Después de leerlo, podrá entender lo que exige la norma, cómo transcurre la certificación y por dónde empezar.
Definición
Para declarar la conformidad, una empresa debe cumplir las cláusulas 4 a 10: contexto, liderazgo, planificación, apoyo, operación, evaluación del desempeño y mejora.
El anexo A de la edición de 2022 enumera 93 controles en cuatro temas: organizativos, de personas, físicos y tecnológicos. La evaluación de riesgos decide cuáles se necesitan, y cualquier exclusión requiere una justificación.
Por qué importa
Los grandes compradores la piden constantemente, porque un certificado acreditado les ahorra parte de las comprobaciones de sus proveedores.
Su otro beneficio se nota por dentro. Los esfuerzos de seguridad dispersos se convierten en un único sistema, guiado por el riesgo y revisado por la dirección.
Cómo funciona
Defina el alcance y asegure el compromiso de la dirección. Evalúe los riesgos, elija los controles y regístrelos en la declaración de aplicabilidad.
Ponga los controles en funcionamiento y déjelos operar el tiempo suficiente para que generen registros. Una auditoría interna y una revisión por la dirección muestran después qué hay que corregir.
Para la certificación, un organismo acreditado audita primero los documentos y luego la práctica. Un certificado suele durar tres años, con auditorías de seguimiento entre medias.
Un caso práctico
Una empresa SaaS de 40 personas limita su sistema a su producto y su soporte. Excluye los controles del anexo A sobre soportes físicos que no tiene, y deja escrito el motivo.
Tras una primera auditoría interna y una revisión por la dirección, la auditoría de certificación detecta dos no conformidades menores. La empresa cierra cada una con un plan de acciones correctivas.
Buenas prácticas
- Elija un alcance que corresponda a lo que los clientes le compran de verdad.
- Evalúe los riesgos antes de escribir políticas, para que los documentos respondan a necesidades reales.
- Reutilice como evidencias los registros que sus equipos ya producen.
- Celebre de verdad la revisión por la dirección y salga de ella con decisiones.
- Incluya a los proveedores y servicios en la nube de los que depende el alcance.
Errores frecuentes
- Escribir decenas de políticas el primer mes. Rara vez coinciden con la forma de trabajar de la gente y pronto quedan desfasadas.
- Rellenar el anexo A como una lista de verificación, saltándose el razonamiento en que se basa la norma.
- Elegir un alcance tan estrecho que el certificado no tranquiliza a nadie.
- Dejar que el sistema decaiga entre auditorías de seguimiento y correr cada año.
Preguntas
- ¿Es obligatoria la ISO 27001?
- En general ninguna ley la impone, pero los contratos y las licitaciones la exigen a menudo.
- ¿Cuánto dura la certificación ISO 27001?
- Depende del alcance y del punto de partida. Las pequeñas empresas suelen necesitar varios meses, porque el auditor espera un historial de funcionamiento.
- ¿Qué diferencia hay entre la ISO 27001 y la ISO 27002?
- La ISO/IEC 27001 contiene los requisitos que se auditan. La ISO/IEC 27002 da orientación para implantar los controles.
- ¿Cuáles son los documentos obligatorios de la ISO 27001?
- Entre otros: el alcance, la política de seguridad, el proceso y los resultados de la evaluación y el tratamiento de riesgos, la declaración de aplicabilidad y los resultados de auditorías y revisiones.
- ¿Garantiza la ISO 27001 el cumplimiento del RGPD?
- No. Ayuda con las obligaciones de seguridad, mientras que el RGPD también abarca la licitud, los derechos de las personas y más.