Preservando la transparencia en el ámbito financiero
Utiliza nuestro formulario para escribirnos o elige el momento que mejor te convenga para conocer nuestros expertos y resolver tus dudas en una llamada.
Resolvemos las dudas más habituales sobre la norma ISO 27001 de seguridad de la información, su proceso de implantación y sus beneficios.
La ISO 27001 es la norma internacional que establece los requisitos para implantar un Sistema de Gestión de Seguridad de la Información (SGSI). Su objetivo es proteger la confidencialidad, integridad y disponibilidad de la información de la empresa frente a amenazas como ciberataques, fugas de información o pérdida de datos, mediante la implantación de controles de seguridad basados en un análisis de riesgos.
No es obligatoria por ley con carácter general, aunque cada vez más empresas y administraciones públicas la exigen como requisito a sus proveedores tecnológicos, especialmente en sectores como el financiero, sanitario o tecnológico. Además, contar con esta certificación facilita el cumplimiento de otras normativas como el RGPD o la Directiva NIS2.
El proceso incluye: un análisis de riesgos de seguridad de la información, la identificación de los activos críticos de la empresa, la implantación de controles de seguridad según el Anexo A de la norma (114 controles agrupados en 14 dominios), la elaboración de políticas y procedimientos de seguridad, la formación del personal, y la auditoría de certificación por un organismo acreditado.
Aunque son normativas distintas, la ISO 27001 proporciona un marco de controles de seguridad que facilita significativamente el cumplimiento de las medidas de seguridad exigidas por el RGPD para proteger los datos personales. Muchas empresas implantan ambos marcos de forma coordinada, ya que comparten el principio de gestión basada en el análisis de riesgos.
La ISO 27001 proporciona una base de controles y gestión de riesgos que facilita el cumplimiento de las obligaciones de ciberseguridad exigidas por la Directiva NIS2 a las empresas de sectores esenciales e importantes. Las empresas certificadas en ISO 27001 parten con ventaja para acreditar el cumplimiento de las medidas técnicas y organizativas que exige la nueva normativa europea de ciberseguridad.
El plazo habitual oscila entre cuatro y ocho meses, dependiendo del tamaño de la empresa, la complejidad de sus sistemas de información y el nivel de madurez previo en materia de seguridad. El proceso suele ser más largo que el de otras normas ISO debido a la profundidad del análisis de riesgos requerido.
El certificado ISO 27001 tiene una vigencia de tres años, con auditorías de seguimiento anuales que verifican el mantenimiento del Sistema de Gestión de Seguridad de la Información. Transcurridos los tres años, es necesaria una auditoría de renovación completa.
