Lista de comprobación completa para el cumplimiento de la norma ISO 27001 (2023)

Requiere atención a los detalles y procesos exhaustivos y sistemáticos. Por eso, una lista de comprobación de cumplimiento de la norma ISO 27001 es justo lo que necesita para simplificar el proceso de certificación.

Cómo cumplir con la norma ISO 27001

“Las normas ISO son acordadas internacionalmente por expertos. Piense en ellas como una fórmula que describe la mejor manera de hacer algo” Eso es según las propias ISO. 

Para cumplir con las normas ISO, es necesario seguir una fórmula que garantice que tienes todos tus protocolos de seguridad y que tus empleados los conocen. 

El proceso comienza con una clara comprensión de su Sistema de Gestión de Seguridad de la Información (SGSI). 

Hemos proporcionado una completa lista de comprobación ISO 27001 que puede utilizar para asegurarse de que tiene todas las bases cubiertas, así como un adelanto de algunos de los contenidos de nuestra Wiki (la guía que apoya nuestra herramienta en línea, Compleye Online). 

Lista de comprobación completa para el cumplimiento de la norma ISO 27001

1. Defina su estrategia y ambiciones ISO 27001

Hacer #1 – Organización & Contexto 

Organización y Contexto es un tema obligatorio. Una buena manera de obtener insights para Organización & Contexto contenido es definir sus productos definiendo (por producto): 

• Descripción de alto nivel
• Tipo de clientes 
• Terceros implicados 

Esto te llevará a preguntar:

• ¿Cuál es el reto de cumplimiento?
• ¿Cuáles son los requisitos de seguridad? 

Si puede responder (y documentar) estas preguntas, está cumpliendo con la norma ISO 27001.

Hacer #2 – Objetivos del SGSI

Necesitará definir, implementar y revisar (al menos anualmente) los objetivos de su SGSI  En su artículo Objetivos de Seguridad de la Información en ISO 27001, ISO27001guide.com dice que “los objetivos de seguridad de la información en ISO 27001 permiten a las organizaciones establecer sus requisitos desde el principio y realizar un seguimiento continuo para asegurarse de que los están alcanzando.”

2. Determinar los requisitos legales y de cumplimiento

Hacer #1 – Partes interesadas & Requisitos legales

Aquí, te sumergirás en los requisitos legales que tendrás que cumplir para tus terceros y definirás las expectativas de ambas partes. El auditor externo esperará que hayas documentado cómo has establecido este proceso.

Ejemplos de partes interesadas (https://www.iso9001help.co.uk/)

Para hacer #2 – Propiedad intelectual

La propiedad intelectual (PI) es una categoría de propiedad que incluye las creaciones intangibles del intelecto humano. La propiedad intelectual típica de las empresas tecnológicas puede ser su código fuente, modelos de inteligencia artificial, determinadas bases de datos o un método de trabajo. En resumen, la PI es cualquier cosa que desee mantener en secreto para sus clientes y competidores y que necesita ser protegida cuando su equipo la está utilizando.  

Hacer #3 – Contratos 

Asegúrese de que tiene 1 carpeta con todos sus contratos para tener una buena visión general – y utilice diferentes carpetas dentro de esa carpeta para diferentes tipos de contratos (o partes interesadas).

Limite el acceso a estos contratos dentro de su organización.

El auditor externo puede pedir ver 1 o 2 contratos (muestras) durante la auditoría.

Para hacer #3: Contratos

Contratos

Para hacer #4 – Impacto global

Para entrar en nuevos mercados será necesario investigar sobre los requisitos de privacidad y seguridad. Las regulaciones de privacidad de datos personales deben tenerse en cuenta al contratar o expandirse fuera del área geográfica GDPR. Los requisitos adicionales para su SGSI pueden regirse por:

• Clientes 
• Leyes;

Para hacer #5 – GDPR

Si es una empresa con sede en – o que realiza negocios en –      Europa, necesita cumplir con GDPR. Mientras se prepara para la certificación, necesitará:

• Define sobre qué base legal estás recopilando datos.
• Dar una visión general de toda la documentación para los usuarios.
• Tener un registro para llevar la cuenta de las peticiones de los usuarios finales, por ejemplo, la eliminación de datos
• Crear una visión general de todas las violaciones de datos.
• Tener una visión general de todos los Acuerdos de Proceso de Datos.

3. Definir ámbito

Hacer #1 – Definir los componentes de la infraestructura de TI

ISO 27001 solicita un alcance para su SGSI, por lo que necesitará definir lo que tomará en el alcance.

Definir los componentes de su Infraestructura de TI le ayudará a definir su alcance

Hacer #2 – Definir el Alcance del SGSI

Consulte el artículo de Compleye,  ‘Cómo escribir una declaración de alcance ISO 27001 (+3 ejemplos)’.

4. Trazar todos los riesgos y oportunidades

Hacer #1 – Resumen de proveedores

Al implementar un conjunto de controles y procesos para hacer frente a los riesgos de los proveedores, se podría considerar lo siguiente:

• Ejecutar acuerdos contractuales con cada proveedor. 
• Mantener una lista de proveedores actualizada y de fácil acceso.
• Formular un documento de política y procedimientos de gestión de proveedores.
• Implementación de procesos y controles de gestión de cambios de proveedores.
• Asegurar que los proveedores cumplen los requisitos contractuales de seguridad de la información.
• Determinar y documentar adecuadamente, en su caso, si los proveedores tienen acceso a su infraestructura de TI. 
• Determinar y documentar adecuadamente, en su caso, si los proveedores pueden participar en los procedimientos de seguridad.
• Realización de la correspondiente evaluación de seguridad de riesgos del proveedor.

Para hacer #2 – Evaluación de proveedores

La Evaluación de Proveedores es un tema muy importante en ISO 27001, especialmente para las empresas tecnológicas porque hacen uso de muchos proveedores. Usted tendrá que estar en control de sus proveedores – evaluar los proveedores de alto riesgo sobre una base anual en una serie de temas. El propietario del proveedor tendrá que revisar al proveedor sobre la información básica y los contratos.

Hacer #3 – Evaluación del proveedor

Siga los siguientes pasos:

• Revisar los proveedores existentes.
• Asignar a cada proveedor una calificación de seguridad.
• Responder a los riesgos de seguridad y definir métricas de rendimiento del proveedor.
• Supervise continuamente a sus proveedores.

Para hacer #4 – Clasificación de datos

En el contexto de la seguridad de la información, la clasificación de los datos se basa en su nivel de confidencialidad y en el impacto que tendría en la organización si esos datos se divulgaran, alteraran o destruyeran sin autorización. Considere las siguientes cuestiones a la hora de clasificar su información:

• ¿Qué datos de las partes interesadas recopila su organización?
• ¿Qué datos crea como parte de las operaciones diarias?
• ¿Qué datos, en caso de perderse, tendrían un impacto especial en su organización?
• ¿Qué datos se clasificarían como confidenciales?
• ¿Qué datos se clasifican como datos personales?
• ¿Quién es responsable de la integridad y exactitud de los datos?
• ¿Quién puede y debe acceder a los datos?

Hacer #5 – Plan de continuidad de negocio

En Compleye, le aconsejamos que realice el BCP antes de la auditoría interna y la revisión por la dirección, ya que esta evaluación probablemente resultará en las últimas mejoras que necesita tener en marcha para estar listo para la certificación. Alternativamente, realice el BCP dos veces: primero, cuando comience a implementar su SGSI y segundo, antes de su auditoría externa. 

Hacer #6 – ISRA

La Evaluación de Riesgos de Seguridad de la Información (ISRA) es la evaluación de riesgos más importante en el SGSI y  debe ser realizada con su equipo de SGSI. Usted tendrá que realizar una ISRA sobre una base anual utilizando el mismo método cada año para que pueda comparar los resultados y los resultados.  

Para hacer #7 – DRP & PEN Tests

He aquí un ejercicio rápido para definir su crisis/catástrofe DRP: 

Defina lo que usted (para su empresa) considera: 

• Un evento 
• Un incidente
• Un desastre / crisis

Cuando se trata de pentesting, Breachlock lo dice mejor con esta estupenda infografía:

Para hacer #8 – Evaluación GDPR

Los riesgos y oportunidades del GDPR abundan. Tres de cada uno se pueden explorar en este completo artículo de Comforte: “Tres riesgos y oportunidades del GDPR”.

Compleye Online proporciona una plantilla de evaluación del GDPR de 22 preguntas. 

Para hacer #9 – Evaluación del impacto en la privacidad de los datos

Una EIPD puede ser necesaria si tiene múltiples productos: realice una EIPD por producto (o servicio).

;Si trabaja con diferentes tipos de proyectos (por ejemplo, prueba de concepto) también tendrá que realizar una nueva EIPD por proyecto.

;Cuando realice negocios con, por ejemplo, organizaciones gubernamentales, es probable que le pidan que comparta una copia de su EIPD.

5. Decidir sobre las políticas de seguridad & procedimientos

Para hacer #1 – Políticas y procedimientos de seguridad

Antes de poder añadir registros, necesitará adoptar Políticas & Procedimientos. Una de las políticas obligatorias de la ISO 27001 es la Política de Seguridad – que describe las intenciones y la ambición (objetivos) que ha definido para su SGSI. 

Para hacer #2 – Plantillas

Hay numerosas políticas y procedimientos obligatorios que necesitan ser implementados en su SGSI. La creación de esta documentación puede llevar mucho tiempo y es posible que no esté seguro de haber cubierto todos los elementos necesarios. El uso de plantillas como las proporcionadas por una herramienta en línea como Compleye Online le proporcionará la orientación que necesita para cumplir con los requisitos para lograr la certificación. 

Hacer #3 – Listas de comprobación

Su SGSI necesita una mejora y mantenimiento continuos. 

Crear listas de comprobación es una forma sencilla de realizar un seguimiento de las actividades y los pasos cuando se siguen procedimientos de mejora y mantenimiento. 

Su SGSI necesita una mejora y un mantenimiento continuos

6. Establecer un sistema de medidas y controles

Hacer #1 – Métricas de seguridad

Las métricas de seguridad son ‘KPIs’ definidos para comprobar si el sistema de gestión de la seguridad de la información está funcionando eficazmente. 

Necesitará:

• Definir qué es un incidente;
• Mantenga un registro de sus incidentes;
• Dirija las incidencias con acciones correctivas ;
• Bucee en la causa raíz para definir cómo la evitará en el futuro.
• Mantenga un registro de sus niveles de servicio.

Para hacer #2 – Gestión de activos

Los activos de hardware que transportan información, servidores y datos son todos activos. Para gestionarlos es necesario realizar un seguimiento de todos los activos y saber qué activos se están utilizando y si son propiedad de la empresa. También es necesario hacer un seguimiento de los cambios y el movimiento de los activos.

Hacer #3 – Controles

El Anexo A consiste en 114 controles. Necesitarás adoptar, implementar y mantener controles. Hay 2 formas en las que puedes definir e implementar controles: 

• Toma la lista del Anexo A de la ISO 27001 y define todos los controles al principio;  
• Defina gradualmente los controles a medida que trabaje hacia la certificación y adopte políticas/procedimientos o realice evaluaciones.
• Compruebe que todos los controles del Anexo A están implantados al final.

Para hacer #4 – Gestión de accesos

La Gestión de Accesos en general es un tema importante para su SGSI. No tener el control del acceso al software puede fácilmente causar incidentes que se conviertan en violaciones de datos.  
Necesitará una Política de Gestión de Acceso y debe estar en control de los diferentes tipos de acceso:  

• Acceso a la ubicación de la oficina 
• Acceso al hardware 
• Acceso a Software 
• Acceso a almacenamiento de documentación 
• Acceso a los datos en general 

7. Implementar puntos de control y seguimiento operativos

Hacer #1 – Reuniones de Seguridad

Durante las Reuniones de Seguridad con su equipo del SGSI, podrá tomar decisiones sobre todos los temas relacionados con su SGSI.

;Deberá asignar un propietario de la reunión de seguridad, documentar los cambios, comprobar los controles y evaluar las mejoras

Hacer #2 – Llamadas a la acción para el seguimiento

Las reuniones de seguridad son una parte obligatoria del SGSI operativo donde el equipo consigue alinearse, realizar comprobaciones periódicas, trabajar en colaboración en tareas, planificación, etc. Todas las tareas de seguimiento requeridas del equipo del SGSI se definen con Llamadas a la Acción después de la reunión de seguridad

8. Ocuparse de las funciones, responsabilidades, liderazgo y gestión

Hacer #1 – Asignar roles en el SGSI

ISO 27001 requiere que usted tenga un equipo de SGSI para la configuración, implementación y mantenimiento. También debe tener una visión general de todos los miembros del equipo para que la seguridad y la privacidad se pueden crear en torno a las personas y los procesos.

Hacer #2 – Asignar roles de seguridad obligatorios

Le aconsejamos que empiece por asignar un mínimo de 2 miembros del equipo responsables de su SGSI.asegúrese siempre de que hay conocimientos de tecnología y de negocio dentro de su SGSI.  

Asigne también un Oficial de Seguridad (SO), Oficial de Privacidad (PO) y Oficial de Cumplimiento (CO).  

Hacer #3 – Seguridad en la Oficina

Si tienes una oficina, eres responsable de la seguridad física de tu oficina y de llevar un registro de quién tendrá acceso a la oficina (por llave/tarjeta/código).

Para hacer #4 – Nuevas contrataciones y contratos

Si contrata personal, la ISO 27001 espera que usted controle el número de miembros del equipo, sus cargos y quién dirigirá/mentorizará a cada persona.necesitará tener el control de sus contratos de trabajo.

Si está en la fase de ampliación, es útil tener las fechas de vencimiento, etc. en un solo lugar.

Para hacer #5 – Formación

Necesitarás:

• Demostrar cómo apoya el desarrollo de competencias de los miembros de su equipo (SGSI)
• Organizar la formación anual de concienciación sobre seguridad.
• Comprobar qué había en el programa y quién asistió a la formación. 
• Realizar la evaluación de la formación.

Hacer #6 – RRHH & Organización

Los requisitos específicos de RRHH/Organización de ISO incluyen:

Capítulo 5: Responsabilidades de la alta dirección

• Demostrar liderazgo y compromiso 
• Establecer la política de seguridad
• Establezca y comunique las responsabilidades y autoridades para los roles del SGSI

Capítulo 7: Recursos- Determinar y proporcionar los recursos necesarios para la implementación, mantenimiento & mejora continua del SGSI.

• Centrarse en las Competencias necesarias para desempeñar el puesto de trabajo
• Todos los miembros del equipo del SGSI deben reconocer sus responsabilidades así como su contribución hacia un SGSI eficaz
• Determinar Qué, Cuándo y Cómo comunicar las prioridades del SGSI tanto interna como externamente
• Determinar y mantener lo que es necesario documentar (en cumplimiento de esta norma)

9. Prepararse para la certificación ISO 27001 real

Para hacer #1 – Auditoría Internat

El objetivo de la auditoría interna es asegurarse de que su SGSI se ajusta a los requisitos propios de su organización (política de seguridad de la información, procedimientos, objetivos de seguridad, etc.), así como a los requisitos de la norma ISO 27001 y evalúa si el SGSI se implementa y mantiene de forma eficaz. Eche un vistazo a nuestro artículo “It’s Internal Audit Time’ para obtener más información

Hacer #2 – Revisión por la Dirección

Una revisión por la dirección se realiza anualmente y necesitarás asignar a una persona que sea responsable de la revisión. El proceso, aunque complejo, se puede destilar en tres pasos:

• Se planifica una reunión entre el MT y el CEO para tratar todos los temas y sugerencias de mejora.
• MT/CEO define y acepta las mejoras finales.
• MT/CEO finaliza y aprueba el informe de revisión por la dirección que se mostrará como evidencia durante la auditoría externa.

Hacer #3 – Documentación

Además de las políticas, procedimientos y registros obligatorios, hay 4 Documentos Obligatorios que deben estar disponibles y listos para la certificación de auditoría externa: 

• Revisión por la dirección
• Informe de Auditoría Interna
• Alcance del SGSI 
• Estado de Aplicabilidad

Hacer #4 – Declaración de Aplicabilidad

La SoA es un resumen del estado de implementación de su organización en cada uno de los 114 controles del Anexo A de ISO 27001 y debe definir qué controles son identificados por su organización para hacer frente a los riesgos involucrados en el negocio. Esto se puede hacer mediante la realización de un análisis de brechas ISO 27001 y evaluación de riesgos.

10. Organizar en tiempo real la auditoría de certificación ISO 27001 

Hacer #1 – Auditor Líder Acreditado

Una vez que esté listo para la auditoría, asigne un auditor líder acreditado. Los auditores principales han pasado por una formación exhaustiva, por lo que estará en buenas manos.

Para hacer #2 – Plan para mantener la certificación

Una vez que una organización logra la certificación ISO 27001, es importante mantener el Sistema de Gestión de Seguridad de la Información (SGSI) de forma continua para asegurar que sigue siendo eficaz, relevante y alineado con los objetivos de la organización. Aquí es donde entra en juego el paquete de mantenimiento Compleye ISO 27001. 

Ya está listo para empezar a marcar su Lista de comprobación completa para el cumplimiento de la norma ISO 27001 (2023)

Obtenga más información sobre cómo Compleye puede ayudarle con su cumplimiento de la norma ISO 27001.

Chatea con uno de nuestros súper vendedores y empieza a tachar tu lista de comprobación completa para el cumplimiento de la ISO 27001.