Etiqueta: Cómo obtener la certificación iso 27001

Qué es la certificación ISO 27001 y cómo conseguirla

 

La norma internacional ISO 27001 regula la seguridad de la información en organizaciones privadas, públicas o sin fines de lucro. Describe los requisitos para configurar, construir, gestionar y optimizar un sistema de gestión de la seguridad de la información.

Ver ejemplos de documentación y acceder al Manual Documentation Kit, procedimientos ISO 27001

Estructura de la norma ISO 27001

4.0 CONTEXTO DE LA ORGANIZACIÓN

La Organización debe determinar los factores internos y externos relevantes para sus propósitos que afectan su capacidad para lograr los resultados esperados para su sistema de gestión de seguridad de la información.

 

5. LIDERAZGO

La alta dirección debe demostrar su liderazgo y compromiso con el sistema de gestión de seguridad de la información mediante:

Asegurar que la política y los objetivos de seguridad de la información estén establecidos y sean compatibles con los lineamientos estratégicos de la Organización;
Asegurar la integración de los requisitos del sistema de gestión de seguridad de la información en los procesos comerciales;
Asegurar la disponibilidad de los recursos necesarios para el sistema de gestión de seguridad de la información;
Comunicar la importancia de una gestión eficaz de la seguridad de la información y el cumplimiento de los requisitos del sistema de gestión de la seguridad de la información;
Asegurar que el sistema de gestión de seguridad de la información logre los resultados esperados;
Proporcionar orientación y apoyo a las personas para contribuir a la eficacia del sistema de gestión de seguridad de la información;
Promover la mejora continua;
Apoyar a otros roles gerenciales relevantes para que demuestren liderazgo según corresponda en sus respectivas áreas de responsabilidad.
6. PLANIFICACIÓN

Al planificar el sistema de gestión de la seguridad de la información según ISO 27001, la Organización debe considerar los factores mencionados en el punto 4.1 y los requisitos mencionados en el punto 4.2 y determinar los riesgos y oportunidades que deben abordarse para:

Asegurar que el sistema de gestión de seguridad de la información pueda lograr los resultados esperados;
Prevenir o reducir los efectos no deseados;
Llevar a cabo la mejora continua;

La Organización debe planificar:

Acciones para abordar estos riesgos y oportunidades;
Las modalidades para:
integrar e implementar acciones en los procesos de su sistema de gestión de seguridad de la información;
evaluar la efectividad de estas acciones.

7. SOPORTE

La Organización debe determinar y poner a disposición los recursos necesarios para establecer, implementar, mantener y mejorar continuamente el sistema de gestión de seguridad de la información.

Necesita:

Determine las habilidades necesarias para las personas que realizan actividades bajo su control y que afectan su desempeño en seguridad de la información.
Asegurarse de que estas personas sean competentes en función de la educación, capacitación, capacitación o experiencia adecuadas;
En su caso, tomar acciones para adquirir las habilidades necesarias y evaluar la efectividad de las acciones tomadas;
Mantener información documentada apropiada como evidencia de habilidades.

 

8. ACTIVIDADES OPERATIVAS

La Organización debe planificar, implementar y monitorear los procesos necesarios para cumplir con los requisitos de seguridad de la información y para implementar las acciones determinadas en el punto 6.1.

También debe implementar los planes para lograr los objetivos de seguridad de la información establecidos en 6.2; conservar la información documentada en la medida necesaria para tener confianza en que los procesos se llevaron a cabo según lo planeado; monitorear los cambios planificados y revisar las consecuencias de los cambios involuntarios, tomando medidas para mitigar cualquier efecto negativo según sea necesario y garantizar que los procesos subcontratados se determinen y mantengan bajo control

9. EVALUACIÓN DEL DESEMPEÑO

La Organización debe evaluar el desempeño de la seguridad de la información y la efectividad del sistema de gestión de seguridad de la información y debe terminar:

Qué debe monitorearse y medirse, incluidos los procesos y controles relacionados con la seguridad de la información;
Los métodos de seguimiento, medición, análisis y evaluación, según corresponda, para asegurar resultados válidos;
Cuándo se llevarán a cabo el seguimiento y las mediciones;
Quién debe monitorear y medir;
Cuando deban analizarse y evaluarse los resultados del seguimiento y las mediciones;
Quién debe analizar y evaluar estos resultados.
La Organización debe mantener información documentada adecuada como evidencia de los resultados del seguimiento y las mediciones.

10. MEJORA

La organización debe:

Reaccionar con prontitud ante accidentes o NC (acciones para controlarlos y corregirlos; hacer frente a las consecuencias).
Evaluar, acciones correctivas para eliminar las causas del accidente o la NC
Revisar las evaluaciones de riesgo existentes para SGSI y otros riesgos.
Determinar e implementar cualquier acción necesaria, incluidas las acciones correctivas y la gestión del cambio.
Evaluar los riesgos para el SGSI relacionados con peligros nuevos o modificados.
Revisar la efectividad de cualquier acción tomada, incluidas las acciones correctivas.
Realice cambios en el SGSI.

ANEXO A

De fundamental importancia es el Anexo A de la norma ISO 27001 que contiene los 114 «controles» (o contramedidas) que debe cumplir la organización que pretenda aplicar la norma.

Se refieren al otro:
la politica y organizacion de la seguridad de la informacion
la seguridad de los recursos humanos
gestión de activos
el control de accesos lógicos
cifrado
seguridad fisica y ambiental
la seguridad de las actividades operativas
la seguridad de las comunicaciones
gestión de seguridad de aplicaciones
la relación con los proveedores que intervienen en la gestión de la seguridad de la información
el manejo de incidentes (relacionados con la seguridad de la información)
la gestión de la Continuidad del Negocio
cumplimiento de las regulaciones

¿Cómo obtener la certificación ISO 27001?

La auditoría de certificación la realiza un organismo acreditado que verifica la conformidad del sistema documental con los requisitos de la norma. Todo finaliza con la emisión del certificado (válido por 3 años), el cual debe ser renovado anualmente a través de una primera y segunda auditoría de vigilancia para confirmar o no el mantenimiento efectivo del sistema ISO 27001.
Al final del tercer año, se realiza una auditoría para cualquier nueva confirmación de tres años.
La certificación garantiza a todas las partes interesadas (clientes, autoridades de control, consumidores, ciudadanos) que la organización opera de acuerdo con los requisitos establecidos en la norma de referencia.

¿Cuánto tiempo lleva completar la certificación ISO 27001 y cuánto cuesta?

El tiempo requerido para lograr la certificación depende de la complejidad de los procesos de negocio y de la “participación activa” de la empresa.
En promedio se tarda aprox. 4-6 meses.
En cuanto a los costos, estos pueden variar según el tipo de empresa.