La ISO 27001 es una norma internacional emitida por la Organizacin

Internacional de Normalizacin (ISO) y tiene como fin describir como

gestionar la seguridad de la informacin en una empresa.
Su primera publicacin se realizo en el ao 2005 y a partir de esta ha
tenido varias modificaciones, la ultima de ella se realizo en el ao 2013.
Esta norma esta diseada para implementarse en cualquier tipo de
empresa ya sea publica o privada, pequea o grande, con animo o sin
animo de lucro, y el de la misma avala la certificacin en dicha norma.

 Organizacin de la seguridad de la informacin.

Poltica de seguridad.
Gestin de activos.

Control de acceso.
Seguridad de los recursos humanos.
Cumplimiento.
Seguridad fsica y del entorno.
Adquisicin, desarrollo y mantenimiento de los sistemas de informacin.

Gestin de las comunicaciones y operaciones.

Gestin de la continuidad del negocio.
Gestin de incidentes de seguridad de la informacin.

 Previene o reduce eficazmente el nivel de riesgo, mediante la implantacin

de los controles adecuados; de este modo, prepara a la organizacin ante
posibles emergencias y garantiza la continuidad del negocio.
Disea una herramienta para la implementacin del sistema de gestin de
seguridad de la informacin teniendo en cuenta la poltica, la estructura
organizativa, los procedimientos y los recursos.
A la direccin, le ayuda a gestionar las polticas y los objetivos de seguridad
en trminos de integridad, confidencialidad y disponibilidad.
Incrementa el nivel de concientizacin del personal respecto a los tpicos de
seguridad informtica.

 El origen de ISO-27001 se rastrea desde hasta una publicacin del

Departamento de Comercio e Industria (DTI, Department of Trade and
Industry) en el Reino Unido, documento que dio origen en 1995 a la norma
BS7799-1, que estableca un cdigo de mejores prcticas para la
administracin de la seguridad de la informacin. Como su nombre lo indica,
slo proporcionaba una serie de recomendaciones pero no defina

certificacin alguna ni los mecanismos para lograrla. Posteriormente la

norma fue evolucionando de la siguiente manera:

 En 1998 se liber la segunda parte, BS7799-2, estableci la especificacin para

implantar un sistema de gestin de seguridad de la informacin (SGSI).
En el ao 2000, la Organizacin Internacional para la Estandarizacin (ISO,
Internacional Organization for Standarization) tom la norma britnica BS7799-1

y la convirti en el estndar ISO17799/BS7799-1.

El Reino Unido, la BSI (British Standards Institution) public la norma BS7799-

2:2002, que prepara a las organizaciones para que reciban la acreditacin de

seguridad a travs de una auditora realizada por una entidad certificadora.

En 2005 la ISO public, con base en la norma britnica BS7799-2:2002, el estndar

internacional ISO/IEC 27001:2005, que es el que nos ocupa en el presente artculo.

Ese mismo ao hubo una ligera actualizacin de la ISO-17799.

Finalmente, en 2007, la ISO-17799 se renombr para convertirse en ISO-

27002:2005.

9. Definir la forma de medir la efectividad de sus controles

1. Obtener el apoyo de la direccin.

2. Utilizar

una

metodologa

para

gestin

de

proyectos.
3. Definir el alcance del SGSI.

4. Redactar una poltica de alto nivel sobre seguridad

de la informacin.
5. Definir la metodologa de evaluacin de riesgos.
6. Realizar la evaluacin y el tratamiento de riesgos.

y de su SGSI.
10.Implementar todos los controles y procedimientos
necesarios.
11.Implementar

programas

de

capacitacin

concienciacin.
12.Realizar todas las operaciones diarias establecidas en la
documentacin de su SGSI.

7. Redactar la Declaracin de aplicabilidad

13.Monitorear y medir su SGSI

8. Redactar el Plan de tratamiento de riesgos

14.Realizar la auditora interna.

15.Realizar la revisin por parte de la direccin.
16.Implementar medidas correctivas

 Como se Obtiene la
Certificacin en ISO 27001?

Es posible certificarse como empresa y como persona.

Certificacin como Empresa

Las empresas se certifican con el fin de demostrar que cumplen todos los punto obligatorios
de la norma.
Para obtener la certificacin como Empresa se debe implementar la norma al pie de la letra
y aprobar la auditoria que la realiza la entidad de la Norma.
1 paso de la auditora (revisin de documentacin): los auditores revisarn

toda

la documentacin.
2 paso de la auditora (auditora principal): los auditores realizarn la
auditora in situ para comprobar si todas las actividades de una empresa
cumplen con ISO 27001 y con la documentacin del SGSI.
Visitas de supervisin: despus de que se emiti el certificado, y durante su vigencia de 3
aos, los auditores verificarn si la empresa mantiene su SGSI.

Certificacin Como Persona

Las persona se certifican para garantizar que realizaron el curso a cerca de la

norma el cual fue evaluado y aprobado.

Los siguiente son Cursos A cerca de la norma.
Curso de Auditor Lder en ISO 27001: este curso de 5 das le ensear cmo
realizar auditoras de certificacin y est orientado a auditores y consultores.
Curso de Implementador Principal de ISO 27001: este curso de 5 das le ensear

cmo implementar la norma y est orientado a profesionales y consultores en

seguridad de la informacin.
Curso de auditor interno en ISO 27001: este curso de 2 3 das le ensear los

conceptos bsicos de la norma y cmo llevar a cabo una auditora interna; est
orientado a principiantes en este tema y a auditores internos.

Ultimas revisiones de la norma ISO

27001
La norma se publico por primera vez en el ao 2005 y se reviso en el ao 2013, la cual seria su versin mas
actual.
los cambios ms importantes de la revisin 2013 estn relacionados con la estructura de la parte principal de la
norma, las partes interesadas, los objetivos, el monitoreo y la medicin; asimismo, el Anexo A ha disminuido la
cantidad de controles (de 133 a 114) y ha incrementado la cantidad de secciones (de 11 a 14). En la revisin
2013 se eliminaron algunos requerimientos como las medidas preventivas y la necesidad de documentar
determinados procedimientos.
El principal objetivo de la norma continua vigente, su filosofa principal sigue centrndose en la evaluacin y
tratamiento de riesgos y se mantienen las mismas fases del ciclo de Planificacin, Implementacin, Revisin y
Mantenimiento (PDCA, por sus siglas en ingls). Esta nueva revisin de la norma es ms fcil de leer y
comprender y es mucho ms sencilla de integrar con otras normas de gestin como ISO 9001, ISO 22301, etc.