Introducción a la ISO 27001: El Sistema de Gestión de Seguridad de la Información (SGSI).

El contexto actual y la ISO 27001: 

Cada día más, la tecnología está en el corazón de la operatividad y el crecimiento de cualquier tipo de empresa, desde las más pequeñas (como por ejemplo las nuevas startups), las PYMES, hasta las grandes empresas multinacionales.

Cada una de estas realidades se enfrenta a gestionar una cantidad considerable de información que a menudo puede ser sensible (pensemos en elementos como las nóminas, los registros de nuestros empleados o cualquier elemento relacionado con nuestra propiedad intelectual).

Pero basta considerar que además la empresa X puede tener acceso a algunos datos sensibles de la empresa Y, haciendo a la empresa Y vulnerable en caso de que la empresa X fuese víctima de un ataque. Esto nos hace entender que la seguridad de los datos a menudo no se limita solo a nosotros, sino a todo el ecosistema de nuestra empresa.

En este contexto, la certificación ISO 27001, el estándar internacional para la gestión de la seguridad de la información, representa una de las formas más completas y renombradas para construir un sistema de protección de datos que garantice la seguridad necesaria en una época en la que las amenazas informáticas tienen cada vez más relevancia a nivel global (basta hacer una simple búsqueda en Google escribiendo “ataque informático” para ver cada día el nombre de diferentes empresas víctimas de ataques).

Pero, ¿qué es exactamente la ISO 27001 y cómo apoya a las empresas a nivel práctico?

El estándar ISO-IEC 27001, más comúnmente referido simplemente como ISO 27001, fue elaborado mediante la colaboración entre la Organización Internacional para la Estandarización (ISO) y la Comisión Electrotécnica Internacional (IEC). La ISO 27001 fue creada con el propósito de proporcionar una estructura clara y delineada para la creación (y la consiguiente gestión) de un Sistema de Gestión de la Seguridad de la Información (SGSI).

Pero, ¿qué significa esto a nivel práctico? Sencillo, que la ISO 27001 apoya a las empresas que deciden adaptarse a su estructura, ofreciendo directrices detalladas y específicas para gestionar los riesgos relacionados con los datos y la información. El propósito es garantizar su confidencialidad, integridad y disponibilidad, haciéndolos accesibles solo a las personas autorizadas, y haciendo extremadamente complejo (si no imposible) el acceso a estos por parte de todos aquellos que no están autorizados.

Otro elemento que debe hacernos reflexionar es que con la evolución tecnológica y la llegada de la era de la inteligencia artificial (IA), las amenazas informáticas que las empresas pueden enfrentar están en continua evolución, haciendo cada vez más importante saber protegerse adecuadamente de los riesgos que la red presenta ante nuestra realidad.

Además, en el contexto actual Europeo, la ISO 27001 está desempeñando el papel de facilitador y precursor del camino de conformidad normativa cada vez más estricto que las nuevas regulaciones y normativas (pensemos en GDPR, NIS2 y DORA) están llevando a cascada en diferentes tipos de empresas, desde aquellas que caen directamente dentro de sectores regulados, hasta aquellas que quizás colaboran incluso de manera marginal con realidades corporativas.

¿Pero cuáles son los puntos concretos de la ISO 27001?

La ISO 27001 no es una simple definición estática de “qué debe hacerse” para garantizar la seguridad de la información que reside dentro de nuestra realidad.
De hecho, esta nos indica concretamente cuáles son los elementos y puntos concretos para llevar a cabo con éxito un sistema de gestión de la seguridad de la información.

Dentro de la ISO 27001 hay algunos pilares específicos que desempeñan el papel de núcleo dentro del sistema. Nos centraremos en los 4 principales:

• Gestión de riesgos y su mitigación: incluye la identificación de las amenazas potenciales, la evaluación del impacto en la estructura informática de nuestra empresa (y no solo) y la definición de controles que puedan ser adecuados para su gestión.

• Controles de seguridad estructurados: comprende una serie de controles (más de 90 en el anexo A), que incluyen varios aspectos dentro del departamento técnico, como el control de accesos hasta la gestión de incidentes. 

• Mapeo de roles y tareas dentro de la empresa: involucra todos los niveles jerárquicos y empleados (no se limita solo al departamento de TI - pensemos en los ataques que pueden ocurrir a través del correo electrónico de un empleado).

• Proceso de mejora continua (PDCA): Planificar - Hacer - Verificar - Actuar - el modelo promueve un clima que pone atención en el monitoreo, la revisión y la actualización realizada de manera constante dentro de la organización.
  Esto porque, como hemos discutido antes, las amenazas están en continua evolución y nosotros mismos debemos dotarnos de un sistema que pueda evolucionar para protegernos de ellas. 

En resumen, ¿por qué mi empresa debería certificarse ISO 27001?

Las razones por las cuales la empresa debería considerar certificarse ISO 27001 son múltiples y dependen del tipo de empresa analizada y del contexto en el que opera.
Pero, generalizando, algunos de estos pueden aplicarse a cualquier tipo de empresa:

• Un mayor nivel de confianza por parte de nuestros clientes y socios: esto sobre todo dentro de los que se definen como sectores regulados o de alto nivel de riesgo. Por ejemplo, forman parte de estos sectores el de las infraestructuras, el de la salud y el de la tecnología.

• Minimización de los riesgos de ataques (con las infracciones anexas) y de los costes relacionados: que pueden ser los legales, los de reputación (recordemos la búsqueda en Google) o los operativos.

• Acceso a nuevos mercados y nuevas oportunidades comerciales: basta considerar que la presencia de la Certificación ISO 27001 es un requisito cada vez más común dentro de los requisitos para la participación en licitaciones públicas o para el proceso de calificación de proveedores por parte de medianas y grandes empresas. Esta tendencia de calificación está destinada solo a crecer dentro del mercado global, pero sobre todo a nivel europeo, con la adopción de regulaciones como NIS2 y DORA. 

• Alineamiento con regulaciones: la ISO 27001 es a menudo el punto de partida para conformarse también con las regulaciones europeas como NIS2 y DORA.

¿Cómo podemos obtener la certificación sin volvernos locos?   

En el pasado, la ISO 27001 podría requerir varios meses de trabajo y una gran cantidad de actividades y documentación para gestionar.
Esto sin considerar que no siempre una empresa dispone de figuras técnicas y competentes que puedan dedicarse a las actividades necesarias para su implementación. Hoy, sin embargo, la situación ha cambiado drásticamente, esto gracias también a la evolución de las plataformas tecnológicas y el enfoque innovador que estas pueden aportar cuando se aplican a este tipo de procesos.

Un ejemplo concreto de declinación de esta evolución es el enfoque adoptado por nosotros en Complaion: combinamos nuestra plataforma que automatiza hasta el 80% de las actividades necesarias para la obtención de la certificación con un auditor líder ISO certificado que guía a la empresa hasta la certificación (claramente con un enfoque adaptado a medida a la empresa).

Este enfoque se traduce en una experiencia de certificación ágil, rápida y sobre todo eficiente que, si se compara con el consultor clásico, nos permite obtener el certificado más rápidamente (¡semanas en lugar de meses!) y lograr dedicar menos horas y menos recursos al proceso, garantizando que las actividades principales de nuestra empresa no se vean afectadas.

El siguiente gráfico muestra en detalle el proceso adoptado por Complaion:

Las fases del proceso serán:

1. Onboarding y personalización del proceso: su Auditor Líder ISO dedicado, apoyado por nuestra plataforma, analizará su realidad y personalizará la implementación.

2. Recopilación de evidencias e información: nuestro Consultor apoyará a la empresa en proporcionar la información y las evidencias necesarias para alcanzar la conformidad.

3. Personalización de controles y análisis de riesgos (internos y de terceros): implementamos lo necesario, sin sobrecargar la realidad con controles innecesarios.

4. Realización del Sistema de Gestión de la Seguridad de la Información (SGSI): redactamos los procedimientos personalizados para su realidad, para evitar implementar requisitos innecesarios.

5. Auditoría Interna: uno de nuestros Auditores Líderes ISO realiza la Auditoría y produce los informes necesarios.

6. Auditoría Externa: en cuestión de pocos días, se llevará a cabo una Auditoría de Certificación con el organismo de certificación elegido, que luego emitirá el certificado ISO 27001.