Ver el código de «ISO 27001»

[[Categoría:Conceptos de seguridad]]
La '''ISO/IEC 27001''' es el estándar internacional más reconocido para la gestión de la seguridad de la información. Especifica los requisitos para establecer, implementar, mantener y mejorar un '''Sistema de Gestión de Seguridad de la Información''' (SGSI, o ''ISMS'' en inglés).

Organizaciones de todo el mundo la utilizan para demostrar que tienen un enfoque sistemático y documentado para gestionar los riesgos de seguridad.

== ¿Qué es un SGSI (ISMS)? ==

Un '''Sistema de Gestión de Seguridad de la Información''' (SGSI o ISMS) es un conjunto de políticas, procedimientos, procesos y sistemas que una organización utiliza para gestionar y proteger su información.

El SGSI se basa en el ciclo '''Plan-Do-Check-Act''' (PDCA):
* **Plan (Planificar)**: Definir políticas y objetivos, y evaluar riesgos.
* **Do (Hacer)**: Implementar los controles y procesos.
* **Check (Verificar)**: Monitorear, medir y auditar el desempeño.
* **Act (Actuar)**: Tomar acciones correctivas y mejorar continuamente.

== Principales requisitos de ISO 27001 ==

La norma está estructurada en varios capítulos, pero los más importantes son:

=== 1. Contexto de la organización ===
La organización debe entender su entorno interno y externo, las necesidades de las partes interesadas y el alcance del SGSI.

=== 2. Liderazgo ===
La dirección debe demostrar compromiso con la seguridad de la información, definir una política de seguridad y asignar responsabilidades.

=== 3. Planificación ===
Incluye la gestión de riesgos (identificar, evaluar y tratar riesgos) y la definición de objetivos de seguridad.

=== 4. Soporte ===
Recursos necesarios: personal competente, concienciación, comunicación, y documentación (registros, políticas, procedimientos).

=== 5. Operación ===
Implementar los controles y procesos planificados. Esto incluye la gestión de riesgos, el tratamiento de incidentes, etc.

=== 6. Evaluación del desempeño ===
Monitorear, medir, analizar y evaluar el SGSI. Incluye auditorías internas y revisiones por la dirección.

=== 7. Mejora ===
Identificar no conformidades y tomar acciones correctivas para mejorar continuamente.

== Anexo A: Controles de seguridad ==

El '''Anexo A''' de ISO 27001 contiene una lista de '''114 controles''' de seguridad (en la versión 2013) o '''93 controles''' (en la versión 2022) que pueden implementarse para mitigar riesgos. Estos controles están organizados en categorías como:

| Categoría | Ejemplos de controles |
|-----------|----------------------|
| '''Políticas de seguridad''' | Política de seguridad de la información, revisión de políticas. |
| '''Organización de la seguridad''' | Roles y responsabilidades, seguridad en la cadena de suministro. |
| '''Gestión de activos''' | Inventario de activos, clasificación de información. |
| '''Seguridad de recursos humanos''' | Verificación de antecedentes, concienciación, terminación de contratos. |
| '''Control de acceso''' | Principio de mínimo privilegio, MFA, gestión de cuentas. |
| '''Cifrado''' | Uso de cifrado para proteger datos en tránsito y en reposo. |
| '''Seguridad física y ambiental''' | Control de acceso físico, protección contra incendios, etc. |
| '''Operaciones''' | Gestión de vulnerabilidades, protección contra malware, gestión de incidentes. |
| '''Seguridad en redes''' | Segmentación, firewalls, monitoreo de red. |
| '''Seguridad en el desarrollo''' | Seguridad en el ciclo de vida del software, pruebas de seguridad. |
| '''Relación con proveedores''' | Evaluación de seguridad de proveedores, acuerdos de confidencialidad. |
| '''Gestión de incidentes''' | Procedimientos de respuesta a incidentes, reporte, lecciones aprendidas. |
| '''Continuidad del negocio''' | Planes de continuidad, copias de seguridad, recuperación ante desastres. |
| '''Cumplimiento''' | Cumplimiento de leyes y regulaciones (ej: GDPR, PCI-DSS), auditorías. |

Muchos de estos controles ya están cubiertos por los conceptos de tu wiki:
* [[Control de Seguridad]]
* [[Principio de Mínimo Privilegio]]
* [[Cifrado]]
* [[Gestión de Vulnerabilidades]]
* [[Defensa en profundidad]]
* [[Zero Trust]]
* [[Gestión de Riesgos]]

== Beneficios de la certificación ISO 27001 ==

* **Reducción de riesgos**: Un enfoque sistemático para identificar y mitigar riesgos.
* **Ventaja competitiva**: Demuestra a clientes y socios que la seguridad es una prioridad.
* **Cumplimiento normativo**: Ayuda a cumplir con leyes como GDPR, HIPAA, PCI-DSS.
* **Mejora continua**: El ciclo PDCA asegura que la seguridad mejore con el tiempo.
* **Confianza de las partes interesadas**: Clientes, inversores y reguladores confían más en organizaciones certificadas.
* **Estructura y claridad**: Define roles, responsabilidades y procesos de forma clara.

== ISO 27001 vs. otros estándares ==

| Estándar | Enfoque |
|----------|---------|
| **ISO 27001** | Gestión de la seguridad de la información (requiere certificación). |
| **ISO 27002** | Guía de buenas prácticas para los controles del Anexo A (no es certificable). |
| **ISO 27005** | Guía para la gestión de riesgos en seguridad de la información. |
| **ISO 27017** | Seguridad en servicios en la nube. |
| **ISO 27018** | Protección de datos personales en la nube. |
| **NIST CSF** | Marco de seguridad cibernética (más flexible, enfocado en EE.UU.). |
| **PCI-DSS** | Estándar para proteger datos de tarjetas de crédito. |
| **GDPR** | Regulación europea sobre protección de datos personales. |

== Ejemplo práctico ==

'''Escenario:''' Una empresa de consultoría quiere obtener la certificación ISO 27001 para ganar la confianza de sus clientes.

'''Pasos:'''
1. **Planificar**: Definir el alcance (ej: todos los sistemas que manejan datos de clientes). Evaluar riesgos y definir controles.
2. **Hacer**: Implementar controles (ej: MFA, cifrado, políticas de contraseñas, formación a empleados).
3. **Verificar**: Realizar auditorías internas para comprobar que todo funciona.
4. **Actuar**: Corregir problemas identificados y mejorar continuamente.
5. **Certificación**: Contratar una entidad acreditada para que realice una auditoría externa.

'''Resultado:''' La empresa obtiene la certificación, lo que le permite acceder a nuevos clientes y mercados.

== Relación con otros conceptos ==

* '''[[Gestión de Riesgos]]''': ISO 27001 se basa en la gestión de riesgos para definir controles.
* '''[[Control de Seguridad]]''': El Anexo A contiene los controles que pueden implementarse.
* '''[[Gestión de Vulnerabilidades]]''': Es parte de las operaciones requeridas por ISO 27001.
* '''[[Principio de Mínimo Privilegio]]''': Es un control del Anexo A.
* '''[[Cifrado]]''': Es un control del Anexo A.
* '''[[Defensa en profundidad]]''': Es una estrategia alineada con los controles de ISO 27001.
* '''[[Zero Trust]]''': Aunque no está explícito, los principios de ISO 27001 son compatibles con Zero Trust.

== Véase también ==

* [[Gestión de Riesgos]]
* [[Control de Seguridad]]
* [[NIST CSF]]
* [[Principio de Mínimo Privilegio]]
* [[Cifrado]]
* [[Defensa en profundidad]]
* [[Zero Trust]]

----

''Esta página forma parte de la [[:Categoría:Conceptos de seguridad]].''