Respuesta corta
Parte de ISO 27001 puede configurarla usted mismo: describir sus procesos, evaluar riesgos e implementar medidas. Pero el certificado en sí no puede expedirlo usted mismo. Lo emite una institución certificadora independiente y acreditada que evalúa su organización según la norma. Hacerlo usted mismo y subcontratarlo no son, pues, dos opciones separadas, sino dos pasos en la misma trayectoria.
Que si necesita o no una empresa de asesoramiento depende principalmente de cuánto tiempo, conocimiento y capacidad interna tenga usted mismo. Para una pequeña empresa con un entorno informático transparente, la configuración del sistema suele ser fácil de hacer por cuenta propia. Para una organización con varias sedes, proveedores y sistemas, ese proceso suele requerir tantas horas que la asesoramiento acorta el proceso.
Qué es exactamente ISO 27001
ISO 27001 es una norma internacional para la seguridad de la información. La norma no describe productos técnicos, sino un sistema de acuerdos: cómo evalúa usted los riesgos, qué medidas adopta al respecto y cómo mantiene ese sistema. Este conjunto se denomina ISMS, el sistema de gestión de la seguridad de la información. Un certificado muestra que una tercera parte independiente ha evaluado este sistema, no que nunca pueda ocurrir nada malo.
Lo que usted mismo puede hacer
En principio, la configuración del ISMS en sí no es un trabajo que la ley reserve a una tercera parte externa. Usted puede: hacer un inventario de qué información y sistemas protege, realizar un análisis de riesgos, establecer políticas y procedimientos, implementar medidas como control de acceso y copias de seguridad, y realizar una auditoría interna para verificar que todo se realiza realmente como está documentado. Muchas empresas lo hacen con un empleado a tiempo completo que asume el rol de responsable de seguridad de la información, complementado con una plantilla o plan de acción.
El reto es menos el contenido que la integridad. La norma requiere un gran número de componentes interrelacionados, y una institución certificadora evalúa precisamente que nada falte. Quienes lo hacen por primera vez a menudo subestiman cuánta documentación y pruebas se necesitan para demostrar que una medida no solo existe, sino que también se implementa.
Qué usted no puede hacer por sí mismo: la institución certificadora
El certificado en sí proviene de una institución certificadora acreditada para evaluar según la norma ISO 27001. Esta institución realiza una auditoría externa, generalmente en dos fases: primero una evaluación de la documentación, luego una evaluación en la práctica. Este paso no puede realizarlo internamente, ni siquiera con un empleado muy experimentado: la independencia del evaluador es parte de lo que hace que el certificado sea valioso. Usted sí elige qué institución certificadora acreditada contrata.
Lo que añade una empresa de asesoramiento
Una empresa de asesoramiento no reemplaza la institución certificadora, sino que ayuda en el paso anterior: configurar y poner en orden el ISMS para que la auditoría externa tenga más probabilidades de éxito. Esto puede incluir estructurar la documentación existente, capacitar a los empleados o guiar la auditoría interna. Para empresas sin su propio departamento de TI o cumplimiento normativo, esto ahorra principalmente tiempo: alguien que ya conoce la norma no tiene que buscar cada componente de nuevo.
Que ese ahorro de tiempo justifique los costos de una empresa de asesoramiento varía según la organización. Una empresa con una sola ubicación y un panorama de aplicaciones transparente tiene un camino más corto que una empresa con varias sedes y muchas terceras partes en la cadena.
¿ISO 27001 es siempre necesario o hay una alternativa?
No todo cliente que solicita demostrable seguridad de la información exige literalmente un certificado ISO 27001. Algunos clientes aceptan una autoevaluación, un cuestionario o una declaración sobre las medidas clave, especialmente si su empresa es pequeña o tiene acceso limitado a datos sensibles del cliente. Por lo tanto, es prudente verificar primero exactamente qué solicita su cliente antes de iniciar un proceso de certificación. la explicación por tema en la base de conocimientos muestra qué conceptos a menudo se esconden detrás de tal pregunta y cómo se relacionan entre sí.
Supplia.eu no certifica ni evalúa nada y, por lo tanto, no puede determinar si su organización cumple con la norma. Lo que sí hacemos es reconocer el cuestionario de su cliente y completar las respuestas a partir de un expediente de cadena único, de modo que no tenga que explicar cada vez qué medidas ya ha tomado. Con unas pocas preguntas verá dónde se encuentra aproximadamente su situaciónsin que esto diga nada sobre un proceso de certificación en sí.
Lo que puede hacer ahora
Comience por averiguar si su cliente exige un certificado u tiene suficiente una respuesta fundamentada al cuestionario. Luego, vea cuánto del ISMS ya tiene informalmente en orden: los riesgos, el control de acceso, las copias de seguridad y la gestión de incidentes a menudo ya se han implementado parcialmente, incluso sin que nadie lo haya expresado así. Solo cuando sepa qué falta, tiene sentido determinar si lo aborda usted mismo o contrata una consultoría para dar el paso hacia el organismo de certificación.
En la página sobre cómo se elabora la información en supplia.eu podrá leer de dónde procede nuestra explicación, para que pueda consultarla junto con la norma oficial. Si aún duda sobre si su situación requiere un certificado, realice el escaneo rápido gratuito o consulte las preguntas frecuentes sobre cuestionarios y pruebas para orientarse inicialmente.