Respecto de la norma ISO27001:2013, cabe destacar que pese a los cambios estructurales, en esencia sigue dividida en dos partes fundamentales, los requisitos y los controles específicos. Hoy nos centraremos en los requisitos.
Éstos comprenden de los puntos 4 a 10 de la norma. Es importante incidir que, cualquier sistema de gestión que quiera certificarse por la norma ISO27001:2013 deberá incluir estos puntos referenciados. La ausencia de alguno de ellos, impediría la obtención de la certificación.
A continuación se exponen cada uno de los requisitos con una breve reseña de lo que debería contener para optar con garantías a pasar una auditoría, y con algún punto adicional como es el primero de alcance que no debe ser obviado.
1 Alcance
Punto de partida de los sistemas de gestión, debe quedar reflejado de forma clara y exacta qué procesos o qué partes del negocio de la organización queremos certificar o aplicar el SGSI.
Es un requisito que debe estar documentado para su revisión.
En él se debe incluir los procesos a certificar, y también como complemento, las exclusiones o apartados que no deseamos sean auditados.
Cuanta mayor sea la aclaración, mayor facilidad encontrará el auditor para efectuar su labor.
4 Contexto de la
organización
Deben tenerse claros qué problemas pudieran ocasionarse en la organización derivado de la actividad o de los mercados o países donde opere, tanto relativos a la propia organización como a problemas que surjan que pudieran ser ajenos a ella.
Algunos deben referirse a las partes interesadas, como por ejemplo requisitos legales derivados de la ejecución de un contrato.
Por otra parte, la actividad y los procesos de la organización determinan también la política de seguridad, objetivos y el estudio de los riesgos así como sus posibles consecuencias en caso de materialización.
Parece claro este aspecto, no siendo aplicables los mismos riesgos y amenazas a unos sistemas SCADA que a una pyme de envío de paquetería.
5 Liderazgo
Este aspecto se relaciona directamente con la alta dirección, referidos a los compromisos que adquiere tras la implementación y puesta en operación de un SGSI.
Algunos de los puntos clave que afectan a la dirección son:
- Provisión de recursos para su implementación
- Comunicación de la importancia de la seguridad de la información en los procesos de la organización.
- Definiendo responsabilidades y asignándolas, comunicándolas apropiadamente.
Toda la organización debe estar involucrada en la seguridad de la información, incluida dentro de los procesos de la organización y, como es comprensible, la dirección debe ser pieza tractora y fundamental del cumplimiento de la misma y dando ejemplo al resto de los empleados y de la organización para la creación de una verdadera "cultura de seguridad".
6 Planificación
Los objetivos del SGSI deben ser definidos de forma clara en función del contexto y actividad de la organización.
Para ello se deben implementar planes concretos, con unas metas y objetivos prefijados (todos ellos realizables), asignando el personal y otros recursos necesarios para la puesta en marcha.
La migración de las plataformas existentes en la organización a una estructura SaaS pudiera ser un buen ejemplo en el que sin una planificación de plazos concreta respecto del hardware, software y personal involucrado en la implantación podría ser un cúmulo de despropósitos y retrasos en la entrega o implantación.
7 Soporte
Alineado con las responsabilidades de la alta dirección, es un aspecto que permite sostener las actuaciones en cuanto a seguridad se refiere. Muy relacionado con los recursos a suministrar para el éxito de las operaciones.
El soporte debe ser tanto hardware, como software y de personal (en muchos casos se obvia el conocimiento del mismo y suele resultar punto clave para la implementación satisfactoria de soluciones complejas).
La documentación de los procesos de trabajo e instrucciones de seguridad es otro punto fuerte a revisar para la integración y conocimiento de la seguridad en todos los niveles de la organización (plan de comunicación empresarial).
8 Operaciones
Los procesos de seguridad de la información deben ser verificados. Para ello, un plan de identificación y tratamiento de riesgos puede ser una buena herramienta para detectar en los procesos a certificar que éstos se implementan de forma correcta.
Los procesos de asignación de permisos en el sistema deben mantener siempre la independencia respecto de los perfiles que autorizan los accesos (Directores de departamento o área) de los perfiles que implementan esa solución en el sistema de información (Técnicos TI).
9 Evaluaciones del
desempeño
Herramientas de medición del estado del SGSI, verificando que se cumplen los objetivos previstos. Pueden ser por ejemplo auditorías internas o externas, reuniones por dirección para la mejora de los procesos y de la aplicación de seguridad en los mismos o revisiones planificadas para que técnicos efectúen comprobaciones minuciosas respecto de los parámetros establecidos.
La gestión de incidentes, reclamaciones o la participación mediante buzones de sugerencias son otros inputs a tener en cuenta para estas evaluaciones.
La monitorización del sistema también es una muy buena fuente de conflictos y diferencias entre lo que "debería ser" y lo que al final sucedió.
10 Mejora
Muy relacionado con el punto anterior, tras la ejecución de las auditorías, se efectúan planes de mejora para subsanar dichas deficiencias. Como novedad, la versión ISO 27001:2013 suprime el concepto de acción preventiva.
La razón de la misma es que se focaliza y gana en importancia las evaluaciones de riesgos y los planes de gestión del riesgo. Si se efectúan verificaciones y estudios sobre los riesgos que aplican a los generadores o grupos electrógenos (por poner un ejemplo), ya se puede considerar como una acción preventiva ( en el supuesto caso de que se vean acciones de mejora y derivado de la evaluación de riesgos se pongan planes en marcha para su optimización).
Por último, y no menos importante, se encuentra la declaración de aplicabilidad (Statement of Applicability) que junto con el establecimiento de un plan de evaluación y gestión del riesgo, son algunos de los requisitos fundamentales de la norma ISO 27001:2013.
En ella se deben incluir (o excluir justificadamente) los riesgos que no aplican a la organización, bien por no efectuarse en la misma, bien porque los riesgos son asumidos o por cualquier otra causa justificada, así como los riesgos a tratar por su probabilidad de ocurrencia. Estos riesgos se trazan con los controles incluidos en el Anexo A de la norma, que ampliaremos en siguientes post.
Espero que les haya servido.
Saludos a todos.
En esencia, las modificaciones efectuadas no son excesivas, ya que la idea fundamental sigue estando vigente, es decir, efectuar una valoración lo más objetiva posible de las amenazas que pueden afectar a la organización y que, en el caso de que estas se materializaran, estimar el impacto que podría ocasionar a los activos de la organización.
Las mediciones de los riesgos obtenidos y sus oportunidades de mejora deben hacer referencia específicamente al contexto de la organización y a los requisitos a cumplir, respecto de la organización, accionistas, partes interesadas y el entorno de la misma. También deben tenerse en cuenta las expectativas generadas en la organización, así como las necesidades de las partes interesadas.
Puede tomarse como referencia el Anexo A ISO 27001:2013, en el que se dispone un listado de controles que sirven para orientarse en las posibles acciones a efectuar para reducir los riesgos (pueden incluirse acciones adicionales además de las referidas en este Anexo A). Estas acciones pueden formar parte de un plan más complejo, llamado "Plan de Tratamiento de Riesgos" el cual debe contener todas las acciones planificadas, con sus dueños y responsables en los que se intenta mediante salvaguardas técnicas u organizativas, reducir el posible impacto de las amenazas sobre los activos de información. Este plan de tratamiento de riesgos toma su importancia ya que es el origen de la eliminación de las conocidas como "Acciones preventivas" ya que el plan de tratamiento de riesgos aglutina todas estas actuaciones, y se pueden considerar como acciones preventivas en sí ya que los riesgos aún no se han materializado. Este plan de tratamiento de riesgos debe ser aprobado 
