ISO 27001 es un estándar internacional que especifica los requisitos para establecer, implementar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información (SGSI).
¿Qué es ISO 27001?
ISO 27001 es un marco de gestión de seguridad de la información que proporciona un enfoque sistemático para gestionar la información sensible de una organización.
Estructura del Estándar
Cláusulas Principales
- 4. Contexto de la organización: Comprensión del contexto
- 5. Liderazgo: Compromiso de la dirección
- 6. Planificación: Gestión de riesgos y objetivos
- 7. Soporte: Recursos y competencias
- 8. Operación: Implementación y control
- 9. Evaluación: Monitoreo y medición
- 10. Mejora: Acciones correctivas y preventivas
Anexo A - Controles
- A.5 Políticas de seguridad: Políticas de seguridad
- A.6 Organización de la seguridad: Organización y roles
- A.7 Seguridad de los recursos humanos: Gestión de personal
- A.8 Gestión de activos: Inventario y clasificación
- A.9 Control de acceso: Autenticación y autorización
- A.10 Criptografía: Cifrado y gestión de claves
- A.11 Seguridad física y ambiental: Protección física
- A.12 Seguridad en el desarrollo: Seguridad en el desarrollo
- A.13 Gestión de comunicaciones: Seguridad de redes
- A.14 Adquisición, desarrollo y mantenimiento: Gestión del ciclo de vida
- A.15 Relaciones con proveedores: Gestión de terceros
- A.16 Gestión de incidentes: Respuesta a incidentes
- A.17 Aspectos de seguridad en la continuidad del negocio: Continuidad
- A.18 Cumplimiento: Cumplimiento normativo
Implementación
Fase 1: Preparación
- Compromiso de la dirección: Obtener apoyo ejecutivo
- Equipo de proyecto: Formar equipo de implementación
- Análisis de brechas: Evaluar estado actual
- Plan de proyecto: Desarrollar plan de implementación
Fase 2: Análisis
- Análisis de contexto: Comprensión del contexto organizacional
- Identificación de partes interesadas: Mapeo de stakeholders
- Análisis de riesgos: Evaluación de riesgos de seguridad
- Definición de alcance: Establecer alcance del SGSI
Fase 3: Diseño
- Políticas de seguridad: Desarrollo de políticas
- Procedimientos: Creación de procedimientos
- Controles: Implementación de controles
- Documentación: Desarrollo de documentación
Fase 4: Implementación
- Capacitación: Formación del personal
- Despliegue: Implementación de controles
- Monitoreo: Establecimiento de monitoreo
- Mejora continua: Procesos de mejora
Controles de Seguridad
A.5 Políticas de Seguridad
- A.5.1 Políticas de seguridad: Políticas documentadas
- A.5.2 Revisión de políticas: Revisión regular de políticas
- A.5.3 Difusión de políticas: Comunicación de políticas
A.6 Organización de la Seguridad
- A.6.1 Roles y responsabilidades: Definición de roles
- A.6.2 Separación de funciones: Separación de responsabilidades
- A.6.3 Contacto con autoridades: Contacto con autoridades
- A.6.4 Contacto con grupos especializados: Contacto con expertos
- A.6.5 Seguridad en la gestión de proyectos: Seguridad en proyectos
A.7 Seguridad de los Recursos Humanos
- A.7.1 Antes del empleo: Verificaciones previas
- A.7.2 Durante el empleo: Gestión durante el empleo
- A.7.3 Terminación del empleo: Gestión de terminación
A.8 Gestión de Activos
- A.8.1 Responsabilidad sobre los activos: Inventario de activos
- A.8.2 Clasificación de la información: Clasificación de datos
- A.8.3 Manejo de medios: Gestión de medios de almacenamiento
- A.8.4 Eliminación de medios: Eliminación segura de medios
A.9 Control de Acceso
- A.9.1 Política de control de acceso: Políticas de acceso
- A.9.2 Gestión de acceso de usuarios: Gestión de usuarios
- A.9.3 Responsabilidades del usuario: Responsabilidades de usuarios
- A.9.4 Control de acceso al sistema: Control de sistemas
- A.9.5 Gestión de privilegios: Gestión de privilegios
- A.9.6 Información de acceso: Información de acceso
- A.9.7 Control de acceso a aplicaciones: Control de aplicaciones
- A.9.8 Tecnología de la información y comunicaciones: Control de TIC
Gestión de Riesgos
Proceso de Gestión de Riesgos
- Identificación de activos: Inventario de activos
- Identificación de amenazas: Identificación de amenazas
- Identificación de vulnerabilidades: Identificación de vulnerabilidades
- Evaluación de riesgos: Cálculo de riesgos
- Tratamiento de riesgos: Implementación de controles
- Monitoreo: Seguimiento de riesgos
Metodologías
- ISO 27005: Gestión de riesgos de seguridad
- OCTAVE: Operationally Critical Threat, Asset, and Vulnerability Evaluation
- FAIR: Factor Analysis of Information Risk
- NIST SP 800-30: Guía para la evaluación de riesgos
Auditoría y Certificación
Auditoría Interna
- Planificación: Plan de auditorías internas
- Ejecución: Realización de auditorías
- Informes: Documentación de hallazgos
- Seguimiento: Seguimiento de acciones correctivas
Auditoría Externa
- Selección de auditor: Elección de organismo certificador
- Auditoría de certificación: Auditoría inicial
- Auditorías de seguimiento: Auditorías anuales
- Renovación: Renovación de certificación
Proceso de Certificación
- Solicitud: Solicitud de certificación
- Auditoría inicial: Auditoría de certificación
- Certificación: Emisión de certificado
- Auditorías de seguimiento: Auditorías anuales
- Renovación: Renovación cada 3 años
Beneficios de la Certificación
Organizacionales
- Mejora de la seguridad: Mejor gestión de riesgos
- Cumplimiento normativo: Cumplimiento de regulaciones
- Confianza de clientes: Mayor confianza de clientes
- Ventaja competitiva: Diferenciación en el mercado
Operacionales
- Eficiencia: Mejor gestión de procesos
- Reducción de riesgos: Menor exposición a riesgos
- Mejora continua: Procesos de mejora
- Documentación: Mejor documentación
Financieros
- Reducción de costos: Menor costo de incidentes
- Ahorro en seguros: Mejores condiciones de seguros
- ROI: Retorno de inversión
- Valor de marca: Aumento del valor de marca
Mejores Prácticas
Implementación
- Compromiso de la dirección: Apoyo ejecutivo
- Equipo dedicado: Equipo de implementación
- Planificación: Plan detallado
- Comunicación: Comunicación efectiva
Mantenimiento
- Revisión regular: Revisión periódica del SGSI
- Actualizaciones: Mantenimiento actualizado
- Formación: Capacitación continua
- Mejora continua: Procesos de mejora
Monitoreo
- Indicadores: KPIs de seguridad
- Auditorías: Auditorías regulares
- Revisión de gestión: Revisión de la dirección
- Acciones correctivas: Gestión de no conformidades
Conceptos Relacionados
- CISO - Rol que implementa ISO 27001
- SGSI - Sistema de gestión que define ISO 27001
- ISMS - Sistema de gestión de seguridad
- GAP Análisis - Evaluación para ISO 27001
- Auditorías - Proceso de certificación ISO 27001
- BIA - Análisis requerido para ISO 27001
- C2M2 - Modelo de madurez complementario
- COBIT 5 - Marco de gobierno complementario
- CIS Benchmarking - Controles complementarios
- SIEM - Herramienta para cumplir ISO 27001
- SOAR - Automatización para ISO 27001
- Registros - Evidencia para ISO 27001