Cumplimiento de ISO 27001: Lo que necesita saber

ISO/IEC 27001 es un conjunto de normas internacionales desarrolladas para guiar la seguridad de la información. Sus normas componentes, como ISO/IEC 27001:2013, están diseñadas para ayudar a las organizaciones a implementar, mantener y mejorar continuamente un sistema de gestión de seguridad de la información (ISMS).

El cumplimiento con ISO 27001 no es obligatorio. Sin embargo, en un mundo donde los hackers atacan incansablemente tus datos y más mandatos de privacidad de datos conllevan severas penalizaciones, seguir los estándares ISO te ayudará a reducir riesgos, cumplir con los requisitos legales, disminuir tus costos y lograr una ventaja competitiva. En resumen, la certificación ISO 27001 ayudará a tu negocio a atraer y retener clientes.

Este artículo detalla los requisitos fundamentales de la ISO 27001, los controles de seguridad relacionados y los pasos en el proceso de certificación. También ofrece consejos para mantener la conformidad con la ISO 27001 y explica cómo las soluciones de Netwrix pueden ayudar.

¿Qué es ISO 27001?

ISO/IEC 27001 es un conjunto de estándares de tecnología de la información diseñados para ayudar a organizaciones de cualquier tamaño en cualquier industria a implementar un sistema de gestión de seguridad de la información efectivo. El estándar utiliza un enfoque de arriba hacia abajo basado en el riesgo y es neutral en cuanto a la tecnología.

La gestión de riesgos es la idea central de ISO 27001: Debe identificar la información sensible o valiosa que requiere protección, determinar las diversas formas en que los datos podrían estar en riesgo e implementar controles para mitigar cada riesgo. El riesgo incluye cualquier amenaza a la confidencialidad, integridad o disponibilidad de los datos. La norma proporciona un marco para elegir controles y procesos apropiados.

En particular, ISO 27001 le exige que:

• Identifique a los interesados y sus expectativas del ISMS
• Defina el alcance de su ISMS
• Defina una política de seguridad
• Realice una evaluación de riesgos para identificar riesgos de datos existentes y potenciales
• Defina controles y procesos para gestionar esos riesgos
• Establezca objetivos claros para cada iniciativa de seguridad de la información
• Implemente controles y otros métodos de tratamiento de riesgos
• Mida y mejore continuamente el rendimiento del ISMS

Requisitos y controles de seguridad

Requisitos de ISO 27001

La norma contiene dos partes principales. La primera sección establece definiciones y requisitos en las siguientes cláusulas numeradas:

1. Introducción — Describe el proceso para gestionar sistemáticamente los riesgos de la información
2. Alcance — Especifica los requisitos genéricos de ISMS adecuados para organizaciones de cualquier tipo, tamaño o naturaleza
3. Referencias Normativas — Enumera otras normas que contienen información adicional relevante para determinar la conformidad con ISO 27001 (solo se lista una, ISO/IEC 27000)
4. Términos y Definiciones — Explica los términos más complejos utilizados en el estándar
5. Organizational Context — Explains why and how to define the internal and external issues that can affect an enterprise’s ability to build an ISMS, and requires the organization to establish, implement, maintain and continually improve the ISMS
6. Liderazgo — Requiere que la alta dirección demuestre liderazgo y compromiso con el ISMS, mandato de política y asignación de roles y responsabilidades de seguridad de la información
7. Planificación — Describe los procesos para identificar, analizar y planificar el tratamiento de los riesgos de la información y aclarar el objetivo de las iniciativas de seguridad de la información
8. Soporte: Requiere que las organizaciones asignen recursos adecuados, aumenten la conciencia y preparen toda la documentación necesaria
9. Operación — Detalla cómo evaluar y tratar los riesgos de la información, gestionar cambios y asegurar la documentación adecuada
10. Evaluación del Rendimiento — Requiere que las organizaciones supervisen, midan y analicen sus controles y procesos de gestión de la seguridad de la información
11. Mejora — Requiere que las organizaciones perfeccionen continuamente su ISMS, incluyendo el abordaje de los hallazgos de auditorías y revisiones

Objetivos de Control de Referencia y Controles

La segunda parte, Anexo A, detalla un conjunto de controles que pueden ayudarlo a cumplir con los requisitos de la primera sección. Su organización debe seleccionar los controles que mejor atiendan sus necesidades específicas y siéntase libre de complementar con otros controles según sea necesario.

Los controles están agrupados en los siguientes dominios:

• Políticas de Seguridad de la Información — Para garantizar que las políticas estén redactadas y revisadas de acuerdo con las prácticas de seguridad de la organización y su dirección general
• Organización de la Seguridad de la Información — Para asignar responsabilidades de tareas específicas
• Seguridad de Recursos Humanos — Para garantizar que los empleados y contratistas comprendan sus responsabilidades.
• Gestión de activos — Para garantizar que las organizaciones identifiquen sus activos de información y definan las responsabilidades de protección adecuadas
• Controles de Acceso — Para garantizar que los empleados solo puedan ver la información relevante para sus trabajos
• Criptografía — Para cifrar datos y garantizar la confidencialidad e integridad.
• Seguridad Física y Ambiental — Para prevenir el acceso físico no autorizado, daños o interferencias en las instalaciones o datos, y controlar el equipo para prevenir la pérdida, daño o robo de software, hardware y archivos físicos
• Seguridad de Operaciones — Para garantizar que las instalaciones de procesamiento de información sean seguras
• Seguridad en las Comunicaciones — Para proteger las redes de información
• Adquisición, Desarrollo y Mantenimiento del Sistema — Para asegurar tanto los sistemas internos como aquellos que brindan servicios a través de redes públicas
• Relaciones con proveedores — Para gestionar adecuadamente los acuerdos contractuales con terceros
• Gestión de Incidentes de Seguridad de la Información — Para garantizar una gestión y reporte efectivos de incidentes de seguridad
• Aspectos de Seguridad de la Información de la Gestión de Continuidad del Negocio — Para minimizar las interrupciones del negocio
• Cumplimiento — Para garantizar la adherencia a las leyes y regulaciones pertinentes y mitigar los riesgos de incumplimiento

Cumplimiento y Certificación de ISO 27001

Beneficios

Al cumplir voluntariamente con los requisitos de ISO 27001, su organización puede reducir proactivamente los riesgos de seguridad de la información y mejorar su capacidad para cumplir con los mandatos de protección de datos. Al dar un paso más y lograr la certificación ISO 27001, demostrará su compromiso con la protección de sus activos de datos a clientes, socios, proveedores y otros. Construir esta confianza puede mejorar la reputación de su empresa y proporcionar una ventaja competitiva

Documentos obligatorios

Se requieren múltiples documentos para demostrar el cumplimiento de la ISO 27001, incluyendo los siguientes:

• Alcance del ISMS (cláusula 4.3)
• Política de Seguridad de la Información (cláusula 5.2)
• Objetivos de Seguridad de la Información (cláusula 6.2)
• Evidencia de Competencia de Personas que Trabajan en Seguridad de la Información (cláusula 7.2)
• Resultados de la Evaluación de Riesgos de la Información (cláusula 8.2)
• Programa de Auditoría Interna de ISMS y Resultados de las Auditorías Realizadas (cláusula 9.2)
• Evidencia de las Revisiones de Liderazgo del ISMS (cláusula 9.3)
• Evidencia de No Conformidades Identificadas y Acciones Correctivas Derivadas (cláusula 10.1)

Definiendo el alcance del ISMS

Uno de los principales requisitos para la implementación de ISO 27001 es definir el alcance del ISMS. Para hacerlo, necesitas seguir los siguientes pasos:

1. Inventarie toda la información que almacene en cualquier forma, física o digital, local o en la nube.
2. Identifique las diversas formas en que las personas pueden acceder a la información.
3. Determine qué datos están dentro del alcance de su ISMS y cuáles están fuera de alcance. Por ejemplo, la información sobre la cual su organización no tiene control estaría fuera del alcance de su ISMS.

Proceso de Certificación

El proceso de certificación ISO 27001 implica los siguientes pasos:

1. Desarrolle un ISMS que incluya políticas, procedimientos, personas y tecnología.
2. Realice una revisión interna para identificar no conformidades y acciones correctivas.
3. Invite a los auditores a realizar una revisión básica del ISMS.
4. Corrija los problemas que encuentren los auditores.
5. Haga que un organismo de certificación acreditado realice una auditoría en profundidad de los componentes de la ISO 27001 para verificar si siguió las políticas y procedimientos.

La certificación puede tardar de tres a doce meses. Para mejorar la rentabilidad del proceso de certificación, muchas organizaciones realizan un análisis preliminar de las diferencias con respecto a la norma para tener una idea del esfuerzo necesario para implementar los cambios necesarios.

Costo de la Certificación

El costo de la certificación depende de muchas variables, por lo que cada organización tendrá un presupuesto diferente. Los principales costos se relacionan con la capacitación y la literatura, la asistencia externa, las tecnologías que se deben actualizar o implementar, el tiempo y esfuerzo de los empleados, y la propia auditoría de certificación.

Duración de la Certificación

Una vez que obtenga la certificación, debe realizar auditorías internas regulares. El organismo de certificación realiza reauditorías al menos anualmente y verificará lo siguiente:

• Cierre de todas las no conformidades de la última visita
• Operación de ISMS
• Actualizaciones de la documentación
• Revisiones de gestión de riesgos
• Acciones correctivas
• Monitoreo y medición del rendimiento de ISMS

Consejos para lograr y mantener el cumplimiento de ISO 27001

• El apoyo de los interesados es crucial para una certificación exitosa. Se requiere compromiso, orientación y recursos de todos los interesados para identificar los cambios necesarios, priorizar e implementar acciones de remediación, y asegurar la revisión y mejora regulares del ISMS.
• Defina el impacto de ISO 27001 en su organización.Considere las necesidades y requisitos de todas las partes interesadas, incluyendo reguladores y empleados. Examine los factores internos y externos que influyen en su seguridad de la información.
• Redacte una Declaración de Aplicabilidad. La declaración detalla qué controles ISO 27001 se aplican a su organización.
• Realice evaluaciones de riesgo y remediación de forma regular. Para cada evaluación, redacte un plan de tratamiento de riesgos que detalle si cada riesgo será tratado, tolerado, terminado o transferido.
• Evalúe el rendimiento del ISMS. Monitoree y mida su ISMS y controles.
• Implemente programas de capacitación y concienciación. Proporcione a todos los empleados y contratistas formación en sus procesos y procedimientos de seguridad y aumente la data security conciencia en toda la organización.
• Realice auditorías internas. Descubra y remedie problemas antes de que las auditorías externas los encuentren.

Cómo Netwrix ayuda con la conformidad con ISO 27001

La Netwrix Data Security Platform le ayuda a lograr y mantener el cumplimiento de la norma ISO 27001 al permitirle:

• Descubra y clasifique datos en sus repositorios locales y basados en la nube
• Identifique y priorice los riesgos relacionados con TI
• Monitoree los intentos de inicio de sesión en el sistema, el acceso a archivos y los cambios de datos y configuración en busca de actividad anómala
• Identifique e investigue patrones de amenazas
• Establezca una gobernanza de acceso a datos fuerte

Conclusión

Ahora que la seguridad de los datos es más esencial para el éxito que nunca, la certificación ISO 27001 proporciona una valiosa ventaja competitiva. Utilizando los requisitos y controles del estándar, podrás establecer y mejorar continuamente tu sistema de gestión de seguridad de la información, demostrando tu compromiso con la seguridad de los datos tanto a socios como a clientes.

FAQ

1. ¿Cuál es el propósito de ISO 27001?

La norma ISO 27001 fue desarrollada para ayudar a organizaciones de cualquier tamaño en cualquier industria a proteger sus datos mediante el uso efectivo de un sistema de gestión de seguridad de la información (ISMS).

2. ¿Cuál es la última norma ISO 27001?

La última versión ofrecida por ISO/IEC es 27001:2013. Hay una actualización regional de la UE llamada ISO/IEC 27001:2017.

3. ¿Cuáles son los requisitos de ISO 27001?

ISO 27001 requiere que las organizaciones:

• Comprender el contexto organizacional
• Demuestre liderazgo y compromiso con el ISMS, y asigne roles y responsabilidades de seguridad de la información
• Desarrolle un plan para identificar, analizar y tratar los riesgos de la información
• Asigne recursos adecuados para apoyar el ISMS
• Realice una evaluación y tratamiento del riesgo operacional
• Evalúe el rendimiento del ISMS
• Mejore continuamente el ISMS

4. ¿Por qué es importante la ISO 27001?

ISO 27001 protege la confidencialidad, integridad y disponibilidad de la información dentro de una organización y cuando se comparte con terceros.

5. ¿Cuál es la diferencia entre ISO 27001 e ISO 27002?

ISO 27001 es la norma central en la serie ISO 27000 y contiene los requisitos de implementación para un ISMS. ISO 27002 es una norma complementaria que detalla los controles de seguridad de la información que las organizaciones podrían elegir implementar, ampliando las descripciones breves en el Anexo A de ISO 27001.

6. ¿Cuál es la diferencia entre NIST e ISO 27001?

NIST es una organización de estándares de EE. UU. comparable a ISO. NIST 800-53 es más impulsado por controles de seguridad que ISO 27001, con una variedad de grupos que contribuyen con las mejores prácticas relacionadas con los sistemas de información federales. ISO 27001 es menos técnico y más enfocado en el riesgo, y es aplicable para organizaciones de todos los tamaños y en todos los sectores.

7. ¿Cuál es la diferencia entre SOX e ISO 27001?

ISO 27001 es una norma internacional voluntaria para implementar un ISMS. SOX 404 es una ley de EE. UU. que todas las empresas cotizadas en EE. UU. deben seguir.