Guía completa para obtener la certificación ISO 27001

La norma ISO 27001 especifica los lineamientos para gestionar la seguridad de la información en una empresa, lo cual tiene una relación cercana con el análisis de riesgos de una empresa, la disponibilidad de la información y la gestión de continuidad de negocio.

Consideraciones previas a obtener la certificación ISO 27001

El proceso de certificación ISO/IEC 27001 no tiene un período de tiempo determinado, por lo tanto puede durar meses o años, dependiendo del contexto de la organización (tipo de industria en que se desempeña, su tamaño y la forma en que lleva a cabo sus procesos).

Antes de comenzar el proceso de certificación, es necesario que se consideren algunos puntos:

• El proceso requiere un alto nivel de compromiso de la alta dirección: es necesario que los dirigentes, directivos de la empresa y partes interesadas, tengan claro el proyecto a desarrollar para lograr la certificación ISO/IEC 27001 en seguridad de la información. 
• Se debe crear un equipo de trabajo con personal calificado en materia de seguridad de la información, ciberseguridad, gestión de riesgos y auditorías: para llevar a cabo los preparativos del proceso de certificación se necesita contar con un grupo de profesionales con experiencia en seguridad de la información, ciberseguridad, y gestión de riesgos y auditorías que conozcan detalladamente a la empresa. 
• Es ideal contar con el apoyo de expertos en la implementación de esta norma internacional: el hecho de tener como aliado a un grupo experto en la materia para que dirija las acciones de la empresa con respecto al sector, operación y tamaño de la misma, ya que las normas del organismo de certificación, no tiene los conceptos adaptados a la realidad de la mayoría de las empresas en México.
• La certificación le aportará valor a la empresa, más allá del cumplimiento: El objetivo es cumplir al pie de la letra los pasos para actualizar el Sistema de Gestión de Seguridad de la Información (SGSI), lo cual le añade valor y reconocimiento a la empresa sobre el resto de los competidores.
• El equipo de trabajo debe trabajar exclusivamente sobre la norma: para esta tarea es necesario comprometerse al 100% a implementar lo solicitado por la norma ISO 27001 de la mejor manera y dedicarle el tiempo necesario para cumplir cada paso como es debido.

Teniendo estos puntos claros, podemos comenzar el proceso para obtener la certificación de este estándar internacional.

Cómo obtener la certificación ISO 27001 en 9 pasos

A continuación te explicaremos las 9 etapas que debes pasar para poder obtener la certificación ISO 27001 en tu empresa:

1. Realiza un análisis de brechas

Para comenzar a pensar en el proceso de certificación ISO 27001 se debe tener claro qué tan separada está la empresa de los requisitos de la norma, lo cual puede lograrse mediante un análisis GAP o de brechas. Esto permite identificar vulnerabilidades y riesgos de seguridad de la información que quizás se habían subestimado.

2. Analiza el contexto de la organización

Es necesario conocer el mapa de procesos de la empresa e identificar cómo los aspectos internos y externos podrían afectar al propósito de la organización y a su capacidad para lograr los resultados esperados del SGSI (Sistema de Gestión de Seguridad de la Información).  Esto además permite identificar qué activos de información ameritan más protección.

3. Determina el alcance del SGSI

También es importante elegir los procesos en los cuales se aplicará la norma, de forma que estos procesos luego puedan ser evaluados en el contexto de la seguridad de la información, para certificar su cumplimiento.

En cada uno de los procesos en los cuales va a ser aplicada la norma, debe evaluarse la información bajo los tres pilares que establece la misma, que son la integridad, la confidencialidad y la disponibilidad.

4. Crea una política de seguridad de la información

Tener una política de seguridad de información clara permite definir la postura de la organización hacia la seguridad de la información.

5. Realiza una declaración de aplicabilidad

La norma ISO 27001 está compuesta por 10 Requisitos (anexo SL) y 93 controles (especificados en el anexo A) que deben cumplirse a cabalidad mediante la implementación de todos lo requisitos y los controles que resulten aplicables, y que en caso de que un control no aplique a la empresa, se debe dar una explicación del porqué. 

Por ejemplo, uno de los controles se refiere a la seguridad en las instalaciones físicas de las empresas, por lo cual es necesario explicar las medidas que se toman en la empresa para garantizar la seguridad de las instalaciones, bien sea la contratación de vigilancia privada y la instalación de circuitos cerrados de televisión, entre otros.

En caso de que este tipo de control no sea aplicable a la empresa, igualmente habría que justificarlo. Por ejemplo, si la empresa no cuenta con sede física para el momento de la certificación, ya sea porque está en remodelación o si están en proceso de mudanza hacia otras instalaciones.

6. Realiza auditorías internas y externas

En este paso es necesario llevar a cabo revisiones o auditorías internas para asegurarse que se cumplen los controles necesarios para prevenir los riesgos de la seguridad de la información o al menos disminuir su impacto.

Por otro lado, también se deben realizar auditorías externas, las cuales pueden ser efectuadas por aliados estratégicos. Esto nos permite saber si se están siguiendo los protocolos de control de acceso a la información correctamente y si existen brechas de seguridad para así corregirlas de forma efectiva, promoviendo la mejora continua.

7. Realiza una revisión por la dirección

Luego de tener un informe detallado con los resultados de las auditorías realizadas, es necesario realizar un análisis para establecer las medidas correctivas que mejoren los controles de acceso y de seguridad de la información. 

Todo esto es necesario  para disminuir los riesgos de ciberataques que conlleven la pérdida de datos personales e información confidencial de la empresa y contar con el respaldo de la alta dirección.

8. Solicita una auditoría de certificación

Una vez que has cumplido con los pasos anteriores, ya puedes solicitar una auditoría de certificación para tu empresa. Una vez hecha la solicitud, la auditoría puede tener una duración de unos cuantos días hasta varias semanas, de acuerdo a las dimensiones de la empresa. 

El personal encargado de realizar la auditoría de certificación tiene la obligación de evaluar todos los aspectos, uno por uno, para garantizar que se cumplan los requisitos de la norma internacional.

9. Realiza revisiones periódicas

Una vez obtenida la certificación, es importante mantenerse buscando la mejora continua del sistema de gestión de la seguridad de la información, para así garantizar su funcionamiento a lo largo de los años y garantizar la revisión y actualización de los requisitos así como el mantenimiento de los controles.

Ventajas de certificar a tu empresa con la norma ISO 27001

Cumplir con el proceso de certificación ISO/IEC 27001 no solo permite que las empresas optimicen el SGSI para mitigar los riesgos de la seguridad de la información, ya que también proporciona múltiples beneficios a las organizaciones.

• Ayuda a generar más confianza en clientes, socios y empleados: cumplir con esta certificación hace que aumente la confianza en la empresa, ya que muestra que existe un interés en actualizar las medidas para proteger la información de los clientes, socios y empleados.
• Mejora la credibilidad de la empresa, creando una ventaja competitiva: en la actualidad, las empresas que cumplen con las certificaciones internacionales transmiten transparencia y confianza en el mercado actual, lo cual se traduce en una ventaja competitiva.
• Garantiza la protección de información de la empresa: al cumplir con los protocolos establecidos en la norma ISO 27001, se optimiza la protección de la información y se disminuye la probabilidad de sufrir ciberataques.
• Reduce la posibilidad de que una ciberamenaza perjudique la continuidad del negocio: contar con protocolos de seguridad que nos permiten mitigar los riesgos de la seguridad de la información, permiten que la empresa siga avanzando sin tener que interrumpir su funcionamiento.

Obtén la certificación ISO 27001 de la mano de expertos 

En Delta Protect contamos con la plataforma Apolo donde ofrecemos el módulo de cumplimiento que permite realizar la gestión e implementación de la ISO 27001 hasta 10 veces más rápido que con otros métodos. Agenda una demo con nuestros expertos y descubre cómo podemos ayudar a tu empresa a obtenerla.