Podemos decir que el secreto para certificarte rápido está en la frase “divide y vencerás”. Claro que cumplir con ISO no es un proceso tan agobiante como ir a la guerra pero, sí puede llevarte algo de tiempo. A menos que sigas los consejos que vamos a darte.
En este artículo te contamos cómo abordar cada una de las cláusulas de esta ISO para que te certifiques en tiempo récord y de manera eficiente.
ISO 27001 se divide en 10 cláusulas diferentes, o bueno, 11 ya que cuenta con una cláusula 0. Cada una con un propósito y un objetivo diferente por lo que siempre hay que hacerlas en orden.
Las cláusulas de la 0 a la 3 no se toman en cuenta como parte de las actividades de certificación ya que son meramente informativas. Consisten en una introducción a ISO 27001; conocer su objeto y campo de aplicación; normas para consulta, es decir que otras ISOs hay que leer para comprender la 27001; y por último, términos y definiciones de conceptos relevantes en la familia de ISO 27000.
Ahora, entendamos en qué consisten el resto de las cláusulas y cómo puedes dominarlas rápidamente.
Aquí lo más importante es que conozcas a tu empresa. ISO 27001 te solicita conocer a la perfección cuál es tu giro, tus competidores e identificar quiénes podrían estar involucrados en la certificación (clientes, proveedores, etc.). Con base en esto vas a definir tu Sistema de Gestión de Seguridad de la Información (SGSI).
Por ejemplo, si eres una fintech y estás pensando en certificar tu departamento de recursos humanos, tal vez sea mejor recapacitar. Si el core de tu empresa es el área financiera, sería mucho más beneficioso para ti certificar esa área o el servicio que ofrece.
Supera esta cláusula a la Hackmetrix
Para certificarte rápido recomendamos tener un alcance muy específico. Es decir define bien qué es lo que vas a certificar.
Después de todo, no es lo mismo llevar a cabo el proceso para un solo activo que para 10. Así que enfócate solo en un servicio, producto o área. De preferencia en tu producto o servicio estrella.
Iniciar con un alcance pequeño pero que le de mucho valor a tu organización es el mejor camino a seguir. Recuerda que al definir el alcance de tu SGSI, menos es más.
La alta dirección tiene que comprometerse con el proyecto. Su liderazgo es importante para educar al resto de los colaboradores sobre seguridad de la información.
Si los líderes de la empresa sienten la cultura de ciberseguridad, es fácil que se contagie al resto de la organización.
Supera esta cláusula a la Hackmetrix
Para realizarlo de una manera efectiva, sugerimos que la alta dirección envíe un comunicado dónde explique que todos tienen una participación importante dentro del programa de seguridad.
Además, tendrás que asignar a una persona como responsable del proyecto; puede ser algún PM o el OSI. Acá lo importante es que esa persona esté respaldada por el CEO, subdirector, o alguien en un puesto de alta dirección.
Esta es la cláusula en la que se centra el sistema de gestión. Es aquí donde identificas y evalúas tus riesgos (que te está doliendo). Ya que los identificaste, toca diseñar que vas a hacer para que te deje de doler.
Es importante tener en mente que aún no es hora ejecutar. Vas a concentrarte solo en identificar y planear, para con base en esto definir los objetivos del SGSI.
Supera esta cláusula a la Hackmetrix
Justo como lo mencionamos en la cláusula 4. Menos es más.
Evalúa solo riesgos de tu alcance, el cuál ya debería estar lo suficientemente acotado. Tus objetivos deben ser específicos y no tienen que ser muchos. No necesitas 20 objetivos para un SGSI si cuentas con 3 buenos.
Ahora toca identificar, diseñar y sumar todo lo que va a soportar a tu programa de seguridad. Es decir, todo los elementos que necesitas para que tu SGSI funcione. Desde recursos humanos, financieros, tecnológicos etc.
Además, es aquí dónde vas a crear la documentación y a enfocarte en que tu recurso humano esté capacitado, concientizado y comunicado.
Supera esta cláusula a la Hackmetrix
La clave está en el enfoque. Los recursos que necesitas para la certificación giran alrededor del alcance que definiste. Sí tu alcance está bien acotado y genera valor, necesitarás menos recursos, infraestructura y tu documentación será más corta.
Llegó el momento de ejecutar lo que diseñaste en la cláusula 6. Después de ver qué es lo que le duele a tu empresa y definir un plan de acción, es hora de ejecutar los planes de tratamiento.
En este punto te tomas la pastilla para sentirte bien. Puede que la medicina funcione o puede que no. Lo importante es implementar todos los controles que sean necesarios para minimizar los riesgos a los que estás expuesto.
En pocas palabras vas a aplicar los controles necesarios para que tu empresa sea segura.
Lo que nos lleva a hacer énfasis en “necesarios”. Emplea solo los controles que te aplican. De seguro no necesitas los 114 que menciona ISO 27002. Si te concentras en lo que realmente necesitas, el proceso será mucho más corto.
¿Por qué tomarte 10 pastillas para calmar el dolor si sólo necesitas 2?
No podemos mejorar lo que no se puede medir. Ya que identificaste los objetivos en cláusula 5, toca definir los KPIs y cada cuanto los vas a medir y monitorear.
Otra forma de evaluar el desempeño es revisar en casa que lo que haces está bien con auditorías internas y revisiones gerenciales. Es importante avisarle a la gente importante como está el proyecto y que estén involucrados.
Por último, en la cláusula 10 es momento de pensar qué mejoras puedes hacer a tu programa de seguridad con base en lo que mediste en la cláusula anterior.
Supera estas cláusulas a la Hackmetrix
Estas dos últimas cláusulas se concentran en los resultados. Define los KPIs que representen mejor el rendimiento de tu SGSI y concéntrate en corregir los errores que surjan. Sí algo puede estar mejor, trabaja en ello y no esperés a que vaya mal en tu próxima auditoría.
Certificarse en ISO 27001 es algo que definitivamente le traerá incontables beneficios a tu negocio. Sin embargo, puede que el proceso se vuelva algo largo y tedioso.
Para evitar esto, es importante que definas muy bien tu alcance desde el inicio. Recuerda que menos es más y entré más específico sea lo que quieres certificar más fácil será hacerlo. De igual manera, al acotar correctamente tu alcance, también se disminuyen los recursos necesarios para implementar tu programa de seguridad.
Esperamos que esta pequeña guía para certificarte te sea útil. Si te quedaste con alguna duda o quieres saber más sobre lo que implica certificarse en ISO 27001, no dudes en contactarnos.
Novedades
Eventos
Publicaciones
Talento
Podcast
Convocatorias