ISO 27001

ISO 27001: Sistemas de Gestión la Seguridad de la Información

El sistema preserva la confidencialidad, integridad y disponibilidad de la información mediante la aplicación de un proceso de gestión de riesgos y otorga a las partes interesadas confianza sobre la adecuada gestión de los riesgos.

1. OBJETO Y CAMPO DE APLICACIÓN: Puede ser implementado en cualquier organización que cumpla los requisitos sin excluir ninguno

2 NORMAS ASOCIADAS

ISO/IEC 27000,

4. CONTEXTO DE LA ORGANIZACIÓN: se refiere a cuestiones internas y externas que deben determinar para cumplir el propósito del sistema.

4.1 Comprender las necesidades y expectativas que requieren las partes interesadas y sus requisitos

4.2 Determinar el alcance del sistema de gestión de la seguridad de la información considerando el contexto, requisitos y dependencias entre actividades de la organización

5. LIDERAZGO: La alta dirección debe asegurarse que se establezcan los objetivos y políticas enlazados con la dirección estratégica; controlando el cumplimiento de los mismos y dar apoyo a otras áreas.

5.1 Establecer políticas implica el compromiso del cumplimiento y una mejora continua acerca de la aplicación de la seguridad a la información; debe ser documentada y puesta a disposición apropiada a las partes interesadas.

5.2 Roles, responsabilidades y autoridades en la organización, quienes se aseguran del cumplimiento del sistema de acuerdo a los requisitos e informar a los directivos el funcionamiento del mismo.

6. PLANIFICACIÓN: puede traer consigo algunos riegos y oportunidades las cuales deben tener acciones correctivas con el fin de poder asegurar el cumplimiento de los objetivos previstos y su mejora continua del sistema.

6.1 Apreciación de riesgos de seguridad de la información deben asegurar generar resultados consistentes, válidos y comparables; y con ello asegurarse de la probabilidad de suceder dichos riesgos

6.2 Tratamiento de los riesgos de seguridad de la información consiste en determinar los controles necesarios para contrarrestarlos y con ello se elabora una Declaración de aplicabilidad que debe ser previamente aprobada por los dueños de los riesgos.

6.3 Objetivos de seguridad de la información y planificación para su consecución deben tomar en cuenta los recursos y responsables de esta fase y los objetivos sean medibles y alcanzables para luego ser comunicados en base a sus respectiva documentación.

7. SOPORTE: elegir los recursos necesarios para establecer, implementar, mantener y su mejora continua del sistema.

7.1 Competencia: comprende poner en marcha acciones para adquirir la competencia necesaria y evaluar la eficacia de las acciones llevadas a cabo

7.2 Conciencia por parte del personal acerca de las políticas y sus consecuencias que implican no cumplirlas

7.3 Comunicación tanto interna como externa pertinente al sistema de gestión, teniendo en cuenta a quien, como y cuando comunicar.

7.4 Información documentada: requerida por esta norma y también la de la organización que considere necesaria para la eficacia del sistema.

7.5 La creación y actualización de la información deber tener un formato de identificación

7.6 Control de la información documentada debe estar disponible y a la vez protegida, tomando acciones como el control de los cambios y su almacenamiento

8.OPERACIÓN: debe mantener información documentada, para tener la confianza de que los procesos se han llevado a cabo según lo planificado, así como el control de los procesos contratados externos

8.2 Apreciación de los riesgos de seguridad de la información debe encontrarse documentada sus resultados.

8.3 Tratamiento de los riesgos de seguridad de la información debe ser implementado para ser mitigado esos riesgos.

9. EVALUACIÓN DEL DESEMPEÑO: es un proceso que se lleva a cabo tomando en cuenta que hay que hacer el seguimiento, quien será el encargado y sus métodos de aplicación, es necesario llevar una documentación de los resultados de seguimiento como evidencia.

9.2 Auditoría interna; se lleva a cabo , para proporcionar información acerca de si el sistema cumple con los requisitos de la norma y propios de la organización

9.3 Revisión por la dirección: acerca del sistema de gestión para asegurarse de su conveniencia, adecuación y eficacia continuas. Todo elemento de salida deben incluir las decisiones relacionadas con las oportunidades de mejora continua

10. MEJORA

10.1 En el caso de existir alguna no conformidad la organización tiene el deber de aplicar acciones correctivas que ayuden hacer frente a las consecuencias de la situación.

10.2 La organización debe mejorar de manera continua la idoneidad, adecuación y eficacia del sistema de gestión de la seguridad de la información