¿Qué es ISO 27001?

Un ISMS es un conjunto de políticas, procedimientos y controles que rigen la forma en que una organización gestiona sus riesgos de seguridad de la información e incluye requisitos como evaluación, gestión de activos, control de acceso, criptografía, gestión de incidentes y más.

El objetivo de un ISMS es proteger:

• la confidencialidad de la información, evitando la divulgación no autorizada de la información;
  
  
• la integridad de la información, asegurándose de que la información sea precisa y completa; y
  
  
• la disponibilidad de la información, asegurándose de que la información sea accesible cuando sea necesario.

Un ISMS ayuda a una empresa a implementar controles de seguridad coherentes que puedan adaptarse a un entorno de riesgo cambiante.

La ISO 27001 describe un proceso integral que las organizaciones deben seguir al crear y mantener un ISMS:

• Evaluación de riesgos: identificar y evaluar posibles incidentes de seguridad de la información que podrían ocurrir en relación con la información y los datos de una empresa;
  
  
• Proceso de administración de riesgos: implementar controles de seguridad de la información relevantes para protegerse contra esos incidentes de seguridad y reducir el riesgo de seguridad de la información; y
  
  
• Tratamiento de riesgos: mitigar los riesgos a lo largo del tiempo y monitorizar y revisar la eficacia de esos controles de forma continua para ayudar a impulsar la mejora continua de la protección de datos y la seguridad de la información dentro de una organización.

Además, la ISO 27001 ayuda a las organizaciones a salvaguardar la autenticidad de la información, lo que significa que la identidad de los usuarios y los sistemas se puede verificar a lo largo del ciclo de vida de la información, y ayuda a garantizar el no repudio, lo que significa que cualquier transacción relacionada con la información se puede rastrear y verificar.

Para recapitular brevemente, la norma ISO 27001 requiere que las organizaciones:

• examinen sistemáticamente sus riesgos de seguridad, incluidas amenazas, vulnerabilidades e impactos potenciales;
  
  
• diseñen e implementen una suite de controles de seguridad de la información y otras formas de tratamiento de riesgo para direcciones de riesgos que se consideran inaceptables; y
  
  
• adopten un proceso de gestión global para garantizar que los controles de seguridad de la información continúen satisfaciendo las necesidades y los objetivos de seguridad de la empresa de forma continua.

La ISO 27001 también exige que las empresas establezcan un ISMS que se adapte a sus necesidades y riesgos empresariales específicos.

La norma ISO 27001 en sí consta de dos partes:

• Once (11) cláusulas obligatorias (0 a la 10) que detallan los requisitos en áreas determinadas y
  
  
• El Anexo A, que brinda lineamientos aplicables a 93 objetivos de control, cada uno de los cuales es una práctica específica que puede implementarse para reducir los riesgos a niveles aceptables.
   

Cláusulas obligatorias

La sección principal de la norma ISO 27001, es decir, las 11 cláusulas, presenta primero los conceptos básicos de la norma en las cláusulas 0 a 3, que proporcionan definiciones y resúmenes de los requisitos. Las cláusulas 4 a 10 enumeran los requisitos específicos que son obligatorios para el cumplimiento de la ISO 27001:

Cláusula 4: el contexto de la organización es un requisito holístico para que la administración descubra, revise y comprenda los problemas externos e internos relevantes, que pueden incluir desafíos regulatorios, e identificar y considerar a las partes interesadas.

Cláusula 5: el liderazgo detalla los requisitos para un liderazgo adecuado, incluida la exigencia del compromiso de la alta dirección, con roles y responsabilidades claramente definidos. La cláusula 5 especifica que la gerencia debe:

• Establecer objetivos de seguridad alineados con la dirección estratégica y los objetivos de la organización;
  
  
• Proporcionar los recursos adecuados necesarios para respaldar un ISMS y las contribuciones de las personas al mismo; y
  
  
• Especificar una política de seguridad de la información ISO 27001 de nivel superior que se documente y comunique a toda la organización y a todos los stakeholders y partes interesadas, desde empleados hasta accionistas, reguladores gubernamentales y otros.

Cláusula 6: La planificación es un requisito para identificar y tener en cuenta los riesgos y oportunidades de seguridad de la información (la evaluación de riesgos de seguridad de la información), establecer objetivos de seguridad y control de la información basados en esta evaluación, y crear un plan de tratamiento de riesgos que incorpore los controles pertinentes del Anexo A.

Cláusula 7: El soporte describe cómo apoyar un ISMS sólido con infraestructura proporcionando recursos adecuados, asegurando la comprensión de la gestión de la seguridad de la información por parte de los empleados y comunicar adecuadamente dentro y fuera de la organización. La gerencia debe actualizar y mantener cierta documentación, incluido un plan de comunicaciones.

Cláusula 8: La operación exige ciertos procesos de seguridad de la información que deben planificarse, implementarse y controlarse. Aquí es donde se ponen en práctica la evaluación y el tratamiento de riesgos.

Cláusula 9: La evaluación del rendimiento es un requisito que requiere que las organizaciones supervisen, midan, analicen y evalúen sus ISMS, verificando periódicamente los KPI s y realizando auditorías internas. A intervalos definidos, la alta dirección debe revisar los KPI relacionados con el ISMS y la ISO 27001 para garantizar que sigan siendo relevantes.

Cláusula 10: Mejora: Después de la evaluación del desempeño, las organizaciones deben tomar cualquier acción correctiva necesaria llamada mejora. Esto significa que la dirección debe actuar para eliminar las causas de las llamadas “no conformidades”. Además, debe implementar un proceso de mejora continua.

Controles del Anexo A

El Anexo A de la ISO 27001:2022 enumera 93 medidas de protección o controles que las organizaciones pueden emplear para reducir riesgos y cumplir con los requisitos de seguridad de partes interesadas, como reguladores y socios. Parte de la documentación exigida por la norma ISO 27001 es la Declaración de Aplicabilidad, en la que la organización detalla los controles específicos del Anexo A a implementar marcándolos como “aplicables”.

La ISO 27001:2022 también establece cuatro dominios para los 93 controles:

Anexo A.5—Los controles organizacionales son 37 controles que deben implementarse definiendo las reglas a seguir, así como el comportamiento esperado de los usuarios, equipos, software y sistemas (por ejemplo, una Política de control de acceso).

Anexo A.6—Los controles de personas son 8 controles implementados mediante el intercambio de conocimientos, educación, habilidades y/o experiencia con las personas para empoderarlas a realizar sus respectivas actividades de manera que proteja la seguridad de la información (por ejemplo, formación bajo la ISO 27001).

Anexo A.7—Los controles físicos son 14 controles implementados mediante la protección y seguridad del equipamiento o dispositivos que interactúan físicamente con personas y objetos (por ejemplo, cámaras de CCTV o sistemas de alarma).

Anexo A.8—Los controles tecnológicos son 34 controles, enfocados en TI y comunicaciones, que se implementan principalmente en sistemas de información con software, hardware y firmware (por ejemplo, backup o software antivirus).

Tenga en cuenta que la ISO 27001:2022 incluye 21 controles del Anexo A menos que la versión anterior, la ISO 27001:2013. El número de controles se redujo al fusionar 57 controles, eliminar 3 controles, conservar 35 controles sin cambios e introducir 11 nuevos controles. Los nuevos controles se centran en servicios en la nube, preparación para la continuidad del negocio, inteligencia de amenazas, monitorización de seguridad física, enmascaramiento de datos, eliminación de información, prevención de fugas de datos, actividades de monitorización, filtrado sitio web y codificación segura.

Las empresas pueden implementar la ISO 27001 para beneficiarse de las mejores prácticas que ofrece. También pueden optar por someterse a un proceso de certificación formal, que demuestra a los clientes y otros stakeholders que están comprometidos y son capaces de gestionar la información de forma segura.

Antes de que comience el proceso de certificación, la empresa debe implementar un ISMS compatible, y el equipo de gestión de la empresa debe determinar el alcance del ISMS específicamente para fines de certificación (por ejemplo, pueden limitar el alcance a una sola unidad de negocio o ubicación). La certificación resultante solo se aplicará al alcance limitado.

A continuación, el ISMS debe someterse a una auditoría de certificación externa de varios pasos por parte de un organismo de certificación acreditado para verificar el cumplimiento normativo.

El proceso de auditoría externa tiene tres etapas.

• Fase 1: Revisión preliminar del ISMS. El organismo de certificación confirmará que la documentación clave existe y está completa (por ejemplo, para la Política de seguridad de la información de la organización, su Declaración de aplicabilidad (SoA) y su Plan de tratamiento de riesgos (RTP).
  
  
• Fase 2: Auditoría formal de cumplimiento. El organismo de certificación realiza una auditoría más detallada, probando de forma independiente el ISMS de la organización para garantizar que cumpla con los requisitos de la ISO 27001. Aprobar la etapa 2 significa que la organización obtendrá la certificación de conformidad con la norma ISO 27001.
  
  
• Fase 3: Revisión continua. De forma continua después de obtener la certificación de conformidad con la norma ISO 27001, la organización debe realizar comentarios de seguimiento y auditorías internas para confirmar el cumplimiento a lo largo del tiempo.

Las organizaciones que ya cuentan con la certificación ISO 27001 deben hacer la transición a la nueva versión 2022 antes del 31 de octubre de 2025 asegurándose de tener un ISMS actualizado y que cumple con las normas.

Según los informes de 2022, hay más de 70 000 certificados ISO 27001 en 150 países. Si bien la mayoría de estos certificados se centran en la tecnología de la información (TI), cubren organizaciones de todos los sectores económicos.

Establecer un ISMS bien organizado basado en el cumplimiento y la certificación ISO 27001 puede permitir a las organizaciones:

• Reduzca la vulnerabilidad a la amenaza en constante crecimiento de los ciberataques
  
  
• Responda de manera más rápida y eficaz a los riesgos de seguridad de la información en evolución
  
  
• Ayudar a garantizar que los activos como los estados financieros, la propiedad intelectual (PI), los datos de los empleados y la información confiada a la organización por terceros permanezcan en buen estado, sean confidenciales y estén disponibles según sea necesario
  
  
• Proporcionar un entorno de seguridad de la información administrado centralmente que protege la información desde un punto de control
  
  
• Preparar a las personas, los procesos y la tecnología en toda la organización para enfrentar los riesgos basados en la tecnología y otras amenazas
  
  
• Proteja la información en todas sus formas, ya sea en papel, basada en la nube o digital
  
  
• Reduzca los costos al aumentar la eficiencia y reducir el gasto innecesario en tecnología de ciberseguridad ineficaz
  
  
• Cumpla con los requisitos legales y normativos
  
  
• Mejore la reputación y la confianza del cliente