La seguridad de la información se ha convertido en una de las tareas más esenciales que tienen que garantizar las organizaciones. Para proteger los datos y mejorar la reputación y la confianza de cara a los clientes, existe la norma internacional ISO 27001. En este post vamos a detallar de forma pormenorizada las 7 claves principales para la implantación de esta norma en una entidad, desde la evaluación de riesgos hasta la concienciación y formación de los empleados. Todo esto te asegura una eficaz protección de los activos más valiosos en una empresa y, por ende, cumplir con uno de los estándares más exigentes de protección de la información. ¡Sigue leyendo!
La norma ISO/IEC 27001 especifica los requisitos para establecer, implantar, documentar y evaluar un Sistema de Gestión de la Seguridad de la Información (SGSI).
Un SGSI es un conjunto de políticas, procedimientos, instrucciones técnicas, herramientas y controles que se utilizan para proteger la información de una organización.
Cuando hay muchos actores implicados, hay que acordar controles, procedimientos y unas evaluaciones que hay que realizar para que realmente se esté gestionando la seguridad de la información de forma apropiada y no se tengan incidentes. ¿Por qué?
Pues porque el objetivo principal de un SGSI es garantizar la disponibilidad, la integridad y la confidencialidad de la información de una organización, así como asegurar su cumplimiento legal, contractual y normativo, especialmente para aquellas organizaciones que tienen información sensible y/o propia (por ejemplo, despachos de abogados, empresas que realizan desarrollo de software o data center, entre otros). Por ello, tienen que cumplir, por un lado, los requisitos legales que se establece, entre otras, la norma de Protección de Datos; y, por otro lado, los requisitos contractuales que tienen con sus clientes. Con lo cual, el SGSI permite asegurar el cumplimiento de los requisitos legales y de los requisitos contractuales, al mismo tiempo que se protege la seguridad de la información.
Pues es la propiedad de la información por la que no se revela a individuos o a personas no autorizadas, es decir, solo tiene acceso a la información aquellos que deben tener acceso. Además, es que está en el momento en el que tiene que estar.
¿Qué es integridad?
Consiste en la propiedad de la información que se mantiene veraz y no es manipulada de forma no autorizada, es decir, la información es correcta.
Ciclo de Deming (PDCA)
La norma ISO 27001 también cumple con el ciclo de Deming (PDCA), es decir, Planificar, Hacer, Realizar, Corregir y Mejorar. En cada vuelta de ciclo que se hace, se mejora la seguridad de la información, es decir, un mejor sistema que va actualizándose y mejorando en cada vuelta.
¿Por qué es importante la ISO 27001?
Porque tenemos más Sistemas de Gestión de Seguridad de la Información, pero ¿por qué esta norma es la referente a nivel mundial?
Pues porque la norma ISO/IEC 27001 es una Norma de ámbito mundial para la implementación de un SGSI, con lo que su certificación es reconocida y valorada en todos los países del mundo.
Importancia de un SGSI
Un SGSI es una herramienta esencial para proteger los activos de información de una organización. Ayuda a prevenir la pérdida o filtración de información confidencial, proteger la reputación de la organización y garantizar el cumplimiento legal, contractual y normativo.
Última versión de las normas
UNE-EN ISO/IEC 27001:2023Seguridad de la información, ciberseguridad y protección de la privacidad. Sistemas de gestión de la seguridad de la información. Requisitos (ISO/IEC 27001:202
UNE-EN ISO/IEC 27002:2023 (versión corregida en fecha 2023-06-21)Seguridad de la información, ciberseguridad y protección de la privacidad. Control de la Seguridad de la información (ISO/IEC 27002:2022).
Realizar una evaluación de riesgos
La evaluación de riesgos es un proceso que se utiliza para identificar y evaluar los riesgos que existen para la seguridad de la información de la organización. Debe identificar amenazas, vulnerabilidades, impacto y probabilidad de que la amenaza tenga existo.
Plan de tratamiento de riesgos
Formular un plan de tratamiento de los riesgos de seguridad de la información y obtener la aprobación del plan de tratamiento de los riesgos y la aceptación de los riesgos residuales. Debe incluir medidas organizativas, técnicas y físicas
Implantar los controles de seguridad
Los controles de seguridad son las medidas específicas que se implementa para proteger la información. Pueden ser organizativos, técnicos y físicos. La ISO 27002 proporciona un catálogo de controles.
Auditoría del SGSI
La auditoría implica una revisión sistemática del SGSI por un auditor externo o interno con el objetivo de revisar si el sistema cumple con los requisitos propios de la organización y los requisitos de la ISO 27001 de forma eficaz.
Revisión por la direcciónLa alta dirección debe revisar el SGSI a intervalos planificados para asegurarse de su conveniencia, adecuación y eficacia continuas. Se debe conservar información documentada de las revisiones por la dirección.
Los controles de la ISO 27002
| ISO 27002:2022 | Número de controles |
|
A.5 Controles organizacionales |
37 |
|
A.6 Controles de personas |
8 |
|
A.7 Controles físicos |
14 |
|
A.8 Controles tecnológicos |
34 |
Organización
Controles físicos
Propuesta única que ofrecemos