ISO 27001 frente a ISO 27002
Como ISO 27000 es una serie de estándares que han sido iniciados por ISO para garantizar la seguridad dentro de las organizaciones en todo el mundo, vale la pena conocer la diferencia entre ISO 27001 e ISO 27002, dos de los estándares de la serie ISO 27000. Estos estándares se han iniciado en beneficio de las organizaciones y también para brindar un servicio de calidad a los clientes. Este artículo analiza las diferencias entre ISO 27001 e ISO 27002.
¿Qué es ISO 27001?
La norma ISO 27001 tiene como objetivo garantizar la seguridad de la información y la protección de datos en organizaciones de todo el mundo. Este estándar es tan importante para las organizaciones empresariales a la hora de proteger a sus clientes y la información confidencial de la organización contra amenazas. La implementación del sistema de gestión de seguridad de la información garantizaría la calidad, la seguridad, el servicio y la confiabilidad del producto de la organización, que se puede salvaguardar al más alto nivel.
El objetivo principal de la norma es proporcionar requisitos para establecer, implementar, mantener y mejorar continuamente un Sistema de gestión de seguridad de la información (SGSI). En la mayoría de las empresas, las decisiones de adopción de este tipo de normas las toma la alta dirección. Además, el requisito de contar con este tipo de sistema de seguridad de la información para la organización surge debido a varios factores como metas y objetivos organizacionales, requisitos de seguridad, tamaño y estructura de la organización, etc.
En la versión anterior de la norma en 2005, se desarrolló con base en el ciclo PDCA, modelo Planificar-Hacer-Verificar-Actuar para estructurar los procesos y que fue en una forma de reflejar los principios establecidos por los lineamientos de la OECG. La nueva versión de 2013 enfatiza la medición y evaluación de la efectividad del desempeño organizacional en SGSI. También se ha incluido un apartado basado en la subcontratación y se le da más concentración a la seguridad de la información en las organizaciones.
¿Qué es ISO 27002?
La norma ISO 27002 se originó inicialmente como norma ISO 17799 que se basa en el código de prácticas para la seguridad de la información. Destaca varios mecanismos de control de seguridad para organizaciones con la orientación de ISO 27001.
El estándar se estableció en base a varias pautas y principios para iniciar, implementar, mejorar y mantener la gestión de la seguridad de la información dentro de una organización. Los controles reales en la norma abordan requisitos específicos a través de una evaluación formal de riesgos. El estándar consta de pautas específicas para los desarrollos en los estándares de seguridad organizacional y prácticas de gestión de seguridad efectivas que serían útiles para generar confianza en las actividades interorganizacionales.
La versión existente de la norma se publicó en 2013 como ISO 27002: 2013 con 114 controles. El factor más importante que debe tenerse en cuenta es que a lo largo de los años se han desarrollado o se están desarrollando varias versiones específicas de la industria de ISO 27002 en campos como el sector de la salud, la fabricación, etc.
¿Cuál es la diferencia entre ISO 27001 e ISO 27002?
• La norma ISO 27001 expresa los requisitos para la gestión de la seguridad de la información en las organizaciones y la norma ISO 27002 proporciona apoyo y orientación para aquellos que son responsables de iniciar, implementar o mantener Sistemas de Gestión de Seguridad de la Información (SGSI).
• ISO 27001 es una norma de auditoría basada en requisitos auditables, mientras que ISO 27002 es una guía de implementación basada en sugerencias de mejores prácticas.
• ISO 27001 incluye una lista de controles de gestión para las organizaciones, mientras que ISO 27002 tiene una lista de controles operativos para las organizaciones.
• ISO 27001 se puede utilizar para auditar y certificar el Sistema de Gestión de Seguridad de la Información de la organización e ISO 27002 se puede utilizar para evaluar la exhaustividad del Programa de Seguridad de la Información de una organización.
Atribución de imagen: “CIAJMK1209” de John M. Kennedy T. (CC BY-SA 3.0)
