ISO 27002

ISO 27002

¿Qué es la ISO 27002?

ISO 27002 es una norma internacional que proporciona directrices de seguridad para las mejores prácticas de gestión de la seguridad de la información. Esta norma fue publicada por la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC). ISO 27002 es parte de la familia de normas ISO 27000, que son un conjunto de estándares para la seguridad de la información.

 

Principales aspectos y enfoques

 

La ISO 27002 aborda una amplia gama de aspectos relacionados con la seguridad de la información, incluyendo:

 

• Políticas de seguridad: Establece la importancia de desarrollar políticas claras y definidas que guíen las acciones y decisiones en materia de seguridad de la información.

 

• Gestión de activos: Proporciona directrices para identificar, clasificar y proteger los activos de información de una organización, incluyendo datos, equipos, software y recursos humanos.

 

• Control de accesos: Define prácticas para garantizar que el acceso a la información esté restringido a usuarios autorizados y que se implementen controles adecuados para proteger los sistemas y datos.

 

• Seguridad física y del entorno: Aborda la importancia de proteger los recursos físicos que albergan la información, como los centros de datos, mediante medidas de seguridad como controles de acceso y vigilancia.

 

• Operaciones seguras: Establece directrices para garantizar la seguridad durante las operaciones diarias, incluyendo la gestión de contraseñas, la gestión de incidentes y la monitorización de la seguridad.

 

• Desarrollo seguro: Proporciona recomendaciones para integrar la seguridad en todas las etapas del ciclo de vida del desarrollo de software, desde el diseño hasta el mantenimiento.

 

• Gestión de incidentes: Define procesos para detectar, gestionar y responder a incidentes de seguridad de manera efectiva, minimizando el impacto en la organización.

 

La ISO 27002 es importante por varias razones:

 

Estándar reconocido internacionalmente: Al ser un estándar internacional, la ISO 27002 es reconocida y aceptada en todo el mundo, lo que facilita la adopción y el cumplimiento de las mejores prácticas en seguridad de la información.

 

Enfoque integral: La norma aborda todos los aspectos relevantes de la seguridad de la información, proporcionando un marco completo para la gestión de la seguridad que ayuda a las organizaciones a identificar y mitigar riesgos de manera efectiva.

 

Mejora continua: La ISO 27002 promueve la mejora continua al establecer procesos para la evaluación y el ajuste constante de las medidas de seguridad, lo que permite a las organizaciones adaptarse a los cambios en el entorno de seguridad.

 

Cumplimiento regulatorio: Cumplir con los requisitos de la ISO 27002 puede ayudar a las organizaciones a cumplir con regulaciones y estándares de seguridad de la información específicos de su industria o jurisdicción.

 

 

 

 

Aplicabilidad de la norma ISO 27002

La norma ISO 27002 es aplicable a todas las organizaciones, independientemente de su tamaño o sector. Esta norma es especialmente útil para las organizaciones que buscan establecer, implementar, mantener y mejorar continuamente un sistema de gestión de la seguridad de la información (SGSI). También es útil para las organizaciones que buscan asegurar sus activos de información mediante la aplicación de controles de seguridad de la información.

 

 

Estructura

La norma ISO 27002 está estructurada en varias secciones. La sección principal es la Sección 5, que proporciona directrices para 14 dominios de control de seguridad de la información. Cada dominio de control contiene objetivos de control y controles. Los objetivos de control proporcionan los resultados deseados de la implementación de controles de seguridad de la información. Los controles son las acciones o actividades que se pueden llevar a cabo para alcanzar los objetivos de control.

 

La ISO 27002, al igual que otras normas de la serie ISO 27000, sigue una estructura común que se basa en el ciclo de mejora continua Planificar-Hacer-Verificar-Actuar (PDCA) y está alineada con el Anexo SL, que es un marco común para todas las normas de sistemas de gestión. A continuación, se presenta la estructura general de la ISO 27002:

 

Introducción

En esta sección se proporciona una visión general de la norma, incluyendo su alcance, propósito y contexto dentro del marco de seguridad de la información.

 

Alcance

Define los límites de aplicación de la norma, especificando qué aspectos de la seguridad de la información se abordan y qué tipo de organizaciones pueden beneficiarse de su implementación.

 

Referencias normativas

Lista las referencias a otras normas, documentos y recursos que son relevantes para comprender e implementar la ISO 27002 de manera efectiva.

 

Términos y definiciones

Define los términos clave utilizados en la norma para garantizar una comprensión común y coherente de los conceptos relacionados con la seguridad de la información.

 

Contexto de la organización

Esta sección se centra en comprender el contexto interno y externo de la organización, incluyendo sus necesidades y expectativas relevantes para establecer un sistema de gestión de la seguridad de la información eficaz.

 

Liderazgo

Describe el compromiso y la responsabilidad de la alta dirección en relación con la seguridad de la información, incluyendo la asignación de roles y responsabilidades, así como la promoción de una cultura de seguridad.

 

Planificación

En esta sección se aborda la planificación estratégica de la seguridad de la información, incluyendo la evaluación de riesgos, el establecimiento de objetivos y la elaboración de planes de acción.

 

Soporte

Se centra en los recursos necesarios para implementar y mantener el sistema de gestión de la seguridad de la información, incluyendo recursos humanos, infraestructura, comunicación y competencia.

 

Operación

Describe los procesos y actividades necesarios para implementar y ejecutar las medidas de seguridad de la información, incluyendo el control de accesos, la gestión de cambios y la gestión de incidentes.

 

Evaluación del desempeño

Se refiere a la monitorización, medición, análisis y evaluación del desempeño del sistema de gestión de la seguridad de la información, con el fin de identificar áreas de mejora y tomar medidas correctivas.

 

Mejora

Esta sección se centra en la mejora continua del sistema de gestión de la seguridad de la información, mediante la revisión periódica de su eficacia y la implementación de acciones para corregir deficiencias y adaptarse a cambios en el entorno.

 

Anexos

Puede incluir anexos adicionales con información complementaria, ejemplos o herramientas que faciliten la implementación y comprensión de la norma.

 

 

Controles

Los controles en la norma ISO 27002 están diseñados para mitigar los riesgos de seguridad de la información. Estos controles abarcan áreas como la política de seguridad, la organización de la seguridad de la información, la gestión de activos, la seguridad humana, la seguridad física y del entorno, la gestión de las comunicaciones y operaciones, el control de accesos, la adquisición, desarrollo y mantenimiento de sistemas de información, la gestión de incidentes de seguridad de la información, la gestión de la continuidad del negocio, y el cumplimiento.

 

 

Ventajas de seguir las directrices de la norma ISO 27002

Seguir las directrices de la norma ISO 27002 tiene varias ventajas. En primer lugar, ayuda a las organizaciones a proteger sus activos de información mediante la implementación de controles de seguridad de la información efectivos. En segundo lugar, ayuda a las organizaciones a cumplir con los requisitos legales y regulatorios relacionados con la seguridad de la información. En tercer lugar, puede mejorar la reputación de una organización al demostrar su compromiso con la seguridad de la información.

 

 

Diferencia entre la ISO 27001 y 27002

La principal diferencia entre ISO 27001 e ISO 27002 es que ISO 27001 es una norma certificable que establece los requisitos para un SGSI, mientras que ISO 27002 proporciona directrices para las mejores prácticas de gestión de la seguridad de la información. En otras palabras, ISO 27001 especifica qué hacer, mientras que ISO 27002 proporciona orientación sobre cómo hacerlo.

 

 

¿Es certificable la ISO 27002?

A diferencia de la ISO 27001, la ISO 27002 no es una norma certificable. Sin embargo, las directrices proporcionadas por la ISO 27002 pueden ayudar a las organizaciones a implementar un SGSI que cumpla con los requisitos de la ISO 27001, lo que puede llevar a la certificación ISO 27001.

 

En resumen, la norma ISO 27002 es una herramienta valiosa para las organizaciones que buscan mejorar su gestión de la seguridad de la información. Aunque no es una norma certificable, proporciona directrices valiosas que pueden ayudar a las organizaciones a proteger sus activos de información y cumplir con los requisitos legales y regulatorios.

 

 

 

 

¿Le gustaría certificarse en la ISO 27001?

En Seifti le asistiremos en el uso, propósito y aplicación de esta certificación de seguridad de manera que cumpla con los requisitos de la ISO 27001.

 

Le introducimos en la terminología aplicable a la ISO 27001 y le ayudaremos a determinar el alcance del Sistema de Gestión de la Seguridad de la Información.

 

¡Realice una auditoría con Seifti y establezca los controles apropiados para proteger su empresa!