Apuntes Marcos y Regulaciones. La familia de normas ISO 27000

Serie

Características

Alcance

Escenarios de implementación

Ventajas

Desventajas

27001

Especificación general de los requisitos genéricos necesarios para establecer, implementar, mantener y realizar mejora continua de un SGSI (Sistema de Gestión de Seguridad de la Información) en una organización.

Cualquier tipo de organización sin importar el tipo, tamaño y naturaleza del negocio.

Implementación del SGSI en Banksecure

Permite la mejora de la postura de seguridad de la organización

Promueve la mejora continua de los procesos

Da un entendimiento general de las necesidades para la implementación del SGSI.

Requiere compromiso de todas las partes interesadas sobre todo del liderazgo de la organización.

Carece de detalle de las actividades a realizar para la implementación del SGSI, las cuales son cubiertas a fondo en las otras normas de la familia ISO 27000

27002

Detalle de los controles expuestos en el Anexo A de la norma ISO 27001:2022

Cualquier tipo de organización que este implementando un SGSI, sin importar el tipo, tamaño y naturaleza del negocio, sin embargo, también puede servir como guía para mejora individual de procesos.

Departamento TI, los cuales tienen a cargo la aplicación de los controles tecnológicos (8 – ISO 27002)

Departamento de Recursos Humanos, quienes tienen a cargo la aplicación de los controles de personas.

Departamento de Cumplimiento y Auditoria, quienes se encargan de la aplicación de los controles organizaciones en conjunto con otras áreas

Presenta el detalle de cada uno de los controles a aplicar dentro del proceso de implementación de un SGSI

Carece de certificación ya que el estándar certificable es la ISO 27001.

No se puede trabajar por si sola ya que hay controles podrían ser no aplicables a la organización.

27005

Dedicado a guiar aspectos relacionados con la implementación de los requerimientos de riesgo de seguridad de la información establecidos en la ISO 27001:2022

Organizaciones que están en proceso de implementación/mejora continua de ISO 27001.

Personas/Partes interesadas involucradas en los temas de riesgo.

Dentro del escenario no se menciona, sin embargo, dentro de la implementación del SGSI, la evaluación del riesgo es necesaria para cumplir con el punto 6.1. de la ISO 270001.

Detalla las actividades recomendadas para realizar la evaluación del riesgo, algo que se menciona de manera global en ISO 27001 y 27002.

No existe una restricción a nivel organizacional o a nivel de compliance para seguir los lineamientos establecidos en ISO 27005

No es un documento de obligatorio seguimiento, ya que las generalidades están establecidas en ISO 27001.

27003

Entrega los lineamientos y guía detallada para la implementación de un SGSI

Cualquier tipo de organización sin importar el tipo, tamaño y naturaleza del negocio, la cual este implementando un SGSI

De acuerdo con el detalle brindado por esta norma, la implementación del SGSI en Banksecure puede ser abordada de una forma más sencilla.

Provee mayor explicación a los puntos 4 a 10 indicados en la ISO 27001

No es un documento de obligatorio seguimiento, ya que las generalidades están establecidas en ISO 27001.

27035

Documento orientado a las indicaciones necesarias para la gestión de incidentes de Seguridad de la Información

Aplicable a cualquier empresa que realiza gestión de incidentes de seguridad de la información

Esta norma puede ser utilizada para cumplimiento de los controles 5.24 a 5.27 de las ISO 27001 y 27002.

Sirve como norma complementaria para la ISO 27001 y 27002 esto teniendo en cuenta que dentro del proceso de implementación de SGSI se indican varios requerimientos respecto a incidentes, que se muestran con mayor detalle en la ISO 27035

No es un documento de obligatorio seguimiento, ya que las generalidades están establecidas en ISO 27001 y los controles requeridos están en ISO 27002