Controles de personas

Los estándares de la industria como ISO/IEC 27001:2022 garantizan, entre otras cosas, controles. Estos estándares también requieren el desarrollo organizacional de «controles de personas», la capacitación continua de los empleados y roles claramente definidos. A continuación, se recorren los controles de personas contenidos en el Anexo A de la norma ISO/IEC 27001.

• Cribado

Los controles de verificación de antecedentes de todos los candidatos para convertirse en personal se llevarán a cabo antes de unirse a la organización y de manera continua, teniendo en cuenta las leyes, los reglamentos y la ética aplicables, y serán proporcionales a los requisitos comerciales, la clasificación de la información a la que se accederá y los riesgos percibidos.

• Términos y condiciones de empleo

Los acuerdos contractuales de trabajo deben establecer las responsabilidades del personal y de la organización en materia de seguridad de la información.

Los acuerdos de confidencialidad o no divulgación que tiene la empresa deben revisarse y actualizarse periódicamente según #ISO27001
Click To Tweet

• Capacitación en SI

El personal de la organización y las partes interesadas relevantes deben recibir la concientización, educación y capacitación adecuadas sobre la seguridad de la información y actualizaciones periódicas de la política de SI de la organización, las políticas y los procedimientos específicos del tema, según sea relevante para su función laboral.

• Proceso disciplinario

Se formalizará y comunicará un proceso disciplinario para tomar acciones contra el personal y otras partes interesadas relevantes que hayan cometido una violación a la política de seguridad de la información.

• Responsabilidad una vez finaliza el trabajo

Las responsabilidades y deberes de seguridad de la información que sigan siendo válidos después de la terminación o el cambio de empleo se definirán, aplicarán y comunicarán al personal pertinente y otras partes interesadas.

• Acuerdos de confidencialidad o no divulgación

Los acuerdos de confidencialidad o no divulgación que tiene la empresa deben revisarse y actualizarse periódicamente. Es importante identificar qué información debe protegerse, dónde se almacena, quién tiene acceso y cuánto tiempo debe conservarse.

• Trabajo remoto

Se implementarán medidas de seguridad cuando el personal trabaje de forma remota para proteger la información a la que se acceda, procese o almacene fuera de las instalaciones de la organización.

• Informes de eventos de SI

La organización debe proporcionar un mecanismo para que el personal informe acerca de los eventos de seguridad de la información observados o sospechados a través de los canales apropiados de manera oportuna.

Diplomado en Seguridad de la Información ISO/IEC 27001

ISO/IEC 27001:2022 es la versión más actualizada del estándar ISO/IEC 27001, que proporciona pautas para implementar un sistema de gestión de seguridad de la información (SGSI) de acuerdo con los requisitos de ISO/IEC 27002.

La Escuela Europea de Excelencia ofrece un programa de formación de alta calidad en esta materia: Diplomado en Seguridad de la Información ISO/IEC 27001. Esta capacitación te proporcionará todas las herramientas, habilidades y competencias necesarias para implementar un SGSI basado en la norma ISO 27001.

¡Inscríbete al Diplomado aquí!

The post Controles de la ISO/IEC 27001:2022 (II). Controles de personas appeared first on PMG SSI - ISO 27001.

Controles organizacionales

ISO 27001 es el estándar internacional utilizado por muchas organizaciones de todo el mundo como método para garantizar que sus activos de información estén seguros. Las organizaciones hacen uso de este estándar para proteger a sus clientes y empleados del fraude, el robo y el abuso. ISO/IEC 27001:2022 describe en el Anexo A una referencia de controles de seguridad de la información. Los controles de seguridad de la información se derivan directamente de los enumerados en ISO/IEC 27002:2022. Entre ellos se destacan los controles organizacionales.

• Políticas de seguridad de la información

La política de seguridad de la información y las políticas específicas del tema deben ser definidas, aprobadas por la gerencia, publicadas, comunicadas y reconocidas por el personal y las partes interesadas, así como revisadas.

• Roles y responsabilidades de seguridad de la información

Los roles y responsabilidades de seguridad de la información deben definirse y asignarse de acuerdo con las necesidades de la organización.

• Segregación de deberes

Deben separarse los deberes conflictivos y las áreas conflictivas de responsabilidad.

• Responsabilidades de gestión

La gerencia debe exigir a todo el personal que aplique la seguridad de la información de acuerdo con la política de seguridad de la información establecida, las políticas y los procedimientos específicos del tema de la organización.

• Contacto con autoridades

La organización deberá establecer y mantener contacto con las autoridades pertinentes.

Los controles de seguridad de la información se derivan directamente de los enumerados en ISO/IEC 27002:2022
Click To Tweet

• Contacto con grupos de interés especial

La organización deberá establecer y mantener contacto con grupos de interés especial u otros foros especializados en seguridad y asociaciones profesionales.

• Inteligencia de amenazas

La información relacionada con las amenazas a la seguridad de la información se recopilará y analizará para generar información sobre amenazas.

• Seguridad de la información en la gestión de proyectos.

La seguridad de la información se integrará en la gestión de proyectos.

• Inventario de información y otros activos asociados

Se desarrollará y mantendrá un inventario de información, incluyendo a sus propietarios.

• Uso aceptable de la información y otros activos asociados

Se identificarán, documentarán e implementarán reglas para el uso aceptable y procedimientos para el manejo de la información y otros activos asociados.

• Devolución de activos

El personal y otras partes interesadas, según corresponda, devolverán todos los activos de la organización que estén en su poder al cambiar o terminar su empleo, contrato o acuerdo.

• Clasificación de la información

La información se clasificará de acuerdo con las necesidades de seguridad de la información de la organización en función de la confidencialidad, la integridad, la disponibilidad y los requisitos pertinentes de las partes interesadas.

• Etiquetado de información

Se debe desarrollar e implementar un conjunto apropiado de procedimientos para el etiquetado de la información de acuerdo con el esquema de clasificación de la información adoptado por la organización.

• Transferencia de información

Deben existir reglas, procedimientos o acuerdos de transferencia de información para todos los tipos de instalaciones de transferencia dentro de la organización y entre la organización y otras partes.

• Control de acceso

Las reglas para controlar el acceso físico y lógico a la información y otros activos asociados se establecerán e implementarán en función de los requisitos de seguridad de la información y del negocio.

• Gestión de identidad

El ciclo de vida completo de las identidades se gestionará.

• Información de autenticación

La asignación y gestión de la información de autenticación se controlará mediante un proceso de gestión, incluido el asesoramiento al personal sobre el manejo adecuado de la información de autenticación.

• Derechos de acceso

Los derechos de acceso a la información y otros activos asociados deben proporcionarse, revisarse, modificarse y eliminarse de acuerdo con la política y las reglas de control de acceso específicas del tema de la organización.

• Seguridad de la información en las relaciones con los proveedores

Se deben definir e implementar procesos y procedimientos para gestionar los riesgos de seguridad de la información asociados con el uso de los productos o servicios del proveedor.

• Abordar la seguridad de la información en los acuerdos con los proveedores

Los requisitos de seguridad de la información pertinentes se establecerán y acordarán con cada proveedor en función del tipo de relación con el proveedor.

• Gestión de la seguridad de la información en la cadena de suministro de tecnologías de la información y la comunicación (TIC)

Se deben definir e implementar procesos y procedimientos para gestionar los riesgos de seguridad de la información asociados con la cadena de suministro de productos y servicios de TIC.

• Seguimiento, revisión y gestión de cambios de servicios de proveedores

La organización debe monitorear, revisar, evaluar y gestionar periódicamente los cambios en las prácticas de seguridad de la información del proveedor y la prestación de servicios.

• Seguridad de la información para el uso de servicios en la nube

Los procesos de adquisición, uso, gestión y salida de los servicios en la nube se deben establecer de acuerdo con los requisitos de seguridad de la información de la organización.

• Planificación y preparación de la gestión de incidentes de seguridad de la información

La organización debe planificar y prepararse para la gestión de incidentes de seguridad de la información definiendo, estableciendo y comunicando procesos, roles y responsabilidades de gestión de incidentes de seguridad de la información.

• Evaluación y decisión sobre eventos de seguridad de la información

La organización debe evaluar los eventos de seguridad de la información y decidir si se clasificarán como incidentes de seguridad de la información.

• Respuesta a incidentes de seguridad de la información

Se debe responder a los incidentes de seguridad de la información de acuerdo con los procedimientos documentados.

• Aprender de los incidentes de seguridad de la información

El conocimiento obtenido de los incidentes de seguridad de la información se utilizará para fortalecer y mejorar los controles de seguridad de la información.

• Recolección de evidencia

La organización debe establecer e implementar procedimientos para la identificación, recolección, adquisición y preservación de evidencia relacionada con eventos de seguridad de la información.

• Seguridad de la información durante la interrupción

La organización debe planificar cómo mantener la seguridad de la información en un nivel apropiado durante la interrupción.

• Preparación de las TIC para la continuidad del negocio

La preparación de las TIC debe planificarse, implementarse, mantenerse y probarse en función de los objetivos de continuidad del negocio y los requisitos de continuidad de las TIC.

• Requisitos legales, estatutarios, reglamentarios y contractuales

Los requisitos legales, estatutarios, reglamentarios y contractuales de importancia para la SI y el enfoque de la empresa para cumplir con dichos requisitos se identificarán, se documentarán y se mantendrán actualizados.

• Derechos de propiedad intelectual

La organización debe implementar procedimientos apropiados para proteger los derechos de propiedad intelectual.

• Protección de registros

Los registros deben protegerse contra pérdida, destrucción, falsificación, acceso no autorizado y publicación no autorizada.

• Privacidad y protección de la información de identificación personal

La organización deberá identificar y cumplir los requisitos relacionados con la preservación de la privacidad y la protección de la información de identificación personal de acuerdo con las leyes y reglamentos aplicables y los requisitos contractuales.

• Revisión independiente de la seguridad de la información

El enfoque de la organización para gestionar la seguridad de la información y su implementación, incluidas las personas, los procesos y las tecnologías, se revisará de forma independiente a intervalos planificados o cuando se produzcan cambios significativos.

• Cumplimiento de políticas, normas y estándares de seguridad de la información

El cumplimiento de la política de seguridad de la información de la organización, las políticas, las reglas y los estándares específicos de cada tema se revisará periódicamente.

• Procedimientos operativos documentados

Los procedimientos se documentarán y se pondrán a disposición de las personas que lo necesiten.

Diplomado en Seguridad de la Información ISO/IEC 27001

Si trabajas en una organización que ha tomado la decisión de implementar la ISO/IEC 27001, ya sea por voluntad propia o porque uno de sus clientes o proveedores lo requiere, es importante contar con un profesional que pueda aplicar todos los requisitos adecuadamente.

En la Escuela Europea de Excelencia cuentan con un excelente Diplomado en Seguridad de la Información ISO/IEC 27001 que no solo te dará los conocimientos generales que necesitas, sino que incluso tiene información específica sobre los controles de seguridad. Aprovecha el plazo para inscribirte en la convocatoria actual.

The post Controles de la ISO/IEC 27001:2022 (I). Controles organizacionales appeared first on PMG SSI - ISO 27001.

Mejora en la nueva ISO/IEC 27001

El apartado de mejora en la nueva ISO/IEC 27001 establece que la organización debe mejorar continuamente la idoneidad, adecuación y eficacia del sistema de gestión de la seguridad de la información.

Cuando ocurre una no conformidad, la organización debe:

• Reaccionar a la no conformidad y, según corresponda, tomando acciones para controlarla y corregirla o bien haciendo frente a las consecuencias.
• Evaluar la necesidad de acción para eliminar las causas de la no conformidad, a fin de que no se repita u ocurra en otro lugar, mediante la revisión de la no conformidad; determinando las causas de la no conformidad; y determinando si existen no conformidades similares o si podrían ocurrir potencialmente.
• Implementar cualquier acción necesaria.
• Revisar la efectividad de cualquier acción correctiva tomada.
• Realizar cambios en el sistema de gestión de seguridad de la información, si es necesario.

Las acciones correctivas deben ser apropiadas a los efectos de las no conformidades encontradas. La información documentada deberá estar disponible como evidencia de la naturaleza de las no conformidades y cualquier acción posterior tomada, y de los resultados de cualquier acción correctiva.

Plataforma tecnológica para la gestión de la seguridad de la información

ISOTools es una plataforma que agiliza la automatización de los Sistemas de Seguridad de la Información. Si cuentas con la norma ISO/IEC 27001 en tu organización, es fácil de automatizar y mantener con esta plataforma tecnológica.

Con ISOTools se cumplen todos los requisitos basados ​​en el ciclo PDCA (Planificar – Hacer – Verificar – Actuar) para establecer, implementar, mantener y mejorar el Sistema de Gestión de Seguridad de la Información, así como el cumplimiento complementario de las buenas prácticas o controles establecidos en la norma ISO/IEC 27002.

También permitimos aplicar los requisitos de otros estándares de Seguridad de la Información como PMG SSI de los Servicios Públicos de Chile, entre otros.

Esta plataforma tecnológica permite integrar la ISO/IEC 27001 con otras normas como la ISO 9001, ISO 14001 e ISO 22301 para la gestión de la continuidad del negocio de forma sencilla gracias a su estructura modular.

The post Mejora en la nueva ISO/IEC 27001 appeared first on PMG SSI - ISO 27001.

Evaluación del desempeño

La norma ISO/IEC 27001 establece en lo relativo al seguimiento, medición, análisis y evaluación que la organización determinará:

• Lo que debe monitorearse y medirse, incluidos los procesos y controles de seguridad de la información.
• Los métodos de seguimiento, medición, análisis y evaluación, según corresponda, para garantizar la validez de los resultados. Estos métodos producirán resultados que se podrán comparar y reproducir para que sean válidos.
• Cuando se realizará el seguimiento y la medición.
• Quién deberá monitorear y medir.
• Cuando se analizarán y evaluarán los resultados del seguimiento y la medición.
• Quién analizará y evaluará estos resultados.

La información documentada deberá estar disponible como evidencia de los resultados. La organización debe evaluar el desempeño de la seguridad de la información y la eficacia del sistema de gestión de la seguridad de la información.

Auditoría interna

La organización debe realizar auditorías internas a intervalos planificados para proporcionar información sobre si el sistema de gestión de la seguridad de la información se ajusta a los requisitos propios de la organización. Los requisitos de la ISO/IEC 27001 se implementarán y se mantendrán de manera efectiva.

Los requisitos de la ISO/IEC 27001 se implementarán y se mantendrán de manera efectiva.
Click To Tweet

La organización debe planificar, establecer, implementar y mantener uno o varios programas de auditoría, incluida la frecuencia, los métodos, las responsabilidades, los requisitos de planificación y la elaboración de informes.

Mediante el establecimiento de programas de auditoría interna, la empresa considerará la importancia de los procesos y de los resultados de las auditorías previas.

Según la ISO/IEC 27001 la organización deberá:

• Definir los criterios de auditoría y el alcance de cada una de ellas.
• Seleccionar auditores y realizar auditorías que garanticen la objetividad y la imparcialidad del proceso.
• Asegurarse de que los resultados de las auditorías se informen a la dirección pertinente.

La información documentada deberá estar disponible como evidencia de la implementación del programa y los resultados de la auditoría.

Revisión por la dirección

La alta dirección tendrá que revisar el SGSI de la empresa a intervalos planificados para garantizar que sea idóneo, adecuado y eficaz. La revisión por la dirección incluye:

• El estado de las acciones de revisiones de gestión anteriores.
• Cambios en cuestiones externas e internas que son relevantes para el sistema de gestión de seguridad de la información.
• Cambios en las necesidades y expectativas de las partes interesadas que sean relevantes para el sistema de gestión de seguridad de la información.
• Retroalimentación sobre el desempeño de la seguridad de la información, incluidas las tendencias en no conformidades y acciones correctivas; resultados de monitoreo y medición; resultados de la auditoría; y cumplimiento de los objetivos de seguridad de la información.
• Retroalimentación de las partes interesadas.
• Resultados de la evaluación de riesgos y estado del plan de tratamiento de riesgos.
• Oportunidades de mejora continua.

Los elementos resultantes de la revisión por la dirección incluyen decisiones relacionadas con las oportunidades de la mejora continua y de cualquier necesidad de cambio en el SGSI.

La información documentada deberá estar disponible como evidencia de los resultados de las revisiones por la dirección.

Plataforma tecnológica para ISO/IEC 27001

En este artículo solo hemos mencionado una de las cláusulas de la norma ISO/IEC 27001. Hay muchos otros que hay que tener en cuenta y con este ya hemos apreciado que es de vital importancia tener nuestro sistema de gestión perfectamente organizado, planificado y con la información esencialmente documentada. Una plataforma de gestión como ISOTools, te permitirá cumplir con todos los requisitos teniendo bajo control todo el sistema de gestión con una única herramienta.

La plataforma ISOTools es capaz de gestionar todos tus procesos y tareas, incluidos los relacionados con la ISO 27001. Te permite crear un repositorio de documentos en el que se almacenan todos los documentos relacionados con el sistema de gestión y se puede acceder a ellos en cualquier momento. Además, te brinda una plataforma en la que todas las acciones pueden ser realizadas por usuarios asignados por roles dentro de la empresa para que puedan realizar cambios u operaciones en tiempo real sin tener que preocuparse por cometer errores o equivocaciones al modificar información o realizar tareas.

The post ISO/IEC 27001:2022: Evaluación del desempeño appeared first on PMG SSI - ISO 27001.

Operación en la ISO/IEC 27001:2022

En lo relativo a la planificación y control operativo, según la ISO/IEC 27001:2022, la organización debe planificar, implementar y controlar los procesos necesarios para cumplir con los requisitos y para implementar las acciones determinadas por la propia norma, mediante:

• El establecimiento de criterios para los procesos.
• La implementación del control de los procesos de acuerdo con los criterios.

La información documentada deberá estar disponible en la medida en que sea necesario para tener confianza en que los procesos se han llevado a cabo según lo planeado.

La empresa u organización tendrá que llevar a cabo el control de los cambios planificados, así como revisar las consecuencias de los cambios no deseados. De este modo, habrá que tomar medidas para mitigar cualquier efecto adverso, cuando necesario.

La empresa debe garantizar que los procesos, productos o servicios proporcionados externamente que sean relevantes para el sistema de gestión de la seguridad de la información estén totalmente controlados.

Evaluación de riesgos de seguridad de la información

La norma ISO/IEC 27001 establece que la organización debe realizar evaluaciones de riesgos de seguridad de la información a intervalos planificados o cuando se propongan u ocurran cambios significativos. Además, habrá que asegurar que las evaluaciones de riesgos de seguridad de la información repetidas produzcan resultados consistentes, válidos y comparables.

La organización debe conservar información documentada de los resultados de las evaluaciones de riesgos de seguridad de la información.

Tratamiento de riesgos de seguridad de la información

La organización debe implementar el plan de tratamiento de riesgos de seguridad de la información, según lo establecido en la ISO/IEC 27001.

La empresa debe conservar información documentada de los resultados del tratamiento de riesgos de seguridad de la información.

Plataforma tecnológica para los Sistemas de Gestión de Seguridad de la Información

La plataforma tecnológica ISOTools es usada por numerosas organizaciones y empresas de diversos sectores con el fin de automatizar el Sistema de Gestión de Seguridad de la Información y poder llevar a cabo la gestión del mismo de una forma sencilla y eficiente. Además, esta herramienta da cumplimiento al ciclo PHVA y a las buenas prácticas o controles que establece ISO/IEC 27001.

The post Operación en la nueva ISO/IEC 27001:2022 appeared first on PMG SSI - ISO 27001.

ISO/IEC 27001:2022: Apoyo

En lo relacionado con los recursos, la ISO/IEC 27001: 2022 establece que la organización debe determinar y proporcionar aquellos que sean necesarios para el establecimiento, implementación, mantenimiento y mejora continua del sistema de gestión de seguridad de la información.

Competencia

Cuando se habla de la competencia en base a la ISO/IEC 27001 la empresa deberá:

• Determinar la competencia necesaria de las personas que realizan el trabajo bajo su control y que afecta al desempeño en seguridad de la información.
• Garantizar que estas personas sean competentes sobre la base de una educación, formación o experiencia.
• Para ello también será preciso tomar acciones para adquirir la competencia necesaria y evaluar la efectividad de las acciones tomadas.
• Conservar la información documentada apropiada como evidencia de competencia.

Esta norma incluye una nota en la que se señala que las acciones aplicables pueden incluir, por ejemplo, la provisión de capacitación, tutoría o reasignación de empleados actuales, o la contratación de personas competentes.

Conciencia

Las personas que realicen trabajos bajo el control de la organización deben ser conscientes de la política de seguridad de la información. Además, tendrán que conocer su contribución a la eficacia del sistema de gestión de la seguridad de la información, incluidos los beneficios de un mejor desempeño de la seguridad de la información y las implicaciones de no cumplir con los requisitos del sistema de gestión de seguridad de la información.

Comunicación

La norma ISO/IEC 27001 establece que la organización debe determinar la necesidad de comunicaciones internas y externas relevantes para el sistema de gestión de la seguridad de la información, incluyendo:

• Sobre qué comunicar.
• Cuándo comunicar.
• Con quién comunicarse.
• Cómo comunicarse.

Información documentada

El sistema de gestión de la seguridad de la información de la organización debe incluir la información documentada requerida por la ISO/IEC 27001:2022, así como información documentada determinada por la organización como necesaria para la eficacia del GSSI.

Además, la propia ISO/IEC 27001 incluye una nota en la que se establece que la extensión de la información documentada para un sistema de gestión de seguridad de la información puede diferir de una organización a otra debido al tamaño y su tipo de actividades, procesos, productos y servicios; la complejidad de los procesos y sus interacciones; y la competencia de las personas.

Creación y actualización de la información documentada

Al crear y actualizar la información documentada, la organización debe garantizar lo siguiente, según la ISO/IEC 27001:2022:

• Identificación y descripción, como, por ejemplo, un título, fecha, autor o número de referencia.
• Formato, como por ejemplo el idioma, versión de software o gráficos, y medios, como por ejemplo el papel.
• Revisión y aprobación de la idoneidad y adecuación.

Control de la información documentada

La información documentada requerida por el sistema de gestión de seguridad de la información y por la ISO/IEC 27001 se controlará para garantizar que esté disponible y que sea adecuada para su uso, donde y cuando se necesite. Además, la información documentada debe estar adecuadamente protegida contra la pérdida de confidencialidad, uso indebido o pérdida de integridad.

Para controlar la información documentada, la empresa abordará estas actividades:

• Distribución, acceso, recuperación y uso.
• Almacenamiento y conservación, incluida la conservación de la legibilidad.
• Control de cambios, como, por ejemplo, el control de versiones.
• Retención y disposición.

La información documentada externa que la organización determine que es necesaria para la planificación y operación del SGSI se identificará y controlará.

Plataforma tecnológica para Sistema de Gestión de Seguridad de la Información

La plataforma tecnológica ISOTools para riesgos y seguridad de la información, está capacitada para responder a numerosos controles para el tratamiento de la información. Todo ello, gracias a las aplicaciones que contiene, totalmente configurables según los requerimientos de cada empresa. Además, esta herramienta permite automatizar el Sistema de Gestión de Seguridad de la Información.

The post ISO/IEC 27001:2022: Apoyo appeared first on PMG SSI - ISO 27001.

Planificación según la ISO/IEC 27001:2022

En lo referente a la planificación, la nueva norma ISO 27001:2022 establece que se deben determinar los riesgos y oportunidades que hay que abordar para:

1. Garantizar que el sistema de gestión de la seguridad de la información pueda lograr los resultados previstos.
2. Prevenir o reducir los efectos no deseados.
3. Lograr la mejora continua.

Además, la organización debe planificar las acciones necesarias para abordar estos riesgos y las oportunidades y cómo integrar e implementar las acciones en sus procesos del sistema de gestión de seguridad de la información, así como evaluar la efectividad de estas acciones.

Evaluación de riesgos de seguridad de la información

Según la ISO/IEC 27001 la organización debe definir y aplicar un proceso de evaluación de riesgos de seguridad de la información que:

1. Establezca y mantenga criterios de riesgo de seguridad de la información, incluyendo los criterios de aceptación del riesgo y los criterios para realizar evaluaciones de riesgos de seguridad de la información.
2. Asegure que las evaluaciones de riesgos de seguridad de la información repetidas produzcan resultados consistentes, válidos y comparables.
3. Localice los riesgos de SI. Esto incluye aplicar el proceso de evaluación de riesgos de seguridad de la información para identificar los riesgos asociados con la pérdida de confidencialidad, integridad y disponibilidad de la información dentro del alcance del sistema de gestión de seguridad de la información. Además, se incluye la identificación de los propietarios del riesgo.
4. Analice los riesgos de seguridad de la información para evaluar las consecuencias potenciales que resultarían si los riesgos identificados en se materializaran; para evaluar la probabilidad de ocurrencia de los riesgos; y la determinación del nivel de riesgo.
5. Evalúe los riesgos de seguridad de la información, comparando los resultados del análisis de riesgo con los criterios de riesgo establecidos y priorizar los riesgos analizados para el tratamiento de riesgos.

La organización debe conservar información documentada sobre el proceso de evaluación de riesgos de seguridad de la información.

¿Cómo deben tratarse los riesgos de SI?

La norma ISO/IEC 27001:2022 establece que la organización debe definir y aplicar un proceso de tratamiento de riesgos de seguridad de la información para:

1. Seleccionar las opciones adecuadas para el tratamiento de los riesgos de SI.
2. Determinar todos los controles que son necesarios para implementar las opciones de tratamiento de riesgos de seguridad de la información elegidas. En este sentido, las organizaciones pueden diseñar controles según sea necesario, o identificarlos de cualquier fuente.
3. Comparar los controles determinados con los del Anexo A de la ISO/IEC 27001 y verificar que no se hayan omitido los controles necesarios. El ya mencionado Anexo A contiene una lista de posibles controles de seguridad de la información, para garantizar que no se pasen por alto los controles necesarios de seguridad de la información. Los controles de seguridad de la información enumerados en el Anexo A no son exhaustivos y se pueden incluir controles de seguridad de la información adicionales si es necesario.
4. Producir una Declaración de Aplicabilidad que contenga los controles necesarios; la justificación de su inclusión; si se aplican o no los controles necesarios; y la justificación para excluir cualquiera de los controles del Anexo A.
5. Formular un plan de tratamiento de riesgos de seguridad de la información.
6. Obtener la aprobación de los propietarios de riesgos del plan de tratamiento de riesgos de seguridad de la información y la aceptación de los riesgos residuales de seguridad de la información.

Según lo establecido por la norma ISO/IEC 27001 la organización debe conservar información documentada sobre el proceso de tratamiento de riesgos de seguridad de la información. El proceso de evaluación y tratamiento de riesgos de seguridad de la información en este se alinea con los principios y directrices genéricas proporcionados en la norma ISO 31000.

¿Cómo deben ser los objetivos de SI?

La ISO/IEC 27001 aclara que la organización debe establecer objetivos de seguridad de la información en las funciones y niveles pertinentes. Los objetivos de seguridad de la información deberán:

1. Tener coherencia con la política de SI.
2. Ser medibles, si es factible.
3. Tener en cuenta los requisitos de seguridad de la información aplicables y los resultados de la evaluación y el tratamiento del riesgo.
4. Ser monitoreados.
5. Ser comunicados.
6. Actualizarse según corresponda.
7. Estar disponibles como información documentada.

La organización debe conservar información documentada sobre los objetivos de seguridad de la información.

Al planificar cómo lograr sus objetivos de seguridad de la información, la organización debe determinar lo que se hará; qué recursos se requerirán; quién será responsable; cuándo se completará; y cómo se evaluarán los resultados.

Cuando la organización determina la necesidad de cambios en el sistema de gestión de la seguridad de la información, los cambios deben llevarse a cabo de manera planificada.

Plataforma tecnológica para Sistemas de Gestión de Seguridad de la Información

La plataforma tecnológica ISOTools cuenta con diferentes aplicaciones que funcionan para que la Seguridad de la Información que tienen las organizaciones no pierda ninguna de sus propiedades más importantes, como son la integridad, la confidencialidad, etc. Además, permite implementar, mantener y mejorar el SGSI en base a la norma ISO/IEC 27001:2022.

La norma ISO/IEC 27001 es un conjunto de principios y directrices para gestionar la seguridad de la información en una organización. Permite a las empresas definir una política de seguridad y ponerla en práctica identificando riesgos e implementando las medidas adecuadas para proteger sus datos de cualquier acceso o modificación no autorizada.

La certificación ISO/IEC 27001 es reconocida mundialmente como garantía de altos estándares de calidad relacionados con los sistemas de gestión de seguridad de la información (SGSI).

The post Planificación según la ISO/IEC 27001:2022 appeared first on PMG SSI - ISO 27001.

5.1 Liderazgo y compromiso

La nueva ISO/IEC 27001:2022 establece que alta dirección deberá demostrar liderazgo y compromiso con respecto al sistema de gestión de seguridad de la información con el objetivo de:

1. Asegurar que la política de seguridad de la información y los objetivos de seguridad de la información estén establecidos y sean compatibles con la dirección estratégica de la organización.
2. Asegurar la integración de los requisitos del sistema de gestión de seguridad de la información en los procesos de la organización.
3. Asegurar que se dispone de los recursos necesarios para el sistema de gestión de la seguridad de la información.
4. Comunicar la importancia de una gestión eficaz de la seguridad de la información y de cumplir con los requisitos del sistema de gestión de la seguridad de la información.
5. Asegurar que el sistema de gestión de la seguridad de la información logre los resultados previstos.
6. Dirigir y apoyar a las personas para contribuir a la eficacia del sistema de gestión de la seguridad de la información.
7. Promover la mejora continua.
8. Apoyar a otros roles gerenciales relevantes para que demuestren su liderazgo en lo que se refiere a sus áreas de responsabilidad.

La ISO/IEC 27001:2022 establece que alta dirección deberá demostrar liderazgo y compromiso con respecto al SGSI
Click To Tweet

Este apartado además incluye una nota en la que se menciona que la referencia a “negocios” en la norma puede interpretarse en sentido amplio para referirse a aquellas actividades que son imprescindibles para los propósitos de la existencia de la compañía.

5.2 Política

Este apartado de la norma ISO/IEC 27001:2022 establece que la alta dirección debe establecer una política de seguridad de la información que:

1. Sea adecuada en base al propósito de la organización.
2. Incluya objetivos de seguridad de la información o proporcione el marco para establecer objetivos de seguridad de la información.
3. Incluya un compromiso de satisfacer los requisitos aplicables relacionados con la seguridad de la información.
4. Incluya un compromiso de mejora continua del sistema de gestión de la seguridad de la información.

Además, la política de seguridad de la información deberá:

1. Estar disponible como información documentada.
2. Ser comunicada dentro de la organización.
3. Estar a disposición de los interesados, según corresponda.

5.3 Roles organizacionales, responsabilidades y autoridades

La norma ISO/IEC 27001:2022 establece en este apartado que la alta dirección debe asegurarse de que las responsabilidades y autoridades de los roles relevantes para la seguridad de la información se asignen y comuniquen dentro de la organización.

La alta dirección asignará las responsabilidades y autoridad para:

1. Asegurarse de que el sistema de gestión de la seguridad de la información se ajuste a los requisitos de este documento.
2. Informar sobre el desempeño del sistema de gestión de seguridad de la información a la alta dirección.

Además, este apartado incluye una nota en la que se destaca que la alta dirección también puede asignar responsabilidades y autoridades para informar sobre el desempeño del SGSI dentro de la empresa.

Diplomado en Seguridad de la Información ISO/IEC 27001:2022

A partir de este momento, podrás implementar y auditar un SGSI en cualquier tipo de organización.

Si deseas convertirte en un profesional en Sistemas de Gestión de Seguridad de la Información (SGSI) o simplemente deseas mejorar tus conocimientos en esta área, te recomendamos que realices el Diplomado en Seguridad de la Información ISO 27001:2022 de la Escuela Europea de Excelencia.

Después de completarlo, podrás implementar y auditar un SGSI en cualquier tipo de organización. ¡No dudes en inscribirte en este Diplomado de formación aquí!

The post Nueva ISO/IEC 27001:2022: liderazgo appeared first on PMG SSI - ISO 27001.

Contexto de la organización

El punto 4. Contexto de la organización de la nueva ISO/IEC 27001:2022 incluye los siguientes apartados:

4.1 Entender la organización y su contexto

El apartado 4.1 Entender la organización y su contexto establece que la organización debe determinar los problemas externos e internos que sean relevantes para su propósito. También se establecerán aquellos problemas que afecten a la capacidad de la organización para lograr los resultados esperados del SGSI.

Este apartado incluye una nota en la que se establece que determinar estos temas se refiere a establecer el contexto externo e interno de la organización considerado en la Cláusula 5.4.1 de la norma ISO 31000:2018.

4.2 Comprensión las necesidades y expectativas de las partes interesadas

El apartado 4.2 Comprender las necesidades y expectativas de las partes interesadas de la ISO/IEC 27001:2022 establece que la organización determinará:

a) Las partes interesadas que son relevantes para el Sistema de Gestión de Seguridad de la Información.

b) Los requisitos pertinentes de estas partes interesadas.

c) Cuáles de estos requisitos se abordarán a través del Sistema de Gestión de Seguridad de la Información.

Al igual que en el apartado anterior, este incluye una nota en la que se aclara que los requisitos de las partes interesadas pueden incluir requisitos legales, reglamentarios y obligaciones contractuales.

La nueva ISO/IEC 27001 establece que la organización debe implementar, mantener y mejorar continuamente el Sistema de Gestión de la Seguridad de la Información
Click To Tweet

4.3 Determinación del alcance del Sistema de Gestión de Seguridad de la Información

El apartado 4.3 Determinación del alcance del Sistema de Gestión de Seguridad de la Información dentro del contexto de la organización de la nueva ISO/IEC 27001 establece que la organización debe determinar los límites y la aplicabilidad del Sistema de Gestión de Seguridad de la Información para establecer su alcance.

Al determinar este alcance, la organización debe considerar:

a) Las cuestiones externas e internas mencionadas en el apartado 4.1. Entender la organización y su contexto.

b) Los requisitos mencionados en el apartado 4.2 Comprender las necesidades y expectativas de las partes interesadas.

c) Interfaces y dependencias entre las actividades realizadas por la organización y las que son realizadas por otras organizaciones.

El alcance debe estar disponible como información documentada en la organización.

4.4 Sistema de Gestión de Seguridad de la Información

El apartado 4.4 Sistema de Gestión de Seguridad de la Información determina que la organización debe establecer, implementar, mantener y mejorar continuamente el Sistema de Gestión de la Seguridad de la Información, incluidos los procesos necesarios y sus interacciones, de acuerdo con los requisitos de la norma ISO/IEC 27001.

Plataforma tecnológica para ISO/IEC 27001:2022

En este artículo se ha mencionado una de las cláusulas de la nueva norma ISO/IEC 27001:2022. Sin embargo, son muchas otras las que se deben tener en cuenta y para mantener el Sistema de Gestión de Seguridad de la Información de cualquier empresa u organización perfectamente organizado, planificado y con la información documentada. Una plataforma tecnológica de gestión como ISOTools permite cumplir con todos los requisitos teniendo bajo control todo el Sistema de Gestión.

The post Contexto de la organización de la nueva ISO/IEC 27001:2022 appeared first on PMG SSI - ISO 27001.

ISO/IEC 27001:2022

La nueva ISO/IEC 27001:2022 de seguridad de la información, ciberseguridad y protección de la privacidad, sirve como referencia normativa para la implementación de los SGSI. En este nuevo estándar se establecen una serie de requisitos. En los primeros puntos de ISO/IEC 27001:2022 se detalla el alcance, las referencias normativas, así como los términos y definiciones de la misma.

Alcance en ISO/IEC 27001:2022

ISO/IEC 27001:2022 especifica los requisitos para establecer, implementar, mantener y mejorar de manera continua un sistema de gestión de seguridad de la información dentro del contexto de la organización. Este documento también incluye requisitos para la evaluación y tratamiento de los riesgos de seguridad de la información adaptados a cada una de las necesidades de la organización. Los requisitos establecidos en la norma ISO/IEC 27001:2022 son genéricos y están destinados a ser aplicables a todas las organizaciones, independientemente de su tipo, tamaño o naturaleza. La exclusión de cualquiera de los requisitos especificados en las cláusulas de la 4 a la 10 no es aceptable cuando una organización afirma cumplir con este documento.

Referencias normativas en ISO/IEC 27001:2022

El documento que se menciona a continuación se encuentra en el texto de la norma de tal manera que parte o la totalidad de su contenido constituye requisitos de este documento. Para las referencias que contienen fecha, solo se aplica la edición que se cita. Para las referencias sin fecha, se aplica la última edición del documento de referencia, incluidas sus modificaciones. Este es el documento al que se hace referencia:

• ISO/IEC 27000, Tecnología de la información. Técnicas de seguridad. Sistemas de gestión de la seguridad de la información. Visión general y vocabulario.

ISO/IEC 27001:2022 especifica los requisitos para establecer, implementar, mantener y mejorar de manera continua un SGSI dentro del contexto de la organización
Click To Tweet

Términos y definiciones en ISO/IEC 27001:2022

A los efectos de ISO/IEC 27001:2022, se aplican los términos y definiciones proporcionados en ISO/IEC 27000.

Tanto ISO como IEC mantienen bases de datos de terminología para su uso en la normalización en las siguientes direcciones:

• Plataforma de navegación en línea de ISO: disponible en www.iso.org/obp
• Electropedia IEC: disponible en www.electropedia.org/

Plataforma tecnológica ISOTools para la automatización de un Sistema de Gestión de Seguridad de la Información

La nueva norma ISO/IEC 27001:2022 para los SGSI es sencilla de automatizar y mantener con la plataforma tecnológica ISOTools.

ISOTools permite dar cumplimiento a los requisitos basados en el ciclo PHVA (Planear – Hacer – Verificar – Actuar). De esta forma es posible establecer, implementar, mantener y mejorar el Sistema Gestión de la Seguridad de la Información. Así se cumple de manera complementaria con las buenas prácticas o controles establecidos en la norma ISO/IEC 27002.

ISOTools también posibilita aplicar los requisitos de otras normas de Seguridad de la Información como PMG SSI de los Servicios Públicos de Chile, entre otros.

Esta herramienta permite integrar la norma ISO/IEC 27001 con otros estándares internacionales. Entre ellos cabe destacarse ISO 9001, ISO 14001 e ISO 45001. Todo de una forma sencilla gracias a su estructura modular.

The post ISO/IEC 27001:2022: alcance, referencias normativas, y términos y definiciones appeared first on PMG SSI - ISO 27001.