Incorporar Estándares

Un estándar trata con aspectos y temas específicos de una empresa. Los estándares se derivan de las políticas. Un estándar debe proporcionar suficiente detalle para se pueda realizar una auditoría, la cual determine si se cumple con el estándar. Los estándares, como las políticas, tienen aspectos estructurales en común.

Los siguientes cinco puntos son los aspectos clave de los documentos sobre estándares:

Alcance y Propósito. El documento de estándares debe explicar o describir la intención. Si un estándar es desarrollado para una implementación técnica, el alcance podría incluir software, actualizaciones, complementos, y cualquier otra información relevante la cual ayude al profesional a realizar la tarea.

Roles y Responsabilidades. En esta sección del documento de estándares se delinea quien es responsable para implementar, vigilar, y mantener el estándar. En una configuración del sistema, esta sección podría delinear aquello lo cual se supone se debería lograr, y aquello supuesto a lograr por el instalador. Esto no significa uno u otro no pueda exceder estos roles; esto significa, en el evento de confusión, es claro quien es el responsable de realizar cuales tareas.

Documentos de Referencia. Esta sección del documento de estándares explica como el estándar se relaciona hacia las diferentes políticas de la organización, conectando el estándar hacia las políticas subyacentes las cuales se hayan implementado. En caso de confusión o incertidumbre, esto también permite a las personas volver hacia la fuente y figurar el significado del estándar. Se encontrarán muchas situaciones a través de la carrera, donde se dará un estándar el cual no tiene sentido. Con frecuencia, al referirse hacia las políticas se puede figurar porque el estándar fue escrito tal como estaba. Hacer esto puede ayudar a realizar el estándar o informar a las personas responsables del estándar de un cambio o problema.

Criterio de Desempeño. Esta parte del documento del estándar delinea como cumplir la tarea. Este debe incluir una línea base relevante y estándares tecnológicos. La línea base proporciona un mínimo o punto de inicio para el estándar. Los estándares tecnológicos proporcionan información sobre las plataformas y tecnologías. Los estándares de línea base explican los requerimientos de alto nivel para el estándar o tecnología.

Si se es responsable de instalar un servidor en una localización remota, por ejemplo, los estándares explican cual tipo de computadora podría ser utilizada, cual sistema operativo podría ser instalado, y cualquier otra especificación relevante.

Mantenimiento y Requerimientos Administrativos. Estos estándares delinean lo requerido a gestionar y administrar en los sistemas o redes. Por ejemplo, en el caso de un requerimiento de seguridad física, se abordan la frecuencia con el cual se cierra o el cambio de combinaciones.

Como se puede percibir, los documentos de estándares proporcionan un mecanismo para ya sea evaluar el cumplimiento de estándares nuevos o existentes. El proceso de evaluación es llamado una auditoría. Cada vez más, las organizaciones están obligadas a realizar auditorías regulares de sus estándares y políticas.

Fuentes:

http://www.iso27001security.com/html/other_27k.html
https://www.sans.org/reading-room/whitepapers/hipaa/paper/1401