Déjenos que se lo expliquemos. La certificación ISO 27001 no es un paseo por el parque, y sus retos no son como montar en bicicleta. Con desafíos, surgirán retos. Cuando surgen retos, se cometen errores. Sin embargo, los errores son la prueba de que lo está intentando. Sólo asegúrate de no cometerlos dos veces.
Todos cometemos errores. Esto no es diferente del camino hacia la certificación ISO 270001: la certificación oficial que garantiza que su organización gestiona sus datos de forma segura. Hemos resumido los escollos más comunes que puede encontrar durante la implantación de la norma ISO 27001. Hoy vamos a compartirlos con usted.
ISO 27001: Afrontar el alcance
“Alcance [ skohp ] – sustantivo – Extensión del área o materia que algo trata o para la que es relevante.” Al certificar para ISO 27001, definir el alcance adecuado para implantar un SGSI (Sistema de Gestión de la Seguridad de la Información) puede ser complicado. Puede ser demasiado ambicioso o insuficiente. Adoptar un enfoque demasiado ambicioso puede llevar a no alcanzar los objetivos y a desmotivar al equipo. Por otro lado, las organizaciones que exprimen demasiado su alcance probablemente se encontrarán con no conformidades durante la auditoría de certificación, ya que no pueden demostrar que controlan plenamente su SGSI.
Falta de funciones y responsabilidades
Nunca considere el proyecto de implantación de ISO 27001 como un proyecto de TI en el que sólo intervienen recursos de ese departamento. La certificación ISO 27001 es un proyecto que afecta a toda la organización y a todas sus partes interesadas. Es necesario identificar a todos los implicados y comunicar sus funciones y responsabilidades a toda la organización. Además, para ayudar a evitar que el SGSI se desmorone debido a cambios en el personal clave, recomendamos que todas las empresas señalen a un superviviente designado con conocimientos generales del SGSI. Netflix nos enseñó bien.
No conocer el valor de ISO 27001
Por desgracia, algunas organizaciones perciben su huella cibernética como insignificante y no ven el valor añadido de la certificación ISO 27001. Es una lástima. ISO27001 orienta la implementación de medidas adecuadas para mitigar los riesgos de privacidad y seguridad, con medidas técnicas recomendadas en línea con los requisitos del GDPR. Le ayuda a cumplir con el GDPR, ya que proporciona un excelente punto de partida para las organizaciones que buscan implementar las medidas técnicas y organizativas que son necesarias para reducir el riesgo de una violación de datos.
También puede leer: Las 10 mejores herramientas de software de certificación ISO 27001
Falta de vigilancia tras la certificación
Es habitual que las organizaciones respiren aliviadas al recibir la certificación inicial. Sin embargo, existe el riesgo de que entren demasiado en “modo relajación” y sigan siendo víctimas de las trampas comunes de la norma ISO 27001. La norma ISO 27001 es un proceso continuo que debe mantenerse durante todo el año, no sólo durante la auditoría. Todo debe mantenerse para demostrar que el SGSI sigue funcionando.
Con un grupo de personas brillantes, una gran motivación y una modesta cantidad de formación, podrá sorprenderse a sí mismo. Tómese su tiempo para definir su alcance, identificar los obstáculos, crear un equipo sólido, tener en cuenta a toda la organización y preparar su plan de comunicación. No subestime las victorias del proceso. Para concluir, debe asegurarse de que el SGSI es un proceso vivo que está integrado en la cultura de la organización, de modo que siga funcionando según lo diseñado después de recibir la certificación.
La certificación ISO 27001 es como la vida. Comete errores, aprende de ellos y mantente en el buen camino. Este camino merece la pena.
