INTRODUCCIÓN
La información tiene una
importancia fundamental para el funcionamiento y quizá incluso sea decisiva
para la supervivencia de una organización. El hecho de disponer de la
certificación según ISO/IEC 27001 le ayuda a gestionar y proteger sus activos
de información.
ISO 27001
El estándar para la seguridad de la
información ISO/IEC 27001 (Information technology - Security
techniques - Information security management systems - Requirements) fue
aprobado y publicado como estándar internacional en Octubre de 2005 por
International Organization for Standardization y por la comisión International
Electrotechnical Commission.
Especifica los requisitos
necesarios para establecer, implantar, mantener y mejorar un Sistema de Gestión
de la Seguridad de la Información (SGSI) según el conocido “Ciclo de Deming”:
PDCA - acrónimo de Plan, Do, Check, Act.
·
Plan (planificar):
es una fase de diseño del SGSI, realizando la evaluación de riesgos de
seguridad de la información y la selección de controles adecuados.
- Do (hacer):
es una fase que envuelve la implantación y operación de los controles.
- Check (controlar):
es una fase que tiene como objetivo revisar y evaluar el desempeño
(eficiencia y eficacia) del SGSI.
- Act (actuar):
en esta fase se realizan cambios cuando sea necesario para llevar de
vuelta el SGSI a máximo rendimiento.
La ISO/IEC
27001:2005 está compuesta para ser adecuada a diferentes tipos de usos,
incluidos, entre otros, los siguientes:
·
Uso dentro de las organizaciones para formular
requerimientos y objetivos de seguridad.
·
Uso dentro de las organizaciones como una forma de
asegurar que los riesgos de seguridad están gestionados efectivamente.
·
Uso de las organizaciones para proveer a los clientes
información relevante acerca de la seguridad de información.
·
Uso de parte de la gerencia de la organización para
determinar el estado de las actividades de la administración de la seguridad de
la información.
SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN
Un Sistema de Gestión de la seguridad de la Información (SGSI) es, como el nombre lo
sugiere, un conjunto de políticas de administración de la información. El
término es utilizado principalmente por la ISO/IEC 27001.
El término se denomina en inglés
"Information Security Management System" (ISMS).
El concepto clave de un SGSI es
para una organización el diseño, implantación, mantenimiento de un conjunto de
procesos para gestionar eficientemente la accesibilidad de la información,
buscando asegurar la confidencialidad, integridad y disponibilidad de los
activos de información minimizando a la vez los riesgos de seguridad de la
información.
Como todo proceso de gestión, un
SGSI debe seguir siendo eficiente durante un largo tiempo adaptándose a los
cambios internos de la organización así como los externos del entorno.
Ello ayuda a proteger los activos
de información y otorga confianza a cualquiera de las partes interesadas, sobre
todo a los clientes. La norma adopta un enfoque por procesos para establecer,
implantar, operar, supervisar, revisar, mantener y mejorar un SGSI.
ISO/IEC 27001 es la única norma
internacional auditable que define los requisitos para un sistema de gestión de
la seguridad de la información (SGSI). La norma se ha concebido para garantizar
la selección de controles de seguridad adecuados y proporcionales.
CONTROLES
·
Un “Control” es lo que permite garantizar
que cada aspecto, que se valoró con un cierto riesgo, queda cubierto y
auditable.
Control
abarca todo el conjunto de acciones, documentos, medidas a adoptar,
procedimientos, medidas técnicas, etc.
Política
de seguridad.
- Política
de seguridad (Nivel político o estratégico de la organización): Define las
grandes líneas a seguir y el nivel de compromiso de la dirección con ellas.
- Plan
de Seguridad (Nivel de planeamiento o táctico): Define el “Cómo”. Es decir,
baja a un nivel más de detalle, para dar inicio al conjunto de acciones o
líneas rectoras que se deberán cumplir.
Organización
de la información de seguridad.
-
Organización Interna: Compromiso de la Dirección, coordinaciones,
responsabilidades, autorizaciones, acuerdos de confidencialidad, contactos con
autoridades y grupos de interés en temas de seguridad, revisiones
independientes.
- Partes
externas: Riesgos relacionados con terceros, gobierno de la seguridad respecto
a clientes y socios de negocio.
Administración
de recursos
-
Responsabilidad en los recursos: Inventario y propietario de los recursos,
empleo aceptable de los mismos.
-
Clasificación de la información: Guías de clasificación y Denominación,
identificación y tratamiento de la información.
Seguridad
de los recursos humanos.
- Antes
del empleo: Responsabilidades y roles, verificaciones curriculares, términos
y condiciones de empleo.
- Durante
el empleo: Administración de responsabilidades, preparación, educación y
entrenamiento en seguridad de la información, medidas disciplinarias.
-
Finalización o cambio de empleo: Finalización de responsabilidades, devolución
de recursos, revocación de derechos.
Seguridad
física y del entorno
- Áreas
de seguridad: Seguridad física y perimetral, control físico de entradas,
seguridad de locales edificios y recursos, protección contra amenazas externas
y del entorno, el trabajo en áreas e seguridad, accesos públicos, áreas de
entrega y carga.
-
Seguridad de elementos: Ubicación y protección de equipos, elementos de soporte
a los equipos, seguridad en el cableado, mantenimiento de equipos, seguridad en
el equipamiento fuera de la organización, seguridad en la redistribución o
reutilización de equipamiento, borrado de información y/o software.
¿QUIÉNES LA UTILIZAN?
ISO/IEC 27001 es una norma adecuada para cualquier
organización, grande o pequeña, de cualquier sector o parte del mundo. La norma
es particularmente interesante si la protección de la información es crítica,
como en finanzas, sanidad sector público y tecnología de la información (TI).
ISO/IEC 27001 también es muy eficaz para
organizaciones que gestionan la información por encargo de otros, por ejemplo,
empresas de subcontratación de TI. Puede utilizarse para garantizar a los
clientes que su información está protegida
BENEFICIOS
• Establecimiento de una metodología de gestión de la
seguridad clara y estructurada.• Reducción del riesgo de pérdida, robo o corrupción de información.
• Los clientes tienen acceso a la información a través medidas de seguridad.
• Los riesgos y sus controles son continuamente revisados.
• Confianza de clientes y socios estratégicos por la garantía de calidad y confidencialidad comercial.
• Las auditorías externas ayudan cíclicamente a identificar las debilidades del sistema y las áreas a mejorar.
• Posibilidad de integrarse con otros sistemas de gestión (ISO 9001, ISO 14001, OHSAS 18001…).
• Continuidad de las operaciones necesarias de negocio tras incidentes de gravedad.
• Conformidad con la legislación vigente sobre información personal, propiedad intelectual y otras.
• Imagen de empresa a nivel internacional y elemento diferenciador de la competencia.
• Confianza y reglas claras para las personas de la organización.
• Reducción de costes y mejora de los procesos y servicio.
• Aumento de la motivación y satisfacción del personal.
• Aumento de la seguridad en base a la gestión de procesos en vez de en la compra sistemática de productos y tecnologías.
IMPLEMENTACIÓN
La implantación
de ISO/IEC 27001 en una organización es un proyecto que suele tener una
duración entre 6 y 12 meses, dependiendo del grado de madurez en seguridad de
la información y el alcance, entendiendo por alcance el ámbito de la
organización que va a estar sometido al Sistema de Gestión de la Seguridad de
la Información elegido. En general, es recomendable la ayuda de consultores
externos. El equipo de proyecto de implantación debe estar formado por
representantes de todas las áreas de la organización que se vean afectadas por
el SGSI, liderado por la dirección y asesorado por consultores externos
especializados en seguridad informática, derecho de las nuevas tecnologías, protección
de datos y sistemas de gestión de seguridad de la información (que hayan
realizado un curso de implantador de SGSI).
REFERENCIAS
ISO/IEC 27001
Seguridad de la información.(s.f.). Recuperado el 18/02/2010, de
http://www.bsigroup.es/es/certificacion-y-auditoria/Sistemas-de-gestion/estandares-esquemas/ISOIEC-27001
ISO/IEC
27001:2005.(s.f.). Recuperado el 18/02/2010, de
http://www.iso.org/iso/iso_catalogue/catalogue_tc/catalogue_detail.htm?csnumber=42103
No hay comentarios:
Publicar un comentario