-
 se puede identificar una medida base perti- niente que la misma no se realice únicamente
nente y un método de medición apropiado; y
22
sobre datos de fácil obtención o sobre los atri-  número de indicadores potencialmente co-
butos fáciles de medir. rrespondientes respaldados por las medidas
base;
7.5 Desarrollo de la estructura de medición
 facilidad para la interpretación;
7.5.1 Visión general
 número de usuarios de los resultados de
Este subcapítulo (7.5) describe el desarrollo de medición desarrollados;
la estructura de medición, desde 7.5.2 (la se-
lección de la medida) hasta 7.5.8 (las partes  evidencia de cómo las medidas se adecuan
interesadas). a los propósitos o necesidad de información;
y
7.5.2 Selección de la medida
 costos de recolectar, gestionar y analizar los
Se recomienda identificar las medidas que sa- datos.
tisfagan potencialmente la necesidad de
información seleccionada, y que ellas se defi- 7.5.3 Método de medición
nan con detalle suficiente de manera de
colaborar con la selección de medidas a ser Se recomienda que para cada medida base in-
implementadas. Las medidas recientemente dividual se defina un método de medición.
identificadas pueden involucrar la adaptación Dicho método de medición se utiliza para cuan-
de medidas existentes. tificar un objeto de medición, a través de la
transformación de los atributos en que se van a
NOTA. La identificación de medidas base se encuentra
muy relacionada con la identificación del objeto de medi-
asignar a la medida base.
ción y sus atributos.
Un método de medición puede ser subjetivo u
Se recomienda seleccionar las medidas identi- objetivo. Los métodos subjetivos se basan en la
ficadas que satisfagan potencialmente las cuantificación, involucrando el juicio humano,
necesidades de información. Se recomienda mientras que los métodos objetivos utilizan la
que también se considere la información de con- cuantificación basada en reglas numéricas, el
texto necesaria para interpretar o normalizar las cual se puede implementar por medios huma-
medidas. nos o automáticos.
NOTA. Se pueden seleccionar muchas combinaciones di- El método de medición cuantifica los atributos
ferentes de medidas (por ejemplo: medidas base,
medidas derivadas e indicadores) para cubrir necesidades
como valores al aplicar la escala apropiada.
de información específicas. Cada escala utiliza unidades de medición. Sólo
se comparan directamente las cantidades ex-
Se recomienda que las medidas seleccionadas presadas en la misma unidad de medición.
reflejen la prioridad de las necesidades de in-
formación. Los ejemplos de criterios que Para cada método de medición, se recomienda
podrían utilizarse para la selección de medidas que se establezca y documente un proceso de
incluyen: medición. Se recomienda que dicha verificación
asegure un nivel de confianza en el valor que
 facilidad para la recolección de los datos; será obtenido al aplicar el método de medición
al atributo del objeto de medición, y asignarlo a
 disponibilidad de los recursos humanos para una medida base. Donde sea necesario asegu-
recolectar y gestionar los datos; rar validez de los valores, se recomienda que
se normalicen y verifiquen a intervalos defini-
 disponibilidad de las herramientas apropiados las herramientas utilizadas para medir
das; atributos.
23
Se debe tener en cuenta la precisión del méto- Se recomienda que se tenga en consideración
do de medición y se recomienda registrar la los criterios de decisión que se aplicarán a un
desviación o varianza asociada. indicador, cuando se defina el modelo analítico.
Se recomienda que el método de medición sea Algunas veces un modelo analítico puede ser
consistente a través del tiempo, de manera que tan simple como transformar un valor asignado
los valores asignados a la medida base, toma- a una medida derivada, en un valor a ser asig-
das en tiempos distintos, sean comparables, y nado a un indicador.
que los valores asignados a una medida deri-
vada y a un indicador también sean compa- 7.5.6 Indicadores
rables.
Los valores a ser asignados a los indicadores
7.5.4 Función de medición se producirán agregando valores establecidos
a las medidas derivadas e interpretando éstos
Por cada medida derivada individual, se reco- valores basados en los criterios de decisión. Se
mienda que se defina una función de medición, recomienda que se defina un formato para la
la cual sea aplicable a dos o más valores asig- presentación del indicador como parte del for-
nados a medidas base. Dicha función de mato del informe (ver 7.7), por cada indicador
medición se utiliza para transformar los valores que se informe al cliente.
asignados a una o más medidas base, al valor
que se va asignar a una medida derivada. En Los formatos para la presentación de los indi-
algunos casos, una medida base puede contri- cadores presentarán visualmente las medidas y
buir directamente al modelo analítico además proveerán una explicación detallada de los in-
de una medida derivada. dicadores. Se recomienda que se adapten los
formatos para la presentación de los indicado-
Una función de medición (por ejemplo, un res para cumplir con las necesidades de
cálculo) puede involucrar una variedad de información del cliente.
técnicas, tales como: promediar todos los valo-
res asignados a las medidas base, aplicar 7.5.7 Criterios de decisión
ponderaciones a los valores asignados a las
medidas base, o asignar valores cualitativos a Se recomienda que se definan y documenten
los valores asignados a las medidas base, an- los criterios de decisión correspondiente a cada
tes de utilizarlas para calcular el valor a ser indicador, basado en los objetivos de seguridad
asignado a una medida derivada. La función de de la información, para proveer una guía de ac-
medición puede combinar valores a ser asigna- ción a las partes interesadas. Se recomienda
dos a medidas base utilizando diferentes que dicha guía se enfoque hacia las expectati-
escalas, como porcentajes o resultados de eva- vas de progreso y los umbrales para iniciar
luaciones cualitativas. acciones de mejora, basados en el indicador.
7.5.5 Modelo analítico Los criterios de decisión establecen una meta a

través de la cual se mide el éxito (ver 5.3) y
Por cada indicador, se recomienda que se defi- proveen una guía para interpretar el indicador
na un modelo analítico con el propósito de en relación con su proximidad con dicha meta.
transformar uno o más valores asignados a una
medida base y/o derivada, en valores que se Es necesario definir las metas para cada ítem
van a asignar al indicador. con respecto al rendimiento de los procesos del
SGSI y los controles, para el cumplimiento de
El modelo analítico combina medidas relevan- objetivos, y para la efectividad del SGSI que se
tes, de una manera que produzca una salida está evaluado.
que tenga significado para las partes interesa-
das. La alta dirección puede decidir no definir metas
para los indicadores hasta tanto no se recolec-
ten los datos iniciales. Una vez que se
24
identifiquen las acciones correctivas basadas recolección, registro y almacenamiento de

en los datos iniciales, se pueden definir los cri- los datos; y
terios de decisión apropiados y los hitos de
implementación que sean realistas para el e) comunicador de la información: la persona
SGSI específico. Si los criterios de decisión no o unidad organizacional responsable por el
se pueden establecer en este punto, se reco- análisis de los datos y la comunicación de
mienda que la alta dirección evalúe si el objeto los resultados medidos.
de medición y las medidas correspondientes
realmente proveen el valor esperado por la or- 7.6 Estructura de medición
ganización.
Se recomienda que la especificación de la es-
Se puede facilitar el establecimiento de los cri- tructura de medición incluya como mínimo, la
terios de decisión si se encuentran disponibles información siguiente:
los datos históricos que corresponden a las
medidas desarrolladas o seleccionadas. Las a) el propósito de la medición;
tendencias observadas en el pasado proveerán
la percepción de los rangos de rendimiento que b) el objetivo de control a alcanzar mediante
han existido previamente y una guía en la crea- los controles, y controles específicos, gru-
ción de criterios de decisión realistas. Los pos de control y procesos del SGSI a ser
criterios de decisión se pueden calcular o basar medidos;
en un entendimiento conceptual de un compor-
tamiento esperado. Los criterios de decisión se c) el objeto de medición;
pueden derivar de datos históricos, planes, y
heurística, o calcular como límites de control d) los datos a recolectar y utilizar;
estadísticos o intervalos de confianza estadísti-
cos. e) los procesos para la recolección y análisis
de los datos;
7.5.8 Partes interesadas
f) los procesos para informar los resultados
Por cada medida base y/o derivada, se reco- de las mediciones, incluyendo los formatos
mienda que se identifiquen y documenten las de los informes;
partes interesadas apropiadas. Las partes inte-
resadas pueden incluir a los siguientes: g) los roles y las responsabilidades de las
partes interesadas correspondientes; y
a) cliente de la medición: la alta dirección u
otras partes interesadas que solicitan o re- h) un ciclo para revisar las mediciones de
quieren información sobre la efectividad de manera de asegurar su utilidad en relación
un SGSI, controles o grupo de controles; a la necesidad de información.
b) revisor de la medición: la persona o unidad El anexo A provee un ejemplo de estructura de

organizacional que valida que las estructu- medición que incorpora todos los puntos antes
ras de medición desarrolladas son mencionados [de a) a h)]. El anexo B provee
apropiadas para evaluar la efectividad de ejemplos de estructuras de medición aplicadas
un SGSI, controles o grupo de controles; para medir los procesos y controles de un
SGSI.
c) propietario de la información: la persona o
unidad organizacional que es responsable 7.7 Recolección, análisis y reporte de los
por la información sobre un objeto de me- datos
dición y sus atributos y es responsable de
su medición; Se recomienda que se establezcan procedi-
mientos para la recolección y análisis de los
d) recolector de información: la persona o datos, y procesos para informar los resultados
unidad organizacional responsable por la del desarrollo de las mediciones. Se recomien-
25
da que también se establezcan, de ser requeri- dinámicos. Los reportes se utilizan de mejor
do, herramientas de soporte, equipamiento de manera cuando el usuario necesita mirar a
medición y tecnologías. Dichos procedimientos, datos en crudo en un formato de fácil lectu-
herramientas, equipamiento para medición y ra; y
tecnologías se comprenderán las siguientes ac-
tividades:  indicadores para representar valores diná-
micos, incluyendo alertas, elementos
a) la recolección de los datos, incluyendo el gráficos adicionales y etiquetas de los pun-
almacenamiento y verificación de ellos (ver tos finales.
8.3). Se recomienda que los procedimien-
tos identifiquen cómo se colectan los datos 7.8 Implementación y documentación de la
a través del método de medición utilizado, medición
la función de medición y el modelo analíti-
co. Se recomienda también indicar cómo y Se recomienda que el enfoque general de la
dónde se almacenarán los datos junto con medición se documente en un plan de imple-
toda la información de contexto necesaria mentación, y que incluya, como mínimo, la
para entender y verificarlos. La verificación siguiente información:
se puede realizar contrastando los datos
con una lista de control, la cual se constru- a) la implementación del Programa de medi-
ye para verificar que los datos faltantes son ción de la seguridad de la información para
mínimos, y que el valor que se asigna a la organización;
cada medida es válido;
b) las especificaciones de medición siguien-
NOTA. La verificación de los valores a ser asignados
tes:
a las medidas base se relaciona estrechamente con
la verificación del método de medición (ver 7.5.3).
1) la estructura de medición genérica de
b) el análisis de los datos e informe de los rela organización;
sultados de las mediciones desarrolladas.
Se recomienda que el procedimiento espe- 2) la estructura de medición individual de
cifique las técnicas de análisis de datos la organización; y
(ver 9.2), y la frecuencia, formato y méto-
dos para el reporte de los resultados de las 3) la definición del rango y procedimien-
mediciones. Se recomienda que se identi- tos para la recolección y el análisis de
fique el conjunto de herramientas nece- los datos;
sario para realizar el análisis de datos.
c) el calendario planificado para desarrollar
Los ejemplos de formatos de reportes incluyen: las actividades de medición;
 tablero de control para proveer información d) los registros generados a través de la rea-
estratégica a través de la integración de in- lización de las actividades de medición,
dicadores de alto nivel; incluyendo los datos recolectados y los re-
gistros analizados; y
 tablero de ejecución y operaciones, menos
enfocado a objetivos estratégicos y más li- e) los formatos de reporte para los resultados
gado a la efectividad de controles y proce- de las mediciones a ser informados a la al-
sos específicos; ta dirección / partes interesadas (ver IRAM-
ISO/IEC 27001:2007 capítulo 7 Revisión
 reportes, simples y estáticos, por ejemplo por la alta dirección).
una lista de medidas para un período de
tiempo dado, como también reportes más
sofisticados con agrupamiento anidado,
resúmenes rodantes, con hipervínculos
26
8 OPERACIÓN DE MEDICIÓN la organización, la distribución de la infor-

mación de medición, la auditoría y la
revisión del Programa de la medición de la
8.1 Visión general
seguridad de la información;
La operación de medición de la seguridad de la f) la integración del análisis y los reportes de
información comprende actividades que son datos dentro de procesos relevantes, para
esenciales para asegurar que los resultados de asegurar su rendimiento regular;
las mediciones proporcionan información preci-
sa con respecto a la efectividad de un SGSI, g) el seguimiento y control, la revisión y la
controles o grupos de controles implementados
evaluación de los resultados de la medi-
y la necesidad de acciones apropiadas de me-
ción;
jora.
h) el establecimiento de un proceso que eli-
Esta actividad incluye lo siguiente: mine y agregue mediciones, para asegurar
que se ajuste a la evolución de la organi-
a) integrar procedimientos de medición dentro zación; y
de la operación general del SGSI;
i) el establecimiento de un proceso para de-
b) recolectar, almacenar y verificar los datos. terminar la vida útil de los datos históricos
y los análisis de tendencias.
8.2 Integración del procedimiento
8.3 Recolección, almacenamiento y verifi-
Se recomienda que el Programa de medición cación de los datos
de la seguridad de la información se integre y
use por completo dentro del SGSI. Se reco- Las actividades de recolección, almacenamien-
mienda que los procedimientos de medición se to y verificación de los datos incluyen lo
coordinen con la operación del SGSI, incluyen- siguiente:
do:
a) recolección de los datos requeridos dentro
a) la definición y documentación de roles, au-
de intervalos regulares utilizando un méto-
toridades y responsabilidades, con respec- do de medición definido;
to al desarrollo, implementación y
mantenimiento de la medición de la seguri-
b) documentación de la recolección de datos,
dad de la información; incluyendo:
b) la recolección de datos, y, cuando sea ne- 1) fecha, hora y ubicación de la recolec-
cesario, la modificación de la operación ción de los datos;
habitual del SGSI para alinear las activida-
des de generación y recolección de datos; 2) recolector de la información;
c) la comunicación a las partes interesadas 3) propietario de la información;
pertinentes de los cambios en las activida-
des de recolección de datos; 4) cualquier asunto que haya ocurrido du-
rante la recolección de los datos que
d) el mantenimiento de la competencia de los
pueda ser útil;
recolectores de información y el entendi-
miento de los tipos de datos requeridos, 5) información para la verificación de los
herramientas y procedimientos de recolec- datos y validación de la medición.
ción de datos;
c) verificar los datos recolectados contra los
e) el desarrollo de políticas y procedimientos, criterios de selección de las mediciones y
que defina el uso de mediciones dentro de
27
criterios de validación de las estructuras directamente involucrados en los procesos

de medición. técnicos y de gestión, tales conclusiones necesi-
tan ser revisadas por otras partes interesadas.
Se recomienda que los datos recolectados y Se recomienda que todas las interpretaciones
cualquier información de contexto necesaria se tengan en cuenta el contexto de las medidas.
consolide y almacene en un formato registrable
propicio para un análisis de los datos. Se recomienda que el análisis de datos identifi-
que brechas entre los resultados esperados de
mediciones de un SGSI implementado, contro-
les o grupos de controles, y los resultados
9 ANÁLISIS DE DATOS E INFORME DE reales. Las brechas identificadas indicarán las
RESULTADOS DE LAS MEDICIONES necesidades de mejora del SGSI implementa-
do, incluyendo su alcance, políticas, objetivos,
9.1 Visión general controles, procesos y procedimientos.
Se recomienda que los datos recolectados se Se recomienda que se identifiquen aquellos in-
analicen para desarrollar resultados de las me- dicadores que demuestran incumplimiento o
diciones y que estos se comuniquen. bajo rendimiento y puedan ser clasificados de
la manera siguiente:
Dicha actividad incluye lo siguiente:
a) falla del plan de tratamiento de riesgos pa-
a) análisis de datos y desarrollo de resultados ra implementar (o implementar satisfac-
de las mediciones; y toriamente), operar y gestionar controles o
procesos del SGSI (por ejemplo, que una
b) comunicación de los resultados de las me- amenaza pase por alto controles y proce-
diciones a las partes interesadas corres- sos del SGSI);
pondientes.
b) falla en la evaluación de riesgos:
9.2 Análisis datos y generación de resulta-
dos de las mediciones 1) los controles o los procesos del SGSI
son inefectivos debido a que son insu-
Se recomienda que los datos recolectados se ficientes para, contrarrestar amenazas
analicen e interpreten dentro de los términos de estimadas (por ejemplo, debido a la
los criterios de decisión. Los datos pueden ser probabilidad de que una amenaza
agregados, transformados o codificados nue- haya sido subestimada) o para contra-
vamente antes de su análisis. Durante esta rrestar nuevas amenazas;
tarea, se recomienda que se procesen los da-
tos para producir los indicadores. Se pueden 2) los controles o los procesos del SGSI
aplicar varias técnicas de análisis. Se reco- no se encuentran implementados, de-
mienda que la profundidad del análisis se bido a haber pasado por alto
determine por la naturaleza de los datos y la amenazas.
necesidad de información.
Se recomienda que los informes que son utili-
NOTA. En la ISO/TR 10017 (Guidance on statistical tech- zados para comunicar los resultados de las
niques for ISO 9001) se puede encontrar una guía para el mediciones a las partes interesadas, se prepa-
desarrollo del análisis estadístico.
ren utilizando formatos de informes apropiados
(ver 7.7) de acuerdo con el plan de implemen-
Se recomienda que se interpreten los resulta-
tación del Programa de medición de la
dos de los análisis. Se recomienda que la
seguridad de la información.
persona que analiza los resultados (comunica-
dor), sea capaz de generar conclusiones
Se recomienda que las conclusiones de los
iniciales basadas en ellos. Sin embargo, debido
análisis sean revisadas por las partes interesa-
a que el/los comunicador/es pueden no estar
das relevantes, de manera de asegurar la
28
interpretación apropiada de los datos. Se re- ridades reguladoras, accionistas, clientes y

comienda que el resultado del análisis de datos proveedores. Se recomienda que los informes
se documente para ser comunicado a las par- de los resultados de las mediciones que se dis-
tes interesadas. tribuyan externamente, contengan sólo datos
que sean apropiados para ser entregados ex-
9.3 Comunicación de los resultados de las ternamente, y que sean aprobados por la alta
mediciones dirección y por las partes interesadas corres-
pondientes antes de su entrega.
Se recomienda que el comunicador de la infor-
mación determine cómo comunicar los resulta-
dos de la medición de la seguridad de la
información, tales como:
10 EVALUACIÓN Y MEJORA DEL
PROGRAMA DE MEDICIÓN DE LA
 cuáles resultados de mediciones se van a in- SEGURIDAD DE LA INFORMACIÓN
formar interna y externamente;
10.1 Visión general
 hacer listados de las mediciones correspon-
dientes a partes interesadas individuales, y Se recomienda que la organización evalúe a in-
otras partes interesadas; tervalos planificados lo siguiente:
 proveer resultados de mediciones específi- a) la efectividad del Programa de medición de

cos, y el tipo de presentación, adaptada a la seguridad de la información de manera
las necesidades de cada grupo; y de asegurar que:
 establecer los medios para obtener respues- 1) produce resultados de mediciones de

tas de las partes interesadas, que se van a una manera efectiva;
utilizar para evaluar la utilidad de los resul-
tados de las mediciones y la efectividad del 2) se ejecuta según lo planificado;
Programa de medición de la seguridad de la
información. 3) trata los cambios en el SGSI imple-
mentado y/o en los controles;
Se recomienda que los resultados de las medi-
ciones se comuniquen a una variedad de 4) trata los cambios en el ambiente (por
partes interesadas internas incluyendo, como ejemplo, requerimientos, legislación o
mínimo, a: tecnología); y
 clientes de la medición (ver 7.5.8); b) la utilidad de los resultados de mediciones

desarrolladas, para asegurar que los mis-
 propietarios de la información (ver 7.5.8); mos satisfacen las necesidades de infor-
mación relevantes.
 personal a cargo de la gestión del riesgo de
la seguridad de la información, especialmen- Se recomienda que la alta dirección especifique
te donde se han identificado fallas en la la frecuencia de dicha evaluación, planifique re-
evaluación del riesgo; y visiones periódicas y establezca los mecanismos
para hacer posibles dichas mediciones (ver capí-
 personal que es responsable por las áreas tulo 7.2 de IRAM-ISO/IEC 27001:2007).
en las que se ha identificado una necesidad
de mejora. Se recomienda que las actividades relevantes
sean las siguientes:
La organización puede requerir en algunos ca-
sos distribuir informes de resultados de
mediciones a partes externas, incluyendo auto-
29
1) identificación de los criterios de evaluación a) los resultados de medición son:

del Programa de medición de la seguridad
de la información (ver 10.2); 1) sencillos de entender;
2) seguimiento, control, revisión y evaluación 2) comunicados a tiempo; y

de las mediciones (ver 10.3); e
3) objetivos, comparables y reproduci-
3) implementación de las mejoras (ver 10.4). bles.
10.2 Identificación del criterio de evaluación b) los procesos establecidos para desarrollar
del Programa de medición de la seguridad resultados de las mediciones son:
de la información
1) bien definidos;
Se recomienda que la organización defina crite-
rios para evaluar la efectividad del Programa de 2) sencillos de operar; y
medición de la seguridad de la información, así
como la utilidad de los resultados de las medi- 3) seguidos apropiadamente.
ciones desarrolladas. Se recomienda que el
criterio se defina al inicio de la implementación c) los resultados de las mediciones son útiles
del PMSI, teniendo en cuenta el contexto de los para mejorar la seguridad de la informa-
objetivos técnicos y de negocio de la organiza- ción;
ción.
d) los resultados de las mediciones tratan las
Cuando las organizaciones tienen que evaluar necesidades de información correspon-
y mejorar el Programa de medición de la segu- dientes.
ridad de la información, los criterios más
probables a utilizar son: 10.3 Seguimiento, control, revisión y eva-
luación del Programa de medición de la
 cambios en los objetivos de negocio de la seguridad de la información
organización;
Se recomienda que la organización siga, con-
 cambios de requerimientos legales o regula- trole, revise y evalúe su Programa de medición
torios y obligaciones contractuales en la de la seguridad de la información contra los cri-
seguridad de la información; terios establecidos (ver 10.2).
 cambios en los requerimientos de la organi- Se recomienda que la organización identifique

zación sobre la seguridad de la información; potenciales necesidades de mejora del Pro-
grama de medición de la seguridad de la
 cambios en los riesgos de la seguridad de la información, incluyendo:
información de la organización;
a) revisar o remover estructuras de medición
 aumento en la disponibilidad de datos más adoptadas que ya no son apropiadas; y
refinados o adecuados, y/o métodos para
recolectar datos con el propósito de medir; y b) reasignar recursos para dar soporte al
Programa de gestión de la seguridad de la
 cambios en el objeto de medición y/o sus información.
atributos.
Se recomienda que la organización también
Para evaluar los resultados de medición des- identifique necesidades potenciales de mejora
arrollados se pueden aplicar los criterios del SGSI implementado, incluyendo su alcance,
siguientes: políticas, objetivos, controles, procesos y pro-
cedimientos; y documente las decisiones de la
alta dirección para permitir la comparación y el
30
análisis de tendencias durante las revisiones 10.4 Implementar mejoras

subsecuentes.
Se recomienda que la organización asegure que
Se recomienda que el resultado de dicha eva- las partes interesadas correspondientes identifi-
luación y las potenciales necesidades de quen las necesidades de mejora del Programa
mejora identificadas, se comuniquen a las par- de medición de la seguridad de la información
tes interesadas relevantes de manera de (ver 7.3 e) de la IRAM-ISO/IEC 27001:2007). Se
permitir la toma de decisiones con respecto a recomienda que las mejoras identificadas sean
mejoras necesarias. aprobados por la alta dirección y que los planes
aprobados se documenten y comuniquen a las
Se recomienda que la organización asegure la partes interesadas apropiadas.
obtención de respuesta de las partes interesa-
das sobre los resultados de esta evaluación y Se recomienda que la organización asegure
sobre las potenciales necesidades de mejora que las mejoras aprobadas del Programa de
identificadas, así como también, que la organi- medición de la seguridad de la información se
zación entienda que dicha respuesta es uno de implementen según lo planificado.
los datos de entrada con respecto a la efectivi-
dad del Programa de medición de la seguridad La organización puede aplicar técnicas de ges-
de la información. tión de proyectos para cumplir con las mejoras.
31
Anexo A
(Informativo)
Plantilla para estructurar la medición de la seguridad de la información
El anexo A provee una plantilla de ejemplo de una estructura de medición de la seguridad de la in-
formación que incluye todos los componentes identificados en 7.5 como los descriptos en 5.4. Las
organizaciones pueden modificar la plantilla de acuerdo a sus necesidades.
Identificación de la estructura de medición

Nombre de la estructura Nombre de la medición
de medición
Identificador numérico Identificador numérico único específico de la organización
Propósito de la estructu- Describe las razones para introducir la medición
ra de medición
Objetivo del control / Objetivo del control/proceso bajo medición (planificado o imple-
proceso mentado)
Control(1)/proceso(1) Control/proceso bajo medición
Opcional: controles/procesos adicionales dentro del agrupamien-
Control(2)/proceso(2) to, incluidos en la misma medida, de ser aplicable (planificadas o
implementadas).
Objeto de medición y atributos
Objeto (entidad) que se caracteriza a través de la medición de
Objeto de medición sus atributos. Un objeto puede incluir procesos, planes, proyec-
tos, recursos y sistemas o componentes de sistemas.
Propiedad o característica de un objeto de medición que puede
Atributo distinguirse cuantitativa o cualitativamente, por medios manuales
o automatizados.
Especificación de medidas base (para cada medida base [1…n])
Una medida base es definida en términos de un atributo y el
método de medición especificado para cuantificarlo (por ejemplo
Medida base la cantidad de personas entrenadas, cantidad de ubicaciones,
costo acumulativo a la fecha). A medida de que los datos son re-
colectados, se asigna un valor a la medida base
Secuencia lógica de operaciones utilizadas para cuantificar un
Método de medición
atributo con respecto a la escala especificada.
Dependiendo de la naturaleza de las operaciones utilizadas para
cuantificar un atributo, se pueden identificar dos tipos de méto-
Tipo de método de me- dos:
dición - Subjetivo: cuantificación que involucra el juicio humano
- Objetivo: cuantificación basada en reglas numéricas tal co-
mo contar.
Escala Conjunto ordenado de valores o categorías con las cuales se
mapean los atributos de las medidas base.
Tipo de escala Dependiendo de la naturaleza de la relación entre los valores en
32
la escala, normalmente se definen cuatro tipos de escalas: nomi-

nal, ordinal, intervalo y ratios.
Cantidad particular, definida y adoptada por convención, con la
Unidad de medición cual cualquier otra cantidad del mismo tipo se puede comparar
para expresar la proporción de dos cantidades como un número.
Especificación de medida derivada
Una medida que se obtiene en función de dos o más medidas
Medida derivada
base
Algoritmo o cálculo realizado para combinar dos o más medidas
base. La escala y unidad de la medida derivada depende de las
Función de medición
escalas y unidades de las medidas base que la componen, así
como también de cómo se combinan las mismas en la función.
Especificación del indicador
Medida que provee una estimación o evaluación de atributos es-
pecíficos, derivados de un modelo analítico con respecto a una
Indicador
determinada necesidad de información. Los indicadores son la
base para el análisis y la toma de decisiones.
Algoritmo o cálculo que combina una o muchas medidas base y/o
derivadas con criterios de decisión asociados. Se basa en un en-
tendimiento o suposición sobre las relaciones esperadas entre la
Modelo analítico
medida base y/o la medida derivada y/o su comportamiento en el
tiempo. Un modelo analítico produce estimaciones o evaluacio-
nes que corresponde a una necesidad de información definida.
Especificación de los criterios de decisión
Umbrales, objetivos o patrones utilizados para determinar la ne-
cesidad de una acción o investigación adicional, o para describir
Criterios de decisión
el nivel de confianza en un resultado dado. Los criterios de deci-
sión son útiles para interpretar los resultados de la medición.
Resultados de medición
Una descripción de cómo se recomienda interpretar el indicador
Interpretación de un in-
de la muestra (ver la figura de muestra en la descripción del indi-
dicador
cador).
Se recomienda que los formatos de los informes se identifiquen y
documenten. Describen las observaciones que la organización o
el propietario de la información pueden querer en los registros.
Formatos de los infor-
Los formatos de los informes representarán visualmente las me-
mes
didas y proveerán una explicación verbal de los indicadores. Se
recomienda que los formatos de los informes se adapten al clien-
te de la información.
Partes interesadas
La alta dirección u otra parte interesada que requiera o solicite in-
Cliente de la medición formación sobre la efectividad del SGSI, controles o grupos de
control.
Persona o unidad organizacional que valida que las estructuras
Revisor de la medición de medición desarrolladas son apropiadas para evaluar la efecti-
vidad del SGSI, controles o grupo de controles.
33
Propietario de la infor- Persona o unidad organizacional que posee la información sobre

mación un objeto de medición y los atributos, y es responsable por la
medición.
Recolector de la infor- Persona o unidad organizacional responsable de recolectar, re-
mación gistrar y almacenar los datos.
Comunicador de la in- Persona o unidad organizacional responsable de analizar los da-
formación tos y comunicar los resultados de la medición
Frecuencia / Periodicidad
Frecuencia de la reco- Periodicidad con la cual se recolectarán los datos
lección de datos
Frecuencia del análisis Periodicidad con la cual se analizarán los datos
de datos
Frecuencia del informe Periodicidad con la cual se van a informar los resultados de la
de los resultados de la medición ( esto podría ser menos frecuente que la recolección de
medición datos)
Revisión de la medición Fecha de la revisión de la medición (expiración o renovación de
la validez de la medición)
Período de medición Define el período que se va a medir.
34
Anexo B
(Informativo)
Ejemplos de estructuras de medición
Los siguientes capítulos proveen ejemplos de estructuras de medición. Éstos ejemplos tienen la in-
tención de demostrar como aplicar esta Norma Internacional utilizando la plantilla provista en el
anexo A.
Tabla de contenidos
B.1 Entrenamiento del SGSI

B.1.1 Personal entrenado en el SGSI
B.1.2 Entrenamiento en Seguridad de la Información
B.1.3 Concientización en el Cumplimiento de la Seguridad de la
Información
B.2 Políticas de contraseñas
B.2.1 Calidad de las contraseñas – manual
B.2.2 Calidad de las contraseñas – automática
B.3 Proceso de revisión del SGSI
B.4 Mejora continua de la gestión de incidentes de la seguridad
de la información del SGSI
B.4.1 Efectividad
B.4.2 Implementación de acciones correctivas
B.5 Compromiso de la alta dirección
B.6 Protección contra código malicioso
B.7 Controles físicos de entrada
B.8 Revisión de los archivos de registro de actividades
B.9 Gestión de la periodicidad del mantenimiento
B.10 Seguridad en acuerdos con terceras partes
Ejemplos de
Procesos y controles relacionados estructuras
(capítulo en IRAM-ISO/ de medición Nombres de los ejemplos de
IEC 27001:2007 o número de control relacionadas estructuras de medición
en el anexo A) (referencia en
este anexo)
Capítulo 4.2.2 h) B.4.1 Efectividad de la gestión de
incidentes de la seguridad de
la información
Capítulo 5.2.2 d) B.1.1 Personal entrenado en el
SGSI
Capítulo 8.2 B.4.2 Implementación de una acción
correctiva
Control A.6.1.8 B.3 Proceso de revisión del SGSI
Control A.6.1.1 y A.6.1.2 B.5 Compromiso de la alta direc-
ción
Control A.6.2.3 B.10 Seguridad en acuerdos con
35
terceras partes
Control A.8.2 y A.8.2.2 B.1.2 Entrenamiento en seguridad
de la información
Control A.8.2 y A.8.2.2 B.1.3 Concientización en el cumpli-
miento de la seguridad de la
información
Control A.9.1.2 B.7 Controles físicos de entrada
Control A.9.2.4 B.9 Gestión del mantenimiento pe-
riódico
Control A.10.4.1 B.6 Protección contra código mali-
cioso
Control A.10.10.1 y A.10.10.2 B.8 Revisión de los archivos de
registro de actividades
Control A.11.3.1 B.2.1 Calidad de las contraseñas –
manual
Control A.11.3.1 B.2.2 Calidad de las contraseñas –
automática
B.1 Entrenamiento en el SGSI
B.1.1 Personal entrenado en el SGSI
Identificación de la estructura de la medición

Nombre de la estructura de
Personal entrenado en el SGSI
medición
Identificación numérica Específica de la organización
Propósito de la construc- Establecer el cumplimiento del control con las políticas de
ción de medición seguridad de la información de la organización
Capítulo 5.2.2 [27001:2007]. Formación, toma de con-
Objetivo de control/proceso ciencia y competencia
Capítulo 5.2.2.d [27001:2007]. Formación, toma de con-
ciencia y competencia.
La organización debe asegurar que todo el personal al
que se asigne responsabilidades definidas en el SGSI
Control (1)/proceso (1)
sea competente para realizar las tareas exigidas, me-
diante:
d) el mantenimiento de registros de la educación, forma-
ción, habilidades, experiencia y calificaciones.
Opcional: controles adicionales dentro del agrupamiento
Control (2)/proceso (2) incluidos en la misma medida, si son aplicable (planeada
o implementada)
Objeto de medición Base de datos de empleados
Atributo Registros de entrenamiento
36
Especificación de la medida base (1)

Número de empleados que recibieron entrenamiento en
el SGSI de acuerdo al plan anual de entrenamiento.
Medida base
Número de empleados que deben recibir entrenamiento
en el SGSI.
Cantidad de registros con columnas/filas de formación en
Método de medición SGSI rellenas como ―Recibidas‖
Tipo de método de medi-
ción Objetivo
Escala Numérica
Tipo de escala Proporción
Unidad de medición Empleados
Especificación de la medida derivada
Medida derivada Porcentaje del personal entrenado en el SGSSI
La cantidad de empleados que recibieron formación en el
Función de medición SGSI / la cantidad de empleados que tienen que recibir
formación en el SGSI * 100
Uso de identificadores de color. Gráfico de barras que
representa cumplimiento en varios períodos de reporte
con respecto a los umbrales (rojo, amarillo, verde) defini-
Indicador
dos por el Modelo analítico. Se recomienda que el
número de períodos informados a usar en la tabla los de-
fina la organización.
0-60% - Rojo; 60-90% - Amarillo; 90-100% Verde. Para
Modelo analítico Amarillo, si el progreso es menor a 10% por trimestre, la
calificación pasa automáticamente a ser roja.
Rojo - se requiere intervención, es necesario efectuar un
análisis de las causas para determinar las razones del no
cumplimiento o rendimiento pobre
Amarillo – se recomienda que se siga de cerca este indi-
cador por la posibilidad de que se deslice a Rojo
Verde - no se requiere acción.
Medición del resultado
Interpretación del indicador Especifico de la organización.
Gráfico de barras con codificación de colores en función
a los criterios de decisión. Se recomienda adjuntar al
Formatos de reporte
gráfico de barras una breve descripción del significado de
la medida y las posibles acciones de la alta dirección.
Partes Interesadas
Cliente de la medición Gerentes responsables del SGSI
Revisor de la medición Gerentes responsables del SGSI
37
Propietario de la Informa-
Responsable de entrenamiento - Recursos humanos.
ción
Recolector de la informa- Departamento de gestión de entrenamiento - Recursos
ción humanos
Comunicador de la infor-
Gerentes responsables del SGSI
mación
Frecuencia/Período
Frecuencia de la recolec-
Mensualmente, primer día hábil de cada mes.
ción de datos
Frecuencia del análisis de
Trimestral
datos
Frecuencia de informe de
los resultados de la medi- Trimestral
ción
Revisión de la medición Revisar anualmente
Periodo de medición Anual
B.1.2 Entrenamiento en seguridad de la información

Entrenamiento en seguridad de la información
medición
Identificador numérico Específico de la organización
Evaluar el cumplimiento de los requerimientos sobre en-
Propósito de la estructura
trenamiento anual en concientización sobre Seguridad de
de medición
la información
A.8.2 Durante el empleo
Objetivo: asegurar que los empleados, contratistas y
usuarios de terceras partes sean conscientes de las
Objetivo del amenazas y preocupaciones de la seguridad de la infor-
control/proceso mación, sus responsabilidades y obligaciones, y estén
preparados para respaldar las políticas de seguridad or-
ganizacional en el curso de su trabajo normal, y para
reducir el riesgo de error humano.
A.8.2.2 [27001:2007] Concientización, educación y entre-
namiento en seguridad de la información.
Todos los empleados de la organización y, cuando sea
Control(1)/proceso(1) pertinente, los contratistas y usuarios de terceras partes
deben recibir una apropiada concientización y actualiza-
ciones regulares en las políticas y procedimientos
organizacionales, que sean importantes para su tarea.
Objeto de medición Base de datos de empleados
Atributo Registros de entrenamientos
38
Especificación de medida base(1)

Cantidad de empleados que recibieron entrenamiento
anual sobre concientización en seguridad de la informa-
ción.
Medida base
Número de empleados que necesitan recibir entrena-
miento anual sobre concientización en seguridad de la
información.
Cantidad de registros / registros con campo sobre el en-
Método de medición trenamiento anual en concientización sobre seguridad de
la información / registros marcados como ―Recibidos‖.
Objetivo
ción
Escala Numérica
Unidad de medición Empleado
Porcentaje del personal que ha recibido el entrenamiento
Medida derivada anual sobre concientización en seguridad de la informa-
ción
Número de empleados que han recibido entrenamiento
anual en concientización sobre seguridad de la informa-
Función de medición ción / número de empleados que necesitan recibir
entrenamiento anual en concientización sobre seguridad
de la información * 100
Gráfico de barras mostrando cumplimiento sobre varios
períodos de reporte, en relación con los umbrales (rojo,
verde, amarillo, con identificadores de colores) definidos
Indicador
por el Modelo analítico. Se recomienda que la organiza-
ción defina el número de períodos de reporte a utilizar en
el gráfico.
0-60% - Rojo; 60-90% - Amarillo; 90-100% - Verde. Para
Amarillo, si no se alcanza un progreso de al menos 10%
Modelo analítico
por trimestre, la calificación pasa a ser automáticamente
roja.
Rojo – se requiere intervención, se debe conducir un
análisis de las causas para determinar las razones del
no-cumplimiento o del rendimiento pobre.
Amarillo – se recomienda que el indicador se observe de
cerca por posible movimiento a rojo
Verde – no se requiere ninguna acción.
Resultados de la medición
Interpretación del indicador Específico de la organización
39
Gráfico de barras con los colores de las barras codifica-

dos en base a los criterios de decisión. Se recomienda
Formatos de reporte que se adjunte al gráfico de barras un resumen de lo que
significa la medición y las posibles acciones de la alta di-
rección.
Partes interesadas
Gerentes responsables por el SGSI. Gerencia de seguri-
Cliente de la medición
dad. Gerencia de capacitación
Revisor de la medición Gerente de seguridad
Propietario de la informa- Oficial de la Seguridad de la información y el Gerente de
ción capacitación
Recolector de la informa- Gerencia de capacitación – Departamento de recursos
ción humanos
mación Gerentes responsables por el SGSI
Frecuencia/Período
Mensualmente, primer día hábil de cada mes
ción de datos
Trimestral
datos
Frecuencia de informe de
los resultados de la medi- Trimestral
ción
Período de medición Anual
B.1.3 Cumplimiento con la concientización sobre seguridad de la información

Nombre de la estructura de Cumplimiento con la política sobre concientización en Se-
medición guridad de la información.
Identificador numérico Específico de la organización.
Evaluar el estado del cumplimiento con la política organiza-
cional sobre concientización en seguridad entre el personal
de medición
correspondiente.
A.8.2 Durante el empleo
Objetivo: asegurar que los empleados, contratistas y usua-
rios de terceras partes sean conscientes de las amenazas y
preocupaciones de la seguridad de la información, sus res-
Objetivos de con-
ponsabilidades y obligaciones, y estén preparados para
trol/procesos
respaldar las políticas de seguridad organizacional en el
curso de su trabajo normal, y para reducir el riesgo de error
humano.
40
A.8.2.2
Todos los empleados de la organización y, cuando sea per-
tinente, los contratistas y usuarios de terceras partes deben
recibir una apropiada concientización y actualizaciones re-
gulares en las políticas y procedimientos organizacionales,
Control(1)/proceso(1)
que sean importantes para su tarea.
(Implementación) Todo el personal concerniente al SGSI
debe recibir entrenamiento en concientización sobre segu-
ridad de la información antes de que se le conceda acceso
a un sistema de información. El entrenamiento incluye...
A.8.2.1
La dirección debe requerir a los empleados, contratistas y
usuarios de terceras partes que apliquen la seguridad en
concordancia con las políticas y procedimientos estableci-
dos por la organización.
(Implementación) Todo el personal relevante al SGSI debe
firmar acuerdos de usuario antes de que se le conceda ac-
ceso a un sistema de información
1.1 Plan / programa de entrenamiento en concientización
sobre seguridad de la información
1.2 Personal que ha completado o que se encuentra en
Objeto de medición progreso de entrenamiento
2.1 Plan / programa para firmar los acuerdos de usuario /
cronograma
2.2 Personal que ha firmado los acuerdos
1.1 Personal identificado en el plan
1.2 Estado del personal con respecto al entrenamiento
Atributo 2.1 Personal identificado en el plan para firmar los acuer-
dos/ cronograma
2.2 Estado del personal con respecto a la firma de los
acuerdos / cronograma
Especificación de la medida base
1.1 Cantidad de personas planificado hasta la fecha
1.2 Cantidad de personas que ha firmado
Medida base 2.1 Cantidad de personas planificado para firmar hasta la
fecha
2.2 Cantidad de personas que ha firmado hasta la fecha
1.1 Contar la cantidad de personas planificadas para firmar
y completar el entrenamiento a la fecha
1.2 Preguntar al responsable por el porcentaje del personal
que ha completado el entrenamiento y ha firmado.
2.1 Contar la cantidad de personas planificadas para firmar
a la fecha.
41
2.2 Contar cantidad de personas que ya han firmado los

acuerdos de usuario
1.1 Objetivo
Tipo de método de 1.2 Subjetivo
medición 2.1 Objetivo
2.2 Objetivo
1.1 Enteros, desde cero hasta infinito
1.2 Enteros, desde cero hasta cien
Escala
1.1 Ordinal
1.2 Proporcional
Tipo de escala
2.1 Ordinal
2.2 Ordinal
1.1 Personas
1.2 Porcentual
Unidad de medición
2.1 Personas
2.2 Personas
1. Progreso a la fecha
Medida derivada
2. Progreso a la fecha con las firmas
1. Contar aquellas personas que firmaron y estaban planifi-
cadas para completar a la fecha
Función de medición
2. Dividir el personal que haya firmado a la fecha, sobre el
personal planificado de haber firmado a la fecha
a) Estado expresado como la combinación de proporciones,
y;
Indicador b) tendencia
a) Dividir el Progreso a la fecha por (Personal planificado a
la fecha por 100) y Progreso a la fecha con firma
Modelo analítico b) Comparar estado con estados previos.
a) Se recomienda que las proporciones resultantes se en-

cuentren respectivamente entre 0,9 y 1,1 y entre 0,99 y
1,01 para concluir el cumplimiento del objetivo de control y
Criterios de decisión de no acción, y;
b) Se recomienda que la tendencia sea alcista o estable.
42
Se recomienda que la interpretación del indicador a) sea la
siguiente:
 el criterio de la organización para el cumplimiento con la
política de concientización de seguridad se ha cumplido
satisfactoriamente entre 0,9 ≤ 1er proporción ≤ 1,1 y 0,99
≤ 2da proporción ≤ 1,01; se muestra con fuente regular.
 el criterio de la organización no se ha cumplido satisfac-
toriamente en [1er proporción < 0,9 o 1er proporción
>1,1] y 0,99 ≤ 2do proporción ≤ 1,01; se muestra con
fuente itálica;
 el criterio de la organización no se ha cumplido en [2do
proporción <0,99 o 2do proporción >1,01]; se muestra
Interpretación del indicador con fuente negrita.
Se recomienda que la interpretación del indicador b) sea la
siguiente:
 una tendencia alcista indica cumplimiento mejorado, una
tendencia a la baja indica un deterioro en el cumplimien-
to. El grado del cambio de la tendencia puede proveer
una idea de la efectividad de la implementación del con-
trol. Un cambio fuerte en cualquier dirección indica que
la implementación del control requiere un análisis deta-
llado para determinar su causa. Las tendencias
negativas pueden requerir intervención de la alta direc-
ción. Se recomienda que las tendencias positivas se
analicen para identificar ―mejores prácticas‖ potenciales.
Fuente normal = el criterio ha sido cumplido satisfactoria-
mente
Formatos de reporte Fuente itálica = el criterio no se ha cumplido satisfactoria-
mente
Fuente negrita = el criterio no ha sido cumplido
Partes interesadas
Gerentes responsables del SGSI. Gerencia de seguridad.
Cliente de la medición Gerencia de capacitación
Propietario de la informa- Oficial de la seguridad de la información y el Gerente de
ción capacitación
Recolector de la informa- Gerencia de capacitación – Departamento de recursos
ción humanos
mación
Frecuencia / Período
Mensualmente, primer día hábil del mes
ción de datos
Frecuencia del análisis de Trimestral
43
datos
Frecuencia del informe del
resultado de las medicio- Trimestral
nes
B.2 Políticas de contraseñas
B.2.1 Calidad de las contraseñas – manual

Calidad de la contraseña
medición
Evaluar la calidad de las contraseñas utilizadas por los
Propósito de la estructura de usuarios para acceder a los sistemas de información de la
medición organización
Objetivos de Prevenir a los usuarios de la utilización de contraseñas in-
control/procesos seguras
A.11.3.1
Se debe solicitar a los usuarios que sigan las buenas
prácticas de seguridad en la selección y uso de contrase-
ñas.
Implementación.
Todos los usuarios deben seleccionar contraseñas robustas
para todos los sistemas, las cuales deben:
1) tener un tamaño mayor que 8;
2) no basarse en nada en lo cual otra persona pueda adi-
Control(1)/proceso(1) vinar fácilmente u obtener utilizando información
relacionada a la persona, por ejemplo, nombres, núme-
ros telefónicos, fechas de nacimiento, etc;
3) no consistir en palabras que existan en los diccionarios;
4) no tener caracteres consecutivos idénticos, sean de so-
lo caracteres numéricos o de sólo caracteres
alfabéticos.
Todas las cuentas de usuario y contraseñas para los siste-
mas de información de la organización deben ser
controladas por el sistema de empleados.
Objeto de medición La base de datos de contraseñas
Atributo Contraseñas individuales
Medida base 1 – Número de contraseñas registradas
44
2 – Número de contraseñas que satisfacen la política orga-

nizacional de calidad de contraseñas para cada usuario
1 – Contar el número de contraseñas en la base de datos
de contraseñas de los usuarios
Método de medición 2 – Preguntar a cada usuario sobre el número de contrase-
ñas que satisfacen la política de contraseñas de la
organización
1 - Objetivo
Tipo de método de medición
2 - Subjetivo
1 - Enteros, desde cero hasta infinito
Escala
2 - Enteros, desde cero hasta infinito
1 – Ordinal
Tipo de escala
2 - Ordinal
1 - Contraseñas
Unidad de medición
2 - Contraseñas
Número total de contraseñas que cumplen con la política de
Medida derivada
calidad de contraseñas de la organización
Sumatoria del Número total de contraseñas que cumplen
Función de medición con la política de calidad de contraseñas de la organización
por cada usuario
a) Proporción de contraseñas que cumplen con la política
de calidad de contraseñas de la organización.
Indicador
b) Tendencias de estado de cumplimiento con respecto a la
política de calidad de contraseñas
a) Dividir [Número total de contraseñas que cumplen con la
política de calidad de contraseñas de la organización] por
Modelo analítico [Número de contraseñas registradas]
b) Comparar la proporción con la proporción previa.
El objetivo de control se alcanza y no se requiere ninguna
acción si la proporción resultante es sobre 0,9. Si la propor-
ción resultante es entre 0,8 y 0,9 el objetivo de control no se
ha cumplido, pero una tendencia positiva indica mejora. Si
la proporción resultante es menor que 0,8 se recomienda
que se tomen acciones inmediatas
Se recomienda que la interpretación del indicador a) con
respecto al cumplimiento del criterio de la organización para
la política de contraseñas sea la siguiente:
Interpretación del indicador
 se cumplió satisfactoriamente si la proporción es mayor
que 0,9;
45
 no se cumplió satisfactoriamente si la proporción es [0,8

≤ proporción ≤ 0,9];
 no se cumplió si la proporción es menor que 0,8.
Se recomienda que la interpretación del indicador b) sea la
siguiente:
 una tendencia alcista indica un cumplimiento mejorado,
una tendencia a la baja indica deterioro en el cumpli-
miento;
 el grado del cambio de la tendencia puede proveer una
idea de la efectividad de los controles implementados;
Interpretación del indicador  una tendencia negativa puede requerir mayores contro-
les tal como concientización, o a través de medios
técnicos para forzar a la selección de contraseñas ro-
bustas o el cambio periódico de las mismas
 se recomienda que se examine una tendencia positiva
para estimar términos necesarios para cumplir con la
política de contraseñas desde la proporción actual.
El efecto / impacto de que no se cumpla con el criterio es
un incremento en el riesgo de brechas de confidencialidad.
Las causas potenciales de desviación incluyen una falta de
concientización en seguridad, deficiencias en la implemen-
tación técnica y falta de tiempo para implementarlo en todos
los sistemas de información.
Una línea de tendencia que muestre el número de contrase-
ñas que cumplen con la política de calidad de contraseñas de
Formatos de reporte
la organización, superpuesta con las líneas de tendencias
producidas durante períodos de reportes previos.
Partes interesadas
Cliente de la medición Gerentes responsables del SGSI. Gerencia de seguridad.
Revisor de la medición Gerencia de seguridad
Propietario de la información Administrador de sistemas
Recolector de la información Personal de seguridad
Comunicador de la informa-
Personal de seguridad
ción
Frecuencia de la recolección
Anual
de datos
Frecuencia del análisis de da-
Anual
tos
Frecuencia del informe del
Anual
resultado de las mediciones
Revisión de la medición Revisado y actualizado todos los años
46
B.2.2 Calidad de las Contraseñas – automático

Calidad de la contraseña
medición
Evaluar la calidad de las contraseñas utilizadas por los
usuarios para acceder a los sistemas de información de
de medición
la organización
Objetivos de con-
Prevenir a los usuarios de utilizar contraseñas inseguras
trol/procesos
A.11.3.1
Se debe solicitar a los usuarios que sigan las buenas
prácticas de seguridad en la selección y uso de contra-
señas.
Implementación:
Todos los usuarios deben seleccionar contraseñas robus-
tas para todos los sistemas, las cuales deben:
1) tener un tamaño mayor que 8;
2) no basarse en nada en lo cual otra persona pueda
adivinar fácilmente u obtener utilizando información
Control(1)/proceso(1) relacionada a la persona, por ejemplo, nombres,
números telefónicos, fechas de nacimiento, etc;
3) no consistir en palabras que existan en los dicciona-
rios;
4) no tener caracteres consecutivos idénticos, sean de
solo caracteres numéricos o de sólo caracteres al-
fabéticos.
Todas las cuentas de usuario y contraseñas para los sis-
temas de información de la organización deben ser
controladas por el sistema de gestión de empleados.
La fortaleza de la contraseña debe ser examinada utili-
zando un sistema para craquear contraseñas.
La base de datos de cuentas del sistema de gestión de
Objeto de medición empleados
Contraseñas individuales almacenadas en los registros
Atributo
de las cuentas del sistema de empleados
1 – Número total de contraseñas
2 – Número total de contraseñas que no se han podido
Medida base
craquear
47
1 – Generar una consulta sobre los registros de las cuen-

tas de empleados
Método de medición 2 – Ejecutar el sistema para craquear contraseñas en los
registros de cuentas del sistema de empleados utilizando
un ataque híbrido
Tipo de método de medi- 1 - Objetivo
ción 2 – Objetivo
1 - enteros, desde cero hasta infinito
Escala
1 - Ordinal
Tipo de escala
2 - Ordinal
1 - Contraseñas
Unidad de medición
2 - Contraseñas
Medida derivada Ninguna
Función de medición Ninguna
1 - Proporción de contraseñas descifrables en menos de
Indicador 4 horas
2 - Tendencia de proporción 1
a) Dividir [Número total de contraseñas no craqueadas]
Modelo analítico por [Número total de contraseñas]
b) Comparar la proporción con la proporción previa.
El objetivo de control se alcanza y no se requiere ninguna
acción si la proporción resultante es sobre 0,9. Si la pro-
porción resultante es entre 0,8 y 0,9 el objetivo de control
no se ha cumplido, pero una tendencia positiva indica
mejora. Si la proporción resultante es por debajo de 0,8
se recomienda que se tomen acciones inmediatas
Se recomienda que la interpretación del indicador 1 con

respecto al cumplimiento del criterio de la organización
para la política de contraseñas sea la siguiente:
 se cumplió satisfactoriamente si la proporción es ma-
yor que 0,9;
 no se cumplió satisfactoriamente si la proporción es
[0,8 ≤ proporción ≤ 0,9];
 no se cumplió si la proporción es menor que 0,8;
 una tendencia alcista indica un cumplimiento mejora-
do, una tendencia a la baja indica deterioro en el
cumplimiento;
48
 el grado del cambio de la tendencia puede proveer

una idea de la efectividad de los controles implemen-
tados;
 una tendencia negativa puede requerir mayores con-
troles tal como concientización, o a través de medios
técnicos para forzar a la selección de contraseñas ro-
bustas o el cambio periódico de las mismas;
 se recomienda que se examine una tendencia positiva
para estimar términos necesarios para cumplir con la
política de contraseñas desde la proporción actual.
El efecto / impacto de que no se cumpla con el criterio es
un incremento en el riesgo de contraseñas comprometi-
das que puede derivar en acceso no autorizado a
sistemas.
Las causas potenciales de desviación incluyen una falta
de concientización en seguridad, deficiencias en la im-
plementación técnica y falta de tiempo para
implementarlo en todos los sistemas de información.
Una línea de tendencia que muestre la vulnerabilidad de
Formatos de reporte las contraseñas para todos los registros probados super-
puestos con líneas producidas en pruebas previas
Partes interesadas
Cliente de la medición Gerentes responsables del SGSI. Gerencia de seguridad.
Propietario de la informa-
Administrador de sistemas
ción
Recolector de la informa-
ción
mación
Frecuencia / período
Semanal
ción de datos
Semanal
datos
Frecuencia del reporte del
resultado de las medicio- Semanal
nes
Revisión de la medición Revisado y actualizado todos los años
Período de medición Aplicable por 3 años
49
B.3 Proceso de revisión del SGSI

Proceso de revisión del SGSI
medición
Propósito de la estructura de Evaluar el grado de cumplimiento de la revisión indepen-
medición diente de la seguridad de la información
Objetivos de con- Gestionar la seguridad de la información dentro de la or-
trol/procesos ganización
A.6.1.8
El enfoque de la organización para la gestión de la seguri-
dad de la información y su implementación (por ejemplo:
objetivos de control, controles, políticas, procesos y proce-
dimientos para la seguridad de la información) debe ser
revisado en forma independiente a intervalos planificados o
Control(1)/proceso(1) cuando ocurran cambios significativos en la implementa-
ción de la seguridad.
Implementación:
El enfoque de la organización para gestionar la seguridad
de la información y su implementación es revisada por un
consultor de seguridad externo cada 3 meses.
1 – Reportes de las revisiones de tercera parte
Objeto de medición
2 – Planes de revisiones de tercera parte
1 – Revisiones de tercera parte reportadas
Atributo
2 – Revisiones de tercera parte planificadas
1 – Número de revisiones conducidas por tercera parte
2 – Número total de revisiones de tercera parte planifica-
Medida base das
1 – Contar el número de reportes de revisiones regulares
conducidas por tercera parte
2 – Contar el número total de revisiones de tercera parte
planificadas
1 - Objetivo
Tipo de método de medición 2 - Objetivo
Escala
1 - Ordinal
Tipo de escala
2 - Ordinal
50
1 - Revisión
Unidad de medición
2 – Revisión
Proporción de progreso de revisiones independientes al-
Indicador
canzadas
Dividir [Número de revisiones conducidas por tercera par-
Modelo analítico te] por [Número total de revisiones de tercera parte
planificadas]
Se recomienda que la proporción resultante del indicador
se encuentre primariamente entre 0,8 y 1,1 para concluir
el cumplimiento de los objetivos de control y no tomar
Criterios de decisión ninguna acción. Se recomienda que entre 0,6 y 0,8 se
realice un seguimiento. Si la proporción resultante está
por debajo de 0,6 se recomienda que se tomen acciones
inmediatas.
Se recomienda que la interpretación del indicador sea la
siguiente:
El criterio organizacional para gestionar la seguridad de
la información dentro de la organización a través de revi-
siones externas se ha cumplido satisfactoriamente en 0,8
≤ proporción ≤ 1,1.
El criterio organizacional no se ha cumplido de manera
satisfactoria en [0,6 ≤ proporción ≤ 0,8 o en proporción >
1,1]. Se requiere seguimiento y control para asegurar que
se ha realizado un progreso apropiado.
Si al finalizar el segundo trimestre el indicador a) no es
satisfactorio, se necesita una acción correctiva y se re-
comienda que se lo comunique a la alta dirección
responsable por el SGSI.
Si al finalizar el año el indicador a) no es satisfactorio, se
debe informar a la alta dirección y es le debe solicitar su
apoyo.
El efecto/impacto de que no se cumpla con el criterio es
un proceso de revisión por la dirección inefectivo.
Las causas potenciales de desviación incluyen un bajo
presupuesto, planificación incorrecta y falta de personal
crítico o compromiso de la alta dirección
Gráfico de barras representando cumplimiento en base a
Formatos de reporte varios reportes de períodos, en relación a los umbrales
definidos por el criterio de decisión.
51
Partes interesadas
Gerentes responsables del SGSI. Gerente del sistema de
calidad.
Propietario de la información Gerentes responsables del SGSI
Recolector de la información Auditoría interna. Gerente de calidad
Comunicador de la informa- Auditoría interna. Gerente de calidad responsable por un
ción SGSI
Frecuencia de la recolección
Cada 3 meses
de datos
Frecuencia del análisis de da-
Cada 3 meses
tos
Frecuencia del reporte del re-
Cada 3 meses
sultado de las mediciones
Revisión de la medición Revisar y actualizar cada 2 años
B.4 Mejora continua del SGSI
B.4.1 Efectividad de la gestión de incidentes de la seguridad de la información

Nombre de la estructura de Efectividad de la gestión de incidentes de la seguridad de
medición la información
Propósito de la estructura Evaluar la efectividad de la gestión de incidentes de la
de medición seguridad de la información
Objetivos de con- Permitir la detección temprana de eventos de seguridad y
trol/procesos responder a incidentes de seguridad
Control(1)/proceso(1) Capítulo 4.2.2 h) [27001:2007]
Objeto de medición SGSI
Atributo Incidente individual
Medida base Número de umbral predeterminado
Contar las ocurrencias de incidentes de seguridad de la
información informados a la fecha
Objetivo
ción
Escala Numérico
52
Tipo de escala Ordinal

Unidad de medición Incidente
Medida derivada Incidentes que exceden el umbral
Función de medición Comparación del número incidentes totales con el umbral
Gráfico lineal que representa la línea horizontal constante
Indicador ilustrando el número umbral contra el número total de in-
cidentes durante varios períodos de reporte.
Rojo cuando el número total de incidentes excede el um-
bral (va por sobre la línea); amarillo cuando el número
Modelo analítico total de incidentes se encuentra dentro del 10% del um-
bral; verde cuando el número total de incidentes se
encuentra por debajo del umbral en un 10% o más.
Rojo – se requiere investigación inmediata de las causas
del aumento en el número de incidentes. Amarillo – los
números necesitan ser seguidos y controlados de cerca y
se recomienda que se inicie una investigación si los
números no mejoran. Verde – no se requiere ninguna ac-
ción
Si se observa rojo en dos ciclos de reporte, se requiere
una revisión de los procedimientos de gestión para co-
rregir procedimientos existentes o para identificar
Interpretación del indicador procedimientos adicionales. Si la tendencia no se revierte
durante los próximos dos períodos de informe, se requie-
re una acción correctiva, como proponer una extensión al
alcance del SGSI
Formatos de reporte Gráfico de líneas
Partes interesadas
Comité de gestión del SGSI
Gestión de seguridad
Cliente de la medición Gestión de incidentes
ción Gerentes responsables del SGSI
ción Gerente de la gestión de incidentes
Comité de gestión del SGSI

mación
53
Mensual
ción de datos
Mensual
datos
resultado de las medicio- Mensual
nes
Revisión de la medición Semestral
Período de medición Mensual
B.4.2 Implementación de Acción Correctiva

Implementación de acción correctiva
Medición
Identificador numérico Identificador específico de la organización
Propósito de la estructura Evaluar el desempeño de la implementación de la acción
de medición correctiva
Capítulo 8.2 [27001:2007] acción correctiva
Objetivos de La organización debe emprender acciones para eliminar
control/procesos la causa de no conformidades asociadas con los requisi-
tos del SGSI, con el fin de prevenir que ocurran
nuevamente.
El procedimiento documentado de acciones correctivas
debe definir los requerimientos para:
a) identificar no-conformidades;
b) determinar las causas de no-conformidades;
c) evaluar la necesidad de acciones para asegurar que
las no-conformidades no vuelvan a ocurrir;
d) determinar e implementar la acción correctiva necesa-
ria;
e) registrar los resultados de las acciones tomadas (ver
4.3.3); y
f) revisar las acciones correctivas tomadas.
Implementación:
………….
La organización determina las acciones correctivas re-
queridas, y genera el informe de acción correctiva
documentando: la información concerniente a las no-
conformidades, su causa, y la fecha de vencimiento para
que se realicen las acciones correctivas.
Luego de recibir el informe, se requiere que el gerente
responsable por el área donde se ha detectado la no-
conformidad asegure que las acciones se realicen sin
54
demasiada demora, para eliminar las no-conformidades

detectadas y sus causas.
Si la acción correctiva no se ha implementado como se
requiere, se debe identificar la causa de la no-
implementación, así como las alternativas a la acción co-
Control(1)/proceso(1) rrectiva original que será determinada como apropiada.
Se recomienda que se documenten las acciones toma-
das junto a las fechas correspondientes y los resultados.
Si la acción correctiva no esta implementada según lo
planeado, se debe documentar la razón y la acción alter-
nativa. Se recomienda que se provea del informe al
Gerente de seguridad de la información.
Objeto de medición Informes de acciones correctivas
Fecha de vencimiento de la acción correctiva en el infor-
me
Atributo Fecha de las acciones correctivas tomadas en el registro
del informe
Razón por demorar y no tomar la acción
1. Cantidad de acciones correctivas planeadas a la fecha
2. Cantidad de acciones correctivas implementadas tal
Medida base como se planificaron a la fecha
3. Cantidad de acciones correctivas no implementadas a
la fecha, con la causa
1. Contar las acciones correctivas planeadas a ser im-
plementadas hasta la fecha
2. Contar las acciones correctivas registradas como im-
plementadas a la fecha de vencimiento
3. Contar las acciones correctivas registradas como ac-
ciones planificadas no tomadas, con la causa
1 – 3 Objetivo
ción
Escala 1 – 3 Enteros desde cero hasta infinito
Tipo de escala 1 – 3 Ordinal
Unidad de medición 1 – 3 Acción correctiva
a) Acción correctiva no implementada a la fecha
Medida derivada b) Acción correctiva no implementada sin una acción
legítima
a) Restar [acciones correctivas tomadas según lo planifi-
cado a la fecha] de [acciones correctivas planificadas
Función de medición a la fecha]
b) Restar [acciones correctivas no implementadas a la
55
fecha] de [acciones correctivas no tomadas según lo

planeado, con causa, a la fecha]
Especificación del Indicador
a) Estatus expresado como una proporción, de acción
correctiva no implementada
Indicador b) Estatus expresado como una proporción, de acción
correctiva no implementada sin razón
c) Tendencia de los estatus
a) Dividir [acción correctiva no implementada a la fecha]
por [acciones correctivas planificadas a la fecha]
Modelo analítico b) Dividir [acción correctiva no implementada sin razón]
por [acciones correctivas planificadas a la fecha]
c) Comparar estados con estados previos
De manera de concluir el cumplimiento de los objetivos y
de no tomar ninguna acción, se recomienda que las pro-
porciones del indicador a) y b) caigan respectivamente
entre 0,4 y 0,0 y entre 0,2 y 0,0, y la tendencia del indica-
Criterios de decisión dor c) se encuentre decayendo durante los últimos 2
períodos de informe. Se recomienda que el indicador c)
se presente en comparación con indicadores previos de
manera que se pueda examinar la tendencia de las ac-
ciones correctivas implementadas.
Se recomienda que la interpretación del indicador a) y b)
sea la siguiente:
Se deben implementar las acciones correctivas planifica-
das salvo que las prioridades de la organización hayan
cambiado, dando como resultado la necesidad de imple-
mentar acciones correctivas diferentes o la redirección de
recursos asignados a la implementación de dichas accio-
nes. Si las acciones correctivas no implementadas son
mayores que el 40%, independientemente de la razón, se
requiere acción de la alta dirección. Si las acciones co-
rrectivas no implementadas son mayores que el 20%, sin
una buena razón, se requiere acción de la alta dirección.
Interpretación del indicador Se recomienda que las acciones correctivas que no se
implementaron se examinen para identificar las razones
de su no-implementación. Dependiendo del porcentaje
general de las acciones correctivas no implementadas y
las razones de la no-implementación, pueden requerir
más acciones
Se recomienda que la interpretación del indicador c) sea

la siguiente:
Que se examine una tendencia en la implementación de
acciones correctivas por cualquier deterioro general en el
56
rendimiento o por cualquier mejora significativa en el

mismo.
Si el porcentaje de las acciones correctivas implementa-
das ha ido decayendo sostenidamente durante los
últimos 2 períodos de informe, se requiere una acción de
la alta dirección sin importar el detalle de las razones de
Interpretación del indicador la no-conformidad.
El efecto/impacto de que los criterios no sean alcanzados
es una falta potencial de la mejora continua del SGSI.
Las causas potenciales pueden incluir falta de recursos,
planificación incorrecta, y falta de personal crítico, así
como también falta en el compromiso de la alta dirección.
Gráfico de barras con la definición de resultados medi-
dos, incluyendo un resumen ejecutivo de los hallazgos y
las posibles acciones de la alta dirección, que represente
Formatos de reporte
el número total de acciones correctivas, separados en
implementados, no implementados sin una razón legíti-
ma, y no implementados con una razón legítima.
Partes interesadas
Gerentes responsables por el SGSI. Gerente de la segu-
ridad de la información
Revisor de la medición Gerentes responsables por el SGSI
ción Gerentes responsables por el SGSI
ción Gerentes responsables por el SGSI
mación Gerentes responsables por el SGSI
Trimestral
ción de datos
datos Trimestral
Resultado de las medicio- Trimestral
nes
Revisión de la medición Revisado anualmente
Período de medición Aplicable por 1 año
B.5 Compromiso de la alta dirección

Frecuencia de la revisión de la alta dirección
medición
57
Evaluar el compromiso de la alta dirección y de las activi-

Propósito de la estructura dades de revisión de la seguridad de la información
de medición concernientes a las actividades de revisión de la alta di-
rección
A.6.1
Gestionar la seguridad de la información dentro de la or-
Objetivos de ganización (planificada).
control/procesos Para gestionar la seguridad de la información dentro de
la organización a través de la realización regular de revi-
siones de la alta dirección
A.6.1.1
La dirección debe dar soporte activo a la seguridad de-
ntro de la organización a través de una directiva clara,
compromiso demostrado, asignación explícita, y conoci-
mientos de responsabilidades de seguridad de la
información (implementado).
Control(1)/proceso(1) La organización debe tener reuniones de revisión men-
suales de la alta dirección para dar soporte a la
seguridad dentro de la organización a través de una clara
dirección, demostrado compromiso, asignaciones explíci-
tas, y aprobación de la seguridad de la información.
Se recomienda que la revisión por la alta dirección del
SGSI se combine con la revisión por la alta dirección del
SGC (Sistema de gestión de calidad).
A.6.1.2
Coordinación de la seguridad de la información
Las actividades de seguridad de la información deben es-
tar coordinadas por representantes de diferentes partes
de la organización con los roles y funciones de trabajo
Control(2)/proceso(2) correspondientes.
(implementado).
Se recomienda que representantes de diferentes depar-
tamentos que tengan roles y responsabilidades
relevantes, coordinen y participen de la revisión por la al-
ta dirección
1. Plan/programa de la revisión por la alta dirección so-
bre la seguridad de la información
Objeto de medición
2. Registros de minutas de la revisión por la alta direc-
ción
1.1 Las fechas de reuniones de la revisión por la alta di-
rección programadas en el plan
1.2 Los gerentes convocados a las reuniones de revi-
Atributo
sión por la alta dirección
2.1 Las fechas registradas en las minutas de las reunio-
nes de revisión por la alta dirección
58
2.2 Los gerentes registrados que hayan asistido a las

reuniones de revisión por la alta dirección

1.1 Cantidad de reuniones de revisión por la alta direc-
ción planificadas a la fecha
1.2 Cantidad de gerentes convocados a las reuniones
de revisión de por alta dirección
2.1.1 Cantidad de reuniones de revisión por la alta direc-
ción planificadas, que se hayan llevado a cabo a la
fecha
Medida base
ción no planificadas, que se hayan llevado a cabo a
la fecha
ción reprogramadas, llevadas a cabo a la fecha
2.2 Cantidad de gerentes que hayan asistido a las reu-
niones de revisión por la alta dirección a la fecha
1.1 Contar las reuniones de revisión por la alta direc-
ción programadas a la fecha
1.2 Para las reuniones de revisión por la alta dirección
a la fecha, contar los gerentes convocados y agre-
gar una nueva entrada con un valor por defecto
para reuniones no planificadas realizadas de una
manera ad hoc
2.1.1 Contar las reuniones de revisión por la alta direc-
Método de medición ción planificadas, llevadas a cabo a la fecha.
ción no planificadas, llevadas a cabo a la fecha
ción reprogramadas, llevadas a cabo a la fecha
2.2 Para todas las reuniones de revisión por la alta di-
rección llevadas a cabo, contar el número de
gerentes que han asistido.
1.1 Objetivo
1.2 Objetivo o subjetivo
Tipo de método de 2.1.1 Objetivo
medición 2.1.2 Objetivo
2.1.3 Objetivo
2.2 Objetivo
1.1 enteros, desde cero hasta infinito
Escala
2.1.1 enteros, desde cero hasta infinito
59

1.1 Ordinal
1.2 Ordinal
2.1.1 Ordinal
Tipo de escala
2.1.2 Ordinal
2.1.3 Ordinal
2.2 Ordinal
1.1 Reunión
1.2 Personal
2.1.1 Reunión
Unidad de medición
2.1.2 Reunión
2.1.3 Reunión
2.2 Personal
a) Cantidad de reuniones de revisión por la alta direc-
ción llevadas a cabo hasta la fecha
Medida derivada
b) Índices de participación en las reuniones de revisión
por la alta dirección llevadas a cabo hasta la fecha
a) Sumar [cantidad de reuniones de revisión por la alta
dirección planificadas a la fecha] más [cantidad de
reuniones de revisión por la alta dirección no planifi-
cadas a la fecha] más [cantidad de reuniones de
revisión de la alta dirección reprogramadas a la fe-
Función de medición cha]
b) Por cada reunión de revisión por la alta dirección di-
vidir [cantidad de gerentes que asistieron a la
reunión] por [cantidad de gerentes convocados a la
reunión]
a) Reuniones de revisión por la alta dirección llevadas a
cabo a la fecha
Indicador
b) Promedio de índices de participación en las reunio-
nes de revisión por la alta dirección a la fecha
a) Dividir [reuniones de revisión por la alta dirección lle-
vadas a cabo] por [reuniones de revisión por la alta
dirección programadas]
Modelo analítico
b) Calcular desviación media y estándar de todos los
índices de participación a las reuniones de revisión
por la alta dirección
Se recomienda que la proporción resultante del indicador

Criterios de decisión a) se encuentre entre 0,7 y 1,1 para establecer que se ha
60
cumplido con el objetivo de control y que no se requiere

ninguna acción. Aunque falle, se recomienda que igual-
mente sea mayor que 0,5 para establecer que se ha
cumplido con lo mínimo establecido por el control. Con
respecto al indicador b), los intervalos de confianza cal-
culados basados en la desviación estándar indican la
probabilidad de que se alcance un resultado cercano a
Criterios de decisión los índices de participación promedio. Intervalos de con-
fianza muy amplios indican una potencial dispersión y la
necesidad de una planificación de contingencia para
hacer frente a este resultado.
Se recomienda que la interpretación del indicador a) sea
la siguiente:
Los criterios de la organización para gestionar la seguri-

dad de la información dentro de la revisión de todos los
niveles de gestión, se ha cumplido satisfactoriamente si
la proporción se encuentra entre 0,7 y 1,1;
Los criterios de la organización no se han cumplido satis-

factoriamente si la proporción se encuentra entre
[0,5 ≤ proporción < 0,7 o la proporción >1,1]. Este resul-
tado puede indicar una posible falta de compromiso de la
alta dirección y puede requerir una acción correctiva. Se
recomienda que se sigan y controlen los resultados de
medición subsecuentes y que se los evalúe para mejo-
rarlos.
Los criterios de la organización no se han cumplido si la

Interpretación del indicador proporción se encuentra en [0 ≤ proporción < 0,5]. Este
resultado indica falta de compromiso de la alta dirección
y requiere intervención inmediata para implementar una
acción correctiva apropiada. Se recomienda que se in-
forme a la alta dirección de éste resultado. Una
proporción cercana a 0 puede indicar falta de compromi-
so de la alta dirección. Si los gerentes del SGSI no
entienden a la revisión de la gerencia del SGSI como una
prioridad, entonces ellos pueden ser influenciados por los
máximos responsables de la organización.
El efecto/impacto de que no se cumpla con los criterios

es la potencial falta de un proceso de revisión por la alta
dirección, continuo y efectivo.
Las causas potenciales de la desviación en el indicador

b) pueden incluir planificación incorrecta, compromiso in-
suficiente de los gerentes responsables del SGSI,
prioridades en conflicto y/o un trabajo excesivo que afec-
61
te a los gerentes del SGSI.
Gráfico de líneas representando el indicador con los crite-

rios en varios períodos de recolección de datos y de
Formatos de reporte reporte con la declaración de los resultados de las medi-
ciones. Se recomienda que la organización defina la
cantidad de datos recolectados y los períodos de reporte.
Partes interesadas
Gerentes responsables por el SGSI. Gerente del sistema
de calidad
Revisor de la medición Autoridad del programa de auditoria del SGSI interno
Gerente del sistema de calidad
Propietario de la informa- Asumiendo sistemas de gestión combinados de sistema
ción de gestión de calidad y del SGSI
Recolector de la informa- Gerente de calidad. Gerente de seguridad de la informa-
ción ción
Comunicador de la infor- Gerente de seguridad de la información. Gerente de cali-
mación dad
Mensual
ción de datos
Trimestral
datos
nes
Revisión de la medición Revisada y actualizada cada 2 años
B.6 Protección contra código malicioso

Protección contra software malicioso
medición
Propósito de la estructura Para evaluar la efectividad del sistema de protección con-
de medición tra ataques de software maliciosos
Objetivo de control A.10.4 [27001:2007] Proteger la inte-
gridad del software y la información.
Objetivos de
(Planificado)
control/procesos
Proteger la integridad del software y de la información de
software malicioso
Control A.10.4.1 [27001:2007] Controles contra código
malicioso
62
Se deben implementar los controles de detección y pre-

vención para la protección contra software malicioso, y
procedimientos adecuados de concientización de los
usuarios
1 Reportes de incidentes
Objeto de medición 2 Registro de contramedidas de software contra el
software malicioso
Atributo Incidentes causados por software malicioso
1. Cantidad de incidentes de seguridad causados por
software malicioso
Medida base
2. Total de ataques bloqueados originados por software
malicioso
1. Contar el número de incidentes de seguridad causa-
dos por software malicioso en los reportes de
Método de medición incidentes
2. Contar el número de registros de ataques bloqueados
Tipo de método de medi- 1. Objetivo
ción 2. Objetivo
1. enteros, desde cero hasta infinito
Escala
2. enteros, desde cero hasta infinito
1. Ordinal
Tipo de escala
2. Ordinal
1. Incidentes de seguridad
Unidad de medición
2. Registros
Medida derivada Capacidad de protección contra el software malicioso
Cantidad de incidentes de seguridad causados por soft-
ware malicioso / cantidad de ataques detectados y
Función de medición bloqueados originados por software malicioso.
Especificación del Indicador
Tendencia de ataques detectados que no fueron blo-
Indicador queados en múltiples períodos de reporte
Modelo analítico Comparar la proporción con porcentajes previos
Se recomienda que las líneas de tendencia se manten-
gan por debajo del número especificado. Se recomienda
que la tendencia resultante se mantenga a la baja o
constante.
63
Una tendencia alcista indica que el cumplimiento se dete-
riora, una tendencia a la baja indica una mejora en el
cumplimiento; y
Cuando la tendencia se eleva demasiado, se recomienda
que se realice una investigación de la causa y se haga
lugar a una contramedida.
Una línea de tendencia que represente una proporción de
Formatos de reporte detección y prevención de software malicioso con las
líneas producidas durante períodos de reporte previos.
Partes interesadas
Cliente de la medición Gerencia de seguridad
Administrador del sistema
ción
Recolector de la informa- Gerencia de seguridad, administrador del sistema, admi-
ción nistrador de la red
Coordinador del servicio
mación
Diario
ción de datos
Mensual
datos
resultado de las medicio- Mensual
nes
Revisión de la medición Revisado anualmente
Período de medición Aplicable por 1 año
B.7 Controles de acceso físico

Control de acceso físico con tarjetas de acceso
medición
Propósito de la estructura Para mostrar la existencia, alcance y calidad del sistema
de medición utilizado para el control de acceso.
Objetivo de control A.9.1 [27001:2007] Impedir accesos

Objetivos de con-
físicos no autorizados, daños e interferencia a las instala-
trol/procesos
ciones e información de la organización
64
Control A.9.1.2 [27001:2007] Controles de acceso físico.

Las áreas seguras deben ser resguardadas por controles
de acceso adecuados que garanticen que sólo se permite
el acceso a personal autorizado.
Objeto de medición Áreas seguras
Atributo Registros de la gestión de identidad
Medida base Control de ingreso físico con tarjetas de acceso
Método de medición relativo donde cada subconjunto de
categorías es parte de una categoría superior. Control del
tipo de sistema de control de ingreso e inspección de los
siguientes aspectos:
Método de medición  la existencia de un sistema de tarjetas de control de
acceso;
 utilización de un código de identificación personal;
 funcionalidad de registro de actividades;
 autenticación biométrica.
Tipo de método de
Subjetivo
medición
0-5
0 No existe un sistema de control de acceso
1 Existe un sistema de acceso donde se utiliza un
código de identificación personal (sistema de un fac-
tor) para el control de acceso
2 Existe un sistema de tarjetas de control de acceso
donde la tarjeta de contraseña (sistema de un factor)
se usa para el control de acceso.
Escala
3 Existe un sistema de control de ingreso por tarjetas
donde se utiliza la tarjeta de contraseña y un código
de identificación personal para el control de acceso.
4 Lo anterior + un registro funcional activado
5 Lo anterior + el código de identificación personal re-
emplazado por autenticación biométrica (huellas
digitales, reconocimiento de voz, escáner de retina,
etc)
Unidad de medición No está disponible
65

Indicador Barras de progreso. Rojo hasta 0,8, Verde entre 0,8 y 1
Modelo analítico Análisis de medidas
Criterios de decisión Valor 3 = satisfactorio
Por debajo de 3 no satisfactorio, donde (3 – grado actual
= gap de seguridad), es el esfuerzo de la acción a ser
realizada basado en el alcance del gap de seguridad.
Por arriba de 3 es satisfactorio con excelencia, donde el
grado puede indicar una sobre inversión con respecto al
tema bajo medición
Formatos de reporte Gráficos
Partes interesadas
Cliente de la medición Comité de la alta dirección
Revisor de la medición Auditor interno / auditor externo
ción Administrador del control de acceso físico
ción Auditor interno / auditor externo
mación Auditoría interna y gerencia de seguridad
ción de datos Anual
datos Anual
resultado de las medicio-
nes Anual
Revisión de la medición 12 meses
Período de medición Aplicable por 12 meses
B.8 Revisión de los archivos de registro de actividades

Revisión de los archivos de registro de actividades
medición
Identificador numérico único específico de la organiza-
Identificador numérico ción
66
Evaluar el estado de cumplimiento de la revisión regular

de los archivos críticos de registro de actividades del sis-
de medición
tema
Objetivo de control A.10.10 [27001:2007] Detectar las ac-
tividades no autorizadas de procesamiento de
información.
Objetivos de control (planificado)
Para detectar actividades de procesamiento de la infor-
mación no autorizadas de los sistemas críticos a partir
del registro de actividades del sistema
Control A.10.10.2 [27001:2007] Se deben establecer pro-
cedimientos para el uso de las instalaciones de
Control(1) procesamiento de la información y se deben revisar de
forma regular los resultados de las actividades de segui-
miento.
Objeto de medición Sistema
Atributo Archivos individuales de registro de actividades
Medida base Cantidad de archivos de registro de actividades
Sumar el número total de archivos de registro de activi-
dades listados en la lista de revisión del registro de
Método de medición actividades
Tipo de método de medición Objetivo
Escala Enteros, desde cero a infinito
Unidad de medición Archivo de registro de actividades
Medida base Cantidad de archivos de registro de actividades revisados
Sumar la cantidad total de archivos de registro de activi-
Método de medición dades en todos los sistemas dentro del alcance del SGSI
Escala Numérica
Medida base Cantidad de sistemas dentro del alcance del SGSI
Identificar la cantidad de archivos de registro de activida-
des revisados
Escala Numérica
67

Porcentaje de archivos de registro de actividades deriva-
Medida derivada dos a auditoría de acuerdo al período de tiempo
establecido
(cantidad de archivos de registro revisados dentro del
Función de medición período de tiempo especificado) / (cantidad total de ar-
chivos de registro de actividades)  100
Gráfico de línea de una tendencia a través del período de
Indicador tiempo en la tasa de la revisión del registro de activida-
des por parte de auditoría
Modelo analítico Es deseable una tendencia alcista hacia el 100%
Se recomienda que los resultados por debajo del 20% se
Criterios de decisión examinen en búsqueda de las causas por el bajo desem-
peño.
Valores por debajo del valor definido por la organización
son insatisfactorios, donde (valor definido por la organi-
zación – valor real = gap de seguridad). Se requiere una
acción de la alta dirección basada en la extensión del gap
de seguridad. Valores por encima del valor definido por la
organización pueden indicar sobre inversión salvo que
dichos mecanismos de control de acceso sean requeri-
dos por la evaluación de riesgos.
Gráfico de líneas que representa la tendencia con una
Formatos de reporte síntesis de los hallazgos y cualquier acción sugerida por
la alta dirección
Partes interesadas
Gerentes responsables por un SGSI, gerente de seguri-
Cliente de la medición dad
Gerente de seguridad
ción
ción
Comunicador de la informa-
ción
Mensual
ción de datos
68

Mensual
datos
Trimestral
resultado de las mediciones
Revisión de la medición Revisado y actualizado cada 2 años
B.9 Gestión del mantenimiento periódico

Gestión del mantenimiento periódico
medición
Propósito de la estructura Evaluar líneas de tiempo de actividades de mantenimien-
de medición to en relación con lo programado
Objetivo de control A.9.2 [27001:2007]. Impedir pérdidas,
daños, robos o exposiciones al riesgo de los activos así
como impedir la interrupción de las actividades de la em-
presa.
Objetivos de
(planificado)
control/procesos
Para impedir pérdidas, daños, robos o exposiciones al

riesgo de los activos así como impedir la interrupción de
las actividades de la empresa a través de mantenimiento
periódico del sistema
Control A.9.2.4 [27001:2007] El equipo debe recibir el co-
Control(1) rrecto mantenimiento para asegurar su disponibilidad e
integridad continuas.
1 Plan / programa de los mantenimientos del sistema
Objeto de medición
2 Registros de los mantenimientos del sistema
1 Fechas del mantenimiento del sistema planificado /
Atributo programado
2 Fechas del mantenimiento completo del sistema
Especificación de la medida base (1-4)
1 Fechas de mantenimiento programado
2 Fechas de mantenimiento completado
3 Cantidad total de eventos de mantenimiento planifi-
Medida base cados
4 Cantidad total de eventos de mantenimiento comple-
tados
69
1 Extraer fechas programadas del plan de manteni-

miento del sistema
2 Extraer fechas de completado de los registros de
Método de medición mantenimiento del sistema
3 Contar la cantidad de eventos de mantenimiento pla-
nificados en el plan de mantenimiento del sistema
4 Contar los registros de mantenimiento
Tipo de método de
Objetivo
medición
1 Tiempo
2 Tiempo
Escala
3 Enteros, desde cero hasta infinito
4 Enteros, desde cero hasta infinito
1 Lista
2 Lista
Tipo de escala
3 Ordinal
4 Ordinal
1 Intervalo
2 Intervalo
Unidad de medición
3 Eventos de mantenimiento
4 Eventos de mantenimiento
Retraso en el mantenimiento por evento de mantenimien-
Medida derivada
to completado
Por cada evento completado, sustraer [Fecha real del
Función de medición mantenimiento] de [Fecha programada para el manteni-
miento]
1 Retraso promedio de mantenimiento
2 Proporción de los eventos de mantenimiento comple-
tados
Indicador 3 Tendencia del promedio de retraso en los manteni-
mientos completados
4 Tendencia de la proporción de eventos de manteni-
miento completados
1 Dividir (suma de [Retraso del mantenimiento por even-
to de mantenimiento completado]) por [Cantidad de
eventos de mantenimiento completados]
2 Dividir [Cantidad de eventos de mantenimiento com-
Modelo analítico
pletados] por [Cantidad de eventos de mantenimiento
planificados]
3 Comparar el indicador 1 sobre múltiples períodos de
tiempo
70
4 Comparar el indicador 2 sobre múltiples períodos de

tiempo
1 Específico de la organización, por ejemplo, si el re-
traso promedio es consistente y muestra más de 3
días, es necesario que se examinen las causas
2 Se recomienda que las proporciones de eventos de
Criterios de decisión mantenimientos completados sea mayor a 0,9
3 Se recomienda que la tendencia sea estable o cerca-
na a 0
4 Se recomienda que la tendencia sea estable o que
vaya en aumento
El indicador ayuda a medir la calidad del proceso de
mantenimiento del equipamiento
Gráfico de línea que representa la desviación estándar
del retraso del mantenimiento, superpuesto con líneas
producidas durante períodos de reporte previos y el
Formatos de reporte número de sistemas dentro del alcance
Una explicación de los hallazgos y recomendaciones pa-

ra una acción potencial de la alta dirección
Partes interesadas
Gerentes responsables por el SGSI, Gerente de seguri-
dad
Administrador del sistema
ción
ción
mación
Anual
ción de datos
Anual
datos
resultado de las medicio- Anual
nes
Revisión de la medición Anual
71
B.10 Seguridad en acuerdos con terceras partes

Seguridad en acuerdos con terceras partes
medición
Para evaluar el grado con el cual se trata la seguridad en
acuerdos con terceras partes sobre procesamiento de in-
de medición
formación personal
Objetivo de control A.6.2 [27001:2007] : Mantener la se-
guridad de la información de la organización y las
Objetivos de con-
instalaciones de procesamiento de información que son
trol/procesos
accedidas, procesadas, comunicadas o gestionadas por
terceras partes.
Control A.6.2.3 [27001:2007] Los acuerdos con terceras
partes que involucren el acceso, procesamiento, comuni-
cación o gestión de la información de la organización o
Control(1)/proceso(1) de las instalaciones de procesamiento de la información,
o el agregado de productos o servicios a las instalaciones
de procesamiento de información, deben cubrir todos los
requerimientos de seguridad importantes.
Objeto de medición Acuerdos con terceras partes
Cláusulas de seguridad o requerimientos dentro de cada
Atributo
acuerdo con terceras partes
Medida base Cantidad de acuerdos con terceras partes
Revisar los acuerdos con terceras partes, contar la canti-
dad de acuerdos
Objetivo
ción
Escala Enteros, desde cero hasta infinito
Unidad de medición Acuerdo con terceras partes
Cantidad de requerimientos de seguridad estándares re-
Medida base
queridos por los acuerdos con terceras partes
Identificar la cantidad de requerimientos de seguridad por
política que tienen que ser tratados en cada acuerdo.
Objetivo
ción
Escala Enteros, desde cero hasta infinito
72
Unidad de medición Requerimiento

Cantidad de requerimientos de seguridad tratados en ca-
Medida base
da acuerdo con terceras partes
Revisar los acuerdos con terceras partes, contar la canti-
Método de medición dad de requerimientos de seguridad tratados en cada
acuerdo
Tipo de método de
Objetivo
medición
Escala Enteros, desde el cero hasta el infinito
Unidad de medición Requerimiento
Porcentaje promedio de requerimientos de seguridad re-
Medida derivada
levantes tratados en acuerdos con terceras partes
Sumar (por cada acuerdo (cantidad de requerimientos
Función de medición requeridos – cantidad de requerimientos tratados )) / can-
tidad de acuerdos
1 Proporción promedio de la diferencia de los requeri-
Indicador mientos estándar para tratar los requerimientos
2 Tendencia de la proporción
1 Sumar (por cada acuerdo ([Total de los requerimientos
de seguridad tratados] – [Total de los requerimientos de
Modelo analítico seguridad estándar])) / [Cantidad de acuerdos con terce-
ras partes
2 Comparar con el indicador 1 del período previo
1 Se recomienda que el indicador 1 sea mayor a 0.9
Criterios de decisión 2 Se recomienda que el indicador 2 sea estable o vaya
en aumento
Este indicador provee puntos de vista sobre la habilidad
Interpretación del indicador de la función de tercerización para tratar los requerimien-
tos de seguridad
Gráfico de líneas que representa la tendencia sobre
Formatos de reporte múltiples períodos de reporte. Un resumen de los hallaz-
gos y las posibles acciones de la alta dirección
Partes interesadas
Gerentes responsables por un SGSI, Gerente de seguri-
dad
73
Oficina contratante
ción
ción
mación
Mensual
ción de datos
Trimestral
datos
nes
Revisión de la medición 2 años
74
Bibliografía de la ISO/IEC 27004:2009
[1] ISO 9000:2005, Quality management systems — Fundamentals and vocabulary.
[2] ISO/IEC 27002:2005, Information technology — Security techniques — Code of practice for
information security management.
[3] ISO/IEC 15504-3:2004, Information technology — Process assessment — Part 3: Guidance on

performing an assessment.
[4] ISO/IEC 15939:2007, Systems and software engineering — Measurement process.
[5] ISO/IEC 27005:2008, Information technology — Security techniques — Information security risk
management.
[6] ISO/TR 10017:2003, Guidance on statistical techniques for ISO 9001:2000.
[7] ISO Guide 99:2007, International vocabulary of metrology — Basic and general concepts and
associated terms (VIM).
[8] NIST Special Publication 800-55, Revision 1, Performance Measurement Guide for Information
Security, July 2008.
[9] ISO/IEC TR 18044:2004, Information technology — Security techniques — Information security

incident management.
75
Anexo C - IRAM
(Informativo)
Bibliografía
En el estudio de esta norma se ha tenido en cuenta la bibliografía siguiente:
ISO – INTERNATIONAL ORGANIZATION FOR STANDARIZATION

IEC – INTERNATIONAL ELECTROTECHNICAL COMMISION
ISO/IEC 27004:2009 – Information technology – Security techniques - Information security
management — Measurement
76
Anexo D - IRAM
(Informativo)
Integrantes de los organismos de estudio
El estudio de este esquema estuvo a cargo del organismo respectivo, integrado en la forma siguiente:
Subcomité de Seguridad en Tecnología de la Información
Integrante: Representa a:
Sr. Darío Mateo BRUNEL RED LINK S.A.

Sr. Raúl Eduardo CABRERA CONSULTOR INDEPENDIENTE/
SADAIC
Lic. Adriana DE ROSE CONSULTOR INDEPENDIENTE
Sr. Guillermo DESCALZO RED LINK S.A.
Lic. Ma. Virginia´DELL´ ÁRCIPRETE BDO BECHER
Ing. Norberto ESARTE GATECH S. R. L.
Sr. Ariel FERNÁNDEZ HARDINEROS
Sra. Laura FIORELLI RED LINK S.A.,
Ing. Graciela FRIGERI INVITADA ESPECIAL
Ing. Gustavo GARFINKIEL MINISTERIO DE TRABAJO, EMPLEO Y
SEGURIDAD SOCIAL
Lic. Jorge GUERRA GRUPO DE INF. BIOMÉDICA DE BS. AS.
Dr. Ricardo HERRERO AMA – ASOCIACIÓN MÉDICA ARGENTINA
Cont. Silvia IGLESIAS IGLESIAS, RUBIO & ASOC./IT FOR SECURE
BUSSINESS
Sr. Humberto MANDIROLA GRUPO DE INFORMÁTICA
BIOMÉDICA DE BS.AS.
Lic. Claudio MENAL DIVERSIS
Ing. Liliana Rosa MIRA SAYQA SOLUTION PARTNER
Sra. Patricia MUÑOZ INVITADA ESPECIAL
Lic. Ricardo OTERO INVITADO ESPECIAL
Sr. Marcos PASSARELLO INVITADO ESPECIAL
Lic. Osvaldo PERÉZ IEEE INST. DE INGENIEROS ELÉCTRICOS Y
ELECTRÓNICOS DE ARGENTINA
Dr. Fernando PLAZZOTTA HOSPITAL ITALIANO DE BS AS
Dra. Sandra PRIETO ARBA - AGENCIA DE RECAUDACIÓN DE LA
PCIA DE BS. AS.
Sr. Fernando RADICCHI BNA – BANCO DE LA NACION ARGENTINA
Sr. Leonardo RAMOS ARBA - AGENCIA DE RECAUDACIÓN DE LA
PCIA DE BS. AS.
Ing. Marcelo RÉ UNIVERSIDAD NACIONAL DEL
LITORAL
Sra. Susana ROMANIZ FACULTAD REGIONAL STA. FE - UTN
Ing. Pablo Miguel ROMANOS MINISTERIO DE JUSTICIA Y DERECHOS
HUMANOS
77
Integrante: Representa a:
Ing. Rubén Fernando ROMERO BCRA- BANCO CENTRAL DE LA REPÚBLICA

ARGENTINA
Ing. Juan Pablo SKOCZDOPOLE INSSJP - PAMI
Ing. Jorge Luis CEBALLOS IRAM
Lic. Pedro Claudio COSTA IRAM
Lic. Domingo DONADELLO IRAM
Ing. Sergio Fabián ROJAS IRAM
TRÁMITE
El estudio de este esquema ocupó la atención del Subcomité de Seguridad en Tecnología de la In-
formación en las reuniones del 2009-06-04 (Acta 4-2009), 2009-07-02 (Acta 5-2009), 2009-08-06
(Acta 6-2009),2009 -09-03 (Acta 7-2009), 2009-10-01 (Acta 8-2009), 2009-11-05 (Acta 9-2009),
2009-12-03 (Acta 10-2009), 2010-03-04 (Acta 1-2010), 2010-04-08 (Acta 2-2010), 2010-05-06 (Acta
3-2010), 2010-06-03 (Acta 4-2010), 2010-07-01 (Acta 5-2010), 2010-08-05 (Acta 6-2010) y 2010-09-
02 (Acta 7-2010). En esta última se aprobó como Esquema 1 y se envió a Discusión Pública por
45 días.
Asimismo, en el estudio de este Esquema se han considerado los aspectos siguientes:
¿SE HAN INCORPORADO?

Aspectos Comentarios
Sí / No / No corresponde
Ambientales No
Salud No
Seguridad No
******************************
APROBADO SU ENVÍO A DISCUSIÓN PÚBLICA POR EL SUBCOMITÉ DE TECNOLOGÍA DE LA

INFORMACIÓN Y SEGURIDAD DE LA INFORMACIÓN EN SU SESIÓN DEL 2 DE SEPTIEMBRE
DE 2010 (Acta 7-2010).
FIRMADO FIRMADO
Ing. Fabián Rojas Dra. Silvia Iglesias
Coordinador del Subcomité Secretario del Subcomité
FIRMADO
Lic. Marta R. de Barbieri
Vº Bº Gerente de Tecnología Química
78

Iram Iso Iec

Cargado por

Copyright:

Formatos disponibles

Iram Iso Iec

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Iram Iso Iec

Cargado por

Copyright:

Formatos disponibles

ESQUEMA 1

DE NORMA IRAM-ISO/IEC 27004

Gestión de la seguridad de la información - Medición

LAS OBSERVACIONES DEBEN

ENVIARSE CON EL FORMULARIO DE LA

ETAPA DE DISCUSIÓN PÚBLICA

DOCUMENTO EN ESTUDIO Septiembre de 2010

IRAM es el representante de la Argentina en la International

Esta norma IRAM es el fruto del consenso técnico entre los

Esta norma es una adopción idéntica de la norma

Sólo se han realizado los cambios editoriales siguientes:

Se agregó un anexo informativo con la bibliografía considerada y

Las normas internacionales se elaboran de acuerdo a las reglas

La tarea principal del comité técnico conjunto es la de preparar

Es importante señalar la posibilidad de que algunos elementos de

La norma ISO/IEC 27004 fue preparada por el comité técnico con-

La implementación de este enfoque constituye un Programa de medición de seguridad de la informa-

Efectivamente implementando, el Programa de medición de la seguridad de la información aumen-

0.2 Visión general de la alta dirección

a) Desarrollar mediciones (por ejemplo: mediciones base, mediciones derivadas e indicadores);

b) Implementar y operar un Programa de mediciones de seguridad de la información;

c) Recolectar y analizar los datos;

d) Preparar los resultados de las mediciones;

h) Facilitar una mejora continua del Programa de mediciones de seguridad de la información

2 DOCUMENTOS NORMATIVOS PARA CONSULTA........................................ 9

3 TÉRMINOS Y DEFINICIONES ........................................................................ 9

4 ESTRUCTURA DE ESTA NORMA ................................................................ 11

5 VISIÓN GENERAL DE LA MEDICIÓN DE SEGURIDAD DE LA

6 RESPONSABILIDADES DE LA ALTA DIRECCIÓN ....................................... 19

7 DETERMINACIÓN DE MEDIDAS Y MEDICIONES ....................................... 20

8 OPERACIÓN DE MEDICIÓN ......................................................................... 27

9 ANÁLISIS DE DATOS E INFORME DE RESULTADOS DE

10 EVALUACIÓN Y MEJORA DEL PROGRAMA DE MEDICIÓN DE LA

Anexo A (Informativo) Plantilla para estructurar la medición de la seguridad de la

Anexo B (Informativo) Ejemplos de estructuras de medición ............................. 35

Bibliografía de la ISO/IEC 27004:2009............................................................... 75

Anexo C - IRAM (Informativo) Bibliografía ......................................................... 76

Anexo D - IRAM (Informativo) Integrantes de los organismos de estudio........... 77

1 ALCANCE 3 TÉRMINOS Y DEFINICIONES

NOTA. Una medida base es funcionalmente independien-

ISO/IEC 27000:2009 - Information technology. 3.6 medida derivada (derived measure)

[ISO/IEC 15939:2007]  objetivo: la cuantificación se basa en reglas numéri-

3.8 necesidad de información (information 3.14 objeto (object)

NOTA. El tipo de escala depende de la naturaleza de la

3.11 función de medición (measurement 3.16 unidad de medición (unit of

3.12 método de medición (measurement [ISO/IEC 15939:2007]

 subjetivo: la cuantificación involucra el juicio humano;

3.18 verificación (verification) tructuras de medición para controles especí-

4 ESTRUCTURA DE ESTA NORMA 5 VISIÓN GENERAL DE LA MEDICIÓN

 planificación .y desarrollo; e) proveer resultados de las mediciones para

 comunicación de los resultados de la La figura 1 ilustra la relación cíclica entrada-

Figura 1 – Entradas y salidas de las mediciones en un ciclo SGSI-PHVA de

Se recomienda que la organización establezca f) la necesidad de comparar varios SGSI’s

Se recomienda que el Programa de medición de a) compromiso de la alta dirección soportado

Se recomienda que un Programa de medición d) medidas cuantificables basadas en los ob-

Se recomienda que las medidas seleccionadas j) evaluaciones de la utilidad de los resultados

3) asistir en satisfacer las necesidades de re- 5.4.1 Visión general

5.4 Modelo de medición de la seguridad de El modelo de medición de seguridad de la in-

Figura 2 – Modelo de medición de la seguridad de la información