Gestión estratégica de seguridad en la empresa - Anetcom

94
• ISO/IEC 27001 se centra en la implantación de un sistema de gestión para
la seguridad, basado en el ciclo de mejora continua, al igual que otros
modelos de gestión (calidad, medioambiental, etc.).
• COBIT 4.1 se centra en la definición de objetivos de control así como en
el establecimiento de un modelo de madurez.
• ISO/IEC 2000 (ITIL) se centra en la definición de procesos de provisión y
soporte de servicios IT, identificando de forma específica un proceso de
seguridad.
◆
3.1. Sistemas de Gestión de Seguridad (SGSI): ISO 27001 E ISO 17799
La madurez de las actividades de Gestión de Seguridad de la Información en
las organizaciones dio un paso de gigante con la publicación en 2005 del
estándar ISO 27001, primer y principal estándar de la familia 27000, orientada
a este campo.
La familia 27000 consolida y estandariza a nivel internacional las diversas
iniciativas nacionales que estaban en aplicación desde el final de la década
de los noventa, como la serie BS:7799 en Reino Unido, o la norma UNE
71502 en España. Aunque la más popular de todas ellas era una norma ya
internacional, ISO 17799. Esta norma se ha renumerado en 2007 en la Norma
ISO 27002, dentro de la familia 27000. Todas estas iniciativas han sido
aplicadas con éxito a nivel nacional en los últimos años en múltiples organizaciones.
Así, a finales de 2006, existían cerca de 3000 organizaciones en el
mundo que habían obtenido su certificación de seguridad, mediante la
implantación y certificación de su Sistema de Gestión de Seguridad de la
Información.
Porque esa es la propuesta principal de la familia ISO 27000: la implantación
de un Sistema de Gestión de Seguridad de la Información. Como queda definido
en el propio estándar, el sistema es la herramienta de que dispone la
organización para llevar a cabo sus políticas y objetivos de seguridad. Dicho
de otra forma, el sistema es la herramienta de la organización para dotarse en
cada momento de las medidas de seguridad oportunas, que proporcionen los
niveles de protección de la información que en cada momento sean necesarias,
de la forma más eficiente, en un entorno de mejora continua.