La Autoevaluación en la ISO 27001
Una autoevaluación de ISO 27001 es un procedimiento ordenado, sistemático, con el que la organización conocerá el estado de su SGSI implantado a partir de observaciones o datos específicos.
Una autoevaluación del SGSI implantado con ISO-27001 debe contener los siguientes aspectos, entre otros:
Políticas de seguridad
- Existencia de documentos de política de seguridad
- Existencia de normativa relativa a la seguridad de los sistemas de información
- Existencia de procedimientos relativos a la seguridad de la información
- Existencia de responsables, mecanismos de comunicación y controles para verificar la efectividad de las políticas
Organización de la seguridad
- Existencia de roles y responsabilidades definidas
- Existencia de criterios de seguridad en el manejo de terceras partes
- Existencia de programas de formación en seguridad para empleados, clientes y otros
- Existencia de un buen acuerdo de confidencialidad
Administración de activos
- Inventario de activos actualizado
- Existencia de un responsable de los activos
- Existencia de procedimientos para clasificación y etiquetado de la información
Seguridad de los RRHH
- Consideración de la seguridad en la selección y baja del personal
- Imposición de los condicionantes de confidencialidad y responsabilidad en los contratos
Seguridad física y del ambiente
- Existencia de protecciones frente a fallos en la alimentación eléctrica
- Garantía de disponibilidad e integridad de todos los equipos
Gestión de comunicaciones y operaciones
- Existencia de controles en la redes
- Establecimiento de medidas para proteger la confidencialidad e integridad de la información publicada
- Monitoreo de las actividades relacionadas con la seguridad
Control de accesos
- Control y restricción de la asignación y uso de privilegios en entornos multiusos
- Incorporación de medidas de seguridad en computadoras móviles
- Ganrantía de la seguridad de la ruta desde el terminal al servicio
Desarrollo y mantenimiento de los sistemas
- Existencia de controles criptográficos
- Seguridad en los ficheros de los sistemas
- Control de las vulnerabilidades de los equipos
Administración de incidentes
- Comunicación de los eventos de seguridad
- Comunicación de las debilidades de seguridad
- Definición de responsabilidades ante un incidente
Gestión de la continuidad del negocio
- Existencia de un plan de continuidad del negocio y análisis de impactos
- Existencia de procesos para la gestión de la continuidad
Estos son algunas líneas que debe vigilar la organización para asegurar el buen estado de un SGSI implantado con ISO 27001.
La Plataforma Tecnológica ISOTools trabaja para que el proceso de autoevaluación de ISO 27001 en una organización sea lo más completo y exhaustivo posible, para conducir al SGSI hacia la excelencia.
