• Enfoque basado en riesgos: La norma exige identificar los riesgos que afectan a la seguridad de la información y establecer controles para gestionarlos.

• Sistema de Gestión de Seguridad de la Información (SGSI): Incluye políticas, procedimientos, roles y responsabilidades claras para proteger la información.

• Mejora continua: Basada en el ciclo PHVA (Planear, Hacer, Verificar, Actuar) que promueve la mejora continua del SGSI.

• Controles de seguridad: Incluye un anexo con 93 controles (en su versión 2022) agrupados en 4 temas: organizacionales, personas, físicos y tecnológicos.

• Auditorías internas y externas: Exige revisar regularmente el SGSI para garantizar su eficacia.

La Ley 1273 de 2009 es una norma colombiana que modifica el Código Penal para crear un nuevo bien jurídico tutelado: la protección de la información y de los datos. Esta ley introduce delitos relacionados con el uso indebido, acceso no autorizado y daño a la información digital, adaptando el ordenamiento jurídico colombiano a las nuevas realidades de la criminalidad informática.

• Creación de delitos informáticos: Como el acceso abusivo a sistemas informáticos, interceptación de datos informáticos, daño informático, y uso de software malicioso.

• Protección penal de la información: Se reconoce la información y los datos como bienes jurídicos tutelados de forma autónoma.

• Aplicación extraterritorial: Permite sancionar delitos informáticos cometidos fuera de Colombia si afectan a ciudadanos o infraestructuras nacionales.

• Tipificación clara: Delitos con penas privativas de libertad que van desde los 48 hasta los 120 meses de prisión y multas económicas.

• Enfoque preventivo y sancionador: Busca tanto disuadir como sancionar conductas ilícitas en el entorno digital.

La ISO 27001 y la Ley 1273 de 2009 se complementan en el objetivo de proteger la información, aunque lo hacen desde enfoques distintos:

• Prevención vs sanción: La ISO 27001 es preventiva y busca reducir los riesgos mediante la gestión adecuada de la seguridad de la información; la Ley 1273, en cambio, actúa de forma sancionatoria frente a conductas delictivas.

• Ámbito de aplicación: La ISO 27001 es una norma voluntaria (aunque muchas organizaciones la adoptan por exigencia del mercado), mientras que la Ley 1273 es de obligatorio cumplimiento y establece consecuencias legales.

• Protección integral: Una organización que implemente la ISO 27001 puede reducir su exposición a delitos informáticos tipificados en la Ley 1273, al establecer controles que dificulten el acceso no autorizado, la alteración o el daño a la información.

• Complementariedad: La norma ISO puede servir como herramienta de cumplimiento y mitigación del riesgo legal, apoyando los esfuerzos por cumplir con el marco normativo penal colombiano.

Beneficios:

• Mejora de la seguridad de la información: Se reducen los riesgos de filtraciones, accesos no autorizados y ciberataques.

• Confianza y reputación: Incrementa la confianza de clientes y partes interesadas.

• Ventaja competitiva: Puede ser un factor diferenciador en licitaciones y contratos.

• Cumplimiento normativo: Ayuda a cumplir leyes como la Ley 1273 de 2009, Ley 1581 de 2012 (protección de datos), entre otras.

• Gestión proactiva de riesgos: Permite a las organizaciones anticiparse y prepararse frente a posibles incidentes.

Desafíos:

• Costos iniciales: La implementación puede ser costosa, especialmente para pequeñas y medianas empresas.

• Cambio cultural: Requiere compromiso del personal y un cambio en la forma de manejar la información.

• Revisión constante: El sistema debe mantenerse y adaptarse a cambios tecnológicos y organizacionales.

• Requiere tiempo: Su implementación y madurez pueden tomar varios meses o incluso años.