¿En qué consiste la norma ISO 27001?

La norma ISO 27001 ayuda a preservar la seguridad informática

La información es la columna vertebral de las organizaciones, por lo que necesita ser convenientemente protegida ante cualquier amenaza que puede poner en peligro las empresas, tanto públicas como privadas y de cualquier sector, pues en caso contrario podría quedar seriamente dañada la salud empresarial. Un remedio eficaz contra estos peligros lo constituye la norma ISO 27001.

Hoy en día, las organizaciones empresariales se enfrentan con un alto número de riesgos e inseguridades procedentes de una amplia variedad de fuentes, entre las que destacan las Tecnlogías de la Información (TICs) e Internet.

La adopción de la norma ISO 27001 del “Sistema de Gestión de la Seguridad de la Información” es una solución ideal  y muy completa, ya que no solo protege contra riesgos lógicos y previsibles como: virus informáticos o ataques por parte de hackers, sino que también evalúa riesgos físicos como incendios, inundaciones, sabotajes, vandalismos o accesos indebidos e indeseados, que también pueden comprometer la seguridad de los datos informáticos y el software.

La evaluación del riesgo según la ISO 27001

El análisis y gestión de los riesgos propuesto por la ISO 27001 se basa en procesos de negocio y servicios de Tecnologías de Información, por lo que se convierte en una herramienta muy útil para evaluar y controlar una organización con respecto a los riesgos de sus sistemas de información.

Este enfoque exige, en primer lugar, un análisis y gestión de los riesgos de sistemas de información realista y orientado a los objetivos de la organización y, posteriormente, se evalúa el riesgo y se aplican los controles adecuados establecidos por los estándares de la UNE ISO/IEC 27002.

Funcionamiento

Este sistema de gestión se basa en el ciclo ciclo PHVA (Planear ,Hacer, Verificar, Actuar) con el fin de  establecer, implementar, mantener y mejorar el Sistema Gestión de la Seguridad en la Información, así como se dar cumplimiento de manera complementaria a las buenas prácticas o controles establecidos en la ISO 27002.

Pero además existen una serie de indicadores y métricas para medir de forma objetiva la eficacia y eficiencia de los controles, de manera que se configure un sistema activo y totalmente integrado con la organización empresarial y sus objetivos.

Cabe destacar que cada vez que se incorpora una nueva herramienta o aplicativo informático en la empresa se debe actualizar el plan de riesgos y los controles establecidos, con el fin de ajustar al máximo las medidas de control para detectar, eliminar o mitigar los riesgos y amenazas.

La certificación

La ISO 27001 es certificable, lo que supone que una tercera parte independiente respaldará el cumplimiento de las normas. Esto supone una gran ventaja y un plus de valor añadido en una economía cada vez más globalizada, ya que la certificación en seguridad genera confianza entre clientes y proveedores, lo que supone aumentar las posibilidades de conseguir más cuota de mercado y mejorar la imagen de marca a todos los niveles.

Un aspecto especialmente destacable de esa norma es que se trata de un sistema abierto al que, en cualquier momento, se le puede incorporar cualquier tecnología nueva que decida utilizar la empresa, lo cual es fundamental en un sector tan dinámico y cambiante como es Internet y las TIC.

La norma ISO 27001 contribuye a fomentar las actividades de protección de la información en empresas de cualquier sector y tamaño, mejorando la seguridad de la información y generando confianza frente a terceros, puesto que permite a la empresa exponer su voluntad de cumplir en todo momento con la legislación vigente y su máxima implicación con la protección de datos y la seguridad informática.

Software para ISO 27001

La ISO27001 se transforma en una norma sencilla de definir e implementar gracias a la Plataforma Tecnológica ISOTools, un software que permite automatizar todo el sistema y mantener el Sistema Gestión de la Seguridad en la Información,

Al mismo tiempo, da cumplimiento de manera complementaria a las buenas prácticas o controles establecidos en ISO 27002 y permite aplicar los requisitos de otras normas de Seguridad de la Información como PMG SSI de los Servicios Públicos de Chile, entre otros.