ISO 27001. Cesar Israel Angulo Arias. Benito Eduardo Rodríguez Azcona. Yolanda Patricia Estrada Gutiérrez. Alejandra Estefanía Órnelas Reyes. Indira Anahi Larraz Vallin.

Introducción. La información es un activo que como otros activos importantes tiene valor y requiere en consecuencia una protección adecuada; la norma ISO 27001, es una norma certificable que define el sistema de gestión de la seguridad de la información (SGSI). Adopta el modelo Ciclo de PDCA, para establecer, implementar, monitorear, revisar y mantener el SGSI. A continuación veremos a detalle esta norma.

¿Qué es ISO 27001? La norma ISO 27001 define cómo organizar la seguridad de la información en cualquier tipo de organización, esta norma constituye la base para la gestión de la seguridad de la información. La ISO 27001 es para la seguridad de la información su objetivo es proporcionar una metodología para la implementación de la seguridad de la información en una organización.

Ventajas: Mejor comprensión de las exigencias del negocio. Protección de la información ante las amenazas. Fácil identificación de las debilidades. Disponibilidad continua de la información. Alto nivel de confianza con sus colaboradores. Disminución del riesgo de dañar la imagen corporativa.

Que contiene la ISO 27001.

Fases. La norma ISO 27001 determina cómo gestionar la seguridad de la información a través de un sistema de gestión de seguridad de la información. El ciclo de estas cuatro fases nunca termina, todas las actividades deben ser implementadas cíclicamente para mantener la eficacia del SGSI.

Mantenimiento y mejora. Las fases son las siguientes: Esta fase sirve para planificar la organización básica y establecer los objetivos de la seguridad de la información y para escoger los controles adecuados de seguridad. Planificación. Esta fase implica la realización de todo lo planificado en la fase anterior. Implementación. El objetivo de esta fase es monitorear el funcionamiento del SGSI mediante diversos canales y verificar si los resultados cumplen los objetivos establecidos. Revisión. El objetivo de esta fase es mejorar todos los incumplimientos detectados en la fase anterior. Mantenimiento y mejora.

Cómo se implementa: Para establecer y gestionar un Sistema de Gestión de la Seguridad de la Información en base a ISO 27001, se utiliza el ciclo continuo PDCA, tradicional en los sistemas de gestión de la calidad. Plan (planificar): establecer el SGSI. Do (hacer): implementar y utilizar el SGSI. Check (verificar): monitorizar y revisar el SGSI. Act (actuar): mantener y mejorar el SGSI.

Cómo se desarrolla la Certificación El Proceso de Certificación conforme a la ISO 27001 consta de dos fases. La Fase 1 de la auditoría sirve principalmente para conocer su empresa y su importancia para la seguridad. En la Fase 2 se comprueba el cumplimiento de cada unos de los requisitos de la norma. Fase I de la auditoría: Ámbito de aplicación y alcance • Comprensión y documentación • Definición del grado de preparación para la certificación (Fase II) Fase II de la auditoría de certificación: •Comprobación de cumplimiento de los requisitos de la norma y su eficacia. •Visita a las instalaciones, verificación y elaboración del informe Vigencia: • Certificado para 3 años. • Auditoría anual. Entrega del Certificado y del Sello de Calidad de la Información una vez superada la Certificación.

Conclusión: La información, junto a los procesos y sistemas que hacen uso de ella, son activos muy importantes de una organización. Las organizaciones y sus sistemas de información están expuestos a un número cada vez más elevado de amenazas que, aprovechando cualquiera de las vulnerabilidades existentes, pueden someter a activos críticos de información a diversas formas de fraude, espionaje, sabotaje o vandalismo. Por eso es importante que se implemente la norma ISO 27001.

Bibliografía: IS & BCA. (2013). Conceptos básicos sobre ISO 27001. Recuperado el 12 de Marzo del 2013 en: http://www.iso27001standard.com/es/que-es-la- norma-iso-27001 SlideShare. (2009). Norma ISO 27001. Recuperado el 12 de Marzo del 2013 en: http://www.slideshare.net/DEATHWOMAN/norma- iso-27001 ISO 27001 Security. (2013). ISO 27001. Recuperado el 12 de Marzo del 2013 en: http://www.iso27001security.com/html/27001.html TUV-SUD. (2012). ISO 27001. Recuperado el 12 de Marzo del 2013 en: http://www.tuv- sud.es/uploads/images/1350635458019372390409/pdf 2-0039-iso-iec-27001-es-260412.pdf