Norma ISO 27001: importancia para la seguridad de la información

La ISO 27001 es una norma de la International Organization for Standardization (ISO) que define buenas prácticas asociadas a la seguridad de la información. El objetivo principal de esta norma es la defensa, protección y gestión de la información como uno de los activos más importantes de la empresa.

Publicada en 2005 como ISO/IEC 27001, para su establecimiento se contó con la participación de la International Electrotechnical Commission (IEC). Esta norma define un conjunto de requisitos genéricos y aplicables a cualquier tipo de organización, sin importar su tamaño o tipo.

ISO 27001: objetivos y fases

Cuando una empresa aplica esta norma, logra implementar un Sistema de Gestión de Seguridad de la Información (SGSI). Los objetivos principales de un SGSI son preservar la confidencialidad, integridad y disponibilidad de la información. Para alcanzarlos, se consideran siete fases para la implementación del SGSI:

• Fase 1: definir la política de seguridad de la organización.
• Fase 2: definir el alcance del SGSI.
• Fase 3: análisis de riesgos en los activos de información, amenazas y vulnerabilidades.
• Fase 4: gestión del riesgo.
• Fase 5: selección de los controles definidos por la norma y de controles adicionales para la gestión de la información.
• Fase 6: declaración de aplicabilidad en la organización de los controles seleccionados.
• Fase 7: revisión del SGSI y de sus medidas preventivas y correctivas.

Finalmente, se define un plan de auditorías internas que permiten identificar propuestas de mejoras para el SGSI.

Beneficios de adoptar la norma ISO 27001

Entre los beneficios para la organización de adoptar las directrices de la ISO 27001 se tiene:

• Aprobar auditorías que verifican la seguridad de los datos en procesos, servicios y productos de la organización.
• Cumplir con directivas como el Reglamento General de Protección de Datos (RGPD) o la Directiva NIS para la seguridad de redes y sistemas de información.
• Evitar inconvenientes legales por violaciones en la seguridad de los datos.
• Aplicar mejores prácticas al recopilar datos personales, también al hacer copias de seguridad o al distribuir datos.
• Cumplir con las demandas de los clientes y de las instituciones en cuanto a aspectos de seguridad de la información.
• Obtener una ventaja comercial ante competidores que no cumplen con normas de protección de datos.
• Ahorro de tiempo, recursos y dinero en la implementación de mecanismos de seguridad de la información.
• Ahorro de costos asociados a incidentes de seguridad.
• La empresa obtiene una mejor reputación empresarial y una percepción positiva de su ecosistema de negocio.

Norma ISO 27001, actualizaciones y otras normas asociadas

Este estándar internacional para la seguridad de la información está compuesto por el conjunto de normas de la serie ISO/IEC 27000.

De la norma original, en español se cuenta con la traducción UNE-ISO/IEC 27001. Versiones más actuales son la ISO/IEC 27001:2013 y la adaptación de la Asociación de Normalización Española UNE-EN ISO/IEC 27001:2017.

Para el control de seguridad de la información en servicios en la nube se cuenta con la extensión ISO/IEC 27017:2015. Esta norma es una adaptación de especial interés para los prestadores de servicios de cloud computing y para sus clientes.

Para el caso específico de ayudar al cumplimiento y certificación de la normativa europea de protección de datos RGPD, se cuenta con la extensión ISO 27701:2019, para Sistemas de Gestión de la Información de Privacidad.

La norma ISO 27001:2013 cubre un conjunto más amplio de procesos de seguridad de la información. No solo incluye la protección y tratamiento de datos de carácter personal. Se consideran normas complementarias, por lo tanto una organización puede adaptar y certificarse en ambas.

Casos de éxito en la gestión de la seguridad con ISO 27001

Al implementar este estándar las empresas identifican activos de información, riesgos de seguridad y definen controles para gestionar las amenazas. También generan más confianza en sus clientes, proveedores o interesados en sus servicios.

En el sector público, contar con el cumplimiento de la norma ISO 27001 permite realizar una mejor gestión de la seguridad de la información. Adicionalmente, la institución cuenta con un plan de acción ante riesgos de ciberseguridad. Aumenta la confianza de los ciudadanos y de las empresas que las apoyan. También se facilita la homologación con otras instituciones, la gobernanza de datos y el uso responsable de datos abiertos.

Thames Security Shredding es una empresa especializada en el manejo y destrucción de documentos ¿Qué beneficios reportan de la aplicación de la norma ISO 27001? Les ha permitido realizar una gestión más eficiente y segura de los documentos confidenciales, así como estandarizar el protocolo para su posterior destrucción. Al adoptar la norma ISO 27001 la empresa obtiene como beneficio derivado, la definición de un conjunto de políticas, procedimientos, directrices, documentos y recursos relacionados con la seguridad de la información. Esta es una forma efectiva de proteger sus activos de información y de conocimiento.

Imagen: Shahadat Rahman