Implantación de la ISO 27001

¿Cómo se implanta?

Dependiendo de la dimensión de la empresa, o de la sensibilidad de los datos personales que maneje, la información puede ser tratada y organizada por personal propio o por técnicos externos. En cualquier caso, los procedimientos que se ejecuten deben seguir una pauta ordenada y sistemática.

Diagnóstico de los flujos de información. Lo primero es identificar qué datos o ficheros en que se traten datos, en papel, soporte informático, audiovisual u otro, van a ser objeto de protección.
Evaluación de riesgos. Es fundamental ponderar a qué riesgos están expuestos los activos de información que se quieren proteger. La información de una empresa es materia altamente sensible y puede sufrir fugas, pérdidas, deterioro o manipulación no deseada por personas ajenas a la organización o no autorizadas para ello.
SGSI. Una vez examinados los riesgos, es preciso establecer un plan para reducir las amenazas a su mínimo posible. Los proceso de certificación ISO/IEC 27001 prevén medidas específicas y son un referente como especificación y directriz normativa. Inmediatamente después se diseña un SGSI bajo supervisión de la dirección de la empresa y el compromiso de las personas que manejen la información que se quiere proteger.
Formación del personal. Los empleados relacionados con el plan de seguridad deben ser sometidos a un entrenamiento específico.
Chequeo. Los sistemas sólo serán solventes y eficaces si se garantiza un correcto funcionamiento continuado en el tiempo. De nada serviría poner en marcha un programa riguroso si con el paso del tiempo se descuidan las buenas prácticas o se degradan los mecanismos puestos en marcha.
Auditoría interna. La propia organización debe examinar si los procedimientos establecidos se observan de forma adecuada. El compromiso de la dirección y del personal a quien concierne el SGSI debe ser absoluto.
Certificación. Una vez cumplimentado todo el proceso anterior, la firma oficialmente acreditada revisará todo el proceso y otorgará la certificación. Se verificará que trabaja con un sistema seguro de información y que tiene recursos operativos para hacer frente a un eventual fallo del procedimiento.