Novedades de la ISO 27002 de mejores prácticas en la gestión de seguridad de la información

La gestión de la seguridad de la información

Tanto la norma ISO 27001 como la 27002 tienen un objetivo común: proporcionar un marco de referencia para la definición e implantación de un Sistema de Gestión de la Seguridad de la Información (SGSI). Sin embargo, existe una diferencia importante: la ISO 27001 es una norma certificable, mientras que la ISO 27002 es un compendio de recomendaciones y buenas prácticas.

A través de un SGSI óptimamente diseñado e implantado es posible identificar, eliminar o minimizar las amenazas y peligros, haciéndolos conocidos, asumidos, gestionados y minimizados por la organización de una forma documentada, sistemática y estructurada.

Las amenazas se pueden definir como eventos que puede afectar los activos de información y están relacionadas principalmente con: recursos humanos, eventos naturales o fallas técnicas como ataques informáticos externos, infecciones con malware, una inundación, un incendio o cortes de fluido eléctrico.

No obstante, es frecuente que el peligro se origine en simples despistes o falta de concienciación por parte de algún trabajador de la empresa: uso de una pulsera imantada, utilizar contraseñas inseguras o facilitarlas a personas no autorizadas, etc.

Aspectos claves y novedosos de la ISO 27002

Con un enfoque en el análisis de procesos, los 114 controles de la norma ISO 27002:2013 la convierten en un estándar actualizado a los nuevas necesidades de las empresas, teniendo en cuenta aspectos novedosos como la continuidad del negocio.

Es un estándar especialmente útil para los responsables de diseñar, implantar o mantener el SGSI de cualquier organización, independientemente de su sector y tamaño.

Los puntos principales de esta norma son:

• Proporciona una base común para desarrollar las normas de seguridad dentro de las organizaciones.

• Provee de prácticas eficaces para la implantación del SGSI adaptadas al contexto actual: protagonismo de las nuevas tecnologías, ataques informáticos cada vez más sofisticados o imperiosa necesidad de restablecer rápidamente el funcionamiento de una empresa cuando ya se ha producido un incidente.

• Proteger adecuadamente a las empresas.

• Maximizar el retorno de las inversiones y oportunidades de negocio.

• Es un estándar flexible y autónomo, lo que garantiza su adaptación a cualquier tecnología o sistema que ya esté siendo utilizado por la empresa.

Los tres requisitos básicos

La ISO 27001 entiende que el SGSI de la empresa debe no sólo garantizar, sino también fundamentarse, en tres requisitos básicos:

• Confidencialidad. Que la información sea únicamente accesible por las personas que estén autorizadas para ello.

• Disponibilidad. El acceso a la información debe estar siempre accesible en el momento que se necesite.

• Integridad. La información debe mantenerse completa e inalterada  y en ningún caso puede ser manipulada sin autorización.

Estructura de la norma

La norma ISO 27002 se compone de 12 secciones que, en conjunto, cubren totalmente la gestión de la seguridad de la información:

1. Evaluación y tratamiento de riesgos y amenazas
2. Política de seguridad
3. Aspectos organizativos para la seguridad
4. Clasificación y control de activos
5. Seguridad ligada al personal
6. Seguridad física y del entorno
7. Gestión de comunicaciones y operaciones
8. Control de accesos
9. Desarrollo y mantenimiento de sistemas
10. Gestión de continuidad de negocio
11. Conformidad con la legislación
12. Gestión de los incidentes de seguridad de la información

Dentro de cada sección, se especifican los objetivos de los distintos controles para la seguridad de la información y para cada uno de los controles (un total de 114) se suministra una guía para su implantación.

Con ISOTools es muy sencillo implantar un SGSI eficaz e integrado con otras normas

La Plataforma ISOTools  posibilita la automatización de la gestión, de forma eficaz y exhaustiva, de cualquier tipo de riesgo: operacionales, financieros, industriales, legales u operativos, ajustándolos completamente a las necesidades de cada una de las organizaciones y facilitando, en gran medida, la adecuación a la normativa.

Con este software es posible llevar a cabo el desarrollo del ciclo completo de cada tipo de riesgo, es decir: identificación, análisis y evaluación del mismo. Además, gracias a su estructura modular permite la integración con otras normas de la familia ISO, relativas tanto a riesgos como a calidad.