Si su organización cuenta con un excelente Sistema de Gestión de Seguridad de la Información (SGSI), no se duerma en sus laureles. La excelencia está en la mejora continua del sistema y No solamente en su implantación.

Todas las organizaciones, sean del ámbito público o del privado, afrontan diariamente un gran número de riesgos e inseguridad que proviene de una amplia variedad de fuentes diferentes. Ante ello la mejora continua debe ser, como su nombre lo indica, una práctica constante, como para el usuario de una computadora lo es la actualización del antivirus.

La norma ISO 27001:2013 constituye la solución de mejora continua más apropiada para evaluar los diferentes riesgos y establecer las estrategias y controles oportunos que permitirán asegurar la protección y defender la información.

Para ello el SGSI fundamentado en la norma ISO-27001 sigue el enfoque basado en procesos que usan el ciclo de Deming o el ciclo de mejora continua, que consiste en Planificar-Hacer-Verificar-Actuar (PHVA), conocido como PDC por sus siglas en inglés.

Una vez hecha la evaluación de los riesgos y aplicados todos los controles, siempre queda lo que se conoce como un riesgo residual que debe ser revisado por lo menos una vez al año para tomar las medidas preventivas.

Además del ciclo Deming (PDCA), el SGSI basado en la norma ISO 27001 cuenta con indicadores y métricas con los cuales es posible medir la eficiencia de los distintos controles empleados. De esta manera aporta diariamente datos reales relacionados con la seguridad de los sistemas de información. Con dichos datos se puede contar con mecanismos de alerta y, consecuentemente, hacer las correcciones y mejoras del caso.

Cabe señalar que la norma ISO 27001 es un sistema activo e integrado en la organización, orientado a los objetivos empresariales y con proyección a futuro. En ese sentido es importante señalar que, cada vez que se introduce una nueva herramienta de las Tecnologías de la Información y la Comunicación (TIC) a la organización, es preciso actualizar el análisis de riesgos para mitigar y minimizar los riesgos que la incorporación de la nueva herramienta implica.

Precisamente la norma ISO-27001 está relacionada con otras normas que constituyen el modelo de gobierno y gestión de las TIC. Dicho modelo propone dos certificaciones: ISO 38500 (Gobierno corporativo de las TIC) e ISO 22301 (Sistemas de Continuidad de Negocio). Al implementar los sistemas de gestión se gestiona también la calidad y la seguridad de los servicios de las TIC, de manera que se propende a disminuir los riesgos relacionados con la seguridad de la información y aumentar la seguridad de las TIC.

¿Deseas saber más acerca de la mejora continua en un Sistema de Gestión de Seguridad de la Información? Inscríbete en el Programa de Especialización en la Implantación del Sistema de Gestión de Seguridad de Información Óptica de ESAN.

FUENTE CONSULTADA:

Artículo "La importancia de la norma ISO 2700123 abril, 2015ISO 27001:2013, SGSI", publicado por el portal SGSI.