Lista de verificación de implementación de ISO 27001
ISO/IEC 27001, comúnmente conocida como ISO 27001, es la norma internacional más ampliamente adoptada para la gestión de la seguridad de los datos y la seguridad de la información a través de un sistema de gestión de seguridad de la información (SGSI).
La norma fue publicada por primera vez en 2005 por la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC). La norma ISO 27001:2013 es la última revisión de la norma.
La certificación ISO 27001 mejora la reputación de su organización, ya que los socios y clientes pueden estar seguros de que está manejando sus activos de información, como datos confidenciales, a través de los métodos de protección adecuados.
La implementación del SGSI es un proceso que requiere muchos recursos, que involucra muchas etapas y partes interesadas, lo que puede complicar rápidamente su ejecución. Hemos elaborado una lista de verificación de ISO 27001 para ayudar a su organización a abordar su plan de implementación de manera eficiente y prepararse para la certificación.
1. Comprender la norma ISO 27001
Si ya está familiarizado con la norma ISO 27001 y sus cláusulas, pase al resto de la lista de comprobación.
La norma ISO 27001 establece los requisitos para desarrollar un SGSI eficaz y consta de dos partes:
Cláusulas 0-10: Las cláusulas 0 a 3 introducen la norma ISO 27001. Las cláusulas 4-10 establecen requisitos obligatorios para el cumplimiento de la norma ISO 27001, en las siguientes áreas:
- Cláusula 4 - Contexto de la organización
- Cláusula 5 - Liderazgo
- Cláusula 6 - Planificación
- Cláusula 7 - Soporte
- Cláusula 8 - Funcionamiento
- Cláusula 9 - Evaluación del rendimiento
- Cláusula 10 - Mejora
Anexo A: Describe los 114 controles de seguridad que respaldan los requisitos obligatorios de la norma ISO 27001.
Más información sobre la norma ISO 27001.
2. Formar un equipo de implementación
El equipo de implementación debe asignar un líder para impulsar la gestión del proyecto. El líder del proyecto ya debe estar muy involucrado en sus prácticas de seguridad de la información y poseer habilidades de liderazgo aplicables tanto al equipo del proyecto como a todos los departamentos.
Al igual que con cualquier proyecto organizacional, el equipo de implementación debe preparar un mandato del proyecto que describa sus objetivos de seguridad de la información, el plazo, los costos y el nivel de apoyo ejecutivo.
Conozca los siguientes pasos después de una auditoría ISO 27001 >
3. Realizar un análisis de brechas
La realización de un análisis de brechas le da a su equipo de implementación una visión clara de:
- Cualquier disposición de seguridad de la información existente que cumpla con los requisitos de cumplimiento de la norma ISO 27001.
- Faltan requisitos de cumplimiento de la norma ISO 27001.
Comience por describir el contexto de su organización. El contexto de su organización implica comprender su contexto interno y externo.
El contexto interno rodea los productos y servicios de su organización, los clientes, junto con sus riesgos asociados y cualquier amenaza interna potencial. Esta comprensión le permite desarrollar un SGSI que cubra las áreas y procesos comerciales relevantes, con respecto a la gestión de riesgos digitales y la protección de activos.
El contexto externo es cualquier consideración o información relevante de fuera de la organización. Esto incluye:
- Cualquier legislación aplicable, como GDPR, GLBA, FISMA, LGPD y PIPEDA
- Identificación de amenazas externas, incluidas las amenazas de ciberseguridad
- Cualquier riesgo, incluidos los riesgos de ciberseguridad. Por ejemplo, ¿quién podría estar interesado en comprometer la ciberseguridad de su empresa? ¿Qué información podrían tomar los actores de amenazas? ¿Cómo lo tomarían?
Verifique los controles y procesos de gestión de riesgos existentes en torno al contexto de su organización con los requisitos de cumplimiento de la norma ISO 27001 y tome nota de las lagunas. Abordará aún más estas brechas durante el proceso de tratamiento de riesgos.
4. Definir el alcance del SGSI
Después de realizar un análisis de brechas de ISO 27001, ahora puede definir el alcance de su SGSI en función de estos resultados.
El alcance debe describir claramente qué información y activos pretende proteger su SGSI. Introduzca esta información en un registro de riesgos.
Un alcance típico del SGSI cubre:
- Contexto de la organización
- Los objetivos de negocio de su organización
- La(s) ubicación(es) física(s) de su organización
- La estructura de su organización
- La huella digital de tu organización
- Dispositivos que afectan a la seguridad de la red de su organización, por ejemplo, ordenadores, dispositivos móviles, servidores
- Los requisitos de las partes interesadas, como los proveedores externos
¿Qué áreas de negocio/procesos/funciones serán el foco de su alcance? Recuerde que comenzar con un alcance más pequeño permite una implementación más rápida.
Puede ser adecuado para su organización definir un alcance estrecho inicialmente y luego ampliar su enfoque una vez que su SGSI esté más establecido.
5. Crear una política de seguridad de la información (ISP)
Con su alcance listo para proporcionar un punto de partida claro para su equipo de implementación, es hora de desarrollar una política de seguridad de la información (ISP).
Una política de SGSI estipula reglas, políticas y procedimientos que garantizan que su organización cumpla con los requisitos mínimos de seguridad de TI y seguridad de datos. También debe establecer las funciones y responsabilidades de los empleados en la promulgación de la política, así como los estándares de mejora continua.
Una política de seguridad de la información ISO 27001 exitosa debe permitir a la alta dirección comprender claramente su estrategia de SGSI y sus objetivos. Es importante destacar que la política de seguridad de la información debe incluir los beneficios del SGSI, tanto desde el punto de vista de la seguridad como del comercio.
6. Elija la metodología de evaluación de riesgos
>Su equipo de implementación ya habrá identificado los riesgos que afectan a su organización durante el proceso de análisis de brechas (Paso 3).
Ahora es el momento de decidir qué proceso utilizará para evaluar la importancia de cada riesgo y llevar a cabo evaluaciones de riesgos. Al igual que la definición de su alcance, la metodología de evaluación de riesgos que aplique durante la implementación no tiene por qué ser demasiado complicada. Puede comenzar utilizando una metodología básica que cubra escenarios sobre posibles vectores de ataque en toda la superficie de ataque y qué técnicas podrían usar los actores de amenazas para explotar las vulnerabilidades existentes en un ataque cibernético.
A medida que se desarrolla su SGSI, puede comenzar a utilizar una metodología de evaluación de riesgos más avanzada para cubrir escenarios más sofisticados.
7. Realizar una evaluación de riesgos y completar la documentación de riesgos
Plan de Evaluación de Riesgos
Después de decidir cómo evaluará la naturaleza y la gravedad de los riesgos, puede comenzar la evaluación de riesgos de seguridad de la información. Una metodología de evaluación de riesgos claramente definida debería hacer que este proceso sea mucho menos desalentador.
Proceso de Tratamiento de Riesgos
Una vez completada la evaluación de riesgos, el equipo de implementación deberá diseñar un proceso de tratamiento de riesgos. El proceso de tratamiento de riesgos describe si el nivel de riesgo al que se enfrenta la organización es aceptable.
Determine si la alta dirección se siente cómoda con el nivel actual de riesgo o si se pueden tomar medidas adicionales para reducir el riesgo a un nivel más manejable. Puede completar el proceso de tratamiento de riesgos consultando los controles descritos en el Anexo A y seleccionando cuáles son aplicables a su organización.
Controles del anexo A
Los 114 controles del Anexo A le ayudan a identificar dónde su organización necesita realizar mejoras en su seguridad de la información y se dividen en 14 categorías:
- Políticas de seguridad de la información
- Organización de la seguridad de la información
- Seguridad de los recursos humanos
- Gestión de activos
- Control de acceso
- Criptografía
- Seguridad física y ambiental
- Seguridad operativa
- Seguridad de las comunicaciones
- Adquisición, desarrollo y mantenimiento de sistemas
- Relaciones con los proveedores
- Gestión de incidentes de seguridad de la información
- Aspectos de seguridad de la información de la gestión de la continuidad del negocio
- Conformidad
Informe de evaluación de riesgos
Su equipo ahora necesita describir información importante de los procesos de evaluación de riesgos y tratamiento de riesgos en un informe de evaluación de riesgos. El informe debe incluir los riesgos existentes, los riesgos aceptados, los controles del anexo A que ya estén en vigor y los que se vayan a implantar.
Debe presentar el informe de evaluación de riesgos con información documentada y aprobación de riesgos residuales (esto se puede incluir en la Declaración de aplicabilidad (SOA)).
Declaración de aplicabilidad (SOA)
Después de identificar los controles de seguridad de la información requeridos, es hora de escribir la Declaración de aplicabilidad. El SOA suele estar en formato de hoja de cálculo e indica qué controles está utilizando y cuáles no, y las razones.
Si no está utilizando ciertos controles, es crucial proporcionar una justificación sólida de por qué no es necesario para la implementación de ISMS.
Para determinar qué controles debe incluir en su SOA, tenga en cuenta lo siguiente:
- ¿El control ayuda a gestionar un riesgo existente?
- ¿Está legalmente obligado a implementar el control? Por ejemplo, la privacidad de los datos es un requisito del RGPD.
- ¿El control está vinculado a un requisito reglamentario? Por ejemplo, el procesamiento de datos de tarjetas de crédito requeriría el cumplimiento de PCI DSS.
- ¿Está el control vinculado por un acuerdo contractual con un tercero, por ejemplo, un proveedor, un cliente, un socio?
Es probable que su organización ya tenga algunos de los controles implementados, estos se conocen como controles de línea base.
Plan de tratamiento de riesgos
Solo después de completar el SOA puede iniciar el Plan de Tratamiento de Riesgos. La SOA define qué controles de seguridad de la información aplicar. El Plan de Tratamiento de Riesgos describe cómo se implementarán estos controles. Básicamente, da vida a la documentación de riesgos circundante. Por ejemplo, quién es responsable de ejecutar el plan, el plazo y el presupuesto.
8. Decidir cómo medir la eficacia del SGSI
Después de completar la documentación de riesgos requerida, su equipo de implementación ahora debe especificar cómo medir la efectividad del SGSI, sus políticas, procesos y controles.
Es esencial que cree pautas claras para la medición a fin de garantizar que pueda realizar un seguimiento eficiente de los objetivos, como las métricas de seguridad. Estas pautas también lo ayudarán a informar el progreso a todas las partes interesadas.
Antes de decidir cómo medirá estos componentes, primero debe asegurarse de que sus objetivos sean medibles. Los objetivos deben estar claramente definidos, ser realistas, alcanzables y tener un plazo establecido.
9. Implementar la política y los controles del SGSI
Una vez que su equipo haya completado todos los documentos de riesgo y haya desarrollado las pautas de medición de riesgos, ahora está listo para implementar la política de SGSI y sus controles.
Consulte estrictamente las cláusulas 4-10 de la norma ISO 27001 y los controles del Anexo A para asegurarse de que ha cubierto todos los requisitos.
10. Iniciar programas de concienciación de los empleados
Con el nuevo SGSI en acción, es hora de involucrar a su organización con las políticas y procedimientos. Todos los empleados deben recibir capacitación periódica sobre cumplimiento y estar al tanto de las mejores prácticas de seguridad cibernética dentro de la organización.
Los programas de concienciación son especialmente importantes, ya que el error humano es una de las principales causas de las filtraciones de datos, en particular al ser víctima de ataques de ingeniería social como el phishing y la suplantación de identidad por correo electrónico.
La falta de concienciación sobre la ciberseguridad también es un factor importante que contribuye al fracaso del SGSI, por lo que es aún más importante asegurarse de que su organización cuenta con programas de educación y concienciación.
11. Llevar a cabo la auditoría interna y la revisión de la gestión
Después de crear conciencia sobre el SGSI y sus políticas y procedimientos, deberá realizar una auditoría interna y una revisión de la gestión. Estos procedimientos ayudan a garantizar que los objetivos sigan siendo relevantes y a identificar cualquier cambio necesario en el SGSI.
La auditoría debe ser realizada de forma independiente, es decir, por alguien que no haya participado en el proceso de implementación. Cuanto menor sea el alcance del SGSI, más rápido será el proceso de auditoría.
Asegúrese de que el auditor sea competente y tenga experiencia: un auditor líder de ISO 270001 sería el más calificado para realizar el trabajo.
Las auditorías internas deben realizarse al menos una vez al año, si es posible, de lo contrario, al menos una vez cada tres años.
Contar con el apoyo de su equipo ejecutivo al SGSI es crucial. Si ocurre un incidente de seguridad o hay cualquier otro problema relacionado, la alta dirección será responsable de aprobar cualquier decisión financiera o política. Este proceso es mucho más ágil si ya están al día con las políticas, procedimientos y últimas actualizaciones y revisiones del SGSI a través de revisiones continuas de la dirección.
Una solución de supervisión automatizada puede ayudar a registrar cualquier incidente de seguridad, el tipo de incidente y otra información útil de informes para simplificar aún más las auditorías y revisiones.
12. Tomar medidas correctivas y realizar mejoras continuas
Después de todas las auditorías internas y revisiones de gestión, el equipo de implementación debe abordar cualquier problema (no conformidades) a través de acciones correctivas y mejoras. Su organización debe tratar de poner en marcha medidas preventivas para garantizar que las no conformidades no se repitan.
La forma más eficaz de abordar las no conformidades es profundizar más allá del problema visible identificando y resolviendo la causa raíz del problema. Realizar mejoras continuas en las políticas, procesos y procedimientos existentes garantiza que su SGSI siga siendo relevante y eficaz.
La acción y la mejora coherentes son especialmente importantes dada la rápida velocidad a la que surgen nuevas amenazas cibernéticas, lo que también consolida la necesidad de una supervisión continua.
13. Completar la auditoría de certificación
Si su organización busca la certificación ISO 27001, deberá participar en una auditoría externa.
Solo debe permitir que una organización de un organismo de certificación nacional que también sea miembro del Foro Internacional de Acreditación (IAF) realice la auditoría para asegurarse de que está recibiendo la certificación autorizada.
Una vez que reciba la certificación, es importante mantener una estrategia a largo plazo, continuar realizando auditorías internas y revisiones de gestión periódicas, y practicar la mejora continua para cumplir con la norma ISO 27001.
UpGuard es una solución inteligente de monitoreo de superficie de ataque que le permite evaluar el cumplimiento interno y de terceros con respecto a ISO 27001 y otros estándares de seguridad reconocidos. Con las plantillas de cuestionarios de seguridad integradas de UpGuard, puede mapear claramente los resultados del cuestionario ISO 27001 de sus proveedores con los requisitos de cumplimiento.
La plataforma también utiliza el escaneo automatizado para detectar riesgos adicionales que podrían afectar su cumplimiento o el de sus proveedores con la norma ISO 27001. Estos riesgos se asignan a secciones específicas del marco de cumplimiento, lo que le permite identificar rápidamente las áreas que necesitan mejoras.