La Gestión de la Seguridad de la Información según la norma ISO 27008

ISO 27008

La norma ISO 27008 está enfocada a la implantación y operación de los controles, se puede implantar en todas las empresas, sin distinciones de tamaño, localización, etc. La empresa debe realizar revisiones o controles vinculados a la seguridad de la información.

El estándar internacional ISO27008 se puede compatibilizar perfectamente con otras normas como puede ser ISO 27001 o ISO 27002, utilizando estas como plataforma estratégica que garantice la seguridad de la información. Basándonos en esta norma se puede tanto ejecutar como planificar el Sistema de Gestión de la Seguridad de la Información, además del proceso de gestión de riesgo.

La implantación de la norma ISO-27008 genera un valor añadido en la empresa e incrementa la calidad de todas las normas de la familia ISO 27000. Dicha norma enriquece las auditorias del SGSI, ya que optimiza las relaciones existentes entre los procesos y los controles de dicho sistema. Asimismo, asegura un manejo eficaz de los recursos durante la auditoría.

La norma ISO 27008 se focaliza en la verificación de los controles de seguridad de la información, al contrario que la ISO 27007 que se centra solo en la auditoría de los elementos del SGSI. Una cosa que incluye la norma es la verificación de la conformidad técnica, que si la comparamos con otra norma que solo es de implantación de la seguridad de la información establecido por la empresa.

Los controles técnicos que se deben realizar no vienen definidos en la norma, ya que son conocidos comúnmente como controles de seguridad de TI. Los controles de seguridad TI son un subconjunto de controles de seguridad de la información, que sí que se encuentran definidos pero en las norma ISO 27001 e ISO 27002.

Los controles de seguridad TI benefician a las empresas en:

• Conocer cuál puede ser el alcance de los problemas de la aplicación
• Llevar a cabo los controles de seguridad de la información, los de la información técnica y las normas básicas de seguridad.
• Establecer e inspeccionar los impactos, amenazas o vulnerabilidad a los que se pueden encontrar sometidos.
• Realizar una programación de actividades para disminuir riegos.
• Dar garantía de que las posibles deficiencias en la seguridad se han solucionado.

La Plataforma Tecnológica ISOTools facilita a las empresas todo el trámite de la implementación y el seguimiento de los Sistemas de Gestión de la Seguridad de la Información.