La política de gestión de activos es un documento esencial en un Sistema de Gestión de Seguridad de la Información basado en el estándar ISO 27001. Lo es porque los activos de información, que pueden ser financieros, humanos, tangibles e intangibles, son el objeto de varios controles incluidos en el Anexo A de la norma.
Un Sistema de Gestión ISO 27001 aporta numerosos y evidentes beneficios a la organización que lo implementa. No hacerlo, sin embargo, expone a la organización a múltiples amenazas, muchas de ellas recurrentes y protagonistas de noticias que nos llegan a diario.
Estos riesgos se convierten en razones adicionales para implementar un Sistema de Gestión ISO 27001. La Seguridad de la Información está en un lugar prioritario entre las preocupaciones de la Alta Dirección, por el impacto reputacional que tienen las infracciones y violaciones de Seguridad, pero también por las implicaciones legales y regulatorias asociadas.
Para cumplir con lo solicitado sobre gestión de activos según ISO 27001 es preciso hacer algo más que crear un registro o inventario de activos. Es necesario, además de entender con claridad el concepto de activo, dominar el funcionamiento de los controles 9, 10 y 11 del anexo A, que son los que definen la gestión de activos según ISO 27001.
Las auditorías internas ISO 27001 ofrecen una gran utilidad a las organizaciones que trabajan en la implementación del estándar de seguridad de la información y enfilan esfuerzos para llegar a la certificación. Pero las que ya han certificado sus Sistemas de Gestión de Seguridad de la Información, basados en la norma ISO 27001, también necesitan encontrar formas de mejorar sus auditorías internas.
Así, se infiere que los controles del Anexo A de ISO 27001 no son todos de obligatorio uso. La norma ISO 27001 solo requiere que la organización implemente los que sean necesarios, de acuerdo con los riesgos que ha identificado, su gravedad y su probabilidad de ocurrencia.
La Seguridad de la información y, por ende, la formación en ciberseguridad, no son preocupaciones exclusivas de las grandes corporaciones. Aunque el interés de los medios se enfoca en las infracciones que afectan a grandes organizaciones, lo cierto es que la preocupación debería que ser mayor para las pequeñas y medianas empresas.
Hay varias razones para que sea así. Y una de ellas es el bajo número de pequeñas empresas que invierten en formación en ciberseguridad para sus empleados.
Publicada la nueva norma ISO/IEC 27001:2022, algunas organizaciones se aprestan a ajustar sus Sistemas de Gestión de Seguridad de la Información para armonizarlos con las novedades que propone la nueva edición del estándar más utilizado en el mundo en esta área.
La nueva norma ISO/IEC 27001:2022 incorpora novedades en sus requisitos, pero también en lo referente a los controles del Anexo A. A continuación, desglosamos los cambios que introduce el nuevo estándar de seguridad de la información cláusula a cláusula.
Una vez publicada la actualización del estándar de Seguridad de la Información más utilizado en el mundo, evaluar las no conformidades ISO 27001 más comunes resulta de especial importancia.
Y este es el momento más oportuno, cuando muchas organizaciones piensan en la recertificación, teniendo en cuenta las novedades en los requisitos de ISO 27001 y los cambios en los controles del Anexo A.
El pasado mes de octubre tuvo lugar la publicación de la nueva ISO 27001:2022. La ya necesaria revisión del estándar de Seguridad de la Información que ha sufrido varios retrasos, ya está lista para asumir los retos y desafíos que plantea un mundo corporativo más regulado, pero también, más expuesto.
La fecha exacta de publicación fue el 25 de octubre de 2022, lo que significa que las organizaciones contarán con tres años – hasta octubre de 2025 -, para ajustar sus Sistemas de Gestión al nuevo estándar y certificarlo.
NEWSLETTER
Suscríbete a la newsletter y recibe semanalmente, además de artículos de interés sobre los sistemas de gestión ISO y habilidades directivas, descuentos especiales en nuestros cursos.
* Todos los campos requeridos
