Certificación ISO/IEC 27001
La norma ISO 27001 es a la que se refieren la mayoría de las personas cuando dicen «necesitamos un verdadero sistema de gestión de la seguridad de la información». No le proporciona una lista de comprobación fija de controles técnicos, sino que le pide que cree un sistema de gestión: comprenda sus riesgos, decida de forma deliberada cómo va a abordarlos, seleccione controles del Anexo A (o de cualquier otra fuente) que realmente los aborden y, a continuación, gestione todo el proceso como un ciclo continuo de supervisión, auditoría interna y mejora, en lugar de como un proyecto con una fecha de finalización.
Donde se desarrolla el verdadero trabajo
La parte de la norma ISO 27001 que suele plantear dificultades no son, por lo general, los controles en sí mismos, sino la evaluación de riesgos y la Declaración de aplicabilidad que se supone que debe derivarse de ella. He visto numerosas Declaraciones de Aplicabilidad (SoA) que se han cumplimentado copiando una plantilla y marcando la mayoría de los controles como «implementados», sin que nadie haya trazado realmente la lógica desde un riesgo específico hasta un control concreto y, a su vez, hasta una evidencia específica. Un auditor detectará esa laguna de inmediato y, lo que es más importante, ello significa que el SGSI no está gestionando realmente sus riesgos reales.
Cómo lo gestiono
Comienzo con una evaluación de riesgos que refleje su entorno real —sus datos, su arquitectura, su panorama de amenazas— y no una lista genérica del sector. A partir de ahí, la Declaración de aplicabilidad se convierte en un documento real: cada decisión de control se vincula a un riesgo específico, con una justificación clara para cualquier elemento excluido. A continuación, desarrollamos el propio sistema de gestión: políticas que describen lo que realmente hace, funciones y responsabilidades definidas, un programa de auditoría interna y una revisión por parte de la dirección que evalúa de verdad si el SGSI está funcionando, y no una reunión meramente formal.
Si está tramitando una certificación, le ayudo a prepararse para ambas fases de la auditoría externa: la revisión de la documentación y la auditoría operativa, en la que el evaluador comprueba si la realidad se ajusta a lo que figura en la documentación. Si está implantando un SGSI por el simple hecho de hacerlo, más que para obtener el certificado, lo hacemos con el mismo nivel de rigor.
A quién va dirigido
Empresas que necesitan la certificación ISO 27001 para conseguir contratos empresariales o internacionales, organizaciones que están formalizando un programa de seguridad que ha superado el ámbito de las políticas puntuales, y equipos que ya lo intentaron una vez con un enfoque basado en plantillas y saben que no funcionó realmente.
Si está poniendo en marcha un SGSI desde cero o intentando solucionar uno que no funciona correctamente, hablemos.