ISO 27001

ISO 27001 es una norma internacional que no se orienta a aspectos tecnológicos o de infraestructura, sino que su propósito principal se define como “organizar la seguridad de la información” es por esto que se compone de varias etapas para establecer, implementar, operar, monitorear, revisar, mantener y mejorar el SGSI o ISMS (Information Security Management System) 

Esta norma al igual que el BS 7799-2 es certificable. Esto significa que la organización que tenga implantado un SGSI podrá solicitar una auditoria a una entidad certificadora acreditada y en caso de aprobar exitosamente obtendrá la certificación del sistema.

El SGSI debe ser una decisión estratégica de cualquier organización que inicia de sus necesidades, objetivos, requerimientos de seguridad, procedimientos y estructura de la organización. 

El estándar ISO 27001:2013 para los Sistemas Gestión de la Seguridad de la Información permite a las organizaciones la evaluación del riesgo y la aplicación de los controles necesarios para mitigarlos o eliminarlos.

La aplicación de ISO-27001 significa una diferenciación respecto al resto, que mejora la competitividad y la imagen de una organización.

La Gestión de la Seguridad de la Información se complementa con las buenas prácticas o controles establecidos en la norma ISO 27002.

Antecedentes: 

• 1901 – Normas “BS”: La British Standards Institution publica normas con el prefijo “BS” con carácter internacional. Estas son el origen de normas actuale como ISO 9001, ISO 14001 u OHSAS 18001.
• 1995- BS 7799-1:1995: Mejores prácticas para ayudar a las empresas británicas a administrar la Seguridad de la Información. Eran recomendaciones que no permitían la certificación ni establecía la forma de conseguirla.
• 1998 – BS 7799-2:1999: Revisión de la anterior norma. Establecía los requisitos para implantar un Sistema de Gestión de Seguridad de la Información certificable.
• 1999 – BS 7799-1:1999: Se revisa. 2000 – ISO/IEC 17799:
• 2000: La Organización Internacional para la Estandarización (ISO) tomó la norma británica BS 7799-1 que dio lugar a la llamada ISO 17799, sin experimentar grandes cambios. 
• 2002 – BS 7799-2:2002: Se publicó una nueva versión que permitió la acreditación de empresas por una entidad certificadora en Reino Unido y en otros países. 
• 2005 – ISO/IEC 27001:2005 e ISO/IEC17799:2005: Aparece el estándar ISO 27001 como norma internacional certificable y se revisa la ISO 17799 dando lugar a la ISO 27001:2005. 
• 2007 – ISO 17799: Se renombra y pasa a ser la ISO 27002:2005 2007 – 
• ISO/IEC 27001:
• 2007: Se publica la nueva versión. 2009 – Se publica un documento adicional de modificaciones llamado ISO 27001:2007/1M:2009.

Este año 2013 se ha publicado ya la nueva versión de la ISO 27001 que trae cambios significativos en su estructura, evaluación y tratamiento de los riesgos.

Años	Suceso
1998	Nuevo estándar nacional certificable
1999	Revisión de conjuntas de las partes 1 y 2
2002	Revisión y acercamiento a: -ISO 9001, -ISO14001, -OCDE
2005	Estándar internacional

Como casi todos ya conocemos, la ISO 27001 es la norma ISO que establece los requisitos para implantar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información.Este estándar internacional fue publicado como tal por la International Organization for Standardization y por la comisión International Electrotechnical Commission en octubre del año 2005 y actualmente es el único estándar aceptado a nivel internacional para la gestión de la Seguridad de la Información.La ISO 27001 como la conocemos hoy en día, ha sido resultado de la evolución de otros estándares relacionados con la seguridad de la información.

Fases o etapas:

Inicio del Proyecto

1.- Apoyo y compromiso de la principal autoridad de la organización. Una de las partes iniciales del proyecto es contar con el apoyo total de la Dirección de la Organización. Ya que el cambio y concienciación de la norma deberá de iniciar desde ese punto, además del compromiso para poder impulsar el proyecto.

2.- Planear fechas y asignar responsables de las fases del proyecto. El tiempo y ese aumentará los efectos positivos de las demás etapas.

Planeación

1.- Definir el alcance del SGSI: según el modelo organizativo, definir los límites del marco de dirección de seguridad de la información.

2.- Definir las políticas de seguridad: que incluya el marco general y los objetivos de seguridad de la información de la organización.

3.- Levantar un Inventario de activos que se vean afectados por la seguridad de la información.

4.- Identificar amenazas y vulnerabilidades a los activos del inventario.

5.- Análisis de riesgos: evaluar el daño resultante de un incidente de seguridad

Selección de controles

1.- Definir plan de tratamiento de riesgos, que identifique las acciones, sus responsables y las prioridades en la gestión de los riesgos de seguridad de la información.

Implementación 

1.- Implantar un plan de tratamiento de riesgos, con la meta de alcanzar los objetivos de control identificados.

2.- Implementar los controles, todos los que se determinaron en la fase anterior.

3.- Formación y concienciación de todo el personal en lo relativo a la seguridad de la información.

4.- Desarrollo del marco normativo necesario: normas, manuales, procedimientos e instrucciones.

5.- Gestionar todos los recursos asignados al SGSI.

Monitorización

1.- Revisar el SGSI para determinar si el alcance definido sigue siendo el adecuado, identificar mejoras al proceso, identificar nuevas vulnerabilidades, revisar  cambios organizativos y modificar procedimientos.

2.- Realizar auditorias internas del SGSI: para determinar la efectividad y detectar posibles no conformidades.

Mejora continua

1.- Implantar mejoras: poner en marcha todas las mejoras que se hayan propuesto en la

fase anterior.

2.- Acciones correctivas: para solucionar inconformidades detectadas.

3.- Acciones preventivas: para prevenir potenciales inconformidades.

La documentación en las medidas para llevar a cabo el SGSI deberá incluir:

• Política y objetivos de seguridad.

• Alcance del ISMS.

• Procedimientos y controles que apoyan el SGSI.

• Descripción de la metodología de evaluación del riesgo.

• Informe resultante de la evaluación del riesgo.

• Plan de tratamiento de riesgos.

• Procedimientos de planificación, manejo y control de los procesos de seguridad de la

información y de medición de la eficacia de los controles.

• Registros.

• Procedimiento de gestión de toda la documentación del SGSI. 

1. Obtener el apoyo de la dirección

Esto puede parecer un tanto obvio y, generalmente, no es tomado con la seriedad que merece. Pero, de acuerdo con mi experiencia, es el principal motivo en el fracaso de los proyectos para la implementación de la norma ISO 27001 ya que la dirección no destina suficientes recursos humanos para que trabajen en el proyecto ni suficiente dinero. (Lea Cuatro beneficios clave de la implementación de la norma ISO 27001 para presentarle el tema a la dirección)

2. Tomarlo como un proyecto

Como ya se ha dicho, la implementación de la norma ISO 27001 es un tema complejo que involucra diversas actividades, a muchas personas y puede demandar varios meses (o más de un año). Si no define claramente qué es lo que se hará, quién lo hará y en qué período de tiempo (por ej., aplicar la gestión del proyecto), es probable que nunca termine el trabajo.

3. Definir el alcance

Si se trata de una gran organización, probablemente tenga sentido implementar la norma ISO 27001 solamente en una parte de la misma, reduciendo significativamente de esta forma, los riesgos del proyecto. (Problemas para definir el alcance de la norma ISO 27001)

4. Redactar una Política de SGSI

La Política de SGSI es el documento más importante en su SGSI: no debe ser demasiado detallado pero debe definir algunos temas básicos sobre la seguridad de la información en su organización. Pero ¿cuál es su objetivo si no es minucioso? El objetivo es que la dirección defina qué desea lograr y cómo controlarlo. (Política de Seguridad de la Información: ¿qué nivel de detalle debería tener?)

5. Definir la metodología de Evaluación de riesgos

La evaluación de riesgos es la tarea más compleja del proyecto para la norma ISO 27001; su objetivo es definir las reglas para identificar los activos, las vulnerabilidades, las amenazas, las consecuencias y las probabilidades, como también definir el nivel aceptable de riesgo. Si esas reglas no están definidas claramente, usted podría encontrarse en una situación en la que obtendría resultados inservibles. (Consejos sobre la evaluación de riesgos para empresas pequeñas)

6. Realizar la evaluación y el tratamiento de riesgos

Aquí, usted tiene que implementar lo que definió en el paso anterior. En organizaciones más grandes puede demandar varios meses, por lo tanto, debe coordinar esta tarea con mucho cuidado. Lo importante es obtener una visión integral de los peligros sobre la información de su organización.

El objetivo del proceso de tratamiento de riesgos es reducir los riesgos no aceptables (generalmente se hace planificando el uso de controles del Anexo A).

En este paso, se debe redactar un Informe sobre la evaluación de riesgos que documente todos los pasos tomados durante el proceso de evaluación y tratamiento de riesgos. También es necesario conseguir la aprobación de los riesgos residuales; ya sea en un documento separado o como parte de la Declaración de aplicabilidad.

7. Redactar la Declaración de aplicabilidad

Luego de finalizar su proceso de tratamiento de riesgos, sabrá exactamente qué controles del Anexo necesita (hay un total de 114 controles pero, probablemente, no los necesite a todos). El objetivo de este documento (generalmente denominado DdA) es enumerar todos los controles, definir cuáles son aplicables y cuáles no, definir los motivos de esa decisión, los objetivos que se lograrán con los controles y describir cómo se implementarán.

La Declaración de aplicabilidad también es el documento más apropiado para obtener la autorización de la dirección para implementar el SGSI.

8. Redactar el Plan de tratamiento del riesgo

Justo cuando pensaba que había resuelto todos los documentos relacionados con el riesgo, aquí aparece otro. El objetivo del Plan de tratamiento del riesgo es definir claramente cómo se implementarán los controles de la DdA, quién lo hará, cuándo, con qué presupuesto, etc. Este documento es, en realidad, un plan de implementación enfocado sobre sus controles; sin el cual, usted no podría coordinar los pasos siguientes del proyecto.

9. Determinar cómo medir la eficacia de los controles

Otra tarea que, generalmente, es subestimada. El tema aquí es, si usted no puede medir lo que ha hecho, ¿cómo puede estar seguro de que ha logrado el objetivo? Por lo tanto, asegúrese de determinar cómo medirá el logro de los objetivos establecidos tanto para todo el SGSI como para cada control aplicable de la Declaración de aplicabilidad.

10. Implementación de controles y procedimientos obligatorios

Es más fácil decirlo que hacerlo. Aquí es cuando debe implementar los cuatro procedimientos obligatorios y los controles correspondientes del Anexo A.

Esta es, habitualmente, la tarea más riesgosa de su proyecto ya que, generalmente, implica la aplicación de nuevas tecnologías pero, sobre todo, la implementación de nuevas conductas en su organización. Muchas veces las nuevas políticas y procedimientos son necesarios (en el sentido que el cambio es necesario) y las personas, generalmente, se resisten al cambio; es por ello que la siguiente tarea (capacitación y concienciación) es vital para prevenir ese riesgo.

11. Implementar programas de capacitación y concienciación

Si quiere que sus empleados implementen todas las nuevas políticas y procedimientos, primero debe explicarles por qué son necesarios y debe capacitarlos para que puedan actuar según lo esperado. La falta de estas actividades es el segundo motivo principal por el fracaso del proyecto para la implementación de la norma ISO 27001.

12. Hacer funcionar el SGSI

Esta es la parte en que ISO 27001 se transforma en una rutina diaria dentro de su organización. La palabra más importante aquí es: “registros”. A los auditores les encantan los registros; sin registros le resultará muy difícil probar que una actividad se haya realizado realmente. Pero, ante todo, los registros deberían ayudarle. Con ellos, usted puede supervisar qué está sucediendo, sabrá realmente si sus empleados (y proveedores) están realizando sus tareas según lo requerido.

13. Supervisión del SGSI

¿Qué está sucediendo en su SGSI? ¿Cuántos incidentes tiene? ¿De qué tipo? ¿Todos los procedimientos se efectúan correctamente?

Aquí es donde se cruzan los objetivos de los controles con la metodología de medición; debe verificar si los resultados que obtiene cumplen con lo que se estableció en los objetivos. Si no se cumplen, es evidente que algo está mal y debe aplicar medidas correctivas y/o preventivas.

14. Auditoría interna

Muchas veces las personas no son conscientes de que están haciendo algo mal (por otro lado, a veces sí lo saben pero no quieren que nadie lo descubra). Pero no ser consciente de los problemas existentes o potenciales puede dañar a su organización, por eso debe realizar auditorías internas para descubrir este tipo de cosas. Lo importante aquí no es activar medidas disciplinarias, sino aplicar medidas correctivas y/o preventivas. (Dilemas con los auditores internos de las normas ISO 27001 y BS 25999-2)

15. Revisión por parte de la dirección

La dirección no tiene que configurar el cortafuegos, pero sí debe saber qué está sucediendo en el SGSI; es decir, si todo el mundo ejecutó sus tareas, si el SGSI obtiene los resultados deseados, etc. En base a estos aspectos, la dirección debe tomar algunas decisiones importantes.

16. Medidas correctivas y preventivas

El objetivo del sistema de gestión es garantizar que todo lo que está mal (las denominadas “no conformidades”) sea corregido o, con algo de suerte, evitado. Por lo tanto, la norma ISO 27001 requiere que las medidas correctivas y preventivas se apliquen sistemáticamente; es decir, que se identifique la raíz de una no conformidad y se solucione y se controle.

Tal vez, este artículo haya aclarado qué es necesario hacer. Aunque implementar la norma ISO 27001 no sea una tarea sencilla, no necesariamente tiene que ser tan complicado. Solamente debe planificar detalladamente cada paso, y no se preocupe… obtendrá su certificado.

Procesos

Una empresa tiene que establecer y mantener un Sistema de Gestión de Seguridad de la Información ISO 27001 bien documentado, para que identifique de una forma precisa los activos que se debe proteger, el enfoque de la gestión de riesgo, los objetivos y las medidas que se tienen que tener en cuenta además de un alto grado de aseguramiento requerido.

Identificar las necesidades de seguridad por parte de la organización consta de tres fuentes principales:

La evaluación de los riesgos de la empresa, con lo que identifican las amenazas a los activos, la vulnerabilidad y el impacto potencial.

Los requerimientos legales y contractuales del entorno que tienen que satisfacer a la organización, a sus socios, a los contratistas y a los proveedores.

Los principios, los objetivos y los requerimientos propios para el proceso de la información que la empresa desarrolla para que puedan soportar sus operaciones.

El desarrollo de un marco adecuado para un Sistema de Gestión de Seguridad de la Información basado en la norma ISO 27001 se lleva acabo cuando una organización emprende un proceso de seis pasos en los que se identifica y documenta todos los objetivos y las medidas necesarias.

La documentación del Sistema de Gestión de Seguridad de la Información según el estándar internacional ISO 27001, es la evidencia de que las acciones emprendidas, según el marco de gestión, los procedimientos de implantación, gestión y operación, además de implementar y mantener los efectivos de la empresa según los objetivos y las medidas elegidas, incluye todos los registros como evidencia del cumplimiento de los requerimientos.

• Clasificación y control de amenazas
• Seguridad en aspectos personales
• Seguridad física y del entorno
• Gestión de comunicaciones y operaciones
• Control de accesos
• Desarrollo y mantenimiento de sistemas
• Gestión de continuidad del negocio
• Conformidad

Durante todas estas secciones, la norma ISO 27001 identifica 8 medidas de control que considera que son esenciales para mejorar la práctica habitual a la hora de incrementar la seguridad de la información. Estos son:

• La documentación de la política de seguridad de la información
• La adjudicación de responsabilidades para la seguridad de la información
• La formación y entrenamiento para la seguridad de la información
• La relación de las incidencias de seguridad
• La gestión de la continuidad de negocio
• Los derechos de la propiedad intelectual
• La salvaguarda de los registros de la organización
• La protección de datos y de la intimidad sobre la información personal

Ventajas y Desventajas 

Ventajas

• Facilita la integración de todos los sistemas de gestión, ya que cuenta con una estructura de alto nivel común, unos términos comunes y unas definiciones que facilitan la implantación.
• Todas las definiciones se encuentran dentro de la norma ISO 27000.
• Los riesgos de la seguridad de la información tienen que ser abordados satisfactoriamente.
• Los documentos que se requieren se encuentran perfectamente establecidos, ya que se hace referencia a la complejidad y al tamaño.
• Se hace mención a las todas las acciones preventivas.

Las desventajas que ofrece la norma ISO 27001 son:

• Se trata de una abstracción y un elevado nivel, por lo que no está muy detallado.
• Los requisitos pueden parecer difíciles de interpretar, ya que existen nuevos conceptos.
• No se hace mención al modelo PHVA (Planificar, Hacer, Verificar y Actuar)
• No se menciona en ningún momento la política del Sistema de Gestión de Seguridad de la Información.
• No existe una descripción detallada a la hora de identificar los riesgos.

Tendencias 

El impacto es, la diferencia entre las estimaciones del estado de seguridad del activo antes y después de materializar las amenazas. En un Sistema de Gestión de Seguridad de la Información al materializarse una amenaza el activo cambia de estado, es decir, antes de producirse la amenaza tenemos un activo y después de que efectúe la amenaza tenemos la diferencia entre el estado anterior y el posterior a la amenaza.

Empleamos una tipología de impactos orientada a la naturaleza de todas las consecuencias en las diferentes combinaciones activo-amenaza.Simplemente por la disfunción de un activo no es normal que se constituya un impacto sino que solamente cambia de estado, generado en el activo un deterioro y perjuicio apreciable. No se considera impacto la interrupción por un pequeño rato de la energía de tratamiento de alguna aplicación del sistema, que se reenvíe de forma automática de cualquier mensaje mediante un servicio de mecanismo de auto-recuperación.Se consideran tres grupos de impactos, ordenados según las consecuencias que reduzcan el estado de seguridad del activo que haya sido atacado, puede ser directamente e indirectamente. Dentro de esto tenemos que el impacto puede ser cualitativo con pérdidas funcionales, cualitativo con pérdidas orgánicas y cuantitativo, si las pérdidas se traducen en dinero más o menos directamente.

Explicación personal

para esta norma es el seguimiento de la ISO 17799 que al igual que ella nos habla sobre el manejo de información que tenemos dentro de la organización y de como es la manera correcta que debamos implementar técnicas que nos ayuden a perfeccionar el manejo de la información para que ser integra y veraz y  de esta manera nos ayude a facilitar los procesos que se tiene en la organización y cumplir con los productos o servicios.