5 Grandes Mitos sobre la ISO 27001
Muy a menudo he oído cosas sobre la norma ISO 27001 y no sé si reír o llorar por ellos. De hecho, es curioso cómo la gente tiende a tomar decisiones sobre algo que saben muy poco acerca de – aquí están los errores más comunes:
“La norma exige …”
“La norma exige que las contraseñas se cambian cada 3 meses.” “La norma exige que los proveedores múltiples que existen.” “La norma requiere que el sitio de recuperación de desastres para tener al menos 50 km de distancia del sitio principal.” ¿En serio? La norma no dice nada de eso. Desafortunadamente, este tipo de información falsa que escucho bastante a menudo – por lo general la gente las mejores prácticas de error para los requisitos de la norma, pero el problema es que no todas las normas de seguridad son aplicables a todo tipo de organizaciones. Y las personas que afirman que este es prescrito por la norma que probablemente nunca ha leído la norma.
“Vamos a dejar que el departamento de TI manejar”
Este es el favorito de la dirección – “seguridad de la información es todo sobre ella, ¿no?” Bueno, no realmente – los aspectos más importantes de la seguridad de la información incluye no sólo medidas, sino también cuestiones de organización y gestión de recursos humanos, que son por lo general fuera del alcance del departamento de TI.
“Vamos a ponerlo en práctica en pocos meses”
Se podría implementar la norma ISO 27001 en 2 o 3 meses, pero no va a funcionar – sólo recibirá un montón de políticas y procedimientos a nadie le importa. Implementación de seguridad de la información significa que tiene que implementar los cambios, y se necesita tiempo para que los cambios tengan lugar. Por no hablar de que debe implementar sólo los controles de seguridad que son realmente necesarios, y el análisis de lo que realmente se necesita lleva su tiempo – que se llama evaluación de riesgos y tratamiento.
“Esta norma se trata de documentación”
La documentación es una parte importante de la aplicación de la norma ISO 27001, pero la documentación no es un fin en sí mismo. El punto principal es que realice sus actividades de manera segura, y la documentación está aquí para ayudarle a hacerlo. Además, los registros que se produce le ayudará a medir si a alcanzar sus objetivos de seguridad de la información y permiten corregir aquellas actividades que bajo desempeño.
“El único beneficio de la norma es para fines de marketing”
“Estamos haciendo esto sólo para obtener el certificado, ¿no?” Bueno, esto es (por desgracia) la forma en 80 por ciento de las empresas piensan. No estoy tratando de argumentar aquí que la ISO 27001 no debe utilizarse con fines de promoción y ventas, pero usted puede también conseguir otros beneficios muy importantes – como el caso de la prevención de WikiLeaks sucediendo. El punto aquí es – leer la norma ISO 27001 antes de formar su opinión al respecto, o bien, si es demasiado aburrido para leer (lo que admito que es), consulte con alguien que tiene algún conocimiento real acerca de ella. Y tratar de conseguir algunos beneficios específicos, distintos de la comercialización. En otras palabras, aumentar sus posibilidades de hacer una inversión rentable en la seguridad de la información.