ISO 27001

La nueva versión 2013 de la ISO 27001 ya ha sido publicada, sustituye a la antigua ISO 27001:2005. En la nueva versión quedan establecidos los requerimientos para la implantación de un Sistema de Gestión de Seguridad de la Información.

En este artículo queremos destacar las novedades más significativas de la nueva norma:

• En la actual versión no se encuentra la sección “Enfoque a procesos”, esta definía la metodología de trabajo según el ciclo PHVA de mejora continua.
• En la versión 2013 su estructura cambia conforme al Anexo SL que es común para otras normas ISO, permitiendo que la integración de sistemas sea un trabajo más sencillo.
• En el Anexo SL, queda establecido un nuevo modelo de estructura de la documentación, además elimina la obligatoriedad de ciertos documentos como quedaba establecido en la versión anterior de la ISO 27001, por lo que solo se conserva como documento obligatorio la declaración de aplicabilidad.
• Los requisitos y controles sufren una revisión, en concreto los requisitos pasan de 102 a 130 y los controles del Anexo A se eliminan, fusionan y añaden, con el consiguiente aumento de los dominios de 11 a 14 y los controles de 133 a 14.
• Surge un nuevo dominio debido a la evolución en la nube o Cloud Computing llamado “Relaciones con el Proveedor”.
• El último cambio que vamos a hacer mención es posiblemente el más destacado, se trata del enfoque del análisis del riesgo durante la fase de planificación y operación. En la ISO 27001:2013 para identificar los riesgos no hace falta identificar los activos, amenazad y vulnerabilidades. En esta versión se parte del análisis de riesgos para establecer los controles necesarios y compararlos con el Anexo A.

La ISO2007:2013 ha sido publicada recientemente por lo que las organizaciones que deseen certificarse o que estén en un proceso de renovación de su certificado ISO27001, aún tienen un periodo de un par de años aproximadamente para adaptarse a los nuevos cambios.

La Plataforma Tecnológica ISOTools está al día de los cambios introducidos en la ISO-27001 versión 2013, para ofrecerle a todas las organizaciones el apoyo necesario para su implementación.