NORMA ISO 27001

La Importancia de la NOM ISO 27001 en la Ciberseguridad

Por Juan Carlos Alverde, 11 / Febrero / 2020.

Las normas oficiales son regulaciones o estándares establecidos por una autoridad competente, generalmente un gobierno, para regular determinadas actividades, productos o servicios en un país específico. Estas normas son de cumplimiento obligatorio y tienen el objetivo de garantizar la calidad, seguridad, salud pública, protección del medio ambiente u otros aspectos relevantes para la sociedad.

Las normas oficiales pueden abarcar diversos campos, como la seguridad alimentaria, la seguridad laboral, las prácticas comerciales, los estándares de calidad, entre otros. Cada país tiene su propio sistema de normas y regulaciones, y estas pueden variar en alcance y especificidad según el contexto nacional.

Por otro lado, la norma ISO 27001 es una norma internacional establecida por la Organización Internacional de Normalización (ISO, por sus siglas en inglés). Esta norma se enfoca en el sistema de gestión de seguridad de la información (SGSI) y establece los requisitos para establecer, implementar, mantener y mejorar la seguridad de la información en una organización.

La norma ISO 27001 proporciona un marco de trabajo para que las organizaciones identifiquen y gestionen los riesgos relacionados con la seguridad de la información, protejan los activos de información y establezcan medidas de seguridad adecuadas. Además, se basa en un enfoque de mejora continua, lo que implica que las organizaciones deben revisar y actualizar regularmente su SGSI para mantener la eficacia y adaptarse a los cambios en el entorno de seguridad.

La certificación en la norma ISO 27001 es un reconocimiento que otorga una entidad de certificación independiente para verificar que una organización cumple con los requisitos establecidos en la norma. Obtener esta certificación puede ayudar a las organizaciones a demostrar su compromiso con la seguridad de la información y generar confianza entre sus clientes y socios comerciales.

La norma ISO 27001 contiene varios puntos técnicos importantes que se centran en la gestión de la seguridad de la información en una organización. A continuación, se desglosan algunos de los puntos técnicos clave de la norma:

Contexto de la organización: La norma requiere que la organización identifique y comprenda su contexto, incluyendo los requisitos legales, regulatorios, comerciales y de los interesados pertinentes para la seguridad de la información. Esto ayuda a establecer una base sólida para el SGSI.
Liderazgo y compromiso: La alta dirección debe demostrar liderazgo y compromiso con la seguridad de la información estableciendo una política de seguridad, definiendo roles y responsabilidades, asignando recursos adecuados y promoviendo una cultura de seguridad.
Evaluación de riesgos: La norma exige que se realice una evaluación de riesgos para identificar las amenazas, vulnerabilidades y posibles impactos en la seguridad de la información. Esta evaluación sirve como base para establecer controles y medidas de mitigación adecuadas.
Tratamiento de riesgos: Una vez que se han identificado los riesgos, la organización debe seleccionar y aplicar controles de seguridad para tratar los riesgos de manera efectiva. Esto implica evaluar la eficacia de los controles existentes y establecer planes de tratamiento de riesgos.
Documentación del SGSI: La norma requiere la documentación de políticas, procedimientos y registros relevantes para el SGSI. Esto incluye la documentación de la política de seguridad, el inventario de activos de información, los procedimientos de gestión de incidentes, entre otros.
Concienciación y capacitación: Se establece la necesidad de promover la concienciación y la capacitación en seguridad de la información entre el personal de la organización. Esto ayuda a garantizar que todos los miembros de la organización comprendan sus responsabilidades en materia de seguridad y sepan cómo actuar ante incidentes.
Monitoreo, auditoría y revisión: La norma requiere que se realice un monitoreo regular de los controles de seguridad, se realicen auditorías internas y se realice una revisión periódica del SGSI para garantizar su eficacia continua y su mejora.

Estos son solo algunos de los puntos técnicos más importantes de la norma ISO 27001. La norma es amplia y abarca muchos otros aspectos, como la gestión de incidentes, la continuidad del negocio, la gestión de proveedores, entre otros, que también son cruciales para una sólida gestión de la seguridad de la información en una organización.

HackStop ™

¡Happy Hacking!