ISO27001

ISO27001

1. TECNOLOGÍA DE LA INFORMACIÓN. TÉCNICAS DE SEGURIDAD. SISTEMAS DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN (SGSI). REQUISITOS

   • GENERALIDADES
     • Esta norma ha sido elaborada para brindar un modelo para el establecimiento, implementación, operación, seguimiento, revisión, mantenimiento y mejora de un sistema de gestión de la seguridad de la información (SGSI).
     • ENFOQUE BASADO EN PROCESOS
       • Esta norma promueve la adopción de un enfoque basado en procesos, para establecer, implementar, operar, hacer seguimiento, mantener y mejorar el SGSI de una organización.
       • La aplicación de un sistema de procesos dentro de una organización, junto con la identificación e interacciones entre estos procesos, y su gestión, se puede denominar como un “enfoque basado en procesos”.
         • comprender los requisitos de seguridad de la información del negocio, y la necesidad de establecer la política y objetivos en relación con la seguridad de la información;
         • implementar y operar controles para manejar los riesgos de seguridad de la información de una organización en el contexto de los riesgos globales del negocio de la organización;
     • REQUISITOS DE DOCUMENTACIÓN
       • La documentación del SGSI debe incluir registros de las decisiones de la dirección, asegurar que las acciones sean trazables a las decisiones y políticas de la gerencia, y que los resultados registrados sean reproducibles.
       • Es importante estar en capacidad de demostrar la relación entre los controles seleccionados y los resultados del proceso de valoración y tratamiento de riesgos, y seguidamente, con la política y objetivos del SGSI.
   • Control de documentos
     • Los documentos exigidos por el SGSI se deben proteger y controlar. Se debe establecer un procedimiento documentado para definir las acciones de gestión necesarias para:
       • aprobar los documentos en cuanto a su suficiencia antes de su publicación;
         • )asegurar que las versiones más recientes de los documentos pertinentes están disponibles en los puntos de uso;
       • revisar y actualizar los documentos según sea necesario y reaprobarlos;
         • asegurar que los documentos permanezcan legibles y fácilmente identificables;
         • asegurar que los documentos estén disponibles para quienes los necesiten, y que se apliquen los procedimientos pertinentes, de acuerdo con su clasificación, para su transferencia, almacenamiento y disposición final.
         • asegurar que los documentos de origen externo estén identificados;
         • asegurar que la distribución de documentos esté controlada;
       • asegurar que los cambios y el estado de actualización de los documentos estén identificados;
   • AUDITORIAS INTERNAS DEL SGSI
     • La organización debe llevar a cabo auditorías internas del SGSI a intervalos planificados, para determinar si los objetivos de control, controles, procesos y procedimientos de su SGSI:
       • Se debe planificar un programa de auditorías tomando en cuenta el estado e importancia de los procesos y las áreas que se van a auditar, así como los resultados de las auditorías previas. Se deben definir los criterios, el alcance, la frecuencia y los métodos de la auditoría. La selección de los auditores y la realización de las auditorías deben asegurar la objetividad e imparcialidad del proceso de auditoría. Los auditores no deben auditar su propio trabajo.
         • cumplen los requisitos de la presente norma y de la legislación o reglamentaciones pertinentes;
         • cumplen los requisitos identificados de seguridad de la información;
         • están implementados y se mantienen eficazmente, y
         • tienen un desempeño acorde con lo esperado.

2. 1 MEJORA CONTINUA

   • La organización debe mejorar continuamente la eficacia del SGSI mediante el uso de la política de seguridad de la información, los objetivos de seguridad de la información, los resultados de la auditoría, el análisis de los eventos a los que se les ha hecho seguimiento, las acciones correctivas y preventivas y la revisión por la dirección.
   • ACCIÓN PREVENTIVA
     • La organización debe determinar acciones para eliminar la causa de no conformidades potenciales con los requisitos del SGSI y evitar que ocurran. Las acciones preventivas tomadas deben ser apropiadas al impacto de los problemas potenciales. El procedimiento documentado para la acción preventiva debe definir requisitos para:
       • identificar no conformidades potenciales y sus causas
       • evaluar la necesidad de acciones para impedir que las no conformidades ocurran.
       • determinar e implementar la acción preventiva necesaria;
       • registrar los resultados de la acción tomada (véase el numeral 4.3.3), y
       • revisar la acción preventiva tomada.
       • La organización debeidentificar los cambios en los riesgos e identificar los requisitos en cuanto acciones preventivas, concentrando la atención en los riesgos que han cambiado significativamente.

3. ACCIÓN CORRECTIVA

   • La organización debe emprender acciones para eliminar la causa de no conformidades asociadas con los requisitos del SGSI, con el fin de prevenir que ocurran nuevamente. El procedimiento documentado para la acción correctiva debe definir requisitos para:
     • identificar las no conformidades;
     • determinar las causas de las no conformidades;
     • evaluar la necesidad de acciones que aseguren que las no conformidades no vuelven a ocurrir;
     • determinar e implementar la acción correctiva necesaria;
     • revisar la acción correctiva tomada.