# data[].attributes.body
La norma ISO 31000 define el riesgo como "el efecto de la incertidumbre sobre los objetivos". La gestión de riesgos, por su parte, se define como "actividades coordinadas para dirigir y controlar una organización con respecto al riesgo"

Ejemplo : Un ataque que interrumpa el sistema de pagos en línea de una tienda podría paralizar las ventas y la atención al cliente.

# data[].attributes.body
La norma ISO/IEC 27005 [1], un riesgo es la posibilidad de que una amenaza explote una vulnerabilidad y cause un impacto negativo en los activos de información.

En cambio la gestión de riesgos tiene la finalidad de identificar, evaluar y tratar los riesgos asociados a la seguridad de la información para proteger los activos.

Ejemplo:

Un atacante acceda al sistema de gestión estudiantil de Micampus (Moodle) a través de credenciales robadas de un docente de la Universidad y modifica las notas de los estudiantes.

Referencias:

1. PECB, PECB Candidate Handbook ISO/IEC 27005 Risk Manager. PECB, 2024. [Online]. Available: https://pecb.com/pdf/candidate-handbooks/pecb-candidate-handbook-iso-27005-risk-manager-es.pdf

# data[].attributes.body
La norma ISO/IEC 27001 es esencial para gestionar la seguridad de la información, estableciendo un marco internacional que permite identificar riesgos, implementar controles y garantizar la protección de datos sensibles. Según NSF, “ISO/IEC 27001 ayuda a alinear las necesidades de seguridad con los objetivos comerciales, protegiendo la confidencialidad, integridad y disponibilidad de la información” (NSF, 2024) .

Ejemplo práctico:

Una empresa financiera adopta la ISO/IEC 27001 para proteger los datos de sus clientes frente a ciberataques. Implementa medidas como autenticación multifactor, cifrado de datos y monitoreo de sistemas en tiempo real. Esto no solo reduce riesgos, sino que también cumple con normativas legales, mejorando su reputación y competitividad.

Fuente:

NSF. (2024). ISO/IEC 27001: Information Security Management. Recuperado de https://www.nsf.org/management-systems/iso-iec-27001

# data[].attributes.body
Esta norma proporciona directrices para gestionar riesgos relacionados con la seguridad de la información. El análisis de riesgos identifica amenazas, vulnerabilidades y sus impactos potenciales, permitiendo priorizar medidas de mitigación.

Ejemplo: Una organización financiera utiliza ISO/IEC 27005 para evaluar el riesgo de ataques cibernéticos. Identifica que su sistema de autenticación es débil y decide implementar autenticación multifactorial para reducir el riesgo.

# data[].attributes.wish_content.attachment_props.alternative_text
Esta norma proporciona directrices para gestionar riesgos relacionados con la seguridad de la información. El análisis de riesgos identifica amenazas, vulnerabilidades y sus impactos potenciales, permitiendo priorizar medidas de mitigación.

# data[].attributes.body
El análisis de riesgo es el procedimiento de detectar, valorar y otorgar prioridad a las amenazas que podrían afectar las metas de una entidad. La norma ISO 31010 establece pautas para métodos de evaluación de riesgos, proponiendo técnicas como el análisis FMEA (Análisis de Modo de Fallo y Efectos) o el estudio de árboles de fallos. De acuerdo con esta norma, "la valoración de riesgos debe ser una tarea organizada y metódica, fundamentada en la recolección y estudio de datos pertinentes" (ISO 31010:2019). Esto facilita la identificación de las vulnerabilidades y la implementación de acciones preventivas apropiadas.

Ejemplo:

Un fallo en el sistema de almacenamiento de datos en la nube podría llevar a una pérdida masiva de información y a la paralización de operaciones si no se realiza un análisis adecuado de riesgos de infraestructura.

Referencias:

for, O. (2019). IEC 31010:2019. ISO. https://www.iso.org/standard/72140.html

‌

# data[].attributes.body
Esta norma internacional establece requisitos para planificar, implementar y mantener un sistema de gestión de continuidad del negocio (SGCN). Permite a las organizaciones prepararse para posibles interrupciones, asegurando la recuperación eficiente de las operaciones críticas. Su enfoque ayuda a mitigar riesgos y proteger los intereses clave, como la reputación, la marca y las relaciones con las partes interesadas. El origen de la norma ISO 22301 se remonta al comité técnico ISO/TC 23, que se centró en abordar las preocupaciones relacionadas con la seguridad de la sociedad.

Ejemplo:
Una empresa de logística implementa la norma ISO/IEC 22301 para garantizar que sus servicios de transporte no se vean afectados ante desastres naturales. Esto incluye la creación de un plan de contingencia para reubicar operaciones, sistemas redundantes para rastreo de envíos y simulacros periódicos para evaluar la preparación del personal.

Referencia:
ISO/IEC 22301:2019. Gestión de la continuidad del negocio. Recuperado de ISO.

# data[].attributes.headline
ISO/IEC 29100 Series (Privacidad de la Información)

# data[].attributes.subject
ISO/IEC 29100 Series (Privacidad de la Información)

# data[].attributes.body
La ISO/IEC 29100 es una norma que establece un marco general para proteger la Información de Identificación Personal (PII) en sistemas de Tecnología de la Información y Comunicación (TIC). Este estándar ayuda a las organizaciones a implementar principios de privacidad y seguridad al procesar datos personales. Define conceptos clave, roles de los actores involucrados y principios comunes para garantizar un tratamiento responsable y seguro de los datos.

Ejemplo:

una empresa que recopila datos de clientes para un servicio online puede usar la ISO/IEC 29100 para diseñar políticas que limiten el uso de la información solo al propósito indicado, asegurando confidencialidad y cumplimiento legal.

Referencia:

SGI Consulting Group. (2019). ISO/IEC 29100: Marco de privacidad para la protección de datos personales. Recuperado de https://sgi-consulting-group.com​

Conexión ESAN. (s.f.). ¿Qué es la ISO/IEC 29100 y para qué sirve?. Recuperado de https://www.esan.edu.pe

# data[].attributes.body
La ISO/IEC 27050 trata sobre la gestión segura de datos en procesos de descubrimiento electrónico (e-discovery), que es cuando se recogen y analizan datos digitales para usarlos como pruebas legales. Esta norma asegura que los datos sean manipulados correctamente, manteniendo su integridad y confidencialidad, y que todo el proceso esté bien documentado.

Ejemplo práctico:

Supón que una empresa es investigada por una fuga de datos. Usando esta norma, la empresa realiza un proceso estructurado de e-discovery para identificar, preservar y revisar correos electrónicos relevantes, asegurándose de que no se alteren y de que solo personas autorizadas accedan a ellos, garantizando así que la evidencia sea válida en un tribunal. Referencia:

ISO/IEC. (2016). ISO/IEC 27050:2016 - Information technology - Security techniques - Electronic discovery (e-discovery). International Organization for Standardization. https://www.iso.org/standard/45103.html

# data[].attributes.body
La norma ISO/IEC 27001 establece los requisitos para poner en marcha, mantener y mejorar un Sistema de Gestión de Seguridad de la Información (SG-SI). El objetivo fundamental es ayudar a las compañías a preservar su confidencialidad e integridad, así como la disponibilidad de la información y los activos relacionados con ella. La ISO/IEC 27001 mejora la resiliencia y la capacidad de recuperación de la empresa ante a incidentes de seguridad de la información. Su enfoque proactivo para la gestión de la seguridad, permite detectar y responder rápido a posibles amenazas y vulnerabilidades, reduciendo el impacto de los incidentes y garantizando la continuidad del negocio.

EJEMPLO PRACTICO.

Fredrickson International es una agencia líder de cobro de deudas. Tras implantar ISO/IEC 27001, ahora cuenta con una mayor cultura de seguridad en toda la organización. La certificación ha reducido significativamente el tiempo necesario para licitar por contratos y ha proporcionado al mercado una mayor confianza en sus prácticas

REFERENCIAS BIBLIOGRAFICA

ISOTools. (2024, 17 abril). ISO 27001 - Sistemas de Gestión de Seguridad de la información. Software ISO. https://www.isotools.us/normas/riesgos-y-seguridad/iso-27001/#:~:text=La%20norma%20ISO%2027001%3A2022,la%20seguridad%20de%20la%20informaci%C3%B3n.

# data[].attributes.headline
ISO/IEC 27031 - Continuidad del negocio en TIC

# data[].attributes.subject
ISO/IEC 27031 - Continuidad del negocio en TIC

# data[].attributes.body
La norma ISO 27031 define principios y procedimientos para asegurar la continuidad del negocio a través del uso eficiente de las TIC, tratando errores técnicos y cuestiones de seguridad informática. Es útil para cualquier entidad, sin importar su magnitud o industria, y facilita la preparación frente a sucesos imprevistos para minimizar los efectos económicos y reputacionales. Emplea el método PDCA (Planificación, Ejecución, Verificación, Actuación) para diseñar, poner en marcha, supervisar y optimizar planes de continuidad, garantizando una rápida recuperación y una gestión de riesgos más eficiente en el sector de las TIC [1].

Ejemplo:

Ante una falla masiva en sus sistemas TIC, una organización aplica su plan de continuidad basado en la ISO 27031, previamente diseñado con medidas como respaldos y procedimientos de recuperación. Activan su plan para restaurar servicios mediante servidores de respaldo, monitorean las acciones para garantizar su efectividad y, tras resolver el incidente, evalúan y mejoran el plan para prevenir futuros problemas, minimizando así el impacto y protegiendo su reputación.

Referencia:

[1]

N. Estruga, «Claves de la ISO 27031 para la continuidad de negocio en las TIC,» 2021 Mayo 08. [En línea]. Available: https://www.ealde.es/iso-27031/#:~:text=Qu%C3%A9%20es%20la%20normativa%20ISO%2027031,-La%20ISO%2027031&text=Mediante%20la%20descripci%C3%B3n%20de%20una,inform%C3%A1tica%20como%20virus%20o%20malwares.

# data[].attributes.body
El análisis de riesgos es un proceso fundamental para identificar, evaluar y gestionar posibles eventos que puedan afectar negativamente el logro de los objetivos de una organización. La norma internacional que proporciona directrices para la gestión del riesgo es la ISO 31000:2018, titulada "Gestión del riesgo — Directrices". Esta norma establece principios y un marco de referencia para integrar la gestión del riesgo en todas las actividades organizacionales.

Ejemplo práctico:

Supongamos que una empresa de construcción está planificando la edificación de un nuevo complejo residencial. Para garantizar la seguridad y el éxito del proyecto, se realiza un análisis de riesgos siguiendo los lineamientos de la ISO 31000:2018.

Referencia:

Mundo Posgrado. (n.d.). Análisis de riesgos en un proyecto: cómo se hace y ejemplos. Recuperado el 21 de noviembre de 2024, de https://www.mundoposgrado.com/analisis-de-riesgos-en-un-proyecto-como-se-hace-y-ejemplos/

# data[].attributes.body
La norma ISO/IEC 27701 es una extensión de la ISO/IEC 27001 y la ISO/IEC 27002 que establece requisitos y directrices para implementar un Sistema de Gestión de Información de Privacidad (SGIP).

Este estándar está diseñado para ayudar a las organizaciones a cumplir con regulaciones de privacidad como el Reglamento General de Protección de Datos (GDPR) y otras leyes de privacidad internacionales.

Ejemplo:

Una empresa de comercio electrónico adopta la norma ISO/IEC 27701 para proteger la información personal de sus clientes al implementar medidas para identificar y clasificar datos sensibles. Además, desarrolla políticas claras de retención y eliminación de datos, reduciendo el riesgo de violaciones de privacidad y fortaleciendo la confianza de sus usuarios.

Referencia:

ISO/IEC, “ISO/IEC 27701:2019 Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines,” International Organization for Standardization, 2019. Disponible en: https://www.iso.org/standard/71670.html

# data[].attributes.body
Según la ISO 31000, "La comunicación y consulta son componentes esenciales del proceso de gestión de riesgos, que deben ser llevados a cabo con todas las partes interesadas, tanto internas como externas, a lo largo de todas las etapas del proceso." - ISO 31000:2018, Gestión del Riesgo.

Esta directriz asegura que todas las partes involucradas estén bien informadas y colaboren en la gestión efectiva de los riesgos.

Ejemplo:

Una empresa de manufactura introduce un nuevo procedimiento de seguridad. Como parte de la comunicación y consulta:

1. Interna: La empresa realiza talleres y sesiones de formación para empleados, explicando los nuevos procedimientos de seguridad y los riesgos asociados.

2. Externa: La empresa también comunica estos cambios a sus proveedores y clientes para asegurarse de que todos entienden las nuevas prácticas de seguridad.

Referencia:

International Organization for Standardization. (2018). ISO 31000:2018: Risk management – Guidelines. ISO.

Disponible en: ISO 31000:2018(es), Gestión del riesgo — Directrices