ISO 27001

La norma ISO 27001 permite a las empresas certificar su Sistema de Gestión de Seguridad de la Información (SGSI).

La labor de PC&Telecos como consultor de 27001

Nuestra labor será guiar a la empresa en todo el proceso de adaptación a los requerimientos fijados por la norma.  Tanto en la fijación del alcance, el análisis de riesgos, los controles a utilizar, las reuniones e implicaciones de los distintos departamentos como todos los trabajos necesarios para garantizar la obtención del Certificado con la entidad correspondiente.

Introducción a la ISO 27001

La información es el principal activo de muchas organizaciones y precisa ser protegida adecuadamente frente a amenazas que puedan poner en peligro la continuidad del negocio.

Un SGSI es un Sistema de Gestión de la Seguridad de la Información, a través de un proceso sistemático, documentado y conocido por toda la organización.  Podríamos considerarlo como el sistema de calidad de la información.

Este sistema es una parte del sistema global de gestión, basado en un análisis de riesgos del negocio, que permite asegurar la información frente a la pérdida de:

• Confidencialidad: solo accederá a la información quien se encuentre autorizado
• Integridad: la información será exacta y completa
• Disponiblidad: los usuarios autorizados tendrán acceso a la información cuando lo requieran

La seguridad total es inalcanzable, pero mediante un proceso de mejora continua del sistema de seguridad, se puede conseguir un nivel de seguridad altamente satisfactorio, que reduzca al mínimo los riesgos a los que se está expuesto y el impacto que ocasionarían si efectivamente se produjeran.

El ciclo de mejora continua

Para establecer y gestionar un sistema de gestión de la seguridad de la información se utiliza el ciclo PDCA tradicional en los sistemas de gestión de la calidad.
El modelo PDCA o "Planificar-Hacer-Verificar-Actuar" (Plan-Do-Check-Act, de sus siglas en inglés), tiene una serie de fases y acciones que permiten establecer un modelo de indicadores y métricas comparables en el tiempo, de manera que se pueda cuantificar el avance en la mejora de la organización.

• Plan. Establecimiento del SGSI, políticas a aplicar, fines a alcanzar, medios, activos, análisis de riesgos y objetivos de seguridad.
• Do. Implementación y puesta en marcha del SGSI asignando responsables a cada tarea.
• Check. Monitorización y revisión del SGSI.
• Act.  Mantenimiento y mejora el SGSI, decidiendo y efectuando las acciones preventivas y correctivas necesarias para rectificar los fallos detectados en las auditorías internas y revisiones del SGSI

El objetivo final de la norma será la mejora continua.  Dicha norma podrá certificarse por aquellas entidades acreditadas.