La lista de información documentada para la certificación ISO 27001 es larga. Sin embargo, no toda la documentación es obligatoria y su auditor no va a querer examinar necesariamente todo lo que ha recopilado. Pero, como siempre decimos, más vale prevenir que curar.
Hemos elaborado una lista de documentos obligatorios para ayudarle a dar el primer paso en su viaje hacia la certificación.
Pero antes, respondamos a algunas preguntas sobre otros elementos obligatorios de la norma ISO 27001.
¿Cuántos requisitos obligatorios se necesitan para la ISO 27001?
Según la lista de un vistazo de Compleye, hay 8 requisitos para la certificación ISO 27001:
- Implantar un sistema de gestión de la seguridad (SGSI)
- Realizar una evaluación de riesgos
- Desarrollar políticas y procedimientos de seguridad
- Implantar controles para mitigar los riesgos identificados
- Supervisar y revisar la eficacia del SGSI
- Mantener registros del SGSI
- Comunicar el SGSI a todos los empleados
- Formar a los empleados en el SGSI
¿Cuántas cláusulas obligatorias hay en la ISO 27001?
En cuanto a las cláusulas, ISO 27001 consta de dos secciones. Parte 1 (que es la sección obligatoria) consta de 11 cláusulas que van desde la cláusula 0 a la cláusula 10
A continuación, la Parte 2, también conocida como Anexo A, consta de 114 (sí, ha leído bien, ¡ciento catorce!) controles. Estos controles son los que estructurarán su Declaración de Aplicabilidad (SoA);
¿Es obligatoria una auditoría interna para ISO 27001?
Sí. Y, si lo piensa (o incluso si no lo piensa), esto tiene todo el sentido porque una auditoría también le ayuda a verificar que su SGSI está funcionando como debería;
En nuestro artículo ‘Es la hora de la auditoría interna‘, ampliamos los entresijos de la auditoría interna.
¿Es el manual del SGSI un documento obligatorio?
No es obligatorio tener un manual del SGSI, pero es muy recomendable. Un manual del SGSI forma parte de unaestrategia integral de gestión de riesgos. Es una solución “todo en uno” para almacenar todos sus documentos y consultarlos de forma rápida y sencilla.
Y hablando de documentos, aquí está la lista que te prometimos:
Documentación ISO 27001 obligatoria
Aunque no existe una lista oficial de documentos obligatorios para ISO 27001, queríamos esbozar qué documentos debería considerar definitivamente recopilar. La lista en la que nos centraremos es la siguiente:
- Alcance del SGSI
- Política y objetivos de seguridad de la información
- Metodología de evaluación y tratamiento de riesgos
- Declaración de aplicabilidad
- Plan de tratamiento de riesgos
- Informe de evaluación de riesgos
- Definición de funciones y responsabilidades de seguridad
- Inventario de activos
- Uso aceptable de los activos
- Política de control de acceso
- Procedimientos operativos para la gestión de TI
- Principios de ingeniería de sistemas seguros
- Política de seguridad del proveedor
- Procedimiento de gestión de incidentes
- Procedimientos de continuidad de negocio
- Requisitos legales, reglamentarios y contractuales
Echemos un vistazo más de cerca a estos documentos, y proporcionemos algo de contexto para cada uno. Así tendrá una mejor idea de lo que puede esperar.
Alcance del SGSI (Cláusula 4.3)
Esto le dice a sus partes interesadas exactamente qué áreas de su negocio están cubiertas por su SGSI. Para proporcionar claridad a sus partes interesadas, es posible que desee proporcionar una declaración de visión y/o estrategia junto con el alcance de su SGSI. Recuerde que su alcance documentado del SGSI es el ingrediente clave para una certificación exitosa;
Política y objetivos de seguridad de la información
La alta dirección debe establecer una política de seguridad de la información que sea relevante para el propósito de su organización específica (¡así que nada de copiar a su colega!). La política demuestra que la alta dirección está comprometida con los objetivos del SGSI y su mejora continua;
Metodología de evaluación y tratamiento de riesgos
Debe mostrar cómo identifica, analiza, evalúa y prioriza sus riesgos de información. Decide lo que es apropiado para tu organización y escríbelo en un informe, una lista, una matriz o cualquier otro documento convincente que muestre cómo se están controlando tus riesgos.
Metodología de evaluación y tratamiento de riesgos
;
Declaración de Aplicabilidad
Un SoA hará a su auditor tan feliz como una almeja. En su artículo ‘The Benefits of the Statement of Applicability in ISMS Projects’, Jayakumar Sundaram explica que la SoA es “el enlace principal entre la evaluación y el tratamiento de riesgos…. La SoA es un documento continuamente actualizado y controlado que proporciona una visión general de la aplicación de la seguridad de la información.” Nosotros no podríamos haberlo dicho mejor;
Plan de tratamiento de riesgos
La cláusula 6.1.3 explicará lo que debe hacer para crear un plan de tratamiento de riesgos. En resumen, tendrá que proporcionar un proceso/procedimiento para tratar los riesgos de la información y demostrar que el proceso funciona eficazmente. Así de fácil;
Informe de evaluación de riesgos
Una vez identificados los riesgos, debe averiguar cuáles necesitan una evaluación más profunda y también cómo se activan las evaluaciones. Según Info-Savvy, “Una amplia evaluación de riesgos para la seguridad de la información debería realizarse como mínimo una vez al año.”
Definición de funciones y responsabilidades de seguridad
Hay varias maneras de mostrar claramente las funciones y responsabilidades. Puede que le interese echar un vistazo ala tabla RASCI en el kit de herramientas ISO27001.
Inventario de activos
No, no es necesario que enumere la máquina de café y el refrigerador de agua; sólo los activos de su sistema de TI, así como sus gestores/propietarios.
;
Inventario de activos
;
Uso aceptable de los activos
Es fundamental que disponga de directrices (y formación) sobre cómo utilizar los activos informáticos de su empresa, así como sobre quién puede utilizarlos. Todo el mundo, incluidos contratistas y trabajadores temporales, debe poder acceder a las normas sobre el uso de tus activos informáticos. También es posible que desee fijar algunas directrices sobre cómo utilizar la máquina de café y el refrigerador de agua;
Política de control de acceso/Política de gestión de acceso
Combinar una política general de control de acceso con directrices específicas de acceso controlado relacionadas con contraseñas, cortafuegos, VPN, etc. es una idea excelente. Todas ellas deben revisarse y modificarse periódicamente;
Procedimientos operativos para la gestión de TI
Deben generarse, difundirse y mantenerse procedimientos operativos de alta calidad, fáciles de leer y comprender.
Principios de ingeniería de sistemas seguros
El control 8.27 es un control preventivo. Asegura que eliminas las amenazas a la CIA. No, ¡esa no! La Confidencialidad, Integridad y Disponibilidad de sus activos de información;
Política de seguridad del proveedor aka Política de gestión del proveedor
Mientras que usted puede controlar (casi) todo lo que ocurre dentro de los límites de su organización, la seguridad de sus proveedores es algo que escapa a su control. Por lo tanto, asegúrese de comprobar que cuentan con sus propias políticas de seguridad
Procedimiento de gestión de incidentes
ISO 27001 define un incidente de seguridad como “un evento no deseado que podría poner en peligro la confidencialidad, integridad o disponibilidad de la información.” Tanto si se trata de unevento de phishing como de una brecha en el sistema informático, el procedimiento para hacer frente a un incidente debe incluir la rápida recogida de pruebas, un análisis forense, la comunicación sobre el incidente y, como en todas las cosas ISO, el mantenimiento de registros.
Procedimientos de continuidad de negocio
Independientemente de la gravedad de un incidente o suceso de seguridad que afecte a su empresa, debe ser capaz de mantener las funciones esenciales y continuar por el camino hacia la certificación. La gestión de la continuidad de negocio, una rama de la gestión de crisis, debe documentarse mediante estrategias, políticas, planes, procedimientos e informes;
Requisitos legales, reglamentarios y contractuales
Ah, el anexo A.18.1, esa cláusula complicada que hace tropezar a tantos aspirantes a la ISO Las empresas no se dan cuenta de la cantidad de leyes y reglamentos que les afectan. Sin embargo, su amable auditor quiere saber cómo ha abordado sus obligaciones legales, reglamentarias y contractuales;
Registros obligatorios ISO 27001
Registros de formación, habilidades, experiencia y cualificaciones
Gestionar un SGSI no es un juego de niños. Necesitas un equipo que tenga las habilidades y la formación no sólo desde el punto de vista de la seguridad, sino también desde el punto de vista de RRHH, legal, comercial, TI (y la lista continúa). Para demostrar el cumplimiento de estas normas, puedes elaborar fácilmente una tabla que muestre quién está implicado, qué hace y cuál es su experiencia;
Resultados del seguimiento y la medición
Este artículo del ICT Institute explica mejor la cláusula 9.1. “Supervisar es observar los datos creados durante un proceso o por un sistema. La medición, en cambio, requiere que los datos se recojan mediante una acción. Por ejemplo, puedes monitorizar la disponibilidad de tu sitio web comprobando el porcentaje de tiempo de actividad de tu servidor web mediante un cuadro de mandos, o medir la disponibilidad contando cuántos informes de caídas del servidor se han creado en tu sistema de tickets.” Tiene sentido, ¿verdad?
Programa de auditoría interna
Como se mencionó anteriormente, usted necesita una auditoría interna como el desierto necesita la lluvia (hay una canción en alguna parte). Y la necesita regularmente para asegurarse de que su SGSI (Sistema de Gestión de Seguridad de la Información) sigue cumpliendo las normas ISO 27001 y para facilitar la mejora continua.
Resultados de las auditorías internas
De nada sirve realizar una auditoría interna si no se registran los resultados. El informe debe contener:
- Revisiones de la documentación
- Muestreo de las pruebas
- Entrevistas con personal clave del SGSI
- Entrevistas con otros miembros del personal e incluso contratistas externos
- Evaluaciones de resultados
Resultados de la revisión por la dirección
No hace falta decir (pero lo diremos de todos modos) que el propósito de una revisión por la dirección es informar y proporcionar pruebas a la alta dirección de que el SGSI implantado y sus objetivos siguen dando muestras de eficacia, transparencia e integridad
Resultados de las acciones correctivas
Una vez que se ha identificado un riesgo, se deben tomar acciones correctivas. Las acciones (desde el descubrimiento hasta la corrección) deben documentarse, a veces mediante registros, de forma que se demuestre que las medidas correctoras adoptadas fueron eficaces.
Registros de actividades de usuarios, excepciones y eventos de seguridad
Al registrar actividades, excepciones y eventos, recuerde que en los registros de eventos podría utilizarse información privada, sensible y/o personal, por lo que deben implementarse adecuadamente medidas de privacidad. ¡Sin excepciones!
Obtenga ayuda con la recopilación de sus documentos ISO 27001 obligatorios
Tenga en cuenta que su auditor elegirá lo que quiere ver. Así que, para que su auditoría sea lo más fácil posible, lo mejor es prepararse asegurándose de que tiene todos los documentos correctos y de que están ordenados, archivados e indexados para facilitar el acceso;
La mejor manera de asegurarse de que tiene todas las bases cubiertas es utilizar una plataforma en línea que le proporcione la orientación y las herramientas que necesita para obtener la certificación;
Reserve una demostración con Compleye para ver cómo podemos ayudarle a recopilar sus documentos obligatorios ISO 27001.
