ISO 27002 Explicada: Tu Plan para Controles Robustos de Seguridad de la Información

Qué es la ISO 27002

La Organización Internacional de Normalización (ISO) es una entidad no gubernamental que existe para crear estándares en temas mayormente técnicos. La ISO 27002 es un conjunto de estándares y procedimientos que refuerza la seguridad de la información y controles que permiten a un negocio realizar seguridad adecuada. Hasta 2005, la ISO 27002 se conocía con otros dos nombres. Este estándar es complementado largamente por la ISO 27001, que detalla tareas gerenciales como evaluación de riesgos y revisión de seguridad, en lugar del aspecto de control de la 27002.

Historia: BS7799, ISO 17799 e ISO 27002

Dos estándares precedieron a la ISO 27002, cada uno similar en tema y control. La primera encarnación fue en 1995 en Reino Unido como BS7799. Tras limpieza y modernización, se publicó de nuevo por ISO como ISO 17799. En 2005, tras más ediciones, se llamó ISO 27002. Aunque cada versión es diferente y resalta problemas y controles más modernos, las tres tratan seguridad de la información.

Estructura y Alcance del Estándar

El estándar 27002 destaca cientos de formas de tratar seguridad de la información y tiene muchos capítulos para diferentes aspectos. Algunos tratan recursos humanos y su interacción con información; otros dicen cómo controlar acceso y continuidad de negocio con procedimientos de seguridad. La seguridad de la información usualmente implica TI, pero la ISO 27002 también preocupa información en papel y activos, aunque la mayor parte va dirigida al departamento de TI.

En su primera versión, pretendía ser estándar amplio para todas las instituciones que necesitaban seguridad de información: empresas, ONGs, agencias gubernamentales y negocios seguirían el mismo estándar. Publicaciones futuras se centran en separar el estándar por sectores para ser más eficientes.

Detalle de Controles vs Gestión en ISO 27001

La ISO 27002 entra en gran detalle sobre controles y procedimientos para mantener información segura. Otros estándares como la complementaria ISO 27001 solo ofrecen una o dos frases sobre el control. En cambio, 27002 detalla controles pero ofrece poco sobre gestión. Con ISO 27001, todos los aspectos de gestión se especifican.

Mucha gente confunde ISO 27001 y 27002 porque manejan mismos temas de forma distinta. Esto deja a muchos preguntándose por qué se separó en dos partes. La razón: si ambas existieran juntas, sería demasiado largo para una publicación.