BLOG

Riesgos y Seguridad

Cómo realizar un análisis Pestel de Riesgos Corporativos

En el área de gestión de riesgos solemos encasillarnos en lo inmediato y en lo que tenemos cerca y podemos palpar. El análisis PESTEL de Riesgos Corporativos es un modelo de evaluación que permite identificar y establecer el real impacto de lo que conocemos como factores macro ambientales.

El problema de esto, que hemos dado en llamar factores macro ambientales, es que creemos que se trata de temas que sólo están en las noticias y que nunca nos afectarán realmente. Incluso podemos llegar a pensar que nuestros competidores o alguien en el gobierno o la comunidad se ocupará de ellos.

Leer más

Directrices para la aplicación del Sistema APPCC: principios y pasos a seguir

La aplicación del Sistema APPCC proporciona el marco para monitorear la cadena alimentaria total, desde la cosecha hasta el consumo, reduciendo así el riesgo de enfermedades o patologías transmitidas a través del consumo de alimentos.

El Sistema ha sido diseñado para identificar y controlar problemas potenciales antes de que ocurran. La aplicación del Sistema APPCC es recomendada por múltiples organismos reguladores en todo el mundo, ya que se basa en principios técnicos y científicos que garantizan la inocuidad de los alimentos.

Leer más

Guía completa sobre la nueva norma ISO 37301 para Sistemas de Gestión de Cumplimiento

La nueva norma ISO 37301 crea un punto de referencia global, certificable, para la gestión de cumplimiento. Un estándar que mejora la forma en que las organizaciones pueden implementar sistemas de compliance, pero – a diferencia de la norma anterior -, con la posibilidad de exhibir y comprobar los resultados a las partes interesadas.

La certificación no es la única razón para adoptar la nueva norma ISO 37301. Sabemos que las organizaciones hoy conceden mayor importancia al cumplimiento, en gran medida porque se enfrentan a un número creciente de regulaciones y requisitos nacionales e internacionales.

Leer más
activos según ISO 27001

Cómo gestionar el inventario de activos según ISO 27001

Activos según ISO 27001

Quienes tenemos alguna formación en contabilidad, pensamos, en primera instancia, que el inventario de activos según ISO 27001 puede llegar a ser una lista pormenorizada de los ordenadores y dispositivos que la organización dispone para el tratamiento, consulta o registro de la información dentro del sistema de seguridad de la información.

Pero sucede que, en seguridad de la información, el inventario de activos según ISO 27001 es bastante diferente. ¿Qué son los activos para ISO 27001? ¿Por qué son importantes y cómo debemos registrarlos? Este es nuestro tema de hoy.

¿Qué son los activos?

Si iniciamos una búsqueda a través de las diferentes ediciones de la norma sobre gestión de la seguridad de la información, notaremos que en ninguna de ellas se encuentra una definición concreta de lo que significa un activo dentro de un SGSI.

La definición más cercana se encuentra en la revisión de 2005, en donde nos dice que un activo es “cualquier cosa que tenga valor para la organización”. De acuerdo con esto, tendríamos que pensar que un activo, según ISO 27001, es “todo lo que tenga valor para la gestión de la seguridad de la organización”.

Así, podríamos mencionar los siguientes ejemplos de activos para construir un inventario de activos según ISO 27001:

  • Hardware: en esta categoría agrupamos ordenadores de escritorio, ordenadores portátiles, impresoras, tabletas, servidores, teléfonos móviles, dispositivos extraíbles USB, discos externos…
  • Software: hace referencia al software contratado por la organización, pero también a las aplicaciones preinstaladas en los equipos de cómputo e incluso a aplicaciones o desarrollos gratuitos.
  • Información: bases de datos, archivos en cualquier formato, sea de texto, imagen, hoja de cálculo, información almacenada en medios digitales, pero también plasmada en papel u otras formas no digitales.
  • Infraestructura: todo aquello que, en un momento dado, pueda impedir el acceso a la información, deteriorarla o destruirla. Las instalaciones físicas, el servicio de electricidad, aire acondicionado…
  • Recursos Humanos: las personas que tienen la capacidad y los permisos necesarios para modificar la información, pero también aquellos que almacenan información vital para la organización en sus cerebros.
  • Servicios subcontratados: legales, de limpieza, proveedores de Internet, de cuentas de correo electrónico, de mantenimiento y actualización…

¿Por qué es importante gestionar el inventario de activos según ISO 27001?

Nos damos cuenta de que existe una diferencia grande entre el concepto contable de activo y el concepto que maneja ISO 27001. Pero, ¿cuál es la importancia de los activos y por qué es necesario registrarlos y gestionarlos?

La primera razón es que cuando pensamos en la forma de preservar la seguridad de esos activos como una forma de asegurar la integridad de la información, nos damos cuenta de que es la mejor forma de iniciar una evaluación de riesgos. Y aunque ISO 27001 no la solicita como requisito, en la práctica resulta indispensable.

Los inventarios de activos son un elemento clave para la identificación del riesgo. Solo así podremos establecer las amenazas y vulnerabilidades reales a las que está expuesto el sistema.

Otra razón de gran importancia, es que, gracias al registro del inventario de activos según ISO 27001, podemos identificar quién es el responsable del activo y asignar responsabilidades. De esta forma, logramos proteger la confidencialidad, la integridad y la disponibilidad de la información.

¿Cómo construir el #InventarioActivos según #ISO27001. Hoy explicamos cómo hacerlo y la importancia que tiene para el SGSI. Clic para tuitear

¿Cómo construir el inventario de activos según ISO 27001?

La mejor forma de hacerlo es recorriendo las instalaciones de la organización y entrevistando a los directores de cada área o departamento. En este proceso, la lista que hemos mencionado en el primer apartado de este texto puede convertirse en una checklist de gran ayuda. Los informes contables y de recursos humanos pueden igualmente ser de gran utilidad en esta primera etapa.

Es importante que la construcción del inventario de activos según ISO 27001 sea liderada por la persona que dirige la implementación de la norma en la organización. También debe ir de la mano del director de seguridad de la información en aquellas organizaciones en las que por su tamaño y complejidad existe tal cargo.

Diplomado Implementador de Sistemas de Gestión de Seguridad de la Información con la ISO/IEC 27001:2013

La forma adecuada de gestionar el inventario de activos según ISO 27001, es solo uno de los conocimientos que aprenderán los alumnos del Diplomado Implementador de Sistemas de Gestión de Seguridad de la Información con la ISO/IEC 27001:2013.

Al cursar y aprobar este programa de formación de alta calidad, los estudiantes tendrán a su disposición todas las herramientas, habilidades y competencias, para implementar, pero también para auditar un SGSI, basado en la norma ISO 27001. No se quede fuera de este diplomado, inscríbase aquí.

Leer más
demostrar la gestión de riesgos en ISO 9001

¿Qué evidencias se necesitan para demostrar la gestión de riesgos en ISO 9001?

Demostrar la gestión de riesgos en ISO 9001 no es una opción. Tanto la gestión de riesgos, como la demostración de que se efectúa en forma eficiente, debe ser comprobada con evidencia, según el requisito de la norma y del anexo SL.

Pero demostrar la gestión de riesgos en ISO 9001 va más allá de exhibir los resultados de alguna herramienta como una matriz de riesgos, por ejemplo. La cláusula 6.1 del estándar, nos describe las “Acciones para abordar riesgos y oportunidades”, mismas que deben ser tenidas en cuenta a la hora de presentar las evidencias requeridas.

Leer más