Lo que necesitas saber sobre la ISO 27001
En este artículo vamos a explicar que es el ISO 27001 y porque es el estándar reconocido a nivel mundial en materia de gestión de la seguridad de la información.
Publicada en Octubre de 2005 por la Organización Internacional de Estandarización y que posteriormente se revisaría en Septiembre de 2013, la norma ISO 27001 sienta las bases para construir un Sistema de Gestión de Seguridad de la Información o SGSI.
Pero, ¿Para qué es necesario un Sistema de Gestión de Seguridad de la Información? Con un sistema así podemos gestionar la Seguridad de la Información según de forma planificada y ordenada, en vez de gestionarlo mientras van surgiendo estos problemas, anticipándonos a los hechos.
Requisitos para la normativa ISO 27001
La norma consta de los siguientes apartados:
- Introducción: Breve introducción a la norma en la que se señala la importancia de la Seguridad de la Información como aspecto estratégico de una empresa u organización.
- Objeto y campo de aplicación: Especifica los requisitos y los distingue si son genéricos y van a poder ser aplicables en cualquier tipo de empresa u organización.
- Normas para consulta: Recoge el vocabulario principal en relación con un SGSI, el cuál se puede ver en el estándar ISO 27000.
- Contexto de la organización: La empresa que implanta un SGSI debe identificar qué aspectos internos y externos son relevantes.
- Planificación: La organización debe planificar las acciones necesarias para afrontar los riesgos y oportunidades de Seguridad. Estas acciones deben integrarse en los procesos de gestión de la Seguridad y se debe evaluar su eficacia.
- La empresa u organización debe también definir y aplicar una metodología de Análisis de Riesgos de Seguridad de la Información.
- Soporte: La empresa u organización debe tener los recursos necesarios para cumplir con el SGSI. Competencia y formación de los empleados cuyo trabajo afecta a la Seguridad de la Información.
- Operación: La organización debe planificar, implementar y controlar los procesos necesarios para cumplir con los requisitos de Seguridad de la Información. En estos procesos se incluyen el Análisis de Riesgos y su Plan de Tratamiento asociado.
- Evaluación del desempeño: La empresa debe evaluar el desempeño del SGSI y su eficacia a través de la monitorización y medición, las auditorías internas y la Revisión del SGSI por la Dirección.
Muchas grandes empresas requieren de este certificado para trabajar con otros debido a la importancia de la seguridad de la información. Por este motivo, si no has implementado ISO 27001, muchos clientes potenciales te cerrarán la puerta porque no confiarán en cómo vas a gestionar la seguridad de su información.
Si tu empresa está a punto de implantar o tiene implantado este certificado te dará una clara ventaja respecto a tus competidores.
A nivel interno también verás beneficios muy rápidos:
- Más control de información.
- Mejora en el proceso de RRHH.
- Seguridad en los ordenadores.
- Cumplimiento de leyes y regulaciones.
- Mejoras de seguridad física.
¿Cómo certificarse en esta Norma ISO?
Para ellos hay empresas auditoras que se encargaran de apoyarte en el proceso de certificación haciendo análisis y auditorias en todo el proceso de manera que tu empresa siga todo los estándares de seguridad programados por la normativa ISO, de manera que todo este completamente operativo.
Sí, es una inversión que no se puede evitar porque no te puedes certificar a ti mismo por tu cuenta, pero es una inversión cuyos resultados verás muy pronto, cuando salgas a competir al mercado y tú te lleves un contrato porque estabas certificado y tus competidores no.
Existen numerosas empresas auditoras y por tanto se debe hacer una cuidadosa selección para elegir la que más se ajuste a las características de nuestra empresa. De esta selección también dependerá en parte el éxito a la hora de obtener tu ansiado certificado en ISO 27001.