Cuando se trata de la ISO27001 es vital que realice un seguimiento de la eficacia de su SGSI. Aunque ISO27001 no da KPIs exactos o proporciona un esquema de cómo realizar un seguimiento de la eficacia de su SGSI, es importante evaluar periódicamente el rendimiento de sus medidas de seguridad.
Para hacerle la vida un poco más fácil, hemos definido algunos ejemplos de KPI ISO 27001, como incidentes de seguridad, formación de empleados y tiempo de respuesta a incidentes para ayudarle a mejorar su postura de seguridad de la información.
¿Por qué el cumplimiento y por qué los KPI de ISO27001?
El número de certificados ISO 27001 válidos en todo el mundo saltó de 36.000 en 2019 a 58.000 en 2021.
¿Por qué?
Porque las brechas de datos y los ciberataques van en aumento gracias a la evolución de sistemas en línea cada vez más complejos y de industrias más ilícitas que comercian con datos.
Por qué?
Debido a las complejidades de la seguridad en línea, el cumplimiento de la seguridad de la información es vital. Pero, al igual que la seguridad cibernética, el cumplimiento es un proceso siempre cambiante y complejo, y aunque sería genial poder obtener la certificación y luego relajarse, eso no es realista
Antes, durante y después de la certificación ISO 27001, su organización necesita estar al tanto de su SGSI, realizando un seguimiento constante de su rendimiento. Su organización necesita estar al tanto de su SGSI, realizando un seguimiento constante de su rendimiento
La mejor manera de hacer esto es diseñar los KPI de la ISO 27001 que puede utilizar para asegurarse de que se mantiene en el buen camino con su gestión de la seguridad.
La norma ISO 27001 describe las mejores prácticas para la seguridad de la información, y el seguimiento de los KPI permite a las organizaciones identificar áreas de mejora. Los KPI de la ISO 27001 garantizan un funcionamiento óptimo del SGSI.
En su artículo “2020 ISO Survey of Management System Standards reveals 17% increase in certifications“, el CQI afirma que hay muchos factores que están “cambiando el mundo del trabajo, incluyendo transformación digital y Calidad 4.0, y las exigencias de construir un futuro sostenible.”
Para seguir el ritmo de esta transformación, el cumplimiento es un pilar necesario en todas las empresas. Y, como cualquier pilar de rendimiento, el cumplimiento debe ser rastreado utilizando KPIs.
Por definición, un Indicador Clave de Rendimiento (KPI) es, ‘Un conjunto de medidas cuantificables utilizadas para medir el rendimiento global de una empresa’ – Investopedia. Cuando se trata de la norma ISO 27001, se deben definir los KPI para garantizar que su empresa está cumpliendo con sus objetivos de seguridad.
Utilizar el Capítulo 9 de la norma ISO 27001 es un buen punto de partida para definir un conjunto de KPI. Después de todo, el Capítulo 9 requiere que las organizaciones evalúen cómo está funcionando su SGSI y cuán efectivo es.
El capítulo 9 establece que, “La organización debe determinar lo que necesita ser monitoreado y medido, incluyendo los procesos y controles de seguridad de la información.” Usando esta instrucción, usted puede decidir muy fácilmente qué aspectos de su SGSI requerirán KPIs. Una vez que haya determinado esto, con el fin de realizar un seguimiento de un KPI, usted (o más bien, la gestión) debe asignar un objetivo a cada meta medible. Veamos algunos ejemplos de KPIs ISO 27001. Un gran ejemplo de un KPI al que se le puede asignar un objetivo y luego realizar un seguimiento es Incidentes de Seguridad
ISO define un incidente de seguridad como, “un evento no deseado que podría poner en peligro la confidencialidad, integridad o disponibilidad de la información”. Su alta dirección podría decidir que su empresa debe alcanzar un objetivo de menos de 3 incidentes al mes. O bien, podrían crear un objetivo relativo, por ejemplo, ‘Reducir los incidentes de seguridad en un 33% este mes’.
Por supuesto, los parámetros del KPI serán diferentes dependiendo de tu negocio y sector. Lo bueno de crear tus propios KPI es que la dirección puede adaptarlos en función de lo que ocurra en la organización. Por lo tanto, a medida que crezca, puede ajustar los parámetros de sus KPIs; si encuentra que sus KPIs son demasiado restrictivos, puede relajarlos.
Siempre y cuando cumpla con los objetivos de su SGSI y se mantenga fiel a su certificación ISO 27001, sus KPIs son suyos para definir. Según su artículo ‘Gestión de Riesgos de Ciberseguridad para Empresas Tecnológicas’, Security Scorecard sugiere utilizar las siguientes métricas de incidentes de seguridad para definir su KPI de incidentes de seguridad: Mantener un registro de los incidentes de seguridad es una cosa, pero aspirar a resolverlos en un tiempo determinado es vital.
Este KPI mide la eficacia del proceso de gestión de incidentes de una organización a la hora de responder y resolver los incidentes de seguridad de forma oportuna. El tiempo de resolución por incidente dependerá de: Al crear objetivos para este KPI, las siguientes son métricas razonables para una organización estándar: Para determinar la eficacia de la estrategia de resolución de incidencias, una vez establecidos los tiempos de resolución objetivo, será necesario determinar: Utilizando este KPI, puede minimizar el impacto potencial en las operaciones de su empresa y, por tanto, en su reputación. También proporciona información valiosa para que la dirección evalúe la eficacia del SGSI de su organización y tome decisiones informadas sobre la asignación de recursos y las iniciativas de mejora de procesos.
Cuando se trata de infecciones capturadas, el número variará en función de la eficacia del malware. Así, el número de infecciones capturadas podría aumentar porque tiene un malware superior y no necesariamente porque haya más infecciones de lo habitual.
Su KPI a la hora de determinar la eficacia de su software antimalware debería depender, por tanto, de qué porcentaje de sistemas están protegidos y tienen: Para medir este KPI, determine el número de sistemas que requieren protección antimalware y el número de sistemas que tienen la protección implementada. A continuación, puede calcular el porcentaje de sistemas protegidos por software antimalware dividiendo el número de sistemas con protección antimalware por el número total de sistemas que requieren protección.
La cláusula 5.3 se refiere a que la dirección se asegure de que las funciones, responsabilidades y autoridades están claras a la hora de designar un equipo responsable del SGSI. La cláusula 5.3 se refiere a que la dirección se asegure de que las funciones, responsabilidades y autoridades están claras a la hora de designar un equipo responsable del SGSI
Algunas organizaciones pueden utilizar el personal existente y no deberían necesitar nombrar a nuevos miembros del personal, mientras que otras necesitarán traer contratistas externos o nuevos empleados. Es importante que su organización se asegure de que hay una persona responsable general y de que determinadas funciones están cubiertas. Recuerde, sin embargo, que una persona puede cubrir más de un rol.
La responsabilidad del SGSI debe adoptar un enfoque descendente con la dirección liderando el camino y, de hecho, un alto ejecutivo podría fácilmente asumir el papel de, por ejemplo, un Director de Seguridad de la Información.
En una organización más grande, sin embargo, esto podría tener que ser un trabajo a tiempo completo.
Usualmente los siguientes roles son necesarios para asegurar que el SGSI se define y mantiene: Los cortafuegos son un componente clave de su SGSI y se utilizan para proteger las redes y los sistemas de accesos no autorizados. Asegurar el cumplimiento de las políticas de cortafuegos es crucial para mantener la eficacia del SGSI y proteger la información sensible.
Para medir con precisión la eficacia del cumplimiento de su política de cortafuegos, también debe tener en cuenta: Para asegurarte de que tus KPIs son útiles y precisos, es vital que: Este KPI mide la capacidad de su organización para identificar áreas de mejora en los procesos de seguridad de la información y tomar medidas para abordarlas. Este KPI mide la capacidad de su organización para identificar áreas de mejora en los procesos de seguridad de la información y tomar medidas para abordarlas
Las mejoras se pueden encontrar durante las actividades del SGSI, como las reuniones de seguridad o las auditorías internas periódicas del SGSI de su organización, que le ayudarán a evaluar su conformidad con los requisitos de la norma ISO 27001.
Durante estas actividades, su equipo identificará las áreas en las que se puede mejorar el SGSI, como en políticas, procedimientos o controles. Una vez identificadas estas áreas, su organización debe: Supervisando el número de mejoras identificadas y haciendo un seguimiento de su implantación, puede mejorar la eficacia de su SGSI y minimizar el riesgo de incidentes de seguridad.
Este KPI también proporciona información valiosa a su alta dirección para evaluar la eficacia del programa de seguridad de la información de su organización y tomar decisiones informadas sobre la asignación de recursos e iniciativas de mejora de procesos.
Identificando y abordando regularmente las áreas de mejora, podrá mantener una sólida postura de seguridad de la información. También mantendrá la confidencialidad, integridad y disponibilidad de sus activos de información sensible.
Para saber más sobre lo que constituye una no conformidad, consulte nuestro artículo 10 Ejemplos de No Conformidades ISO 27001, tanto Menores como Mayores. 10 Ejemplos de No Conformidades ISO 27001, tanto Menores como Mayores
Las no conformidades se pueden identificar a través de auditorías internas, auditorías externas u otras revisiones del SGSI.
El seguimiento del número de no conformidades identificadas puede proporcionar información valiosa sobre la eficacia de la aplicación del SGSI. Un alto número de no conformidades puede indicar que el SGSI no se está aplicando eficazmente, que hay lagunas en las prácticas de seguridad de la información de su empresa, o que hay una falta de comprensión de los requisitos de la norma ISO 27001.
Sin embargo, es importante tener en cuenta que el número de no conformidades por sí solo no es necesariamente un indicador de la eficacia del SGSI. Deberá tener en cuenta: Un pequeño número de no conformidades críticas puede ser más preocupante que un mayor número de no conformidades menores. Tampoco debería centrarse únicamente en reducir el número de no conformidades identificadas. En su lugar, utilice este KPI como una herramienta para mejorar continuamente su SGSI y las prácticas de seguridad de la información.
Eso significa que tendrá que: El propósito de las revisiones por la dirección es evaluar el rendimiento del SGSI, identificar áreas de mejora y asegurar que el sistema está alineado con las metas y objetivos de su organización. La revisión de la gestión también puede proporcionar información sobre el nivel de compromiso y la participación de la alta dirección en las prácticas de seguridad de la información de la organización.
Las revisiones por parte de la dirección deben llevarse a cabo al menos una vez al año, o con mayor frecuencia si así lo requiere su estrategia de gestión de riesgos.
Realizar un seguimiento de la rapidez con la que se llevan a cabo las mejoras tras una revisión de la gestión puede ayudarle a garantizar que su empresa cumple los requisitos de la norma ISO 27001.
Este KPI se verá afectado por los siguientes factores: Para asegurarse de que las revisiones por la dirección son eficaces, es posible que desee: Sin evaluaciones de riesgos para la seguridad de la información no hay mucho valor en un SGSI. Las evaluaciones de riesgos de seguridad identifican los riesgos potenciales para sus activos de información y establecen los controles apropiados para mitigar esos riesgos.
Como parte de sus objetivos para este KPI, usted debe: Realizar un seguimiento de cómo se aplican las mejoras derivadas de las evaluaciones de riesgos puede ayudarle: Uno de los requisitos clave de la norma ISO 27001 es asegurar que su SGSI se alinea y apoya los objetivos, iniciativas y estrategias de negocio de su organización. El porcentaje de iniciativas de negocio apoyadas por el SGSI es un KPI que mide la eficacia de esta alineación.
Para medir este KPI, debería revisar sus sistemas de gestión de proyectos o consultar con los gestores de proyectos para: Para monitorizar el porcentaje de iniciativas de negocio soportadas por el SGSI para ISO 27001, debe: Es importante equilibrar el nivel de capacidad que requiere un cliente con los recursos (tanto operativos como planificados) que están disponibles. Según el mITSM, “la Gestión de la Capacidad de Información contribuye a un enfoque integrado de la Gestión de Servicios mediante la realización de las siguientes actividades: Usando estas actividades como guía, se puede crear un KPI en torno a la gestión de la capacidad que sea fácilmente monitorizable. Usando estas actividades como guía, se puede crear un KPI en torno a la gestión de la capacidad que sea fácilmente monitorizable
Para monitorizar la gestión de la capacidad como un KPI para ISO 27001, debe comparar el rendimiento con los objetivos establecidos: Según un estudio de 2022 publicado por Encore, el 54% de los CISO encuestados afirmó que su junta directiva no proporcionaba fondos suficientes para la seguridad de la información. Al mismo tiempo, el coste medio de las filtraciones de datos en todo el mundo se elevó a 4,35 millones de dólares.
Está claro, por tanto, que con el aumento de las ciberamenazas es vital implantar normas de cumplimiento que validen sus sistemas de seguridad de la información. Utilizar los KPI de la norma ISO 27001 para realizar un seguimiento de la eficacia de su SGSI le ayudará a convencer a su junta directiva de que la certificación ISO 27001 no sólo es importante, sino que también es cuantificable, cualificable y absolutamente vital.
¿Qué es un KPI?
Cómo definir sus KPIs ISO 27001
Ejemplos de KPI ISO 27001
1. Incidentes de seguridad. Incidentes de seguridad
2. Porcentaje de incidentes de seguridad resueltos en un tiempo objetivo
3. Porcentaje de sistemas protegidos por software antimalware
4. Número de empleados responsables de la seguridad de la información
El KPI para ‘Número de empleados responsables de la seguridad de la información’ debe definirse por:
Al definir los objetivos de este KPI, considere:
5. Número de mejoras identificadas
6. Número de no conformidades identificadas
7. Velocidad de resolución de las mejoras tras las revisiones de la dirección
8. Cómo se abordan las mejoras de las evaluaciones de riesgos para la seguridad de la información (ERSI)
9. Porcentaje de iniciativas empresariales apoyadas por el SGSI
10. Gestión de la capacidad
ISO 27001 KPIs: la clave para un gran rendimiento en seguridad
