Gestión estratégica de seguridad en la empresa - Anetcom

96
pero que no sabe si se está realizando correctamente o las dinámicas que la
afectan. A través del Sistema de Gestión, la dirección puede gestionar la seguridad
en base a objetivos, recursos, planificaciones e indicadores, de forma
semejante a como gestiona otras áreas de la empresa, sin tener que sumergirse
en aspectos excesivamente técnicos. El Sistema de Gestión rompe la barrera
de entendimiento que existía entre la dirección y el responsable de seguridad,
origen de algunas leyendas urbanas populares como la del director
general que pregunta en el ascensor al responsable de seguridad cómo estamos
en seguridad, y otras semejantes.
El tercer beneficiario es la propia organización, que inicia una mejora sostenida
en seguridad de la información. Dado que la seguridad evalúa todos los
aspectos de seguridad, desde los más tecnológicos ligados a los Sistemas de
Información hasta los de personal, seguridad jurídica, o la de instalaciones,
todas las áreas de la organización van a poder mejorar y ser más seguras y
eficientes en un momento u otro. Además, el personal de la organización va
a ser consciente de la necesidad de seguridad en las actividades. La concienciación
de seguridad (security awareness) ayuda así a la motivación de todos
los miembros de la organización, puesto que todos ellos tienen un papel claro
en la aportación de seguridad a la compañía.
Comenzaremos la descripción de la familia ISO 27000 con el estándar
27001, que formalmente se encarga de la definición de qué es un Sistema de
Gestión de Seguridad de la Información y qué requisitos debe satisfacer, tanto
desde el punto de vista de ciclo de vida y procesos ajenos al mismo, como
de herramientas utilizadas, documentación y otros aspectos que deben integrarlo.
Por lo tanto, al establecer un conjunto de requisitos para el sistema,
estos pueden ser verificados por un tercero que emita un certificado de cumplimiento
de los mismos. Por ello, es el estándar ISO 27001 el único que puede
ser certificado.
ISO 27001 describe una metodología de trabajo, el ciclo de mejora continua
en que se apoya la operativa del Sistema de Gestión de Seguridad de la Información.
Se trata de un ciclo PDCA, que se recorre en cuatro fases: Planificación
(letra P, Plan de PDCA), Implantación (letra D, Do), Verificación (letra C,
Check) y Corrección (letra A, Act).