¿Qué es la NTC ISO 27001?

SISTEMA DE GESTIÓN LA SEGURIDAD DE LA INFORMACIÓN O SGSI

La NTC ISO 27001 es una norma colombiana que hace posible que las organizaciones aseguren la confidencialidad y al mismo tiempo la integridad de toda la información que tengan.

La versión internacional de la norma que está vigente es la ISO 27001:2013 y es sin dudarlo, el referente mundial a la hora de implementar un Sistema de Gestión de la Seguridad de la Información.

El objetivo de la implementación de un SGSI según NTC ISO 27001 no es otro que evaluar los riesgos y aplicar los controles existentes para lograr su reducción o eliminación total.

Con la ISO 27001, las organizaciones de Colombia o del resto del mundo, pueden lograr una ventaja competitiva y por supuesto mejorar la imagen de marca.

Cabe destacar que en la familia de normas ISO 27000, encontramos la ISO 27002 que es muy útil ya que define buenas prácticas.

Norma NTC ISO 27001

ESTRUCTURA DE LA NORMA NTC ISO 27001

La NTC ISO 27001, sigue la Estructura de Alto Nivel, también conocida como Anexo SL. A continuación hablaremos de cada uno de sus apartados

1. Objeto y campo de aplicación: Es el primer apartado de la norma y queda esablecidas las orientaciones necesarias para el uso, finalidad y aplicación de la normativa.
2. Referencias normativas: En este punto se indica que es importante recurrir a documentos relacionados con la seguridad de la información.
3. Términos y Definiciones: En esta cláusula queda descrito la terminología que se utiliza a lo largo de la norma
4. Contexto de la OrganizaciónEs un apartado muy importante, permite que las organizaciones conozcan el contexto en el que están desarrollando su actividad, tanto externo como interno. De este modo pueden conocer qué necesitan sus clientes y adoptar medidas para cubrir estas necesidades.
5. Liderazgo: La alta dirección, a través del liderazgo y compromiso, tienen la obligación de hacer que todo el personal involucrado en el Sistema de Gestión de Seguridad de la Información participe activamente en la implementación de la norma ISO 27001.
6. Planificación: En este apartado se ve reflejada la importancia de la identificación y los riesgos cuando se va a realizar una planificación del SGSI, así como los objetivos y la manera que se va a emplear para alcanzarlos.
7. Soporte: Destaca que para que un Sistema de Gestión de Seguridad de la Información funcione con éxito, es precioso tener los recursos suficientes, además de contar con las competencias, información y comunicación adecuada.
8. Operación: El cumplimiento de los requisitos de un SGSI se logra a través de la planificación, implementación y control de los procesos organizacionales, llevando a cabo una valoración de los riesgos los que se somete la seguridad de la información y por supuesto, el posterior tratamiento.
9. Evaluación del desempeño: Este apartado de la norma hace mención a la importancia que hay en hacer un seguimiento, medición, análisis, evaluación, auditoría interna y revisión por la dirección del SGSI para que nos asegure que funciona según lo planificado.
10. Mejora: Se trata del último apartado según establece la estructura de alto nivel y en el queda establecida la necesidad de que las organizaciones trabajen por la mejora continua, es decir, que sean capaces de detectar No Conformidades y saber qué medida adoptar para ponerle solución y así, mejorar continuamente el Sistema de Gestión de Seguridad de la Información.

Novedades de la NTC ISO 27001

Tras la última revisión, se modificaron algunos requerimientos de la norma ISO 27001 si la comparamos con la anterior edición. Por lo tanto las organizaciones en Colombia han tenido que llevar a cabo un proceso de transición que les permitiera adaptarse a los requisitos de la versión vigente para que el Sistema de Gestión de Seguridad de la Información siguiese operando eficazmente.

Entre las novedades a destacar:

• • Desaparece el apartado denominado “Enfoque a procesos”, la ventaja actual es que permite mayor flexibilidad ya que no impone la metodología PHVA.
  • El carácter obligatorio de ciertos documentos se suprime y simplemente es obligatoria la declaración de aplicabilidad.
  • Los requisitos y controles han sido revisados, por lo que hay cambios destacables.
  • En la fase de planificación y operación del Sistema de Gestión de Seguridad de la Información, se opta por el enfoque del análisis del riesgo.

Software para NTC ISO 27001

LA PLATAFORMA ISOTOOLS FACILITA LA AUTOMATIZACIÓN DE NTC ISO 27001

La NTC ISO 27001 para los Sistemas de Gestión de Seguridad de la Información es simple a la hora proceder a la implementación, automatización y mantenimiento gracias al software ISOTools.

ISOTools hace posible que las organizaciones cumplan con los requisitos establecidos por la NTC ISO27001 y además cumple de un modo complementario con las buenas prácicas y controles definidos por la ISO 27002.

ISOTools también permite aplicar los requisitos de otras normas de Seguridad de la Información que estén vigentes en Colombia.

Esta plataforma tecnológica integra ISO 27001 con normas de calidad, medio ambiente o seguridad y salud ocupacional como ISO 9001, ISO 14001 y ISO 45001.