Las etapas clave en la implementación de ISO 27001 son las siguientes:

• Inicio y Compromiso de la Alta Dirección:

   – Identificar la necesidad de implementar ISO 27001.

   – Obtener el compromiso de la alta dirección para el proyecto.

• Establecimiento del Alcance del SGSI:

   – Definir qué activos de información estarán cubiertos por el SGSI.

   – Determinar los límites de alcance del SGSI.

• Iniciar el Análisis de Riesgos:

   – Identificar y evaluar los riesgos de seguridad de la información.

   – Determinar las amenazas, vulnerabilidades y el impacto potencial.

• Definición de la Política de Seguridad de la Información:

– Desarrollar una política de seguridad de la información que establezca los principios generales y los objetivos del SGSI.

• Planificación:

   – Establecer un plan de acción para abordar los riesgos identificados.

   – Definir controles de seguridad de la información para mitigar los riesgos.

• Implementación:

   – Implementar los controles y procedimientos de seguridad de la información.

   – Capacitar al personal en las prácticas de seguridad.

• Evaluación de Riesgos Residuales:

   – Evaluar nuevamente los riesgos después de la implementación de controles.

   – Asegurarse de que los riesgos residuales estén dentro de los límites aceptables.

• Auditoría Interna:

   – Realizar auditorías internas para evaluar la conformidad con ISO 27001.

   – Identificar áreas de mejora.

• Revisión por la Dirección:

   – La alta dirección revisa el desempeño del SGSI y las auditorías internas.

   – Se toman decisiones para mejorar el SGSI según sea necesario.

• Certificación Externa:

    – Contratar a un organismo de certificación externo para realizar una auditoría y emitir una certificación si se cumple con los requisitos de ISO 27001.

• Mantenimiento y Mejora Continua:

    – Continuar monitoreando y mejorando el SGSI a lo largo del tiempo.

    – Responder a cambios en riesgos y requisitos de seguridad.

Más información sobre los procedimientos de la ISO 27001.

La norma ISO 27001 sigue una estructura organizativa que consta de varias secciones, que proporcionan un marco para establecer, implementar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información (SGSI) en una organización. La estructura de la ISO 27001 se basa en el Anexo SL de ISO, que es una estructura común para todas las normas de sistemas de gestión, lo que facilita la integración con otros sistemas de gestión como ISO 9001 (calidad) o ISO 14001 (medio ambiente). A continuación, se describe la estructura de la norma ISO 27001:

• Introducción: Esta sección proporciona una visión general de la norma ISO 27001, sus objetivos y propósitos, y cómo se integra con otros sistemas de gestión.

• Ámbito: Define el alcance del SGSI, es decir, a qué áreas y procesos de la organización se aplica. Esto ayuda a establecer los límites y a clarificar qué activos de información están cubiertos.

• Referencias normativas: Enumera las normas y documentos de referencia que se utilizan en la norma ISO 27001.

• Términos y definiciones: Proporciona una lista de términos y definiciones clave utilizados en la norma para garantizar una comprensión común.

• Contexto de la organización: Esta sección se enfoca en comprender el entorno de la organización, sus partes interesadas, los requisitos legales y regulatorios, y otros factores que pueden afectar la seguridad de la información.

• Liderazgo: Establece los requisitos para el liderazgo y el compromiso de la alta dirección en relación con el SGSI. Incluye la designación de un responsable de seguridad de la información y la definición de roles y responsabilidades.

• Planificación: Aquí se trata la planificación del SGSI, incluida la identificación de riesgos, la evaluación de riesgos y la definición de objetivos de seguridad de la información.
• Soporte: Describe los recursos necesarios para el SGSI, como personal, infraestructura y competencia, y cómo se deben gestionar y proporcionar.

• Operación: Esta sección se centra en la implementación y el funcionamiento del SGSI, incluyendo la gestión de riesgos, la gestión de cambios, la seguridad de la información y la planificación de la continuidad del negocio.

• Evaluación del desempeño: Establece los requisitos para la monitorización y la medición del desempeño del SGSI, así como para la auditoría interna.

• Mejora: Se centra en la mejora continua del SGSI, utilizando los resultados de la monitorización, la auditoría y la revisión de la alta dirección.

• Anexo A (ISO 27002: Lista de controles): En esta sección, se proporciona una lista de controles de seguridad de la información, junto con sus objetivos de control. Estos controles son seleccionados y aplicados según la evaluación de riesgos de la organización y son una parte esencial de la implementación de la ISO 27001.

  Cada sección de la norma ISO 27001 tiene requisitos específicos que deben cumplirse para lograr la certificación. La estructura y enfoque de la norma están diseñados para garantizar una gestión eficaz de la seguridad de la información en una organización.

Más información sobre las fases de implantación de la ISO 27001.

El Ciclo de Deming, también conocido como el ciclo PDCA (Planificar, Hacer, Verificar, Actuar), es un enfoque de mejora continua que se puede aplicar en diversas áreas, incluida la gestión de seguridad de la información en el contexto de la norma ISO 27001, veamos a continuación como se enfoca está en las diferentes etapas:

• Planificar (Plan – P): En esta etapa, la organización debe planificar su sistema de gestión de seguridad de la información (SGSI) de acuerdo con los requisitos de ISO 27001. Esto incluye la identificación de los activos de información, la evaluación de riesgos, la definición de políticas y objetivos de seguridad, y la planificación de controles de seguridad. Es importante establecer una base sólida para el SGSI.

• Hacer (Do – D): Una vez que se ha planificado el SGSI, se pasa a la implementación. Esto implica la ejecución de los planes, la implementación de controles de seguridad, la formación del personal y la creación de registros y documentación necesarios. Durante esta fase, la organización pone en práctica lo que ha planificado.

• Verificar (Check – C): En esta etapa, se realiza una evaluación y seguimiento del SGSI para asegurarse de que está funcionando de acuerdo con las políticas y procedimientos establecidos. Esto implica la realización de auditorías internas, la medición del desempeño de la seguridad de la información y la evaluación continua de los riesgos.

• Actuar (Act – A): Basándose en los resultados de la fase de Verificar, la organización toma medidas para corregir y mejorar el SGSI. Esto puede incluir la implementación de acciones correctivas y preventivas, la actualización de políticas y procedimientos, y la introducción de mejoras continuas en el sistema.

El Ciclo de Deming se repite de forma continua para lograr una mejora continua en la gestión de la seguridad de la información. Cada vez que se completa el ciclo, se retroalimenta para hacer ajustes y mejoras adicionales en el SGSI de acuerdo con los cambios en el entorno de amenazas, los avances tecnológicos y los requisitos organizativos. Esta metodología de mejora continua es fundamental para mantener la efectividad y la relevancia del SGSI en el tiempo, lo que es esencial para cumplir con los objetivos de ISO 27001.

Estructura de la ISO/IEC 27001 en el ciclo PDAC

Más información sobre las novedades de la Norma ISO 27001.