ISO 27001

La norma ISO 27001, en el sector público, cada día se aplica más como referente para conseguir la certificación del Sistema de Gestión de Seguridad de la Información, gracias a todos los beneficios que genera en la empresa.

La implementación del Sistema de Gestión de Seguridad de la Información según la norma ISO 27001 en el sector público, requiere que se lleve a cabo un análisis de riesgos existentes  para proceder con la identificación de todas las potenciales amenazas y vulnerabilidades a las que se enfrentan en la institución en cuestión.

 

Amenazas y vulnerabilidades en ISO 27001 en el Sector Público

Cuando hablamos de amenazas, nos referimos a la situación que se genera tras un incidente en cuanto a la seguridad de la información. Las amenazas a las que las organizaciones públicas deben hacer frente, son muy distintas. Dichos desastres pueden ser desastres naturales, agresiones, accidentes, etc.

Las empresas públicas que se encuentra en un proceso de implantación de la norma ISO 27001 tienen que establecer un listado de todas las amenazas que se han detectado. Cuando se encuentre disponible el listado, tenemos que proceder a evaluar la probabilidad de que la amenaza suceda sobre los activos de la información que se encuentran presenten en los activos de información de la organización.

Es necesario proporcionar la probabilidad, ya que necesitamos conocer sobre que activo en concreto es sobre el que recae la amenaza, siendo vulnerable o no a la misma.

Es necesario resaltar que existen distintas amenazas que harán que los activos de información sean vulnerables ante ellos. Hay otras amenazas frente a los que, con los adecuados controles con los que cuente la institución, permita frenarlas impidiendo que los activos sean vulnerables.

El término de riesgo puede medir el grado de seguridad con el que cuenta una institución sobre la información. Para esto, se lleva a cabo una evaluación y valoración. Esto supone que la entidad pueda diseñar la estrategia necesaria para actuar frente a los riesgos y las amenazas.

Con los controles de seguridad que se han establecido, el organismo puede actuar contra los riesgos, minimizando las vulnerabilidades y eliminando la probabilidad de que acabe sucediendo o por lo menos, disminuyendo el impacto que tiene dicha amenaza sobre el activo de información.

Plan de Gestión de Riesgos

Mediante la definición y la aplicación de un plan de gestión de riesgos, la entidad consigue un nivel de seguridad de la información que se encuentra calificado como óptimo. Este nivel de seguridad viene definido por el llamado riesgo residual.

Con respecto al riesgo residual, estamos haciendo mención al conjunto de riesgo que el organismo público define como soportable. La decisión del nivel de riesgo se considera como asumible, ya que guarda una relación con el nivel de prevención que se define por la institución concreta del sector público.

Según todos los riesgos, la organización pública tiene que llevar a cabo un seguimiento de forma continuada, ya que el entorno cambiante obliga a la misma a estar en continuo cambio para que se pueda adaptar y esto se genera cierta modificación en los riesgo a los que se expone y además, será necesario llevar a cabo una adaptación en cuanto a las estrategias de seguridad de la información con el que cuente la organización.

Es importante tener en consideración el hecho, de que a medida que el organismo incrementa su tamaño, el problema de gestión de riesgos se complica, puesto que existen implicaciones en un mayor número de activos de información, la responsabilidades sobre los mismos, dividido en diferentes departamentos.

Los diferentes requisitos relativos a la seguridad de la información varían en función del sector en el que se encuentren trabajando.

Uno de los principales aspectos de mayor relevancia en la cuantificación del riesgo, es la propia valoración del activo de información.

Software ISO 27001

Con el Software de ISOTools Excellece  es posible automatizar el Sistema de Gestión de la Seguridad de la Información. Esta plataforma dispone de un conjunto de aplicaciones con el objetivo de garantizar la seguridad de la información de las organizaciones privadas y públicas, haciendo más ágil y eficiente la gestión del mismo.