CDMX, 24 de abril de 2024.- La Norma ISO 27001 emerge como
un faro guía en un entorno empresarial complejo, delineando los pilares
esenciales para una gobernanza sólida y segura. Desde el liderazgo comprometido
hasta la gestión de riesgos y la verificación continua, cada aspecto de la
norma se entrelaza con la estructura de gobierno corporativo de una organización,
garantizando un enfoque cohesivo y efectivo hacia la protección de la
información.
El liderazgo desempeña un papel fundamental en la
implementación exitosa de la Norma ISO 27001, que establece claramente el
requisito de liderazgo, exigiendo que la Alta Dirección de la organización
demuestre su compromiso hacia el Sistema de Gestión de Seguridad de la
Información y la protección de los activos informativos. A decir, Leonardo García,
instructor experto de BSI, el liderazgo implica acciones concretas que fomenten
una cultura y comportamiento organizacional arraigado en la seguridad.
La gestión de riesgos, otro pilar clave de la Norma ISO
27001, se entrelaza estrechamente con el gobierno corporativo.
Al identificar, analizar, evaluar y tratar los riesgos de
seguridad de la información, las organizaciones pueden tomar decisiones
informadas y asignar prioridades de atención, que estén alineados con los objetivos
estratégicos y la misión de la organización. Esta gestión de riesgos actúa como
un vínculo vital entre el gobierno corporativo y la gestión estratégica de
seguridad, proporcionando una base sólida para la toma de decisiones y la
mitigación de amenazas en beneficio de los objetivos estratégicos de negocio.
En lo que respecta a los roles de seguridad, si bien la
Norma ISO 27001 no sugiere roles de responsabilidad específicos, establece la
necesidad de crearlos y asignar responsabilidades para la operación del sistema
y el reporte sobre su desempeño en toda la estructura organizacional a fin de
que cada puesto o rol existente tenga responsabilidades directas en materia de
seguridad de información, así como la autoridad suficiente para tomar
decisiones en sus actividades diarias. Esta medida no solo promueve la
transparencia y la rendición de cuentas, sino que también fortalece la
gobernanza empresarial al garantizar una distribución clara de
responsabilidades en materia de seguridad de la información.
Es importante destacar que 27001 no establece una cadena de
responsabilidades en particular, ya que su intención es ser aplicable a
cualquier tipo de organización, independientemente de su tamaño, giro o sector.
Esta flexibilidad permite que las empresas adapten los requisitos de la norma a
su contexto específico, asegurando una implementación efectiva y alineada con
sus necesidades y objetivos.
Para fortalecer la gestión de riesgos y la gobernanza de la
información, la Norma establece un marco de trabajo que abarca las etapas de
planeación, implementación, verificación y mejora continua. Esta estructura
proporciona a las organizaciones una guía clara para desarrollar e implementar
un Sistema de Gestión de Seguridad de la Información robusto y efectivo,
garantizando así la protección y el buen manejo de la información en un entorno
cada vez más complejo y digitalmente interconectado.
La verificación constante de la operación y el cumplimiento
de responsabilidades son aspectos estratégicos en este proceso. A través de
auditorías internas y revisiones independientes al Sistema de Gestión de
Seguridad de la Información, las organizaciones pueden identificar áreas de
oportunidad y realizar correcciones necesarias para una mejora continua.
La generación de evidencias de la operación diaria se
convierte en una práctica indispensable, proporcionando una base sólida para la
toma de decisiones, la mitigación de riesgos y el cumplimiento de obligaciones
legales, regulatorias, contractuales, de negocio y de reglas propias cada
organización.
Uno de los factores primarios a tener en cuenta en el gobierno
corporativo de TI es la comprensión y el control de los riesgos operativos a
los que se enfrenta la organización. Estos riesgos, procedentes de diversos
ámbitos internos y externos, actúan como un enlace entre el gobierno
corporativo y la gestión estratégica de seguridad, destacando la importancia de
la seguridad de procesos, personas y estructuras organizativas en la mitigación
de estos riesgos.
La Norma ISO 27001 no solo establece estándares para la
seguridad de la información, sino que también promueve una gobernanza
empresarial sólida y adaptable: desde el liderazgo comprometido, hasta la
gestión de riesgos y la verificación continua, cada aspecto se entrelaza con la
estructura de gobierno corporativo, garantizando un enfoque coherente y
efectivo hacia la protección de la información en un entorno empresarial cada
vez más desafiante y digitalmente interconectado.
Fuente: BSI.
Recibe las noticias más
importantes de la industria en tu email
