Aplicaciones y alcance de la norma ISO 27001

Norma ISO 27001: Sistema de Seguridad de la Información

Las empresas interesadas en salvaguardar su información y en garantizar su integridad, fiabilidad y el debido acceso a la misma, pueden adoptar los requisitos establecidos en la norma ISO 27001 sobre Seguridad de la Información. Recordemos que información es todo aquello que constituye el capital de una compañía.

La información ante los avances tecnológicos

Internet ha llegado para quedarse. Cada vez son más los procesos que se desarrollan en la gran red a la que todos tenemos acceso y que, de alguna forma, se ha incorporado a nuestros hábitos de consulta, trabajo, estudio y hasta ocio.

Sin embargo, sería un error pensar que la importancia de este recurso sólo pasa por que los procesos que antes tenían un soporte físico se han mudado al formato digital. Si bien esto es cierto, no es la única razón para que actualmente se haga tanta insistencia en la necesidad del dominio de Internet.

En realidad, su principal aporte es que ha creado un lenguaje propio y ha fijado nuevos mecanismos de interacción que en ningún caso habrían podido materializarse con los formatos y las herramientas tradicionales. He ahí el plus que supone.

Esto, sin embargo, genera a la vez nuevos retos, como por ejemplo el de la seguridad informática, la privacidad, la integridad y el acceso a ciertos datos, no sólo en el plano individual sino también en el escenario corporativo.

Las TIC, las empresas y la norma ISO 27001

A partir de la década de los 90, las empresas en todo el mundo empezaron a incorporar las denominadas Tecnologías de la Información y la Comunicación, que básicamente eran sistemas que hacían más ágiles y flexibles sus procesos internos y les ayudaba a vincularse al naciente mundo digital  informático.

Ante los múltiples retos que surgieron, la primera solución que se intentó aplicar fue la que proponía la norma ISO 9001 sobre Gestión de Calidad. Sin embargo, pronto quedó en evidencia que, si bien reportaba beneficios de carácter interno, no suplía todas las necesidades propias de  este terreno.

Surgió, entonces, la norma ISO 27001. En ella se unificaron los criterios y los requisitos más importantes para la gestión de la información corporativa. No importó cuál era el sector de cada compañía; la norma estaba diseñada para cualquier tipo de empresa que quisiera abordar el tema de forma estratégica.

En la actualidad, son muchas las organizaciones en el mundo que han implementado un Sistema de Gestión de Seguridad de la Información. Las más interesadas son las que tienen un trato directo con datos o información de carácter confidencial, aunque ello no es un requisito para adoptar los principios del estándar.

La norma también convoca a aquellas organizaciones que actualicen o modifiquen sus sistemas informáticos. ISO 27001 no sólo les proporciona herramientas para decidir cuál es el más indiciado, sino también para lograr que las opciones elegidas logren un enclave adecuado en la organización.

Otras normas de la familia ISO sobre las TIC

Si hablamos de la gestión de las TIC, la norma ISO 27001 encuentra grandes aliados en otros estándares de la familia ISO. Algunos hacen énfasis en el Sistema de Seguridad en sí mismo y otros en aspectos como el dominio y la calidad del software. Repasemos las normas más significativas en este plano:

• Sistema de Gestión de Servicios TI SGSTI (UNE-ISO/IEC 20000-1).
• Modelo de evaluación y mejora SPICE ISO 15504.
• Ciclo de vida del desarrollo del software ISO 12207.
• Sistema de Gestión de activos del software UNE-ISO 19770-1
• ISO/IEC 29110: perfiles de ciclo de vida de pequeñas entidades.
• Familia ISO 25000 sobre Calidad del Software.

¿Qué normas se benefician con la Gestión de Riesgos y Seguridad?

La Gestión de Riesgos y Seguridad es un deber de las empresas. A la hora de aplicar los principios de una norma como la ISO 27001 o cualquier otra perteneciente a la familia ISO sobre el manejo de las TIC, no existen limitaciones relativas a la naturaleza, tamaño, sector, estructura o modelo de financiación.

Esta vinculación con otros estándares resulta más sencilla con el manejo de ISOTools, como sucede con las normas de la Seguridad de la Información del sistema PMG SSI de los servicios públicos de Chile, entre otros ejemplos.