Muchas organizaciones intentan implementar seguridad sin un marco claro de políticas y controles, lo que resulta en esfuerzos descoordinados, inconsistencias y fallos en la protección de los activos de información. Sin políticas bien definidas, no hay estándares para guiar las acciones, y sin controles, no hay forma de mitigar los riesgos identificados.

Imagina que, ante un ciberataque, los empleados no sepan cómo actuar porque no existe una política de respuesta. O que pierdas datos críticos porque no implementaste controles para evitar accesos no autorizados. Estos problemas no solo ponen en riesgo tus operaciones, sino también la confianza de tus clientes y partes interesadas.

La creación de políticas y controles alineados con los requisitos de la ISO 27001 garantiza que tu organización tenga un marco sólido para gestionar la seguridad de la información de manera efectiva y consistente.

 

¿Qué son las Políticas y Controles en ISO 27001?

• Políticas: Son documentos de alto nivel que definen los principios, objetivos y directrices de tu organización en materia de seguridad de la información.
• Controles: Son medidas diseñadas para mitigar riesgos específicos, proteger activos y garantizar el cumplimiento de las políticas establecidas. En la ISO/IEC 27001:2022, los controles se reorganizan en 4 temas principales:
  1. Controles organizativos.
  2. Controles de personas.
  3. Controles tecnológicos.
  4. Controles físicos.

Pasos para Crear Políticas en ISO/IEC 27001:2022

1. Definir el Alcance y el Contexto
   Según la cláusula 4.1, las políticas deben estar alineadas con el contexto interno y externo de la organización, considerando las expectativas de las partes interesadas.
2. Alinear con la Estrategia y Objetivos de Seguridad
   La cláusula 5.2 establece que las políticas deben reflejar los objetivos de seguridad definidos por la organización, con un fuerte compromiso de la alta dirección.
3. Desarrollar Políticas Claras y Concisas
   Estructura cada política para incluir:
   • Propósito y alcance: ¿Qué cubre la política?
   • Lineamientos específicos: ¿Qué se debe hacer para garantizar la seguridad?
   • Responsabilidades: ¿Quién es responsable de implementarla?
4. Asegurar la Comunicación y Comprensión
   Según la cláusula 7.4, las políticas deben ser comunicadas a toda la organización de manera efectiva para garantizar que los empleados entiendan y las apliquen.
5. Mantener y Revisar las Políticas
   La cláusula 10.2 exige una revisión periódica de las políticas para asegurarse de que sigan siendo relevantes frente a cambios en el entorno de amenazas.

Desarrollo de Controles en ISO/IEC 27001:2022

1. Basarse en el Anexo A Actualizado

El Anexo A de la ISO/IEC 27001:2022 agrupa 93 controles en lugar de los 114 de la versión anterior, organizados en 4 categorías clave. Algunos controles nuevos incluyen:

• Gestión de Identidades (A.5.1).
• Filtrado Web (A.8.23).
• Preparación para Incidentes (A.5.30).

2. Relacionar Controles con Riesgos Identificados

Los controles deben seleccionarse y adaptarse en función de la evaluación de riesgos realizada según las cláusulas 6.1.2 y 6.1.3.

3. Integrar Controles con las Operaciones Diarias

Asegúrate de que los controles no solo existan en la documentación, sino que sean parte del funcionamiento normal de la organización.

4. Documentar Controles en el Plan de Tratamiento de Riesgos

El plan debe incluir:

• Riesgos abordados.
• Controles aplicados.
• Propietarios responsables.
• Plazos de implementación.

5. Medir la Eficacia de los Controles

Según la cláusula 9.1, los controles deben ser monitoreados y evaluados regularmente para asegurar su efectividad y relevancia.

Conclusión

La creación de políticas y controles bajo la ISO/IEC 27001:2022 proporciona una base sólida para proteger los activos de información en un entorno de amenazas cada vez más complejo. Este enfoque no solo mejora la seguridad, sino que también asegura el cumplimiento con las expectativas regulatorias y de las partes interesadas. Recuerda, una política efectiva sin controles no es práctica, y controles sin una política no tienen dirección.