¿Qué es la ISO/IEC 27001, explicada de forma sencilla?

La ISO/IEC 27001 es la norma internacional para gestionar un sistema de gestión de la seguridad de la información: una forma repetible de que una organización decida qué riesgos de seguridad importan, los trate y mejore de forma continua. No impone un conjunto de herramientas. Exige entender el contexto y las obligaciones, comprometer a la dirección y asignar responsabilidades, evaluar los riesgos, elegir controles para tratarlos, aplicarlos, medir cómo funcionan, realizar auditorías internas y revisiones por la dirección, y corregir lo que falle. Su anexo enumera controles de referencia, desde políticas y gestión de proveedores hasta registro, monitorización y seguridad de redes, y usted justifica cuáles aplica. Una organización puede hacer que un organismo de certificación acreditado la audite y le emita un certificado, que es lo que suelen pedir los clientes. La certificación cubre un alcance definido, así que compruebe siempre qué sedes, servicios y equipos incluye realmente el certificado. Para una empresa mediana es un proyecto serio, sobre todo de personas y procesos más que de tecnología.

← Las 15 preguntas sobre Normas de seguridad: ISO 27001, SOC 2Todos los temas