ISO

AUDITORÍA FORENSE

ISO 27000

27002

27001

ISO 37001: 2016

SISTEMA DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN

Un Sistema de Gestión de la Seguridad de la Información concentra las políticas, procedimientos, directrices y recursos, para la gestión conjunta, en pro de la protección de los activos de información de las organizaciones. Además, el SGSI consolida un enfoque sistemático para el establecimiento, implantación, operación, monitoreo, revisión y mejora de la seguridad de la información, alineados a los objetivos estratégicos del negocio.

SISTEMA DE GESTIÓN ANTISOBORNO

ISO 37001 es la nueva norma internacional diseñada para ayudar a las organizaciones a implementar un sistema de gestión contra el soborno. Especifica una serie de medidas que su organización puede implementar para ayudar a prevenir, detectar y tratar el soborno.

Soborno por la organización, su personal o socios comerciales para su propio beneficio

Soborno de la organización, su personal o socios comerciales en relación con sus actividades

Los requisitos especificados por ISO 37001 abordan dos áreas clave:

REQUISITOS CON ORIETACIÓN PARA SU USO

ISO 27002. (2017). La importancia de las buenas prácticas en los Sistemas de Seguridad de la Información. Obtenido de https://www.isotools.org/2019/06/11/iso-27002-la-importancia-de-las-buenas-practicas-en-los-sistemas-de-seguridad-de-la-informacion/

La norma ISO 27001. (2018). El Sistema de Gestión de Seguridad de la Información. https://www.isotools.org/pdfs-pro/iso-27001-sistema-gestion-seguridad-informacion.pdf.

Sistema de Gestión Antisoborno. (2020). Resumen de la norma ISO 37001: 2016. Obtenido de https://giaccentre.org/chess_info/uploads/2020/12/GIACC.BROCHURE.ISO-37001.SPANISH.pdf

PROCESO SISTEMATICO

Establece o planifica la Seguridad de la información estableciendo los procesos y objetivos a conseguir

Se implementa la Seguridad de la información dentro de los procesos de la organización

Se opera y mantienen los procesos establecidos para la seguridad de la información

Se miden los resultados (Monitoreo) e indicadores de los distintos procesos de la seguridad de la información

Se evalúa (Revisión) la efectividad de los procesos de la seguridad en base a los objetivos establecidos

Se analizan los resultados y se establecen nuevos objetivos (Mejora)

La norma ISO 27001 es una solución de mejora continua en base a la cual puede desarrollarse un Sistema de Gestión de Seguridad de la Información (SGSI) que permita evaluar todo tipo de riesgos o amenazas susceptibles de poner en peligro la información de una organización tanto propia como datos de terceros.

PASOS

PLANIFICAR

HACER

CONTROLAR

ACTUAR

Definir la política de seguridad Establecer al alcance del SGSI Realizar el análisis de riesgo Seleccionar los controles Definir competencias Establecer un mapa de procesos Definir autoridades y responsabilidades

Implantar el plan de gestión de riesgos Implantar el SGSI Implantar los controles

Revisar internamente el SGSI Realizar auditorías internas del SGSI Poner en marcha indicadores y métricas Hacer una revisión por parte de la Dirección

Adoptar acciones correctivas Adoptar acciones de mejora

FASES

1. Análisis y evaluación de riesgos.

2. Implementación de controles

3. Definición de un plan de tratamiento de los riesgos o esquema de mejora

4. Alcance de la gestión

5. Contexto de organización

6. Partes interesadas

7. Fijación y medición de objetivos

8. Proceso documental

9. Auditorías internas y externas

El principal objetivo de la ISO 27002 es establecer directrices y principios generales para iniciar, implementar, mantener y mejorar la gestión de la seguridad de la información en una organización. Esto también incluye la selección, implementación y administración de controles, teniendo en cuenta los entornos de riesgo encontrados en la empresa.

Este documento es aplicable solo para el soborno. En él se establecen los requisitos y se proporciona una guía para un sistema de gestión diseñado para ayudar a una organización a prevenir, detectar y enfrentar al soborno y cumplir con las leyes antisoborno y los compromisos voluntarios aplicables a sus actividades.

Este documento no aborda específicamente de fraude, carteles y otros delitos de antimonopolio y competencia, el lavado de dinero u otras actividades relacionadas con las prácticas corruptas a pesar de que una organización puede optar por ampliar el alcance del sistema de gestión para incluir este tipo de actividades.

Quién puede utilizar la ISO 37001?

La ISO 37001 está diseñada para ser utilizada por organizaciones pequeñas, medianas y grandes en los sectores público y privado. Puede ser utilizado por una amplia gama de organizaciones porque el estándar está diseñado para ser una herramienta flexible, que se puede adaptar de acuerdo con el tamaño y la naturaleza de la organización y el riesgo de soborno que enfrenta.

Beneficios para las empresas

Mejor concienciación sobre la seguridad de la información;

Mayor control de activos e información sensible;

Ofrece un enfoque para la implementación de políticas de control;Oportunidad de identificar y corregir puntos débiles;

Reducción del riesgo de responsabilidad por la no implementación de un SGSI o determinación de políticas y procedimientos;

ACTIVIDADES DE CONTROL

Realizar un inventario

Proteger la propiedad

Uso aceptable de los activos

Devolución de los activos

Todos los activos deben encontrase claramente identificados, confeccionados y mantenidos en un inventario.

Todos los activos del inventario deben estar asociados a un responsable designado por la organización.

Se tendrá que identificar, documentar e implementar la regulación para el uso adecuado de la información y los activos que se encuentran asociados a recursos de tratamiento de la información.

Una vez que finalice el acuerdo, los responsables deberán devolver todos los activos a la organización, por este motivo es necesario que cuenten con un contrato de prestación de servicios.

REFERENCIA BIBLIOGRÁFICA