La norma ISO 27001 es aplicable a cualquier tipo de organización, incluyendo pequeñas y medianas empresas, grandes corporaciones, instituciones gubernamentales y sin fines de lucro. También se puede aplicar en cualquier sector, como tecnología de la información, finanzas, salud y servicios públicos. Actualmente, a nivel mundial, es la norma de referencia para certificar la seguridad de la información en las organizaciones.

La implementación de un SGSI basado en ISO 27001 es una decisión estratégica para una organización, influenciada por sus necesidades, objetivos de seguridad, procesos y tamaño. La norma se basa en un enfoque de ciclo de vida continuo que permite a la organización mejorar continuamente su seguridad de la información y cumplir con los requisitos aplicables. La versión actual de la norma es ISO/IEC 27001, siendo la revisión de la primera versión publicada en 2005, adaptada de la norma británica BS 7799-2. La actualización más reciente de la norma ISO 27001 tuvo lugar en 2022, introduciendo una reestructuración del anexo SL y nuevos controles.

• Sistema de Gestión de la Seguridad de la Información (SGSI):

  • Un SGSI se compone de una serie de procesos para implementar, mantener y mejorar de forma continua la seguridad de la información, tomando como base los riesgos que afectan a la seguridad de la información en una empresa u organización.

  • La implementación de un SGSI implica la adopción de procesos formales, la definición de responsabilidades en seguridad de la información, el establecimiento de políticas, planes y procedimientos, y la conservación y mantenimiento de información documentada.

  • El objetivo principal de un SGSI es proteger la información sensible o valiosa, que puede incluir información sobre empleados, clientes, proveedores, propiedad intelectual, datos financieros, registros legales, datos comerciales y datos operativos.

• Ciclo PDCA (Planificar-Hacer-Verificar-Actuar):

  • Planificar: Establecer objetivos, recursos necesarios, requisitos, políticas e identificar riesgos y oportunidades.

  • Hacer: Aplicar lo planificado, creando políticas, procedimientos y controles para proteger la información.

  • Verificar: Supervisar y medir los procesos para establecer el rendimiento en relación con políticas, objetivos y requisitos, e informar de los resultados.

  • Actuar: Tomar medidas para mejorar el rendimiento, según sea necesario, identificando y aplicando mejoras a los procesos y controles del SGSI.

  • El ciclo PDCA puede aplicarse al sistema de gestión en su conjunto y a cada elemento individual para proporcionar un enfoque continuo en la mejora continua.

• Contexto de la Organización:

  • La organización debe determinar las cuestiones externas e internas que son relevantes para su propósito y que afectan su capacidad para lograr los resultados previstos de su SGSI. Esto incluye comprender su estructura, objetivos, necesidades y expectativas de las partes interesadas.

  • Se deben considerar aspectos como la madurez de los recursos, los formatos de los activos de información, la sensibilidad y valor de la información, y la prevalencia de ataques.

  • Es fundamental realizar un análisis del entorno en el que opera la organización para identificar los riesgos inherentes a la seguridad de sus activos de información.

  • La organización también debe determinar las partes interesadas que son relevantes para el SGSI y sus requisitos.

• Liderazgo y Compromiso:

  • La alta dirección debe demostrar liderazgo y compromiso con respecto al SGSI. Esto incluye asegurar el establecimiento de la política y los objetivos de seguridad, la integración de los requisitos del SGSI en los procesos, la disponibilidad de recursos y la comunicación de la importancia de la seguridad de la información.

  • La alta dirección debe establecer y comunicar una Política de Seguridad de la Información (PSI) alineada con los objetivos de la organización y que incluya compromisos con el cumplimiento de requisitos y la mejora continua.

  • Las responsabilidades y autoridades para los roles pertinentes a la seguridad de la información deben ser asignadas y comunicadas claramente.

• Planificación:

  • La organización debe planificar acciones para tratar los riesgos y oportunidades identificados en el contexto.

  • Se debe definir y aplicar un proceso de valoración de riesgos de la seguridad de la información que establezca criterios de riesgo, asegure evaluaciones consistentes, identifique los riesgos asociados con la pérdida de confidencialidad, integridad y disponibilidad, analice y evalúe los riesgos, y determine los dueños de los riesgos. Se debe conservar información documentada sobre este proceso.

  • Se debe definir y aplicar un proceso de tratamiento de riesgos de la seguridad de la información para seleccionar opciones de tratamiento, determinar los controles necesarios, comparar los controles con el Anexo A, producir una Declaración de Aplicabilidad (SoA), formular un plan de tratamiento de riesgos y obtener la aprobación de los dueños de los riesgos. La SoA debe registrar cada control del Anexo A y justificar su aplicación o no aplicación.

  • Se deben establecer objetivos de seguridad de la información en los niveles pertinentes, que sean coherentes con la política, medibles (si es posible), que tengan en cuenta los requisitos de seguridad y los resultados de la valoración y tratamiento de riesgos, y que sean comunicados y actualizados. Se deben planificar las acciones para lograr estos objetivos, incluyendo qué hacer, qué recursos se requieren, quién es responsable, cuándo se finalizará y cómo se evaluarán los resultados.

• Soporte:

  • La organización debe determinar y proporcionar los recursos necesarios para el establecimiento, implementación, mantenimiento y mejora continua del SGSI, incluyendo personal, infraestructura y recursos financieros.

  • Se debe determinar la competencia necesaria del personal, asegurar que sean competentes basándose en educación, formación o experiencia, tomar acciones para adquirir la competencia necesaria y conservar información documentada como evidencia de la competencia.

  • Las personas que trabajan bajo el control de la organización deben tomar conciencia de la política de seguridad, su contribución a la eficacia del SGSI y las implicaciones de la no conformidad.

  • Se deben determinar las necesidades de comunicación interna y externa relevantes para el SGSI, incluyendo qué, cuándo, a quién, quién debe comunicar y los procesos para la comunicación.

  • Se debe controlar la información documentada requerida por la norma y por la organización para la eficacia del SGSI, asegurando su disponibilidad, adecuación y protección.

• Operación:

  • La organización debe planificar, implementar y controlar los procesos necesarios para cumplir los requisitos de seguridad de la información e implementar las acciones determinadas en la planificación. Se deben mantener registros para asegurar la confianza en que los procesos se llevan a cabo según lo planificado.

  • Se deben llevar a cabo valoraciones de riesgos de la seguridad de la información a intervalos planificados o cuando ocurran cambios significativos.

  • Se debe implementar el plan de tratamiento de riesgos de la seguridad de la información y conservar información documentada de los resultados.

• Evaluación del Desempeño:

  • La organización debe evaluar el desempeño de la seguridad de la información y la eficacia del SGSI, determinando qué necesita seguimiento y medición.

  • Se deben llevar a cabo auditorías internas a intervalos planificados para verificar la conformidad con los requisitos de la norma y la eficacia del SGSI. Se deben planificar, establecer, implementar y mantener programas de auditoría, definir criterios y alcance, seleccionar auditores objetivos e imparciales, informar los resultados a la dirección pertinente y conservar información documentada de las auditorías.

  • La alta dirección debe revisar el SGSI a intervalos planificados para asegurar su conveniencia, adecuación y eficacia continuas. La revisión debe considerar el estado de las acciones previas, cambios en el contexto, retroalimentación sobre el desempeño de la seguridad, resultados de auditorías, retroalimentación de partes interesadas, resultados de la valoración de riesgos y oportunidades de mejora continua. Se debe conservar información documentada de las revisiones por la dirección.

• Mejora:

  • Cuando ocurra una no conformidad, la organización debe reaccionar, evaluar la necesidad de acciones correctivas, implementar las acciones necesarias, revisar la eficacia de las acciones, realizar cambios al SGSI si es necesario y conservar información documentada.

  • La organización debe mejorar continuamente la conveniencia, adecuación y eficacia del SGSI.

• Controles de Seguridad:

  • La norma ISO/IEC 27002 establece un marco de gestión de seguridad de la información que incluye una serie de controles. La versión de 2022 se compone de 93 controles dispuestos en 4 grandes grupos (Organizacionales, Personal, Físicos y Tecnológicos).

  • El Anexo A de la norma ISO 27001 contiene una lista de 93 controles de seguridad de la información que deben considerarse en el proceso de tratamiento de riesgos. La organización debe considerar si implementar estos controles y justificar su inclusión o exclusión en la Declaración de Aplicabilidad. Algunos ejemplos de controles incluyen acceso controlado, clasificación de la información, seguridad física, control de dispositivos, criptografía, copias de seguridad y monitoreo.

• Naturaleza y Origen: La Ley 1273 de 2009 es una ley colombiana que modifica el Código Penal, creando nuevos delitos y estableciendo sanciones. La norma ISO 27001 es un estándar internacional desarrollado por la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC). Es un marco de referencia para la gestión de la seguridad de la información, no una ley.

• Carácter y Obligatoriedad: El cumplimiento de la Ley 1273 de 2009 es obligatorio en Colombia, y su incumplimiento puede acarrear consecuencias legales como penas de prisión y multas. La implementación y certificación de la norma ISO 27001 es voluntaria para las organizaciones, aunque puede ser exigida por clientes o proporcionar ventajas competitivas.

• Alcance y Enfoque: La Ley 1273 de 2009 tiene un alcance específico, centrándose en tipificar y sancionar conductas delictivas contra la información y los sistemas informáticos. La norma ISO 27001 tiene un alcance más amplio, proporcionando un marco integral para la gestión de la seguridad de la información en toda la organización, que incluye políticas, procedimientos, controles, gestión de riesgos y mejora continua. Su enfoque es preventivo, buscando establecer un sistema robusto para proteger la información. La ley es más reactiva, actuando después de que se ha cometido un delito.

• Consecuencias: El incumplimiento de la Ley 1273 de 2009 puede llevar a procesos penales y sanciones legales. La no conformidad con los requisitos de la norma ISO 27001 (en caso de buscar la certificación) puede impedir la obtención o mantenimiento del certificado. Sin embargo, la implementación de ISO 27001 puede ayudar a una organización a evitar incidentes de seguridad que podrían derivar en responsabilidades legales bajo leyes como la 1273 de 2009.

• Detalle de los Controles: La norma ISO 27001, especialmente a través de su Anexo A y la norma ISO 27002, proporciona una lista detallada de controles de seguridad que las organizaciones pueden implementar para mitigar riesgos. La Ley 1273 de 2009 describe las conductas delictivas de manera más general, sin especificar los controles técnicos u organizativos que las organizaciones deben implementar para prevenirlas. Sin embargo, la implementación de controles bajo un SGSI ISO 27001 puede ayudar a las organizaciones a evitar incurrir en los delitos tipificados por la ley.

1. Ambos buscan proteger la información de las organizaciones. La norma ISO 27001 lo hace estableciendo los requisitos para un Sistema de Gestión de la Seguridad de la Información (SGSI) para proteger la confidencialidad, integridad y disponibilidad de la información. La Ley 1273 de 2009 busca la protección de la información y de los datos mediante la tipificación de delitos informáticos.

2. Ambos reconocen la importancia de la seguridad en el entorno digital. La Ley 1273 de 2009 surge como respuesta a la necesidad de proteger los sistemas que utilizan las tecnologías de la información y las comunicaciones. La norma ISO 27001 se ha vuelto cada vez más relevante para las organizaciones en el mundo digital para proteger su información valiosa y sensible.

3. Ambos consideran la gestión de riesgos como un elemento crucial. La norma ISO 27001 se basa en un enfoque de gestión de riesgos para identificar, tratar y controlar los riesgos de seguridad de la información. La Ley 1273 de 2009, al penalizar ciertas conductas, busca mitigar los riesgos y amenazas a la información y los sistemas informáticos.

4. La confidencialidad, integridad y disponibilidad de la información son principios fundamentales para ambos. La norma ISO 27001 tiene como objetivo proteger estos tres aspectos a través de la implementación de controles. La Ley 1273 de 2009 busca proteger estos atributos al penalizar acciones como el acceso abusivo, la interceptación y el daño informático.