ISO/IEC 27001

La ISO/IEC 27001 es el estándar internacional más reconocido para la gestión de la seguridad de la información. Especifica los requisitos para establecer, implementar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información (SGSI, o ISMS en inglés).

Organizaciones de todo el mundo la utilizan para demostrar que tienen un enfoque sistemático y documentado para gestionar los riesgos de seguridad.

¿Qué es un SGSI (ISMS)?

Un Sistema de Gestión de Seguridad de la Información (SGSI o ISMS) es un conjunto de políticas, procedimientos, procesos y sistemas que una organización utiliza para gestionar y proteger su información.

El SGSI se basa en el ciclo Plan-Do-Check-Act (PDCA):

**Plan (Planificar)**: Definir políticas y objetivos, y evaluar riesgos.
**Do (Hacer)**: Implementar los controles y procesos.
**Check (Verificar)**: Monitorear, medir y auditar el desempeño.
**Act (Actuar)**: Tomar acciones correctivas y mejorar continuamente.

Principales requisitos de ISO 27001

La norma está estructurada en varios capítulos, pero los más importantes son:

1. Contexto de la organización

La organización debe entender su entorno interno y externo, las necesidades de las partes interesadas y el alcance del SGSI.

2. Liderazgo

La dirección debe demostrar compromiso con la seguridad de la información, definir una política de seguridad y asignar responsabilidades.

3. Planificación

Incluye la gestión de riesgos (identificar, evaluar y tratar riesgos) y la definición de objetivos de seguridad.

4. Soporte

Recursos necesarios: personal competente, concienciación, comunicación, y documentación (registros, políticas, procedimientos).

5. Operación

Implementar los controles y procesos planificados. Esto incluye la gestión de riesgos, el tratamiento de incidentes, etc.

6. Evaluación del desempeño

Monitorear, medir, analizar y evaluar el SGSI. Incluye auditorías internas y revisiones por la dirección.

7. Mejora

Identificar no conformidades y tomar acciones correctivas para mejorar continuamente.

Anexo A: Controles de seguridad

El Anexo A de ISO 27001 contiene una lista de 114 controles de seguridad (en la versión 2013) o 93 controles (en la versión 2022) que pueden implementarse para mitigar riesgos. Estos controles están organizados en categorías como:

| Categoría | Ejemplos de controles | |-----------|----------------------| | Políticas de seguridad | Política de seguridad de la información, revisión de políticas. | | Organización de la seguridad | Roles y responsabilidades, seguridad en la cadena de suministro. | | Gestión de activos | Inventario de activos, clasificación de información. | | Seguridad de recursos humanos | Verificación de antecedentes, concienciación, terminación de contratos. | | Control de acceso | Principio de mínimo privilegio, MFA, gestión de cuentas. | | Cifrado | Uso de cifrado para proteger datos en tránsito y en reposo. | | Seguridad física y ambiental | Control de acceso físico, protección contra incendios, etc. | | Operaciones | Gestión de vulnerabilidades, protección contra malware, gestión de incidentes. | | Seguridad en redes | Segmentación, firewalls, monitoreo de red. | | Seguridad en el desarrollo | Seguridad en el ciclo de vida del software, pruebas de seguridad. | | Relación con proveedores | Evaluación de seguridad de proveedores, acuerdos de confidencialidad. | | Gestión de incidentes | Procedimientos de respuesta a incidentes, reporte, lecciones aprendidas. | | Continuidad del negocio | Planes de continuidad, copias de seguridad, recuperación ante desastres. | | Cumplimiento | Cumplimiento de leyes y regulaciones (ej: GDPR, PCI-DSS), auditorías. |

Muchos de estos controles ya están cubiertos por los conceptos de tu wiki:

Beneficios de la certificación ISO 27001

**Reducción de riesgos**: Un enfoque sistemático para identificar y mitigar riesgos.
**Ventaja competitiva**: Demuestra a clientes y socios que la seguridad es una prioridad.
**Cumplimiento normativo**: Ayuda a cumplir con leyes como GDPR, HIPAA, PCI-DSS.
**Mejora continua**: El ciclo PDCA asegura que la seguridad mejore con el tiempo.
**Confianza de las partes interesadas**: Clientes, inversores y reguladores confían más en organizaciones certificadas.
**Estructura y claridad**: Define roles, responsabilidades y procesos de forma clara.

ISO 27001 vs. otros estándares

| Estándar | Enfoque | |----------|---------| | **ISO 27001** | Gestión de la seguridad de la información (requiere certificación). | | **ISO 27002** | Guía de buenas prácticas para los controles del Anexo A (no es certificable). | | **ISO 27005** | Guía para la gestión de riesgos en seguridad de la información. | | **ISO 27017** | Seguridad en servicios en la nube. | | **ISO 27018** | Protección de datos personales en la nube. | | **NIST CSF** | Marco de seguridad cibernética (más flexible, enfocado en EE.UU.). | | **PCI-DSS** | Estándar para proteger datos de tarjetas de crédito. | | **GDPR** | Regulación europea sobre protección de datos personales. |

Ejemplo práctico

Escenario: Una empresa de consultoría quiere obtener la certificación ISO 27001 para ganar la confianza de sus clientes.

Pasos: 1. **Planificar**: Definir el alcance (ej: todos los sistemas que manejan datos de clientes). Evaluar riesgos y definir controles. 2. **Hacer**: Implementar controles (ej: MFA, cifrado, políticas de contraseñas, formación a empleados). 3. **Verificar**: Realizar auditorías internas para comprobar que todo funciona. 4. **Actuar**: Corregir problemas identificados y mejorar continuamente. 5. **Certificación**: Contratar una entidad acreditada para que realice una auditoría externa.

Resultado: La empresa obtiene la certificación, lo que le permite acceder a nuevos clientes y mercados.

Relación con otros conceptos

Gestión de Riesgos: ISO 27001 se basa en la gestión de riesgos para definir controles.
Control de Seguridad: El Anexo A contiene los controles que pueden implementarse.
Gestión de Vulnerabilidades: Es parte de las operaciones requeridas por ISO 27001.
Principio de Mínimo Privilegio: Es un control del Anexo A.
Cifrado: Es un control del Anexo A.
Defensa en profundidad: Es una estrategia alineada con los controles de ISO 27001.
Zero Trust: Aunque no está explícito, los principios de ISO 27001 son compatibles con Zero Trust.

Véase también

Esta página forma parte de la Categoría:Conceptos de seguridad.