Hola Adriana quisiera colaborarte en todo lo que estas solicitando,
pero mi conocimientos acerca del tema de prubeas de penetración no es
muy grande.

Te comento la historia yo trabajo para cierta empresa donde se esta
implementado un SGSI bajo la norma en ISO 27001, a mi no me han hecho
participe de la actividad en tal desarrollo. Pero según mis pequeños
conocimiento y lo que he visto en la empresa si es necesario realizar
pruebas de penetración tanto de nivel negro hasta el blanco y estas
deben ser paulatinas o periodicamente.

Ademas el manejo de Seguridad Informática es manejado por otro
proceso diferente al del Informática en la empresa es control
Interno, en el Subproceso Control de Calidad, riesgo y Seguridad de
la información. ademas hay otro Subproceso de Control Informático,
todos estos independientes del area de Informática.

Si quieres mayor información acerca de estos temas, me puedes dar un
correo donde te puedad regalar mas información.

Att Esteban
--- En seguridad_informatica2@..., "iosorio33"
<iosorio33@...> escribió:
>
> Hola a todos:
> Estoy desde hace un mes y medio en el curso de seguridad
> informatica. Actualmente se esta creando una area para la
seguridad
> informatica en la empresa para la cual laboro, lo que me motivo a
> tomar este curso.
> Tengo unas inquietudes, que aunque un tutor me dio respuesta
> quisiera conocer otros puntos de vista, acerca de los siguientes
> temas:
> 1. Si aplico los estándares internacionales ISO 27001, en alguna de
> sus fases está el hacer pruebas y auditorias, ya no tendría que
> aplicar Penetration Testing?
> Alguno de ustedes ha aplicado Penetration Testing, ademas de los
> estandares ISO 27001 de manera simultanea?
> 2. Puedo comparar Penetration Testing como un análisis de riesgos,
> dentro del desarrollo del SGSI (Sistema de gestión de seguridad de
> la información)?
> 3. Se podría decir que se aplica el estándar ISO 27001 o el modelo
> OSSTMM? , es decir, son equivalentes?
> Alguno de ustedes ha aplicado el modelo OSSTMM, simultaneamente con
> los estandares ISO?
> 4. En la practica, como manejan sus empresas la parte de seguridad
> informatica y auditoria de sistemas? Areas de la empresa
diferentes?
>
> Muchas gracias por la colaboracion.
>
> Adriana
>