Un blog editado por ISOTools Excellence
Blog especializado en Sistemas de Gestión
de Seguridad de la Información
Síguenos
La ISO 27001 es la norma que define buenas prácticas que se encuentran asociadas a la seguridad de la información. El principal objetivo de esta norma es la defensa, la protección y la gestión de la información, siendo uno de los activos más importantes de la organización.
Es muy importante contar con una política SGSI para que se realice un correcto desarrollo de todos los procesos de negocio. Los sistemas de información deberán encontrase perfectamente protegidos.
Las partes interesadas son el conjunto de factores internos y externos que influyen en la organización.
Un SGSI (Sistema de gestión de seguridad de la información) proporciona un modelo para crear, implementar, operar, monitorear, revisar, mantener y mejorar la protección de los activos de información para lograr los objetivos comerciales.
Los activos de información son los recursos que utiliza un Sistema de Gestión de Seguridad de la Información para hacer que las organizaciones trabajen y logren los objetivos propuestos por la alta gerencia. Se crean un inventario de activos asociados, directa o indirectamente, con otras entidades. Un proyecto de seguridad tiene como objetivo controlar la seguridad de los activos de información que generan el dominio en el estudio de proyectos. El límite del conjunto de activos de dominio no excluye la consideración de las relaciones de seguridad de dichos activos de información con el entorno.
SG-SST es el acrónimo de Sistema de Gestión de Seguridad y Salud Ocupacional. Este sistema es una buena herramienta para identificar peligros, evaluar y medir todos los riesgos que existen en cualquier organización. El tratamiento de los riesgos es clave para determinar los objetivos de control y las acciones adecuadas para su gestión. SG-SST garantiza que estamos llevando a cabo una gestión para el tratamiento de los riesgos y una mejora continua en la organización.
Aunque ISO 27001 tiene en cuenta 133 controles, también es importante mencionar que una empresa puede agregar otros controles complementarios a estos. Esto se hace siempre que se considere que otros son necesarios para lograr los objetivos de seguridad de la información que se han establecido. La adopción de prácticas establecidas en las normas para la gestión de la seguridad no solo puede llevarse a cabo con fines de certificación, sino también como medidas que contribuyen a la protección de la información y, en general, para obtener considerables beneficios en la materia.
Es importante, tener en cuenta algunas consideraciones cuando queremos implantar un sistema de gestión de seguridad de la información en nuestra empresa. Resulta fundamental entre otras cosas, tener el apoyo de la alta dirección en todo el proceso, la formación de todos los trabajadores, análisis de posibles brechas, impacto en el negocio, o contar con los recursos necesarios para llevar a cabo las distintas iniciativas de seguridad…
La nube en el contexto de la tecnología de la información es claramente representativa de las tendencias en los modelos de negocio y en el almacenamiento de datos, información y documentos y las consideraciones de gestión.
La seguridad informática se puede definir básicamente como preservación de la confidencialidad, integridad y disponibilidad de sistemas de información. Dependiendo del entorno de la organización, puede tener diferentes amenazas que comprometen objetivos mencionados anteriormente. A un riesgo específico, la organización tiene tres alternativas:
