Certificación ISO 27001 y cumplimiento

Qué es la ISO 27001: cumplimiento y certificación

La norma ISO 27001 específica los requisitos para las políticas, procedimientos y procesos que integran el Sistema de Gestión de Seguridad de la Información (SGSI) de una empresa. Este estándar internacional se creó para proporcionar un modelo con el fin de establecer, implantar, operar, monitorizar, revisar, mantener y mejorar un SGSI.

La certificación ISO 27001 utiliza un método de arriba a abajo, basado en los riesgos. La certificación para esta norma no se obtiene siguiendo una serie de reglas predeterminadas. En su lugar, una organización se certifica siguiendo una serie de controles que son específicos a sus riesgos. Estos controles constan de la Declaración de aplicabilidad de una empresa, un documento que los auditores ISO utilizan para otorgar la certificación.

Por tanto, la certificación ISO 27001 no es una lista con casillas de requisitos que hay que marcar, sino un proceso continuo en el que se catalogan los riesgos y se valora su gravedad, se aplican controles, se elaboran medidas correctivas y se recopilan pruebas que demuestran que una organización está llevando a cabo las tareas identificadas como importantes para la gestión de sus riesgos. La certificación también exige que las organizaciones mejoren continuamente sus operaciones desde una perspectiva basada en los riesgos.