UN MONTAJE A VECES COMPLEJO
Aunque obtener (y mantener) la certificación ISO 27001 tiene muchas ventajas, implantarla puede ser un verdadero reto para las organizaciones.
- El cumplimiento puede ser costoso en términos de tiempo, dinero y recursos humanos (formación, documentación, auditorías, etc.).
- El texto y sus requisitos pueden ser difíciles de entender, sobre todo para las pequeñas empresas que no disponen de un departamento especializado.
- La implantación de un SGSI conforme a la norma ISO 27001 requiere cambios importantes en los procesos internos y la cultura organizativa.
- Mantener el cumplimiento exige un compromiso permanente y una supervisión periódica, así como una documentación detallada (¡y voluminosa!) que representa una carga administrativa considerable.
¿CÓMO PUEDE FACILITARSE EL CUMPLIMIENTO DE LA NORMA ISO 27001?
Para implantar la norma ISO 27001 en tu organización, primero tienes que asegurarte el apoyo de tu personal y de la dirección:
- obtener el compromiso del Comité Ejecutivo, que debe apoyar activamente el proyecto y asignar los recursos necesarios;
- formar al personal y concienciarlo de la importancia de la norma;
- implicar a todas las partes interesadas, incluidos proveedores y socios.
Otro punto importante: realice una evaluación precisa de los riesgos asociados a su organización (amenazas, vulnerabilidades e impactos) para definir los controles que deben implantarse. Una vez superada esta etapa, realice auditorías internas periódicas en el marco de un proceso de mejora continua.
Recuerda también documentar las políticas de seguridad y los informes de auditoría de forma clara y exhaustiva.
Por último, puedes apoyarte en herramientas especializadas (¡como Tenacy!) que facilitan la gestión del cumplimiento.
ISO 27001 VERSIÓN 2022: UNA ACTUALIZACIÓN IMPORTANTE
Necesidad de adaptar la norma ISO 27001
Una década nos separa de la última actualización de la norma en 2013. Desde entonces, las amenazas han evolucionado considerablemente. Por un lado, nuestro estilo de vida y nuestra relación con la tecnología digital han dado un vuelco, proporcionando una superficie cada vez más amplia para los ataques:
- rápida aceleración de la transformación digital;
- adopción del teletrabajo y de métodos de trabajo híbridos a toda velocidad;
- predominio de la nube, con la necesidad de estar conectado en todas partes, todo el tiempo…
Al mismo tiempo, los ciberataques van en aumento, los atacantes se profesionalizan y las técnicas de compromiso se generalizan. Nunca ha sido tan fácil llevar a cabo un ataque: las redes de ciberdelincuentes se han estructurado y comercializan programas maliciosos y accesos iniciales a la carta.
Esta evolución hizo cada vez más compleja la protección de las organizaciones. La norma ISO tuvo que adaptarse para hacer frente a esta nueva realidad. Y todo empezó con un cambio en el nombre de la norma. ciberseguridad El propio título de la norma “Tecnologías de la información” ha pasado a ser “Seguridad de la información y protección de la intimidad“.
¿QUÉ CAMBIOS SE ESPERAN CON LA NORMA ISO 27001:2022?
El objetivo de la versión 2022 de la norma ISO 27001 es, por tanto, (re)definir las normas y requisitos para establecer el sistema de gestión de la seguridad de la información de su empresa. Ampliamente utilizada en todo tipo de organizaciones, este cambio de versión suscita inevitablemente preguntas sobre los cambios que implica.
El anexo A y sus nuevos controles
Los cambios de esta nueva versión de la norma afectan principalmente al anexo A, que a su vez se basa en la nueva versión de la norma ISO 27002:2022 publicada en febrero de 2022. Este anexo ya no se considera una lista detallada y exhaustiva.
En el texto de la versión ISO 27001:2013, las medidas se dividían en 14 áreas diferentes. Ahora se han fusionado en 4 categorías.
- 1. Controles relacionados con las personas: trabajo a distancia, confidencialidad, no divulgación de información, filtrado, etc.
- 2. Controles organizativos: políticas de información de la organización, uso de servicios en la nube, uso de activos, etc.
- 3. Controles físicos: vigilancia de la seguridad, medios de almacenamiento, mantenimiento, seguridad de las instalaciones, etc.
- 4. Controles tecnológicos: autenticación, cifrado, prevención de fuga de datos….
Otro aspecto destacado fue la aparición de 11 nuevos controles que cubren los siguientes aspectos:
- inteligencia sobre amenazas (A.5.7),
- seguridad de la información alojada en la nube (A.5.23),
- preparar las TIC para la continuidad de las actividades (A.5.30),
- vigilancia de la seguridad física (A.7.4),
- actividades de seguimiento / vigilancia (A.8.16),
- filtrado web (A.8.23),
- diseño de código seguro (A.8.28),
- gestión de la configuración (A.8.9),
- supresión de información (A.8.10),
- enmascaramiento de datos (A.8.11),
- prevención de la fuga de datos (A.8.12).
A pesar de la adición de controles, el número de dominios se redujo de 114 a 93 como consecuencia de consolidaciones y fusiones.
¿Qué impacto concreto tendrá en la organización?
La evolución de la norma hace hincapié en los procedimientos, criterios y controles, que se reiteran como parte integrante del SGSI. Ahora los objetivos deben documentarse y supervisarse, y los cambios en el SGSI deben planificarse.
En la práctica, para que el SGSI cumpla esta nueva norma ISO, las organizaciones tendrán que pasar por una fase de transición durante los próximos dos o tres años.
El principal cambio es la declaración de aplicabilidad (DoA) y las pruebas de comparación entre las dos versiones de ISO 27001. Es necesario planificar una serie de tareas:
- actualización de los requisitos de certificación y traducción a los mismos;
- revisión del plan de gestión de riesgos;
- revisión del plan de comunicación de la CMSI;
- actualizar los procedimientos y listas de comprobación utilizados para las auditorías internas o externas.
Tanto si eres una empresa certificada como si no, tendrás que evaluar las adaptaciones necesarias para tus herramientas de seguridad de terceros. Afortunadamente, en Tenacy, nos hemos adelantado y los requisitos ya están actualizados en la plataforma (y no requieren ninguna acción por tu parte). Puedes estar seguro de que los registros que utilizas para demostrar la conformidad cumplen los nuevos requisitos de seguridad.