Capítulo 1 - Introducción a ISO 27001

Capítulo 1 - Introducción a la norma ISO 27001

• SGSI (Sistema de Gestión de Seguridad de la Información): Conjunto de políticas y procedimientos para administrar la información confidencial de la empresa. No es una herramienta de software ni un sistema de seguridad física, sino un sistema completo.

• Norma ISO 27001: Consiste en dos partes principales: gestión de riesgos y cumplimiento, gobernanza y controles técnicos, liderazgo y gestión, e implementación y mantenimiento.

• Objetivo de la norma ISO 27001: Proporcionar un marco para la gestión de la información confidencial de la empresa y garantizar el cumplimiento de las regulaciones gubernamentales, mejorando la postura de seguridad general.

• Beneficios de la implementación de la norma ISO 27001: Mejora la postura de seguridad, reputación y credibilidad de la organización, facilitando el cumplimiento de los requisitos legales y reglamentarios.

• Diferencia entre ISO 27001 e ISO 27002: ISO 27001 es una norma para la gestión, mientras que ISO 27002 es un código de buenas prácticas para la implementación técnica.

Estructura de la norma ISO 27001

• Estructura de la norma ISO 27001: Un marco para establecer, implementar, mantener y mejorar continuamente un sistema de gestión de seguridad de la información (SGSI). No se centra en la copia de seguridad, no se refiere a protección de datos personales o estándares de control industrial.

• Secciones incluídas en la estructura de ISO 27001: Sistema de gestión de la información, gestión de recursos, planificación de la continuidad del negocio y gestión de recursos humanos.

• Cláusula 6 de la norma ISO 27001: Se encuentra en la Sección 4 (Fase de planificación). No se incluye en las Secciones 5, 6, ni 7, según el texto.

Principios de la norma ISO 27001

• Confidencialidad: Garantizar el acceso a la información solo a las personas autorizadas.

• Integridad: Mantener la precisión e integridad de la información a lo largo de su ciclo de vida.

• Disponibilidad: Garantizar que los sistemas de información estén disponibles para los fines previstos.

Acciones para asegurar la disponibilidad de sistemas (ISO 27001)

• Copias de seguridad periódicas
• Planes de recuperación ante desastres (disaster recovery)
• Controles de acceso
• Controles de actividad de usuarios
• Firewalls
• Sistemas de detección de intrusos
• Protocolos de encriptación y comunicación segura

Implementando la norma ISO 27001

• Pasos para implementar ISO 27001: Se debe contratar un consultor externo para el proceso o se asignará un equipo dentro de la organización para que asuma la responsabilidad. La creación de un plan de proyecto detallado es fundamental. También se debe obtener información y apoyo en la gestión, así como el compromiso de la dirección para la implementación.

• Primer paso en la implementación de ISO 27001: Realizar una evaluación de riesgos y desarrollar una política de seguridad de la información.

• Capacitación del personal: Proporcionar formación periódica sobre seguridad a todos los empleados.

• Implementar el sistema de software: Implementar un nuevo sistema para gestionar la seguridad de la información.

• Mejores prácticas y beneficios de la implementación Mejora de la confianza de los clientes, mayor cumplimiento legal, ahorro de costes y mayor eficiencia en los procesos, mejora de la reputación de la marca, aumento del cumplimiento legal, reducción de los costes de los seguros y mejoras de productividad de los empleados.

Documentación de la norma ISO 27001

• Objetivo de la documentación de ISO 27001: Demostrar la eficacia del Sistema de Gestión de Seguridad de la Información (SGSI), proporcionar una comprensión clara de los riesgos de seguridad de la información de la organización y ayudar en la implementación y mantenimiento del SGSI.

• Documentación necesaria (según el texto): El manual del empleado, descripción de la aplicabilidad, manual de salud y seguridad, y las evaluaciones de desempeño de los empleados. Adicionalmente, se menciona una política de seguridad de la información y un plan de tratamiento de riesgos, además de un informe presupuestario anual.