Dentro del marco de las 27000 existen varias de ellas con distintos enfoques. En general, se enfocan en la seguridad de la información, conceptos, requisitos, prácticas, guías de implementación y auditoría, etc. Entre ellas destacamos:

27001

Requisitos del Sistema de Gestión de Seguridad de la Información (SGSI o en inglés, ISMS).

Estructura de la ISO 27001

ISO 27001 está estructurada en varias secciones y anexos, que incluyen:

1. Introducción: Propósito y alcance de la norma.
2. Alcance: Límites de la norma.
3. Normas de Referencia: Documentos relacionados.
4. Términos y Definiciones: Glosario de términos importantes.
5. Contexto de la Organización: Comprensión de la organización y su contexto.
6. Liderazgo: Compromiso de la dirección y establecimiento de roles y responsabilidades.
7. Planificación: Gestión de riesgos y oportunidades, objetivos de seguridad.
8. Apoyo: Recursos, competencia, toma de conciencia y comunicación.
9. Operación: Implementación de controles y procedimientos.
10. Evaluación del Desempeño: Monitoreo, medición, análisis y evaluación.
11. Mejora: No conformidades y acciones correctivas.

Pasos

1. Obtener Compromiso de la Dirección: Asegurar que la alta dirección esté comprometida con la implementación de un SGSI.
2. Definir el Alcance del SGSI: Determinar qué partes de la organización y qué tipo de información estarán cubiertas.
3. Realizar un Análisis de Riesgos: Identificar y evaluar los riesgos para la seguridad de la información.
4. Desarrollar una Política de Seguridad de la Información: Establecer directrices y objetivos claros para la seguridad de la información.
5. Implementar Controles de Seguridad: Seleccionar e implementar los controles necesarios según el Anexo A.
6. Formación y Concienciación: Capacitar al personal sobre sus roles y responsabilidades en la seguridad de la información.
7. Documentación del SGSI: Crear y mantener la documentación requerida para el SGSI.
8. Monitorear y Evaluar el SGSI: Realizar auditorías internas y revisiones periódicas para asegurar la eficacia del SGSI.
9. Mejorar Continuamente: Implementar mejoras basadas en los resultados de las auditorías y la revisión de la dirección.

Los beneficios de la aplicación de la ISO 27001

• Reducir las probabilidades de brechas de seguridad en sistemas TI
• Confidencialidad de la información
• Minimizar riesgos IT, posibles daños y costos que podríamos tener por consecuencia de ellos
• Potenciar la competitividad al ser un estándar reconocido
• Aumento en la confianza de clientes, el público y socios comerciales
• Metodología estructurada para cumplimiento de normas
• Cumplimiento con requisitos internacionales
• Detección sistemática de vulnerabilidades
• Control de riesgos informáticos
• Reducción de costos para la empresa

27014:2020

ISO/IEC 27014:2020: norma de seguridad de la información, facilita orientación sobre los principios y conceptos para gobernar la seguridad de la información. A traves de ésta, las organizaciones podrán dirigir, comunicar, evaluar y controlar la seguridad de la información que está relacionada con sus actividades.

Estructura:

• Introducción: Proporciona una visión general del estándar y su propósito, explicando la importancia de la gobernanza de la seguridad de la información para las organizaciones.
• Alcance: Define los límites y la aplicabilidad del estándar, especificando a qué tipos de organizaciones y situaciones se aplica.
• Normativas de Referencia: Lista las normativas y documentos de referencia que son esenciales para comprender y aplicar este estándar.
• Términos y Definiciones: Proporciona definiciones clave para términos específicos utilizados en el estándar, asegurando una comprensión común.
• Principios de la Gobernanza de la Seguridad de la Información: Establece los principios básicos que guían la gobernanza de la seguridad de la información, como la responsabilidad, la estrategia, la adquisición de recursos y la evaluación continua.
• Marco de la Gobernanza de la Seguridad de la Información: Describe cómo establecer un marco efectivo de gobernanza, incluyendo la estructura organizativa, los roles y responsabilidades, y los procesos necesarios.
• Evaluación de la Gobernanza de la Seguridad de la Información: Proporciona directrices sobre cómo evaluar y medir la efectividad de la gobernanza de la seguridad de la información en una organización.
• Mejora Continua: Recomienda prácticas para la mejora continua de la gobernanza de la seguridad de la información, asegurando que se mantenga relevante y efectiva ante los cambios en el entorno de la organización.

ISO27014:2020 - Apartado 5.2

Los principios del apartado 5.2 de la ISO 27014:2020 son fundamentales para entender e implementar procesos de gobierno de la seguridad de la información. Cada principio establece lo que debe suceder, sin especificar cómo, cuándo o por quién debe aplicarse, ya que esto depende de la organización y su sistema de gestión. El órgano de gobierno debe asegurar la aplicación de estos principios, nombrando a alguien con la responsabilidad y autoridad necesarias para implementarlos.

• Establecer la seguridad de la información en toda la organización: Garantizar que la seguridad de la información sea una parte integral de todas las áreas y niveles de la organización.
• Adoptar un enfoque basado en el riesgo: Evaluar y gestionar los riesgos para la seguridad de la información de manera continua y proactiva.
• Establecer la dirección de las decisiones de inversión: Asegurar que las inversiones en seguridad de la información estén alineadas con los objetivos y prioridades estratégicas de la organización.
• Asegurar la conformidad con los requisitos internos y externos: Cumplir con todas las regulaciones, normas y políticas internas y externas relevantes para la seguridad de la información.
• Fomentar un entorno positivo para la seguridad: Crear y mantener una cultura organizacional que valore y apoye activamente la seguridad de la información.
• Revisar el desempeño en relación con los resultados del negocio: Evaluar regularmente la efectividad de la seguridad de la información y su alineación con los objetivos y resultados del negocio, ajustando estrategias y prácticas según sea necesario.

Pasos

Los pasos para su implementación:

• Identificar activos críticos de la información
• Establecer políticas y procedimientos de seguridad
• Capacitar al personal en seguridad
• Implementar controles de seguridad
• Monitorear y mantener los controles de seguridad