ISO 20000 vs ISO 27001: Gestión de servicios de TI y Seguridad de la Información

🔊 Escuchar esta entrada

ISO 20000 o ISO 27001, qué estándar es mejor para tu empresa

Es innegable que los servicios de TI están a la orden del día. Por lo que cualquier empresa que quiera mejorar sus servicios y le preocupe la seguridad de su información puede optar por lo la norma ISO 27001 y la norma ISO 20000, sobre sistemas de gestión de la seguridad de la información y sobre la gestión de servicios TI, respectivamente.

Esto es, la norma ISO 27001 y la ISO 20000 son herramientas perfectas para disponer de la protección adecuada frente a la gestión de los servicios TI y la seguridad de la información y los datos que maneje la empresa.

Si desea más información sobre cómo la norma ISO 27001 puede ayudarle a garantizar la seguridad, la información de su organización, haciendo clic en este enlace.

Muchas veces, en nuestros artículos, hemos mencionado la norma ISO 27001, por lo que vamos a hacer una breve descripción de lo que es la norma ISO 20000, con objeto de dar pie al cuerpo de este artículo y, permitir de esta forma, contextualizar lo que se comentará en posteriores apartados.

Es decir, hablaremos de la vinculación que existe entre la norma ISO 27001 y la ISO 20000.

ISO 20000

La norma ISO 20000, concretamente la ISO / IEC 20000-1: 2018, especifica los requisitos para que una empresa pueda establecer, implementar, mantener y mejorar de manera continua, un sistema de gestión de servicios de TI.

De igual manera, también incluye la planificación, diseño, transición, entrega y mejora de los servicios para cumplir con los requisitos del servicio y la entrega de valor.

Esta norma internacional tiene diversos usos, entre los que pueden destacar:

• Cuando una empresa o cliente, requiere de una serie de servicios, y, como es obvio, solicita seguridad respecto a la calidad de dichos servicios.
• Si un cliente quiere disponer de un enfoque coherente del ciclo de vida del servicio por parte de todos los proveedores del mismo y de la cadena de suministro.
• En el caso de que una empresa precise mostrar su capacidad para la planificación, diseño, transición, entrega y mejora de sus servicios.
• O bien, puede utilizarla para monitorear, medir y revisar sus servicios TI.
• Para implementar el sistema de gestión de servicios de TI.
• Para realizar evaluaciones de conformidad en función de los requisitos de esta norma.
• También, para cualquier actividad formativa o asesoramiento en cuanto a gestión de servicios.

Así, los datos, y la nube que los contiene, tienen un valor casi infinito para las empresas que saben cómo procesarlos, siempre y cuando, se cuente con la estrategia adecuada para obtener ese potencial.

De esta manera, se obtiene la vinculación entre la norma ISO 27001 e ISO 20000, ya que esta última, ayuda a convertir los datos de las empresas en un verdadero activo empresarial.

ISO 27001

La norma ISO 27001 establece los requisitos para que una empresa pueda crear, implementar, mantener y mejorar de forma un Sistema de Gestión de Seguridad de la Información. Su objetivo principal es garantizar la confidencialidad, integridad y disponibilidad de la información, protegiendo los activos críticos ante riesgos como accesos no autorizados, ciberataques, pérdida de datos y otros incidentes de seguridad.

Esta norma tiene múltiples aplicaciones, entre ellas:

• Cuando una organización quiere proteger su información sensible y cumplir con los requisitos legales y regulatorios en materia de privacidad y seguridad.
• Si una empresa quiere demostrar a sus clientes, socios y otras partes interesadas su compromiso con la protección de datos e información.
• En situaciones donde se requiere implementar controles y medidas de seguridad para prevenir, detectar y responder a posibles amenazas y vulnerabilidades.
• Para monitorizar, evaluar y revisar de forma regular la efectividad de los controles de seguridad.
• Al proporcionar una estructura clara para la gestión de riesgos relacionados con la seguridad de la información.
• Para realizar auditorías internas o evaluaciones de conformidad con los estándares establecidos en ISO 27001

ISO 27001 establece un marco de trabajo que ayuda a proteger los activos de información y que contribuye a crear un entorno de confianza dentro y fuera de la empresa.

Diferencias clave entre ISO 20000 e ISO 27001

A continuación, se presentan las principales diferencias entre ISO 20000 e ISO 27001:

Enfoque principal:

• ISO 20000: gestión de servicios de TI, asegurando calidad, eficiencia y alineación con las necesidades del negocio y los clientes.
• ISO 27001: gestión de la seguridad de la información, protegiendo la confidencialidad, integridad y disponibilidad de los datos.

Objetivo:

• ISO 20000: garantizar la prestación de servicios de TI consistentes y de alta calidad.
• ISO 27001: proteger los activos de información contra riesgos y amenazas.

Ámbito de aplicación:

• ISO 20000: procesos, herramientas y personal implicados en la prestación de servicios de TI.
• ISO 27001: información y sistemas de información en toda la organización.

Normas complementarias:

• ISO 20000: se apoya en marcos como ITIL para la gestión de servicios.
• ISO 27001: utiliza controles de seguridad basados en el Anexo A y la gestión de riesgos.

Beneficios esperados:

• ISO 20000: mejora de la eficiencia operativa y satisfacción del cliente en los servicios de TI.
• ISO 27001: mitigación de riesgos de seguridad y cumplimiento con regulaciones de protección de datos.

Auditoría y certificación:

• ISO 20000: se evalúan los procesos de gestión de servicios de TI.
• ISO 27001: se evalúa el Sistema de Gestión de Seguridad de la Información.

Estas diferencias reflejan que, aunque tienen objetivos distintos, ambas normas son complementarias y pueden implementarse en conjunto para maximizar la eficiencia y la seguridad en las organizaciones.

Similitudes: ¿cómo se relacionan ambos estándares?

Por un lado, tenemos un sistema que te habilita para prestar un servicio de tecnologías de información, como la ISO 20000 y por otro, la norma ISO 27001, que le ayuda a mantenerla segura.

Este sistema, que es la norma ISO 20000, en uno de sus puntos abarca lo que es el cuidado de la información.

En este punto, pide que se maneje la confidencialidad, la integridad y la disponibilidad de la información.

Ahí es donde entra la norma ISO 27001, estableciendo un sistema más robusto en cuanto al manejo de la información, que no se enfoca únicamente en lo que es la información digital, sino que también, a la información física o impresa.

En este punto, la ISO 20000 y la ISO 27001, ¿qué nos dicen? Básicamente, nos indican cómo prestar los servicios de TI y que, sobre ellos, hay que establecer una serie de controles que deben considerarse para el manejo seguro de la información.

Vincular ISO 20000 e ISO 27001

Hoy en día, muchas empresas compran software y hardware para obtener beneficios en cuanto a tiempo dedicado en sus gestiones. Pero, en realidad, no disponen en sus organizaciones de una forma estructurada de cómo gestionar los servicios que tienen o contratan. Es decir, si por ejemplo, tienen que emitir facturas electrónicas, no disponen de un protocolo o procedimiento documentado de la forma segura de llevarlo a cabo.

Y es en este punto en el que entra en acción la importancia de la ISO 20000, ya que esta norma, en uno de sus puntos, especifica cómo tratar y cómo negociar con proveedores de servicios de tecnologías de información, o cualquier otro tipo de servicio.

Por lo tanto, el cómo gestionar y administrar los servicios para que la empresa brinde el servicio que necesite o el que sus clientes están esperando, se puede gestionar a través de la norma ISO 20000.

Y la norma ISO 27001, aporta los controles necesarios para que todos los datos y la información de la organización, se gestione y mantenga de forma segura.

[Tweet “la #norma #ISO27001 y la #ISO20000 son herramientas perfectamente complementarias para los servicios TI]

Beneficios de implementar ambas normas

Disponer de ambos estándares implementados, puede traer los siguientes beneficios:

• Control de la documentación.
• Control de los registros.
• Disponer de un proceso donde se analiza la capacidad y disponibilidad de los recursos que tiene la empresa.
• Control de cambios.

En general, existen varios puntos en los cuales la organización obtiene beneficios de juntar ambas normas.

En este caso, el encargado de implementar ambas normas, sería especialmente el responsable de TI, trabajando de manera conjunta con los responsables operativos.

Para terminar este apartado, mencionar que el punto en común de ambas normas, es su capacidad de gestionar incidentes de seguridad, ya que ambos los gestionan y consideran el control de cambios.

Software ISOTools

ISOTools dispone del certificado en ISO 27001, así como de ISO 20000, por lo que conocemos perfectamente cuáles son tus necesidades.

El Software ISOTools le ofrece la posibilidad de gestionar y realizar un seguimiento de los controles propios de ambas normas, asegurándole la integridad de sus datos y mejorando su capacidad de respuesta ante cualquier incidente de seguridad, gracias a su capacidad de disponer de la información en tiempo real.