¿Cómo le puede ayudar la norma ISO 27001 ante un incidente de seguridad?
Norma ISO 27001
Los problemas pueden ocurrir, pero no todos los problemas se deben tratar de la misma forma. Esto puede generar un impacto significativo en el esfuerzo y los costos de la gestión de la seguridad.
Durante el artículo de hoy, queremos que conozcan tres conceptos utilizados por la norma ISO 27001. El estándar ISO 27001 es líder para la gestión de la seguridad de la información, que puede ayudar a las empresas a manejar tanto las incidencias de seguridad de una forma más eficaz, como los eventos de seguridad, incidentes de seguridad y no cumplimientos.
Definiciones, incidente e incumplimiento, y cómo diferenciarlas
La norma ISO 27001 define el vocabulario para la gestión de seguridad de la información de ISO, utilizando los siguientes conceptos:
- Evento de seguridad de la información: cualquier ocurrencia relacionada con los activos o el entorno que indique un posible compromiso de las políticas o la falla de los controles, o una situación no asignada que pueda afectar a la seguridad.
- Incidente de seguridad de la información: uno o más eventos de seguridad de la información que comprometen las operaciones comerciales y la seguridad de la información.
- Incumplimiento de la seguridad de la información: cualquier situación en la que no se cumpla un requisito.
Para diferenciar entre estos conceptos, se debe tener en cuenta que:
- Evento de seguridad de la información: se refiere a algo que puede afectar los niveles de riesgo, sin afectar necesariamente el negocio o la información.
- El incidente de seguridad de la información: se refiere a algo que, de hecho, afectó negativamente el negocio o la información que debe protegerse.
- El incumplimiento: se refiere a algo que se debería estar haciendo, pero no se hace.
Es muy importante conocer que los eventos y los incidentes pueden caer en incumplimiento al mismo tiempo. Si la persona sospechosa ha sido identifica por el informe de un empleado en lugar del operador de la cámara, esto es un incumplimiento respecto al funcionamiento de la cámara, incluso si no existe un impacto negativo en el negocio, o en la información.
Si la causa del accidente ha sido que un cambio no se llevó a cabo según la política de control de cambios, entonces esto también es un incumplimiento junto con el incidente.
Es necesario comprender los distintos conceptos mencionados antes y sus diferencias son fundamentales para incrementar la eficiencia en el manejo de las incidencias de seguridad.
Tratamiento de eventos, incidencias y no conformidades.
Los distintos conceptos del evento, incidentes e incumplimientos significan que son realizados de diferentes formas para evitar el desperdicio de los recursos, o el uso de las medidas insuficientes, lo que lleva a una recurrencia de las situaciones no deseadas. Para poder acercarte a ellos puedes utilizar lo siguiente:
- Eventos: estos solo necesitan ser registrados para análisis futuros. Al realizar el análisis, si la cantidad de ocurrencias similares en el período es significativa, puede ser necesario revisar la evaluación de riesgos, las políticas o los procedimientos.
- Incidentes: debido a que afectan el negocio o su información, los incidentes requieren una acción inmediata para contener el impacto y para recuperar las condiciones operativas normales.
- Incumplimiento: al igual que otros estándares del sistema de gestión, ISO 27001 requiere acciones para controlar y corregir cualquier incumplimiento, así como para manejar sus consecuencias. Además, una organización debe evaluar la necesidad de eliminar las causas raíz para evitar la recurrencia. En los casos en que se toman medidas para eliminar las causas raíz, deben revisarse para determinar su eficacia.
La mayoría de las empresas abordan los incidentes y el incumplimiento de las acciones reactivas, y la clave para incrementar la efectividad del manejo de sucesos es trabajar de forma preventiva, evaluando de manera periódica el registro de los eventos y las causas principales de los incumplimientos para identificar patrones que pueden conducir a nuevos incidentes y sus incumplimientos relacionados.
De esta forma, se minimizará la probabilidad de que sucedan nuevos incidentes y de tener que asignar recursos adicionales para manejar sus consecuencias.
Un enfoque adicional es trabajar sobre políticas, procedimientos y controles para que no sean excesivamente estrictos, lo que minimiza la posibilidad de que ocurra un incumplimiento. En este caso, se debe equilibrar el nivel de riesgo con el rigor de las políticas, los procedimientos y los controles.
Diplomado implementador de Sistemas de Gestión de Seguridad de la Información con la ISO/IEC 27001:2013
La seguridad de la información es un tema de vital importancia para las organizaciones modernas. La publicación de la norma ISO 27001 y la necesidad que tienen muchas organizaciones de capacitar a sus empleados, como hemos considerado en el paso 7, han sido los elementos que ha tenido en cuenta la Escuela Europea de Excelencia para diseñar el Diplomado Implementador de Sistemas de Gestión de Seguridad de la Información con la ISO/IEC 27001:2013.
Se trata de un programa de acceso limitado y muy útil a la hora de implementar un Sistema de Gestión de Seguridad de la Información de acuerdo a ISO 27001. Aún es posible obtener una plaza en este diplomado inscribiéndose aquí.
