¿Cómo implantar un SGSI en un PYME según la ISO 27001? Objetivos del SGSI y certificación

ISO 27001

ISO 27001, está a disposición de cualquier PYME que desee trabajar con un Sistema de Seguridad de la Información internacionalmente reconocido y totalmente eficaz y fiable.

Las organizaciones quieren proteger la información que está en su poder, pero ¿qué características deben ser preservadas primordialmente en toda PYME?

• Disponibilidad

Con esta característica, se garantiza que los usuarios autorizados tengan acceso cuando les sea necesario a la información y activos asociados.

• Confidencialidad

La confidencialidad se basa en asegurar que solo tengan acceso a la información las personas que estén autorizadas para ello.

• Integridad

Este aspecto hace que la información esté siempre exacta y completa.

Al desarrollar una buena gestión de la seguridad de la información se beneficiará la disminución de riesgos que la organización llegaría a soportar, y la minimización de daños en los activos de la información si finalmente el daño se produjera.

Una vez que la PYME ya está decidida a implantar un SGSI con ISO-27001 y tiene claro que debe preservar las tres características anteriores, es el turno de implantarlo para posteriormente certificar y auditar el sistema de gestión.

El proceso de certificación está formado por las 6 etapas siguientes:

• Pre-auditoría

Se suele realizar con el objetivo de conocer la situación actual del sistema y de la organización y obtener una orientación sobre las posibilidades de superar favorablemente la auditoría real. Es un paso voluntario.

• Fase 1 auditoría

En la fase 1 se revisa la política de seguridad, el alcance, la declaración y aplicabilidad, el análisis de riesgos y los procedimientos clave.

• Fase 2 auditoría

En esta etapa se revisan las políticas, se realiza una auditoría de implantación de los controles de seguridad y se verifica la firmeza del sistema.

• Certificación

Tras el proceso de auditoría se pueden detectar no conformidades y, en este caso, es necesario aplicar medidas correctivas, si no se detectara nada y el informe resultante fuera favorable se procede a la revisión y emisión del certificado.

• Auditoría de seguimiento

Anualmente, se hace una auditoría de seguimiento para mantener el SGSI de ISO27001.

• Auditoría de re-certificación

Para renovar la certificación, se debe ejecutar una auditoría completa formal cada 3 años.

La Plataforma Tecnológica ISOTools es una herramienta disponible para PYMEs u otro tipo de organizaciones que estén pensando en automatizar su SGSI y superar el proceso de certificación con éxito.